RB-TRIAGE-005: Validatie van een DDoS-alert

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Validatie van een DDoS-alert
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

Er is een DDoS-alert of verslechtering van een dienst gemeld
Er is een incidentticket aangemaakt
Er is toegang tot netwerktelemetrie
Er is toegang tot monitoringdashboards
Er is waar van toepassing toegang tot telemetrie van de cloudprovider
Er is waar van toepassing toegang tot telemetrie van CDN en WAF
De getroffen dienst is vastgesteld

2. Stap-voor-stap-instructies

Stel de bron van de alert vast

Stel vast waar de alert vandaan komt.

Voorbeelden zijn:
- SIEM-alert
- IDS/IPS-alert
- Alert van het DDoS-beschermingsplatform
- CDN-alert
- Alert van de cloudprovider
- Alert van de netwerkmonitoring
- Monitoring van de beschikbaarheid van diensten
- Melding van een klant
- Intern operationsteam
- Externe dienstverlener
Documenteer de bron.
Valideer de impact op de dienst

Stel vast of er werkelijk impact op de dienst is.

Review:
- Beschikbaarheid van de dienst
- Gezondheid van de applicatie
- Meldingen van klanten
- Foutpercentages
- Responstijden
- Gezondheid van de infrastructuur
Documenteer de waargenomen impact.
Stel de getroffen assets vast

Stel vast:
- Getroffen applicaties
- Getroffen websites
- Getroffen API's
- Getroffen netwerksegmenten
- Getroffen cloudresources
- Getroffen klantdiensten
Maak een inventaris van de getroffen assets.
Review de verkeerstrends

Review:
- Volume van inkomend verkeer
- Aantal verbindingen per tijdseenheid
- Aantal requests per tijdseenheid
- Bandbreedtegebruik
- Aantal pakketten per tijdseenheid
- Historische baselines
Stel significante afwijkingen van normaal gedrag vast.

Documenteer de bevindingen.
Bepaal de kenmerken van de aanval

Stel indicatoren vast, waaronder:
- Pieken in verkeer
- Grote aantallen unieke bron-IP's
- Excessieve aantallen requests
- Misbruik van protocollen
- Amplificatiegedrag
- Reflectieactiviteit
- Geografische concentratie
Stel vast of de waargenomen activiteit past bij DDoS-gedrag.
Sluit andere oorzaken uit

Controleer op:
- Storingen in de infrastructuur
- Uitval van diensten
- Problemen bij het cloudplatform
- Defecten in applicaties
- Mislukte deployments
- Configuratiewijzigingen
- Problemen met netwerkroutering
Stel vast of de storing eerder operationeel dan kwaadaardig is.

Documenteer de bevindingen.
Beoordeel de eerste severity

Stel vast:
- Aantal getroffen gebruikers
- Aantal getroffen diensten
- Duur van de impact
- Bedrijfsimpact
- Impact op klanten
- Operationele impact
Ken een eerste severity-niveau toe.

Documenteer de onderbouwing.
Stel bestaande mitigaties vast

Stel vast of de volgende maatregelen al actief zijn:
- CDN-bescherming
- DDoS-beschermingsdienst
- WAF-bescherming
- Rate limiting
- Verkeersfiltering
- Autoscaling
- Cloud-native bescherming
Documenteer de bestaande verdedigingsmaatregelen.
Werk het incidentrecord bij

Leg vast:
- Bron van de alert
- Getroffen assets
- Waarnemingen over het verkeer
- Impact op de dienst
- Beoordeling van de severity
- Bestaande mitigaties
Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

Zorg dat de DDoS-validatie is afgerond
Zorg dat de getroffen assets zijn vastgesteld
Zorg dat andere oorzaken zijn beoordeeld
Zorg dat de severity is toegekend
Zorg dat ondersteunend bewijs is toegevoegd
Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.