RB-TRIAGE-008: Validatie van business email compromise

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Validatie van business email compromise
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Vermoedelijk Business Email Compromise-incident
Toegang tot het e-mailplatform
Toegang tot de identity provider (IdP)
Toegang tot de SIEM
Toegang tot de e-mailsecuritytooling
Toegang tot informatie over de getroffen gebruiker
Incidentticket aangemaakt

2. Stap-voor-stap-instructies

Review de eerste melding
- Stel vast:
  - Melder
  - Getroffen gebruiker
  - Vermoedelijke activiteit
  - Tijdstip
- Leg de bevindingen vast.
Valideer de identiteit van de gebruiker
- Bevestig de eigenaar van de getroffen mailbox.
- Valideer de accountgegevens.
Review de authenticatieactiviteit
- Review:
  - Geslaagde aanmeldingen
  - Mislukte aanmeldingen
  - MFA-activiteit
  - Geografische afwijkingen
- Documenteer de bevindingen.
Review de mailboxactiviteit
- Review:
  - Verzonden e-mails
  - Verwijderde e-mails
  - Wijzigingen in de mailboxconfiguratie
- Stel verdachte activiteit vast.
Review alerts van de e-mailsecurity
- Review:
  - E-maildetecties
  - Phishingalerts
  - BEC-detecties
- Documenteer de bevindingen.
Beoordeel indicatoren van financiële fraude
- Stel vast of:
  - Er betaalverzoeken zijn verstuurd
  - Er wijzigingen van leveranciersgegevens zijn gevraagd
  - Er wijzigingen in de salarisadministratie zijn gevraagd
- Documenteer de bevindingen.
Bepaal de status van de compromittering
- Beoordeel:
  - Geen compromittering
  - Vermoedelijke compromittering
  - Bevestigde compromittering
- Documenteer het betrouwbaarheidsniveau.
Beoordeel het directe risico
- Stel vast:
  - Bedrijfsimpact
  - Financiële blootstelling
  - Blootstelling van data
- Ken een voorlopige severity toe.
Documenteer de bevindingen
- Leg alle waarnemingen en bewijs vast.
Escaleer en draag over
- Escaleer bevestigde incidenten voor onderzoek en containment.
- Werk het incidentrecord bij.

3. Na afloop

Bewaar het bewijs dat de validatie ondersteunt.
Documenteer de bevindingen en de severity.
Zorg dat er passend is geëscaleerd.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.