Incidentrespons van voorbereiding tot herstel

Een aanmelding, een software-update en een webverzoek zijn allemaal gebeurtenissen: waarneembare voorvallen waarbij IT-middelen betrokken zijn. De meeste gebeurtenissen zijn normaal. Een gebeurtenis met nadelige gevolgen heeft een negatief gevolg, zoals een schijfdefect, een stroomstoring of een malware-infectie.

Bepaal wanneer een beveiligingsrespons nodig is

Een cyberbeveiligingsincident brengt zonder wettelijke bevoegdheid de vertrouwelijkheid, integriteit of beschikbaarheid van informatie of systemen daadwerkelijk of op korte termijn in gevaar. Ook daadwerkelijke of dreigende schendingen op korte termijn van wetten, beveiligingsbeleid, beveiligingsprocedures of beleid voor aanvaardbaar gebruik vallen eronder. De organisatie stelt incidentcriteria op zodat analisten deze definitie consistent kunnen toepassen.

Een aanvaller die een gestolen wachtwoord gebruikt, veroorzaakt een incident, ook voordat iemand gegevensdiefstal bevestigt. Een gewone stroomstoring is een gebeurtenis met nadelige gevolgen, maar voldoet meestal niet aan de criteria voor een beveiligingsincident. Een datalek is een type incident waarbij gegevens zonder toestemming worden ingezien of bekendgemaakt. Een denial-of-serviceaanval kan een incident zijn zonder datalek.

Een beveiligingsmelding is een signaal om onderzoek te doen. Als het bewijs aan de schriftelijke criteria voldoet, gaat een analist over tot de formele vaststelling van een incident: de analist opent de incidentregistratie, wijst een verantwoordelijke aan en activeert de regels uit het plan voor ernst, respons en communicatie. Elke beveiligingsmelding als incident behandelen veroorzaakt ruis; wachten op bewezen diefstal betekent dat je incidenten mist die systemen al bedreigen.

Verbind de fasen

De klassieke levenscyclus verdeelt het werk in vier fasen:

1. Voorbereiding: regel bevoegdheden, contacten, toegang, hulpmiddelen, logregistratie, back-ups en geoefende procedures.
2. Detectie en analyse: valideer signalen, stel vast wat er is gebeurd, vind de getroffen IT-middelen en beoordeel de impact.
3. Indamming, verwijdering van de aanvaller en aanvalsmiddelen en herstel: stop de schade, verwijder de toegang van de aanvaller en de oorzaken daarvan en herstel vertrouwde diensten.
4. Activiteiten na het incident: evalueer de respons en volg de verbeteringen.

Examenprogramma's kunnen het werk in het midden opsplitsen in afzonderlijke stappen, zodat er in totaal zeven stappen zijn. Dit beschrijft hetzelfde werk op een fijner detailniveau. De fasen overlappen. Een analist kan tijdens de indamming een tweede gecompromitteerd account ontdekken en terugkeren naar de omvangsbepaling. Een mislukte opschoning kan ertoe leiden dat een systeem opnieuw wordt geïsoleerd.

Bekijk het huidige NIST-model

NIST SP 800-61 Revision 3, gepubliceerd in april 2025, plaatst incidentrespons binnen de zes functies van het Cybersecurity Framework (CSF) 2.0. Govern, Identify en Protect ondersteunen de voorbereiding via breder risicobeheer. Detect, Respond en Recover organiseren de incidentrespons zelf. De categorie Verbetering binnen Identify verzamelt lessen uit elke activiteit, ook uit een lopend incident.

Een team ontdekt bijvoorbeeld tijdens de indamming dat de contactlijst voor de cloud verouderd is. Het werkt de contactlijst direct bij en legt de wijziging vast voor de evaluatie. Het hoeft niet te wachten totdat alle diensten zijn hersteld om de paraatheid te verbeteren. Het kan weken of maanden duren om incidenten op te lossen. Als lessen pas aan het einde worden gedeeld, blijft een bekend hiaat al die tijd bestaan.

Een respons vereist zowel bevoegdheid als een praktische manier om die te gebruiken. Drie documentniveaus verbinden managementbeslissingen met acties aan een console.

Geef elk document een duidelijke taak

Het beleid legt de betrokkenheid van het management, de reikwijdte, definities en bevoegdheden vast, inclusief wie een systeem mag loskoppelen. Het plan legt uit hoe de organisatie reageert: rollen, incidentcategorieën, ernstniveaus, escalatieroutes, communicatie, middelen en documentatie. Procedures en draaiboeken leggen de stappen en beslissingen voor specifieke situaties uit.

Een bruikbaar plan bevat contactlijsten, vervangers, eisen voor bewijsmateriaal, verwijzingen naar draaiboeken en een beoordelingsschema. Het wijst rollen toe die bij personeelswisselingen blijven bestaan. Als slechts één bij naam genoemde bestuurder isolatie mag goedkeuren en die persoon onbereikbaar is, heeft het plan een enkelvoudig storingspunt. Geef vooraf toestemming voor indamming in vastgelegde situaties en wijs vervangende beslissers aan.

Koppel beslissingen aan rollen

De incidentmanager, ook incidentleider genoemd, coördineert het werk, verdeelt taken, volgt de voortgang en neemt beslissingen binnen de bevoegdheden van het plan. Incidentbehandelaars valideren bevindingen, stellen bewijsmateriaal veilig en voeren responsacties uit. Medewerkers voor systeem-, netwerk- en cloudbeheer en ontwikkeling brengen wijzigingen aan in hun diensten.

De leiding stelt middelen beschikbaar en keurt ingrijpende acties goed. Eigenaren van IT-middelen lichten de impact op de bedrijfsvoering en de herstelprioriteiten toe. Juridische zaken adviseert over veiligstelling, contracten en meldingen; voorlichting verzorgt publieke verklaringen. Personeelszaken sluit aan bij zaken rond medewerkers en fysieke beveiliging ondersteunt de toegang tot locaties.

