RB-TRIAGE-009: Validatie van een kwetsbaarheid

Documentbeheer

1. Vereisten

• Alert, advisory, openbaarmaking of melding over een kwetsbaarheid ontvangen
• CVE-, advisory- of bevindingsnummer beschikbaar
• Toegang tot het vulnerability management-platform
• Toegang tot de assetinventaris
• Toegang tot configuratiebeheergegevens
• Toegang tot de SIEM
• Toegang tot bronnen voor threat intelligence
• Toegang tot informatie over getroffen systemen
• Incident- of registratieticket aangemaakt

2. Stap-voor-stap-instructies

1. Review de informatie over de kwetsbaarheid

   • Verzamel:
     • CVE-nummer
     • Advisory van de leverancier
     • Security-bulletin
     • Beschrijving van de kwetsbaarheid
     • Severity-score
   • Documenteer alle beschikbare informatie.

2. Valideer de echtheid van de kwetsbaarheid

   • Verifieer de kwetsbaarheid via:
     • Advisories van de leverancier
     • Officiële CVE-registraties
     • Betrouwbare securitybronnen
     • Interne vulnerability management-tooling
   • Bevestig dat de kwetsbaarheid echt is en van toepassing is.

3. Stel de getroffen technologieën vast

   • Stel vast:
     • Besturingssystemen
     • Applicaties
     • Diensten
     • Cloudplatforms
     • Netwerkapparatuur
   • Documenteer de getroffen technologieën.

4. Stel mogelijk getroffen assets vast

   • Review de assetinventaris en de gegevens uit vulnerability management.
   • Stel vast:
     • Extern blootgestelde assets
     • Interne assets
     • Kritieke systemen
     • Productieomgevingen
   • Documenteer de mogelijk getroffen assets.

5. Review bestaande kwetsbaarheidsgegevens

   • Stel vast:
     • Bestaande detecties
     • Eerdere scanresultaten
     • Bestaande herstelstatus
     • Eerdere bevindingen
   • Documenteer relevante bevindingen.

6. Beoordeel de blootstelling

   • Stel vast:
     • Blootstelling aan internet
     • Interne blootstelling
     • Vereiste toegang
     • Voorwaarden voor exploitatie
   • Documenteer de mate van blootstelling.

7. Review threat intelligence

   • Stel vast of:
     • Er publieke exploitcode bestaat
     • Actieve exploitatie is gemeld
     • Threat actors de kwetsbaarheid gericht aanvallen
     • Er exploitatiecampagnes lopen
   • Documenteer de bevindingen.

8. Beoordeel het voorlopige risico

   • Weeg mee:
     • Severity-score
     • Mate van blootstelling
     • Kritiek van het asset
     • Beschikbaarheid van exploits
     • Bestaande mitigaties
   • Ken een voorlopige risicoscore toe.

9. Bepaal de vereiste responsacties

   • Stel vast of:
     • Verdere analyse nodig is
     • Directe containment nodig is
     • Noodherstel nodig is
     • De monitoring moet worden verhoogd
   • Documenteer de aanbevolen acties.

10. Escaleer en draag over

    • Geef de bevindingen aan de Incident Commander en de Technical Lead.
    • Escaleer naar:
      • Beoordeling van de blootstelling aan de kwetsbaarheid
      • Vaststellen van kwetsbare assets
      • Verificatie van exploitatie
      • Beperken van de blootstelling aan de kwetsbaarheid
    • Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

• Zorg dat alle getroffen technologieën zijn vastgelegd.
• Zorg dat alle mogelijk getroffen assets zijn vastgelegd.
• Bewaar de ondersteunende advisories en intelligencebronnen.
• Documenteer de voorlopige risicobeoordeling.
• Voeg alle validatiebevindingen toe aan het incidentrecord.
• Zorg dat de passende analyse- en herstelactiviteiten zijn gestart.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.