RB-TRIAGE-012: Triage van een aanval op een webapplicatie
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Triage van een aanval op een webapplicatie | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- Alert van web, API, WAF, CDN, IDS/IPS of SIEM
- Toegang tot logs van applicatie, edge, authenticatie en SIEM
- Getroffen applicatie, endpoint of API vastgesteld
- Incidentticket aangemaakt
2. Stap-voor-stap-instructies
-
Leg de details van de alert vast
- Leg vast: bron van de alert, tijdstip, getroffen applicatie, endpoint, bron-IP, user-agent, requestpad, payloadindicatoren en huidige severity.
-
Valideer de context van de applicatie
- Stel de bedrijfskritiek, de productiestatus, de blootstelling aan internet en de gevoeligheid van de data vast.
-
Classificeer het type aanval
- Stel vast of de activiteit wijst op injectie, misbruik van toegangscontrole, misbruik van uploads, path traversal, misbruik van API's, credential stuffing, misbruik van sessies, denial of service of exploitatie van een bekende kwetsbaarheid.
-
Beoordeel de exploitatiestatus
- Classificeer als scanning, poging tot exploitatie, vermoedelijke exploitatie, bevestigde exploitatie of lopende activiteit van een aanvaller.
-
Beoordeel de directe impact
- Controleer op ongeautoriseerde toegang, toegang tot data, privilege escalation, een web shell, uitvoering van commando's, verstoring van de dienst of manipulatie.
-
Controleer het actieve risico
- Stel vast of kwaadaardige requests, sessies van de aanvaller, tokens, API-sleutels of geüploade artefacten nog actief zijn.
-
Ken een eerste severity toe
- Gebruik daarvoor de kritiek van de applicatie, de exploitatiestatus, de gevoeligheid van de data, de actieve aanwezigheid van de aanvaller en de impact op de dienst.
-
Stel vast welk bewijsmateriaal nodig is
- Maak een lijst van de benodigde logs van web, API, WAF/CDN, authenticatie en infrastructuur voor het verdere verzamelen.
- Leg bronnen, bewaartermijnen en urgentie vast.
-
Leg het resultaat van de triage vast
- Documenteer het oordeel, de severity, het vermoedelijke type aanval, getroffen assets, indicatoren, benodigd bewijsmateriaal en open vragen.
3. Na afloop
- Zorg dat de triagebevindingen, het benodigde bewijsmateriaal, getroffen assets, de onderbouwing van de severity, indicatoren en open vragen zijn vastgelegd.
Bijdrager
Jayden Vo GitHub: https://github.com/jayden-vo
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.