RB-TRIAGE-004: Validatie van een melding van een derde partij

Documentbeheer

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

• Melding van compromittering van een derde partij ontvangen
• Incidentticket aangemaakt
• Toegang tot de leveranciersinventaris
• Toegang tot de assetinventaris
• Toegang tot bronnen voor threat intelligence
• Toegang tot contactpersonen voor leveranciersmanagement
• Toegang tot security-advisories en publieke berichtgeving

2. Stap-voor-stap-instructies

1. Stel de bron van de melding vast

   Stel vast waar de melding vandaan komt.

   Veelvoorkomende bronnen zijn:

   • Securitymelding van de leverancier
   • Advisory in het trust centre van de leverancier
   • Security-mailinglijst
   • Leverancier van threat intelligence
   • Advisory van de overheid
   • Melding van een toezichthouder
   • Publieke openbaarmaking
   • Openbaarmaking via social media
   • Nieuwsberichten
   • Melding van een klant
   • Intern securityteam

   Documenteer de bron.

2. Valideer de echtheid van de melding

   Verifieer:

   • De afzender van de melding
   • Het eigendom van het domein van de leverancier
   • De echtheid van de advisory
   • De legitimiteit van het security-bulletin
   • Ondersteunende referenties

   Review:

   • Het trust centre van de leverancier
   • Officiële advisories
   • Publieke verklaringen
   • Security-bulletins

   Stel mogelijke pogingen tot phishing, spoofing of desinformatie vast.

   Documenteer de bevindingen.

3. Stel de getroffen derde partij vast

   Stel vast:

   • Naam van de leverancier
   • Productnaam
   • Naam van de dienst
   • Zakelijke eigenaar
   • Kritiek van de leverancier

   Stel vast:

   • Of de leverancier actief wordt gebruikt
   • Of de relatie actueel is
   • Of de dienst nog operationeel is

   Documenteer de bevindingen.

4. Verzamel details van het incident

   Verzamel:

   • Samenvatting van het incident
   • Datum van de compromittering
   • Datum van ontdekking
   • Aanvalsvector
   • Impactverklaring
   • Omvang van de compromittering
   • Bekende getroffen producten
   • Bekende getroffen versies

   Documenteer alle beschikbare details.

5. Verzamel technische informatie

   Verzamel:

   • CVE's
   • Indicators of Compromise (IOC's)
   • Mitigatierichtlijnen van de leverancier
   • Herstelrichtlijnen van de leverancier
   • Aanbevelingen voor detectie
   • Gepubliceerde technieken van de aanvaller

   Sla de referenties op in het incidentrecord.

6. Bepaal de blootstelling van de organisatie

   Stel vast:

   • Gebruik van getroffen producten
   • Gebruik van getroffen diensten
   • Gebruik van getroffen versies
   • Bestaande integraties
   • Bestaande vertrouwensrelaties

   Stel vast:

   • Of de organisatie mogelijk is blootgesteld
   • Of blootstelling direct kan worden uitgesloten

   Documenteer de bevindingen.

7. Beoordeel de severity

   Stel vast of de gebeurtenis gaat om:

   • Alleen een advisory
   • Openbaarmaking van een kwetsbaarheid
   • Vermoedelijke compromittering
   • Bevestigde compromittering
   • Actieve exploitatie
   • Bevestigde blootstelling van de organisatie

   Ken een eerste severity toe.

   Documenteer de onderbouwing.

8. Werk het incidentrecord bij

   Leg vast:

   • Bron van de melding
   • Resultaten van de validatie
   • Gegevens van de leverancier
   • Productgegevens
   • Beoordeling van de blootstelling
   • Beoordeling van de severity
   • Notificaties aan stakeholders

   Voeg ondersteunend bewijs en referenties toe.

3. Na afloop

Na afronding:

• Zorg dat de echtheid van de melding is gevalideerd
• Zorg dat de getroffen leverancier en producten zijn vastgesteld
• Zorg dat de beoordeling van de blootstelling is afgerond
• Zorg dat de beoordeling van de severity is vastgelegd
• Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.