RB-TRIAGE-003: Triage van identity-alerts

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Triage van identity-alerts
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Alerts van de identity provider
Authenticatietelemetrie
MFA-telemetrie
Meldingen van gebruikers
VPN-telemetrie
Logs van sessieactiviteit

Benodigde tools:

Identity provider
SIEM
MFA-platform
VPN-telemetrie
Threat intelligence-platform

2. Stap-voor-stap-instructies

Veelgemaakte fouten

Impossible travel als definitief bewijs van compromittering beschouwen

Geslaagde MFA-activiteit negeren

Indicatoren van gedeelde infrastructuur missen

Valideer de echtheid van de alert
- Stel vast:
  - De bron van de alert
  - Het type detectie
  - De betrouwbaarheid van de alert
  - De condities die de alert veroorzaakten
- Review:
  - Metadata van de alert
  - Afwijkingen in de authenticatie
  - Bijbehorende indicatoren
Stel de getroffen identiteit vast
- Verzamel:
  - Gebruikersnaam
  - E-mailadres
  - Rechtenniveau
  - Groepslidmaatschappen
  - Beheerrollen
  - Gekoppelde apparaten
Review de authenticatieactiviteit
- Review:
  - Tijdstippen van aanmelding
  - Bron-IP's
  - Geolocatie
  - Device fingerprints
  - Uitkomsten van MFA
Beoordeel het actieve risico
- Stel vast:
  - Is de aanvaller nog actief?
  - Zijn er actieve sessies?
  - Wordt privilege escalation vermoed?
  - Wordt lateral movement vermoed?
Beoordeel de scope
- Stel vast:
  - Aanvullende getroffen accounts
  - Gedeelde apparaten
  - Gedeelde IP's
  - Vergelijkbare authenticatiepatronen

3. Na afloop

Zorg dat alle bevindingen uit de validatie van de alert en de aanbevelingen voor containment in het incidentticket zijn vastgelegd

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.