Een intern CSIRT is een computer security incident response team. Een uitbesteed model kan gebruikmaken van een aanbieder van beheerde beveiligingsdiensten (MSSP) of een incidentresponsbedrijf dat op afroep beschikbaar is. Een hybride model combineert interne incidentbehandelaars met externe specialisten. Leg voor clouddiensten vast welke lagen de provider beheert en welke onder de verantwoordelijkheid van de klant blijven, inclusief hoe je bewijsmateriaal van de provider verkrijgt.

Plan communicatie vóór het incident

Het communicatieplan vermeldt wie een statusbericht ontvangt, wie het verstuurt, wanneer, via welk kanaal en met hoeveel detail. Interne doelgroepen zijn incidentbehandelaars, de leiding, eigenaren, de helpdesk en getroffen medewerkers. Externe doelgroepen kunnen klanten, partners, toezichthouders, opsporingsinstanties, verzekeraars en de media zijn. De leiding en juridische zaken beslissen over externe meldingen; analisten volgen de aangewezen route.

Gebruik communicatie via een afzonderlijk kanaal als e-mail, chat of identiteitssystemen mogelijk zijn gecompromitteerd. Een aparte telefonische groepsverbinding of onafhankelijke berichtendienst voorkomt dat een aanvaller in de hoofdomgeving de respons volgt. Deel incidentdetails volgens het need-to-knowprincipe.

Om 02.10 uur bevestigt een analist versleuteling op een salarisserver. Volgens het plan is dit ernstniveau 1. De analist roept de incidentmanager op, die een aparte telefonische groepsverbinding opent en de CISO informeert. Juridische zaken beoordeelt de gevolgen voor persoonsgegevens. Voorlichting bereidt een voorlopige verklaring voor ter goedkeuring. De incidentregistratie bevat elke actie en het tijdstip.

Maak paraatheid praktisch

Houd offline plannen, actuele contactgegevens van leveranciers en medewerkers, een inventaris van IT-middelen, netwerkdiagrammen, gesynchroniseerde centrale loggegevens, referentieprofielen van activiteit en vooraf goedgekeurde toegang voor incidentbehandelaars beschikbaar. Een incidentresponsuitrusting bevat een schone laptop, forensische hulpmiddelen, schrijfblokkers, opslag, kabels, bewijszakken en formulieren voor de bewijsketen. Beoordeel het plan minstens jaarlijks en na grote incidenten of belangrijke wijzigingen; test of de contactgegevens en toegang daadwerkelijk werken.

Een draaiboek geeft stappen en beslissingen voor één incidenttype, zoals phishing, ransomware, accountcompromittering of data-exfiltratie. Een werkinstructie betekent vaak een beperktere technische procedure, zoals het isoleren van een host in de console voor endpointdetectie en -respons (EDR). Teams gebruiken de termen soms anders, dus definieer ze in het plan.

Formuleer beslissingen die incidentbehandelaars kunnen volgen

Een bruikbaar draaiboek noemt de trigger, eerste triagevragen, het te verzamelen bewijs, verantwoordelijke rollen, acties voor indamming en herstel, escalatiecriteria, communicatiestappen en afsluitvoorwaarden. Een checklist alleen kan niet bepalen of een gecompromitteerd beheerdersaccount een andere respons vereist dan een gewoon account.

Neem de melding: “Ik heb mijn wachtwoord op een phishingpagina ingevoerd.” Een draaiboek kan de behandelaar door deze acties leiden:

1. Bevestig de melding en zoek het bericht.
2. Gebruik e-mail- en proxylogboeken om ontvangers, klikken en gebruikers die authenticatiegegevens hebben ingevoerd te identificeren.
3. Reset blootgestelde wachtwoorden, trek sessies en tokens in en verwijder MFA-apparaten die de aanvaller heeft toegevoegd.
4. Zoek in aanmeldingslogboeken naar toegang door de aanvaller en controleer mailboxregels die berichten doorsturen of verbergen.
5. Blokkeer de afzender en URL, verwijder het bericht uit mailboxen en informeer getroffen gebruikers.

Koppel beslissingen aan de stappen. Schaal bijvoorbeeld op als het account verhoogde rechten heeft of als aanmeldingen door de aanvaller zichtbaar zijn. Vermeld wie ingrijpende wijzigingen goedkeurt. Automatisering kan routinestappen uitvoeren, maar voor een actie zoals het uitschakelen van een kritieke server blijft menselijke goedkeuring nodig.

Train voor verschillende verantwoordelijkheden

Incidentbehandelaars oefenen met SIEM, EDR, forensische hulpmiddelen en bewijsprocedures. Leidinggevenden oefenen met tijdkritieke beslissingen over onderbreking van diensten en middelen. Alle medewerkers leren hoe ze verdachte activiteit snel melden en de situatie voor onderzoek intact laten. Een laptop wissen na het vinden van een losgeldbericht kan bewijs vernietigen en de omvangsbepaling vertragen.

Een scenariobespreking test beslissingen door middel van een gesprek. Een begeleider introduceert een scenario en voegt daarna in stappen nieuwe informatie toe, scenario-inbreng genoemd. Deelnemers gebruiken het plan om hun volgende acties uit te leggen. Zo komen onduidelijke bevoegdheden, ontbrekende contactgegevens en tegenstrijdige aannames aan het licht zonder productiesystemen te wijzigen.

Bij een simulatie, of functionele oefening, voeren deelnemers onder tijdsdruk acties uit met hulpmiddelen in een testomgeving. Zo kan blijken dat een isolatieopdracht mislukt of dat een bewijsexport langer duurt dan verwacht. Bij een grootschalige oefening zijn meerdere teams en vaak externe partners bij de respons betrokken.

Zet bevindingen uit oefeningen om in verbeteringen

Tijdens een scenariobespreking over ransomware melden vijf telefoontjes aan de helpdesk om 07.30 uur versleuteling van gedeelde schijven. Om 08.15 uur maakt een scenario-inbreng bekend dat personeelsbestanden zijn gelekt. Om 10.00 uur belt een journalist. Het team moet beslissen wie het incident formeel vaststelt, wie goedkeurt dat servers offline worden gehaald, wie het woord voert en welke back-ups als eerste kunnen worden teruggezet.

