RB-TRIAGE-007: Validatie van actieve exploitatie

Documentbeheer

1. Vereisten

• Alert of melding over exploitatie ontvangen
• Toegang tot de SIEM
• Toegang tot het EDR-platform
• Toegang tot IDS/IPS-telemetrie
• Toegang tot het vulnerability management-platform
• Toegang tot bronnen voor threat intelligence
• Toegang tot informatie over het getroffen asset
• Incidentticket aangemaakt

2. Stap-voor-stap-instructies

1. Review de eerste alert

   • Stel vast:
     • Bron van de alert
     • Type detectie
     • Tijdstip
     • Getroffen assets
   • Leg de bevindingen vast.

2. Stel indicatoren van exploitatie vast

   • Review:
     • Exploitsignaturen
     • Procesuitvoering
     • Netwerkactiviteit
     • Authenticatieactiviteit
   • Documenteer de indicatoren.

3. Valideer de blootstelling van het asset

   • Bevestig:
     • Dat het asset bestaat
     • De eigenaar van het asset
     • De blootstelling van de dienst
     • De kwetsbaarheidsstatus
   • Documenteer de bevindingen.

4. Review threat intelligence

   • Stel vast:
     • Bekende exploitatieactiviteit
     • Beschikbaarheid van exploits
     • Actieve campagnes
   • Leg relevante intelligence vast.

5. Review de endpointactiviteit

   • Review:
     • Procesuitvoering
     • Child-processen
     • Uitvoering van commando's
     • Persistence-activiteit
   • Stel bewijs van exploitatie vast.

6. Review de netwerkactiviteit

   • Stel vast:
     • Inkomende verbindingen
     • Uitgaande verbindingen
     • C2-activiteit
     • Indicatoren van lateral movement
   • Documenteer de bevindingen.

7. Beoordeel de exploitatiestatus

   • Stel vast of het gaat om:
     • Poging tot exploitatie
     • Geslaagde exploitatie
     • Lopende exploitatie
   • Documenteer het betrouwbaarheidsniveau.

8. Beoordeel het directe risico

   • Stel vast:
     • Aantal getroffen assets
     • Bedrijfsimpact
     • Mate van blootstelling
   • Ken een voorlopige severity toe.

9. Documenteer de bevindingen

   • Leg vast:
     • Waargenomen indicatoren
     • Betrokken assets
     • Beoordeling van de severity
     • Betrouwbaarheidsniveau
   • Bewaar ondersteunend bewijs.

10. Escaleer en draag over

    • Escaleer bevestigde activiteit voor onderzoek en containment.
    • Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

• Zorg dat de bevindingen zijn vastgelegd.
• Bewaar het bewijs dat de validatie ondersteunt.
• Leg de getroffen assets en indicatoren vast.
• Zorg dat er passend is geëscaleerd.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.