RB-TRIAGE-010: Triage van vermoedelijk dataverlies

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Triage van vermoedelijk dataverlies
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

DLP-alert of melding van een gebruiker over vermoedelijk dataverlies
Endpoint-telemetrie (bestandstoegang, schrijven van bestanden, procesuitvoering)
Telemetrie van netwerk / proxy / CASB (uitgaande overdrachten, web-uploads, activiteit in cloudopslag)
Logs van de e-mailgateway (verzonden bijlagen, ontvangers)
Auditlogs van SaaS / cloudopslag (delen van bestanden, downloads, aanmaken van externe links)
Gebruikers- en assetinformatie over de betrokken actor

Benodigde tools:

DLP-platform
EDR-platform
SIEM
E-mailgateway
CASB / proxy
Beheerconsole van SaaS / cloudopslag
Asset- en identity-inventaris

2. Stap-voor-stap-instructies

Veelgemaakte fouten

De alert als false positive sluiten zonder te bevestigen dat de actor de echte gebruiker is

"Geblokkeerd door DLP" als einde van het onderzoek zien, terwijl andere kanalen nog in gebruik kunnen zijn

Alleen de overdracht uit de alert reviewen en verwante overdrachten in hetzelfde tijdvenster missen

De data niet classificeren voordat de severity wordt toegekend

Valideer de echtheid van de alert
- Stel vast:
  - De bron van de trigger (DLP-regel, melding van een gebruiker, melding van een derde partij, SIEM-correlatie)
  - De reden van de trigger (regel geraakt, bestandspatroon, bestemming, volume, waarneming van een gebruiker)
  - Of de overdracht is geblokkeerd, toegestaan of alleen gemonitord
  - Of de alert een bekende geschiedenis van false positives heeft voor deze regel / gebruiker / dit kanaal
Stel de actor en het asset vast
- Verzamel:
  - Gebruikersnaam en e-mailadres van de actor
  - Hostnaam, IP en besturingssysteem van het apparaat van herkomst
  - De aangemelde gebruiker op het moment van de gebeurtenis
  - Het type account (medewerker, contractant, service account, gedeelde mailbox)
  - Of het apparaat beheerd of onbeheerd is
  - Rechtenniveau en groepslidmaatschappen
Stel het overdrachtspad vast
- Stel vast:
  - Gebruikt kanaal (bijv. web-upload, e-mailbijlage, synchronisatie van cloudopslag, USB / verwisselbare media, upload via chat, push naar een coderepository, printen, screenshot)
  - Bestemming (domein, adres van de ontvanger, cloud-tenant, ID van het verwisselbare apparaat, repo-URL)
  - Of de bestemming goedgekeurd, niet goedgekeurd of onbekend is
  - Of de bestemming intern, extern of persoonlijk is (bijv. persoonlijke e-mail, persoonlijke cloudopslag)
Stel de data vast
- Stel vast:
  - Bestandsnamen, bestandstypen en bestandspaden
  - Bestandsgrootte en aantal bestanden
  - Dataclassificatie (openbaar, intern, vertrouwelijk, gereguleerd)
  - Of de data persoonsgegevens, PCI, PHI, broncode, klantdata, credentials of andere gereguleerde/gevoelige inhoud bevat
  - De bron van de data (uit welk systeem, welke database of repository ze afkomstig is)
Stel vast of de activiteit menselijk of geautomatiseerd is
- Stel vast:
  - Proces en command line die de overdracht startten
  - Parent-proces (browser, mailclient, sync-agent, script, onbekende binary)
  - Of de actie interactief door de gebruiker werd uitgevoerd of door automatisering / malware
  - Of de actor op dat moment geauthenticeerd en actief was op het apparaat
- Is een gebruiker vastgesteld, neem dan via een ander kanaal contact op om te bevestigen of de activiteit legitiem is
Beoordeel de scope
- Review:
  - Andere overdrachten door dezelfde actor in het incidentvenster (zelfde bestemming, zelfde data, andere kanalen)
  - Andere actoren die dezelfde data overdragen of naar dezelfde bestemming sturen
  - Andere DLP-alerts op dezelfde regel / hetzelfde kanaal / dezelfde bestemming in de hele omgeving
  - Aanmeld- en sessieactiviteit van de actor op tekenen van accountcompromittering
Bepaal de severity en het vervolg-playbook
- Beoordeel:
  - Gevoeligheid en volume van de betrokken data
  - Of de overdracht is geblokkeerd of voltooid
  - Of de actor de echte gebruiker is, een gecompromitteerd account of malware
  - Of de bestemming onder controle van een aanvaller staat, persoonlijk is, of goedgekeurd maar misbruikt

3. Na afloop

Zorg dat de bron van de trigger, de actor, het overdrachtspad, de dataclassificatie, de bevindingen over de scope en het oordeel in het incidentticket zijn vastgelegd

Bijdrager

Jayden Vo
GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.