Als niemand de terugzettijd kent, leg dan een actie vast zoals: “Verantwoordelijke voor opslag: test vóór het einde van het kwartaal of een bestandsserver volledig kan worden teruggezet en leg de gemeten duur vast.” Werk het draaiboek bij en test opnieuw. Een oefening is nuttig als die hiaten blootlegt die de organisatie kan verhelpen; wie de oefening als een test ziet waarvoor je moet slagen, moedigt mensen aan juist de zwakke plekken te verbergen die de oefening moet vinden.

Beveiligingssignalen komen binnen via meldingen van SIEM en EDR, antivirussoftware, netwerkdetectiehulpmiddelen, cloud- en identiteitslogboeken, hulpmiddelen voor preventie van gegevensverlies en meldingen van mensen binnen of buiten de organisatie. Een voorteken wijst op een mogelijk toekomstig incident, zoals scanactiviteit of een nieuwe exploit voor software die in gebruik is. Een indicator wijst op activiteit die mogelijk al heeft plaatsgevonden of plaatsvindt.

Bouw context rond het signaal op

Verzameling van loggegevens maakt registraties van endpoints, servers, netwerkapparaten, identiteitssystemen en clouddiensten beschikbaar. Gesynchroniseerde klokken, meestal bijgehouden met Network Time Protocol (NTP), helpen om ze te vergelijken. Correlatie koppelt registraties aan de hand van kenmerken zoals host, account, adres en tijd. Verrijking voegt de kriticiteit en eigenaar van het IT-middel, de gebruikersrol, locatie en dreigingsreputatie toe.

Een grote upload vanaf een back-upserver tijdens een geplande taak heeft een andere betekenis dan dezelfde upload door een onbekend proces op een laptop bij de receptie. Reputatie kan helpen bij het onderzoeken van een domein, maar is slechts één deel van de context.

Doorloop de triage

1. Lees de beveiligingsmelding en begrijp wat de regel heeft gedetecteerd.
2. Identificeer de host, gebruiker, het proces en het tijdstip.
3. Controleer het belang van het IT-middel, de rechten, het normale gedrag en relevante wijzigingstickets.
4. Onderzoek omliggende aanmeldingen, ouderprocessen, verbindingen en bestanden.
5. Controleer de reputatie van domeinen, adressen en bestandshashes.
6. Bepaal of de activiteit onschadelijk is, een foutpositief resultaat oplevert of een vermoedelijk incident is. Schaal op bij onopgeloste zorgen.

Een beveiligingsmelding die kwaadaardige activiteit correct herkent, is een terecht positief resultaat. Een foutpositief resultaat geeft een melding bij onschadelijke activiteit. Een foutnegatief resultaat is kwaadaardige activiteit die geen melding opleverde; die ontbreekt in de wachtrij. Een terecht negatief resultaat is onschadelijke activiteit zonder melding.

Volg het bewijs tot de formele vaststelling

Om 07.55 uur UTC meldt een EDR-beveiligingsmelding een gecodeerde PowerShell-opdracht op FIN-LT-042. Het ouderproces, WINWORD.EXE, opende “Invoice_0310.docm” vanuit een e-mail. PowerShell maakte daarna contact met een domein dat drie dagen eerder was geregistreerd. Deze bevindingen rechtvaardigen dat de zaak als vermoedelijk incident wordt behandeld en snel wordt onderzocht.

De analist decodeert de opdracht en ontdekt dat die een script downloadt en in het geheugen uitvoert. Proxyregistraties bevestigen de download en de inhoud van het script toont kwaadaardige uitvoering aan. De beveiligingsmelding is nu een bevestigd terecht positief resultaat. Het criterium van de organisatie, “bevestigde uitvoering van kwaadaardige code op een bedrijfsendpoint”, vormt de basis om het incident formeel vast te stellen.

Een recent domein of een gecodeerde opdracht kan op zichzelf ook bij legitiem werk voorkomen. De beslissing berust op de gezamenlijke bevindingen en het schriftelijke criterium. Ook een ontkenning van een gebruiker is onvoldoende om de zaak zonder controle van de gegevens af te sluiten.

Houd vanaf het begin een responsregistratie bij

Leg het ticketnummer, de melder, het detectietijdstip in UTC, waarnemingen, bewijsbronnen en elke actie met uitvoerder en tijdstip vast. Documenteer foutpositieve resultaten en gebruik nuttige bevindingen om regels af te stemmen. Als antivirussoftware meldt “Dreiging verwijderd”, onderzoek dan vóór afsluiting hoe het bestand is binnengekomen en wat is uitgevoerd: het verwijderen van één bestand laat onbeantwoord of andere code is uitgevoerd, authenticatiegegevens zijn blootgesteld of persistentie aanwezig blijft.

Omvangsbepaling stelt vast welke hosts, accounts, applicaties, gegevens en locaties zijn getroffen, wat het toegangspunt is en of de aanvaller actief blijft. De eerste host die een beveiligingsmelding opleverde, is het startpunt van deze zoektocht. Nieuwe bevindingen kunnen de omvang tijdens de indamming en verwijdering van de aanvaller en aanvalsmiddelen vergroten.

Volg elke bruikbare indicator

Vervolgonderzoek via gerelateerde gegevens betekent dat je met een kenmerk uit de zaak ander bewijsmateriaal doorzoekt: een hash, bestandsnaam, domein, adres, account, registersleutel of taaknaam. Een kwaadaardig domein op één laptop kan in proxyregistraties van twee andere laptops voorkomen. Een aanmelding vanaf een van die apparaten bij een bestandsserver levert nog een host en account op om te onderzoeken.

Vraag bij elk onderzoeksspoor hoe de toegang begon, wat is uitgevoerd, welke persistentie is geïnstalleerd, welke accounts zijn gebruikt, waarheen de aanvaller zich heeft verplaatst, welke gegevens zijn ingezien of uitgevoerd en wanneer de activiteit voor het eerst en het laatst verscheen. Registreer systemen als getroffen, verdacht of gecontroleerd zonder overeenkomende bevindingen; licht het bewijs en het doorzochte tijdvenster achter elke status toe.

