RB-TRIAGE-006: Validatie van een verloren of gestolen apparaat

Documentbeheer

1. Vereisten

• Melding van een verloren, zoekgeraakt of gestolen apparaat
• Identificatie van het apparaat beschikbaar:
  • Hostnaam
  • Serienummer
  • Assettag
  • Identificatie van het mobiele apparaat
• Gebruikersinformatie beschikbaar
• Toegang tot de assetinventaris
• Toegang tot het MDM- of endpointbeheerplatform
• Toegang tot het EDR-platform
• Toegang tot de identity provider (IdP)
• Toegang tot de SIEM
• Incidentticket aangemaakt

2. Stap-voor-stap-instructies

1. Verzamel de eerste incidentinformatie

   • Achterhaal:
     • De melder
     • Het type apparaat
     • De assetidentificatie
     • Datum en tijd waarop het laatst is gezien
     • De laatst bekende locatie
     • De omstandigheden van verlies of diefstal
   • Leg alle details vast in het incidentticket.

2. Valideer het eigendom van het asset

   • Bevestig:
     • Dat het apparaat eigendom is van of beheerd wordt door de organisatie
     • De toegewezen gebruiker
     • Het bedrijfsonderdeel
     • De status van het asset
   • Verifieer de informatie tegen de assetinventaris.

3. Bepaal de classificatie van het apparaat

   • Stel vast of het asset een van de volgende is:
     • Laptop
     • Desktop
     • Mobiele telefoon
     • Tablet
     • Verwisselbaar medium
     • Ander beheerd apparaat
   • Documenteer de classificatie van het apparaat.

4. Review de beheerstatus van het apparaat

   • Stel vast of het apparaat:
     • Is ingeschreven in MDM
     • Is ingeschreven in EDR
     • Volledige schijfversleuteling aan heeft staan
     • Actief telemetrie rapporteert
     • Op afstand kan worden vergrendeld of gewist
   • Documenteer alle securitymaatregelen die momenteel van toepassing zijn.

5. Stel de laatst bekende activiteit van het apparaat vast

   • Review:
     • MDM-telemetrie
     • EDR-telemetrie
     • Authenticatielogs
     • VPN-logs
     • Netwerkactiviteit
   • Stel vast:
     • Tijdstip van de laatste check-in
     • Laatst bekende IP-adres
     • Laatst bekende geografische locatie
     • Laatst aangemelde gebruiker

6. Beoordeel indicatoren van verlies tegenover diefstal

   • Stel vast of het beschikbare bewijs wijst op:
     • Zoekraken
     • Onbedoeld verlies
     • Diefstal
     • Ongeautoriseerd bezit
   • Documenteer de waarnemingen en het ondersteunende bewijs.

7. Review recente authenticatieactiviteit

   • Review:
     • Geslaagde aanmeldingen
     • Mislukte aanmeldingen
     • MFA-gebeurtenissen
     • Sessieactiviteit
     • Geografische afwijkingen
   • Stel eventuele indicatoren van ongeautoriseerd gebruik vast.

8. Beoordeel het voorlopige risico

   • Weeg mee:
     • De versleutelingsstatus van het apparaat
     • Geprivilegieerde toegang van de gebruiker
     • Toegang tot gevoelige systemen
     • Toegang tot gereguleerde data
     • De beheerstatus van het apparaat
     • Bewijs van ongeautoriseerde activiteit
   • Ken een voorlopige severity aan het incident toe.

9. Bepaal de vereiste responsacties

   • Stel vast of het incident vraagt om:
     • Beoordeling van de securitystatus van het apparaat
     • Beoordeling van de blootstelling van data op het apparaat
     • Containment van accounts
     • Intrekken van sessies
     • Vergrendelen op afstand
     • Wissen op afstand
     • Escalatie naar fysieke beveiliging
   • Documenteer de aanbevolen vervolgacties.

10. Escaleer en draag over

    • Geef de bevindingen aan de Incident Commander en de Technical Lead.
    • Pas zo nodig de severity van het incident aan.
    • Escaleer naar:
      • Analyseactiviteiten
      • Containment-activiteiten
      • Onderzoek door fysieke beveiliging (indien van toepassing)
    • Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

• Zorg dat alle identificaties van het apparaat zijn vastgelegd.
• Zorg dat alle informatie over het eigendom van het asset is vastgelegd.
• Bewaar relevante authenticatie- en apparaattelemetrie.
• Documenteer de bevindingen uit de risicobeoordeling en het ondersteunende bewijs.
• Voeg alle validatiebevindingen toe aan het incidentrecord.
• Zorg dat de vereiste analyse- en containment-activiteiten zijn gestart.
• Neem zo nodig deel aan de vervolgonderzoeken.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.