Normaliseer de tijd voordat je sorteert

Een tijdlijn combineert tijd, bron, host, gebruiker en een beschrijving van de gebeurtenis. Bewaar oorspronkelijke tijdstempels en tijdzoneafwijkingen, reken ze om naar UTC en leg bekende klokfouten vast. Oorspronkelijke lokale tijdstempels uit verschillende zones kunnen de schijnbare volgorde van een aanval omkeren.

Bekijk deze registraties uit één onderzoek:

Trek een positieve tijdzoneafwijking af om UTC te verkrijgen. Na omrekening gaat aflevering vooraf aan aanmelding, uitvoering en verbinding. Bewaar ook de datum, want een omrekening kan over middernacht heen gaan. Een bij de gebeurtenis vastgelegde tijdzoneafwijking maakt veranderingen tussen zomer- en wintertijd betrouwbaarder te verwerken dan alleen een plaatsnaam.

Gebruik volumes en tijdsverschillen zorgvuldig

Flowrecords tonen dat in 40 minuten 2,4 GB naar buiten is verzonden. In decimale SI-eenheden is dat 2.400 MB en de duur is 2.400 seconden:

Het gemiddelde is 1 MB/s. Op een werkstation dat gewoonlijk maar enkele megabytes per dag verstuurt, is dit een sterke reden om exfiltratie te onderzoeken. Het volume identificeert de bestanden niet; combineer het met bewijs over bestandstoegang, processen en bestemming.

De onopgemerkte verblijfsduur loopt van de eerste compromittering tot de detectie. Van 2 februari om 14.00 uur UTC tot 19 februari om 09.30 uur UTC is 16 dagen en 19,5 uur. Een langere verblijfsduur geeft een aanvaller meer gelegenheid en kan betekenen dat de oudste activiteit buiten de bewaartermijn van loggegevens valt.

Houd onzekerheid zichtbaar op de tijdlijn

Markeer bevestigde bevindingen afzonderlijk van hypothesen en vermeld elke bewijsbron. Schrijf “Registraties van vóór 1 maart zijn niet beschikbaar omdat de bewaartermijn 30 dagen is” wanneer dat het hiaat is. Met “De aanvaller kwam op 1 maart binnen” zou je het begin van het beschikbare bewijs veranderen in een niet-onderbouwde begindatum. Herzie de indamming wanneer nieuw vervolgonderzoek een andere toegangsweg aan het licht brengt.

Ernst beschrijft de impact van een incident. Prioriteit bepaalt de werkvolgorde op basis van impact en urgentie. Een lopende upload van vertrouwelijke bestanden kan onmiddellijke indamming vereisen, ook als een andere ernstige zaak al stabiel is. Het plan van de organisatie bevat de schaal, criteria en verwachtingen voor de respons.

Beoordeel de impact op de bedrijfsvoering

Kijk naar de functionele impact: welke bedrijfsdiensten zijn niet beschikbaar of functioneren minder goed? Kijk naar de impact op informatie: is persoonlijke of bedrijfseigen informatie blootgesteld of is de integriteit van gegevens aangetast? Beoordeel vervolgens de herstelbaarheid: kunnen bestaande middelen de dienst voorspelbaar herstellen, zijn extra middelen nodig, is de herstelinspanning onzeker of is het verlies onomkeerbaar?

Onderzoek ook het belang van het IT-middel, getroffen gebruikers en systemen, de gevoeligheid van de gegevens en of de aanvaller nog toegang heeft. Eén gecompromitteerde domeincontroller kan veel systemen in gevaar brengen. Als je hosts met een beveiligingsmelding telt zonder hun rol mee te wegen, kun je de ernst sterk onderschatten.

Pas de schaal uit het plan toe

Een voorbeeldschaal met vier niveaus:

• Ernstniveau 1, kritiek: een bedrijfskritieke dienst ligt stil, diefstal van vertrouwelijke gegevens of gegevens waarvoor regelgeving geldt is bevestigd, of een aanvaller heeft domeinbeheerdersrechten.
• Ernstniveau 2, hoog: servers of accounts met verhoogde rechten zijn gecompromitteerd, of malware verspreidt zich.
• Ernstniveau 3, gemiddeld: één standaardaccount of werkstation is gecompromitteerd en ingedamd.
• Ernstniveau 4, laag: een poging is geblokkeerd of een beleidsschending heeft geen impact.

Volgens zo'n plan kan voor ernstniveau 1 op elk uur van de dag een respons binnen 15 minuten vereist zijn. Deze labels en tijden horen bij de voorbeeldschaal; pas bij een echte respons de criteria van de betreffende organisatie toe.

Kies de volgende zaak op basis van risico en urgentie

Er komen drie zaken binnen: adware op de laptop van een standaardgebruiker; een onverwachte toevoeging aan Domain Admins om 03.12 uur, vastgelegd door beveiligingsgebeurtenis 4728; en een ontsierde website zonder actueel bewijs van toegang tot gegevens. Onderzoek de wijziging in de groep met verhoogde rechten eerst, omdat controle door de aanvaller daar het hele domein bedreigt. Daarna komt het integriteitsverlies en de publieke impact van de website; de beperkte adwarezaak volgt als laatste.

De registratie van de groepstoevoeging moet nog worden gevalideerd. Bepaal of die was toegestaan, identificeer het toegevoegde account en controleer de activiteit ervan. Een signaal met hoog risico verdient snelle analyse, ook voordat elke implicatie is bevestigd. Indeling naar type, zoals accountcompromittering, ransomware of een aanval op een webapplicatie, bepaalt het draaiboek en het gespecialiseerde team.

Schaal bewust op en betrek hoger management

NIST onderscheidt opschaling van de respons, waarbij meer responsmiddelen of ruimere tijdskaders worden ingezet, van opschaling naar een hoger managementniveau, waarbij een hoger managementniveau bij responsbeslissingen wordt betrokken. Een forensisch specialist of een bedrijf op afroep vergroot de responscapaciteit; een CISO die beslist of een kritieke dienst moet worden gestopt, voegt managementbevoegdheid toe. Beide kunnen in dezelfde zaak voorkomen.

Volg de aanleidingen in het plan: kritieke incidenten worden aan de CISO gemeld, bij betrokkenheid van persoonsgegevens worden juridische zaken en de privacyfunctionaris ingeschakeld en bij vermoedelijk misbruik door een medewerker wordt personeelszaken betrokken. Werk het ernstniveau bij als het bewijs verandert en vermeld het tijdstip en de reden. Een zaak die eerst als adware is behandeld, kan software voor het stelen van authenticatiegegevens en bredere toegang aan het licht brengen; de beoordeling moet met die bevindingen mee veranderen.

Bewijsmateriaal omvat geheugen, schijfgegevens, loggegevens, pakketopnamen, berichten, schermafbeeldingen, cloudauditregistraties en aantekeningen van incidentbehandelaars. De verzameling begint met de vragen van de zaak en het risico dat de gegevens die nodig zijn om die te beantwoorden verloren gaan.

Werk in volgorde van vluchtigheid

Vluchtigheid beschrijft hoe gemakkelijk gegevens veranderen of verdwijnen. RFC 3227 geeft deze voorbeeldvolgorde, van het meest tot het minst vluchtig:

1. CPU-registers en cache.
2. Routerings- en ARP-tabellen, procestabellen, kernelstatistieken en geheugen.
3. Tijdelijke bestandssystemen.
4. Schijfinhoud.
5. Gegevens van externe logregistratie en monitoring.
6. Fysieke configuratie en netwerktopologie.
7. Archiefmedia, inclusief back-ups.

Gebruik deze volgorde om de verzameling te plannen en controleer daarbij de werkelijke bewaartermijnen en omstandigheden. Een cloudlog dat bijna verloopt, moet snel worden veiliggesteld. Meerdere incidentbehandelaars kunnen verschillende bronnen gelijktijdig veiligstellen terwijl de verantwoordelijke voor het bewijs de werkzaamheden volgt.

Stel vluchtige gegevens veilig vóór het opnieuw opstarten

Bewijsverzameling op een draaiend systeem verzamelt geheugen, processen, verbindingen, aangemelde gebruikers, open bestanden en andere veranderlijke gegevens van een actief systeem. Opnieuw opstarten verwijdert malware die alleen in het geheugen staat, actieve verbindingen en mogelijke versleutelingssleutels. Netwerkisolatie kan communicatie stoppen terwijl dat bewijs beschikbaar blijft.

Gebruik vertrouwde hulpmiddelen vanaf externe alleen-lezenmedia of een EDR-platform. De eigen hulpprogramma's van de verdachte host kunnen door een aanvaller zijn gewijzigd. Ook het laden van een verzamelhulpmiddel verandert een draaiend systeem: leg de opdrachten, het tijdstip, de uitvoer en onvermijdelijke gevolgen vast zodat een andere analist de vastlegging kan begrijpen.

Kies de juiste vastleggingsmethode

Een forensische schijfkopie is een bit-voor-bitkopie, inclusief niet-toegewezen ruimte en herstelbare verwijderde gegevens. Veelgebruikte formaten zijn onbewerkte dd-images en Expert Witness (E01). Een logische kopie verzamelt geselecteerde zichtbare bestanden en laat andere opslaggebieden achterwege.

Gebruik bij een offline schijf een schrijfblokker om tijdens het kopiëren schrijfacties naar de bron te voorkomen. Voor draaiende systemen en cloudvolumes worden hulpmiddelen voor actieve systemen of momentopnamen van de provider gebruikt; een offline schrijfblokker past niet bij die vastleggingen. Documenteer de verzamelmethode en de veranderingen die die kan veroorzaken.

Exporteer cloudaudit- en identiteitslogboeken voordat de bewaartermijn ze verwijdert. Maak momentopnamen van virtuele schijven en verkrijg waar passend beheerdersexports van applicaties. Het contract met de provider kan bepalen hoe je bewijs opvraagt uit lagen die de provider beheert. Een schijfmomentopname bewaart een schijftoestand; verzamel het geheugen afzonderlijk als dat vluchtige bewijs nodig is.

Doorloop bewijsverzameling op een draaiende server

Een EDR-beveiligingsmelding toont het buitmaken van authenticatiegegevens op een bestandsserver in productie. De incidentbehandelaar isoleert die eerst via indamming in de EDR, waarbij het beheerkanaal voor beveiliging behouden blijft. Daarna legt de incidentbehandelaar het geheugen vast op externe opslag en berekent direct de hash van de kopie. Het team registreert vervolgens processen, verbindingen en vermeldingen voor automatisch opstarten; exporteert beveiligings-, systeem- en PowerShell-logboeken; en maakt een momentopname van de virtuele schijf of een schijfkopie.

Pas na de veiligstelling beslist het team over uitschakelen of opnieuw opbouwen. Een volledige antivirusscan vóór de verzameling kan voorbeelden verwijderen en bestandsmetadata wijzigen. Als actieve vernietiging niet door isolatie kan worden gestopt, gaat het stoppen van de schade voor; leg vast waarom het verlies van bewijs is aanvaard.

Bewijsmateriaal is betrouwbaar als het team kan uitleggen waar het vandaan komt, hoe het is behandeld en of de inhoud is veranderd. De bewijsketen, integriteitscontroles en beschermde opslag beantwoorden verschillende delen van die vraag.

Leg elke overdracht vast

De bewijsketen is de doorlopende registratie van verzameling, behandeling, overdracht en opslag. Geef elk object een identificatie die aan de zaak is gekoppeld. Leg de beschrijving, waar relevant het merk en model van het apparaat, het serienummer, de verzamellocatie, de verzamelaar, het tijdstip en de hashwaarden vast. Elke overdracht vereist de verzender, ontvanger, het tijdstip, doel, handtekeningen en de nieuwe opslaglocatie.

Verzegel en label fysieke objecten. Bewaar digitaal bewijs in beveiligde opslag met toegangsregistratie. Een overeenkomende hash kan geen verklaring geven voor een niet-gedocumenteerde periode waarin een schijf zich buiten beveiligde opslag bevond; dat is een hiaat in de bewijsketen, ook als de bytes later correct worden geverifieerd.

Leg een uitgangswaarde voor integriteit vast

Een cryptografische hash zet gegevens om in een vingerafdruk met een vaste lengte. SHA-256 is een gebruikelijke keuze. MD5 en SHA-1 hebben bekende zwakheden waardoor botsingen mogelijk zijn, hoewel hulpmiddelen die naast SHA-256 kunnen registreren. Een overeenkomende SHA-256-waarde is sterk bewijs dat een latere kopie dezelfde bytes bevat als het geregistreerde object; die waarde geeft niet aan wie die bytes heeft gemaakt.

Bereken bij een stabiele bron zoals een uitgeschakelde schijf de hash van de bron tijdens de vastlegging en verifieer de kopie daarmee. De bron moet stabiel blijven om deze vergelijking betekenisvol te maken. Leg bij actief geheugen eerst het geheugen vast en bereken onmiddellijk de hash van het resulterende bestand. Het geheugen verandert tijdens de vastlegging, dus twee keer de hash van het actieve geheugen berekenen levert geen herhaalbare uitgangswaarde voor de bron op.

Een kleine inhoudelijke wijziging kan een heel andere vingerafdruk opleveren. De tekst “Case IR-2026-0142” heeft als begin van de SHA-256-waarde 45a24047; als je het laatste cijfer verandert zodat “Case IR-2026-0143” ontstaat, krijg je 8e5320c9. Leg de volledige hash vast voor bewijsverificatie; deze korte begindelen illustreren de verandering.

Verifieer overdrachten en analyseer kopieën

Stel dat van geheugenkopie M-03 bij de vastlegging een hash is berekend. Voordat een tweede analist een overgedragen kopie opent, berekent die analist de SHA-256-waarde opnieuw en vergelijkt die met de geregistreerde waarde bij vastlegging. Een afwijking betekent dat de kopie niet door de verificatie is gekomen. Controleer het bronobject, de overdracht, opslag en fouten bij de vastlegging voordat je op de kopie vertrouwt; leg de gegevens zo mogelijk opnieuw vast.

Bereken de hash bij vastlegging, na overdrachten en vóór analyse. Bewaar het veiliggestelde origineel als referentie en analyseer geverifieerde werkkopieën. Neem hashes op in de bewijsregistratie, waar hun relatie met het object en het tijdstip duidelijk is.

Bewaar gegevens zolang dat nodig is

Veiligstelling omvat alleen-lezenopslag of opslag waarop slechts één keer kan worden geschreven, versleutelde bewijscontainers, gecontroleerde toegang en exports van loggegevens die anders zouden verlopen. Onderbreek verwijdering of rotatie voor registraties die het onderzoek nodig heeft.

Een juridische bewaarplicht, meestal opgelegd door een juridisch adviseur, vereist bewaring van informatie die relevant is voor een daadwerkelijke of redelijkerwijs te verwachten rechtszaak of onderzoek. Die gaat boven normale verwijderingsschema's voor de genoemde gegevens, personen en systemen. IT bevestigt dat de verwijdering is gestopt en handhaaft de bewaarplicht totdat juridische zaken die opheft. Het opnieuw opbouwen van een laptop geeft geen toestemming om de oorspronkelijke schijf waarvoor de bewaarplicht geldt te wissen.

Digitaal forensisch onderzoek zet veiliggestelde gegevens om in antwoorden over toegang, uitvoering, accountgebruik, persistentie, verplaatsing en gegevensverlies. Begin met deze vragen van de zaak zodat het onderzoek een doel heeft.

Volg de vier forensische fasen

NIST SP 800-86 beschrijft verzameling, het identificeren en vastleggen van gegevens; forensisch gegevensonderzoek, het ophalen van relevante informatie met behoud van integriteit; analyse, het interpreteren van die bevindingen; en rapportage, het toelichten van bevindingen, methoden, hulpmiddelen en aanbevelingen. Een opdrachtregel uit gegevens halen is forensisch gegevensonderzoek. Bepalen wat die over het incident laat zien, is analyse.

Lees Windows-registraties in context

Het beveiligingslogboek kan het volgende tonen, als de relevante auditregistratie is ingeschakeld:

Gebeurtenis 7045 in het systeemlogboek registreert de installatie van een dienst. PowerShell-scriptblokregistratie gebruikt gebeurtenis 4104 in een PowerShell-logboek. Bewaar het kanaal bij de gebeurtenis-ID zodat een andere analist de juiste registratie kan ophalen.

Herhaalde mislukkingen gevolgd door een succesvolle aanmelding voor hetzelfde account wijzen op het raden van wachtwoorden, maar controleer ook de bron en of de actie was toegestaan. Een toevoeging aan een groep kan routinebeheer zijn of een aanvaller die rechten verkrijgt. De registratie toont de actie aan; omliggend bewijs bepaalt de betekenis ervan.

Windows-persistentie kan zichtbaar zijn in de registersleutels Run en RunOnce, geplande taken of diensten. Prefetch kan op systemen waarop het is ingeschakeld laten zien dat een programma is uitgevoerd, wanneer en hoe vaak. Browsergeschiedenis, downloads, de inhoud van de prullenbak en metadata van de Master File Table ($MFT) voegen informatie over bestands- en gebruikersactiviteit toe.

Controleer bewijs uit Linux, geheugen en netwerk

Linux-authenticatieregistraties staan meestal in /var/log/auth.log op Debian en Ubuntu en /var/log/secure op systemen gebaseerd op Red Hat. Onderzoek shellgeschiedenis zoals ~/.bash_history, crontaken, systemd-units, /etc/passwd, toegevoegde sleutels in ~/.ssh/authorized_keys en webtoegangslogboeken. Geschiedenis en lokale loggegevens kunnen onvolledig of gewijzigd zijn, dus zoek onafhankelijke registraties.

Geheugenanalyse, bijvoorbeeld met Volatility, kan processen, geïnjecteerde code, geladen modules, opdrachtregels en verbindingen blootleggen die nooit op schijf zijn terechtgekomen. Pakketten en flowrecords leveren bestemmingen, tijdstippen en volumes. Versleuteld verkeer laat nog steeds bruikbare metadata achter, ook als de inhoud niet beschikbaar is.

Bouw een verklaring op en toets die kritisch

Om 02.09 uur UTC registreert gebeurtenis 4624 type 10 dat svc_backup zich vanaf een interne host aanmeldt. Prefetch toont dat RCLONE.EXE om 02.14 uur voor het eerst werd uitgevoerd. Firewallflows tonen dat tussen 02.15 en 02.55 uur 2,4 GB naar buiten is verzonden. De reeks ondersteunt een hypothese van RDP-toegang gevolgd door een upload met rclone.

Zoek om het verband vast te stellen naar netwerktelemetrie die aan het proces is gekoppeld, de opdrachtregel, rclone-configuratie of loggegevens en bewijs dat dit accountgebruik niet was toegestaan. Een bevoegde beheerder kan dezelfde software gebruiken. Rapporteer waargenomen feiten afzonderlijk van de interpretatie en vermeld welke hiaten blijven bestaan.

Forensische tegenmaatregelen proberen activiteit te verbergen door loggegevens te wissen, gegevens te verwijderen of tijdstempels te wijzigen, tijdstempelmanipulatie genoemd. Gebeurtenis 1102 kan het wissen van het beveiligingslogboek aan het licht brengen. NTFS-aanmaaktijden in $STANDARD_INFORMATION die vóór die in $FILE_NAME liggen, kunnen op tijdstempelmanipulatie wijzen. Onderzoek deze aanwijzingen samen met andere sporen; ontbrekende lokale registraties laten een vraag open die je aan externe loggegevens en ander bewijs kunt toetsen.

Indamming beperkt schade, verspreiding en gegevensverlies en schept tijd voor onderzoek. Kies vroeg een aanpak op basis van het plan, de bekende omvang en de gevolgen als de aanvaller actief blijft.

Vergelijk de afwegingen

Houd rekening met mogelijke schade en diefstal van middelen, veiligstelling van bewijs, beschikbaarheid van diensten, benodigde tijd en middelen, effectiviteit en duur. Een maatregel die enkele uren werkt, kan ongeschikt zijn voor meerdere weken. Leg het verwachte effect en de kosten voor de bedrijfsvoering vast zodat de beslissing opnieuw kan worden beoordeeld als de omvang verandert.

Indamming op korte termijn werkt onmiddellijk: isoleer een host, verbreek een netwerkpad, blokkeer een domein of adres van de aanvaller, schakel een gecompromitteerd account uit, trek sessies en tokens in of stop een dienst. Indamming op lange termijn houdt essentieel werk onder beperkingen draaiende terwijl de verwijdering van de aanvaller en aanvalsmiddelen wordt voorbereid. Daarbij kunnen een beperkt netwerksegment, strengere machtigingen, tijdelijke firewallregels, noodpatches en verscherpte monitoring worden gebruikt.

Onderscheid niveaus van beperking

Segmentatie beperkt welke systemen kunnen communiceren. Isolatie sluit een host af, behalve eventueel van het beheerkanaal voor beveiliging. Verwijdering neemt een systeem volledig uit gebruik, bijvoorbeeld door het uit te schakelen. Bij uitschakeling gaat vluchtig geheugen verloren; geslaagde netwerkisolatie kan dat bewijs bewaren en tegelijk communicatie van de aanvaller blokkeren.

Een EDR-console kan een isolatieverzoek melden voordat het slaagt. Controleer de uiteindelijke toestand en het verkeer. Verifieer ook dat het toegestane beheerkanaal alleen de beveiligingsinfrastructuur bereikt die voor de respons nodig is.

Coördineer bekende toegangswegen

Als een aanvaller meerdere toegangspunten heeft, kan het blokkeren van één host de aanvaller waarschuwen terwijl andere toegang beschikbaar blijft. De aanvaller kan andere accounts gebruiken, gegevens vernietigen of versleuteling starten. Gecoördineerde indamming sluit bekende wegen samen af na voldoende omvangsbepaling. Actieve versleuteling of exfiltratie vereist onmiddellijke actie om schade te stoppen; wachten op volledige kennis kan het verlies vergroten.

In een phishingzaak maakten FIN-LT-042 en FIN-LT-057 contact met het domein van de aanvaller en bereikte een account van een beheerder van de financiële afdeling een bestandsserver. Om 10.30 uur UTC isoleren incidentbehandelaars beide laptops, blokkeren ze het domein bij DNS en de proxy, schakelen ze het beheerdersaccount uit en trekken ze de sessies ervan in. Daarna beperken ze de toegang tot de bestandsserver, voegen ze logregistratie toe en blijven ze in de hele omgeving naar indicatoren zoeken.

De coördinatie omvat hosts, netwerktoegang en identiteit. Alleen een lokaal account uitschakelen kan een bestaand cloudtoken bruikbaar laten. Neem die sessies op in het indammingsplan en verifieer het resultaat in identiteitslogboeken.

Controleer of de indamming standhoudt

Bevestig de isolatiestatus in de EDR, onderzoek DNS- en proxylogboeken op nieuwe verbindingen van de aanvaller en controleer of gecompromitteerde accounts zich nog met succes authenticeren. Zoek naar activiteit op basis van nieuw ontdekte indicatoren en herzie zo nodig de grens van de indamming.

Sommige organisaties kiezen voor gecontroleerde observatie om vóór de indamming meer over een indringer te leren. Omdat dit een weg voor verdere schade openlaat, vereist het goedkeuring van de leiding en juridische zaken. Het gedetecteerde malwarebestand verwijderen is ook onvoldoende als indammingsstrategie: andere toegang, persistentie en blootgestelde identiteiten kunnen actief blijven nadat dat bestand is verdwenen.

Verwijdering van de aanvaller en aanvalsmiddelen ruimt de aanvaller en wat die heeft achtergelaten op: malware, achterdeuren, webshells, taken, diensten, registervermeldingen, accounts, SSH-sleutels en andere persistentie. Het verhelpen van kwetsbaarheden herstelt de zwakke plekken die de inbraak mogelijk maakten. Voor beide moet de volledige incidentomvang worden gecontroleerd.

Bepaal of opschonen het vertrouwen kan herstellen

Opnieuw opbouwen vanuit een aantoonbaar goed image of een sjabloon voor infrastructuur als code is betrouwbaarder als een aanvaller beheerdersrechten had, een rootkit gebruikte of onbekende persistentie achterliet. Gericht opschonen kan geschikt zijn voor goed begrepen, veelvoorkomende malware op een systeem met lage waarde, mits de verificatie de bekende wijzigingen omvat.

Een back-up van na de compromittering kan samen met legitieme bestanden de toegang van de aanvaller terugzetten. Controleer vóór gebruik wanneer de compromittering begon, wat de back-up bevat en of het image of sjabloon wordt vertrouwd. Stel vereist bewijsmateriaal veilig voordat je een getroffen systeem opnieuw opbouwt.

Verwijder naast bestanden ook toegang via identiteiten

Dam gecompromitteerde accounts en sessies snel in. Coördineer blijvende vervanging van authenticatiegegevens nadat de toegangswegen van de aanvaller zijn afgesloten en een schone plaats is ingericht om de nieuwe geheimen te gebruiken. Anders kan een indringer de vervangende gegevens van dezelfde gecompromitteerde host stelen.

Reset blootgestelde gebruikers- en serviceauthenticatiegegevens, trek tokens, sessies en API-sleutels in en roteer applicatiegeheimen. Verwijder MFA-methoden en doorstuurregels die de aanvaller heeft toegevoegd en ongeautoriseerde accounts. Houd rekening met alle authenticatiegegevens die op gecompromitteerde systemen zijn blootgesteld, inclusief accounts die zelf nog geen beveiligingsmelding hebben veroorzaakt.

Bij een vermoeden van vervalste Kerberos-tickets omvat gecoördineerd Active Directory-herstel het twee keer resetten van het KRBTGT-wachtwoord, met replicatie tussen de resets. Domeincontrollers kunnen tickets accepteren die met het huidige of vorige wachtwoord zijn beschermd, dus na één reset blijft de vorige sleutel relevant. Dit is een gecoördineerde domeinactie met verificatie, geen afzonderlijke opschoningsstap voor een werkstation.

Herstel de oorzaak en verifieer de oplossing

Patch uitgebuite software, corrigeer configuratiefouten, vereis MFA waar die ontbrak, verwijder overmatige rechten en sluit blootgestelde diensten. Als een volledige oplossing niet beschikbaar is, pas dan een compenserende maatregel toe, zoals een regel op een webapplicatiefirewall of toegang uitsluitend via VPN, en leg het resterende risico vast.

Een openbare server bevat een webshell die via een ongepatchte kwetsbaarheid in de bestandsupload is geplaatst. Het team controleert op andere kwetsbare servers en vindt er nog twee. Het bouwt alle drie opnieuw op vanuit een gehard sjabloon, installeert de gepatchte applicatie, roteert het databasegeheim in de applicatieconfiguratie en zoekt in serverlogboeken proactief naar verzoeken aan de webshell.

Een kwetsbaarheidsscan bevestigt dat de kwetsbaarheid is verholpen. Het team controleert locaties voor persistentie, scant met actuele detectiesignaturen, zoekt naar alle bekende indicatoren en monitort op aanmeldingen en verbindingen van de aanvaller. In dit geval tonen zeven dagen monitoring geen geslaagde verzoeken naar het pad van de webshell. De verwijderingscriteria uit het plan bepalen of dit bewijs voldoende is.

Het patchen van de uploadkwetsbaarheid zou één toegangsweg sluiten maar een bestaande achterdeur ongemoeid laten. Alleen de webshell verwijderen zou één spoor wegnemen terwijl de te misbruiken applicatie blijft bestaan. Verificatie vereist daarom bewijs over zowel resterende toegang van de aanvaller als de herstelde kwetsbaarheid.

Herstel brengt systemen en diensten terug naar normaal gebruik door gegevens terug te zetten, systemen opnieuw op te bouwen en te verbinden en functies te testen. Het herstel kan beginnen voor systemen die niet zijn getroffen of waarvan is geverifieerd dat ze schoon zijn, terwijl elders de verwijdering van de aanvaller en aanvalsmiddelen doorgaat.

Selecteer vertrouwde herstelbronnen

Controleer back-ups op beschadiging, versleuteling en tekenen van compromittering. Kies een punt van vóór de binnenkomst van de aanvaller en verifieer de versie of hash van images voor de wederopbouw. Een recente back-up kan dezelfde persistentie bevatten die het team net heeft verwijderd. De datum alleen toont niet aan dat de back-up schoon is.

Breng in kaart welk werk bij het terugzetten verloren gaat. Een back-up van 3 maart om 23.00 uur UTC is 7 uur en 20 minuten ouder dan een compromittering die op 4 maart om 06.20 uur UTC begint. Dat interval beschrijft de ouderdom van de back-up op het moment van compromittering. Bij het terugzetten gaan alle latere wijzigingen verloren tot het moment waarop het systeem uit gebruik werd genomen, tenzij schone wijzigingen elders kunnen worden teruggehaald. Dit geldt ook voor legitiem werk dat na 06.20 uur is gedaan.

Mogelijke bronnen zijn geverifieerde schone bestanden of lokale kopieën van gebruikers. Valideer die voordat je teruggehaalde wijzigingen samenvoegt, zodat het herstel geen kwaadaardige inhoud opnieuw introduceert of vertrouwde gegevens overschrijft.

Herstel in volgorde van afhankelijkheid

Bedrijfsprioriteiten en technische afhankelijkheden gaan samen. Een ERP-applicatie heeft haar database nodig; de database en applicatie kunnen eerst netwerk-, DNS- en identiteitsdiensten nodig hebben. Een gebruikelijke volgorde is netwerk en identiteit, database, ERP en daarna rapportagehulpmiddelen. Als je de applicatie eerst start, kan er een proces draaien zonder dat daarachter een bruikbare dienst werkt.

Gebruik afgesproken hersteldoelstellingen, inclusief aanvaardbare uitvaltijd en gegevensverlies, als input voor de volgorde. Bevestig dat de afhankelijke diensten zelf betrouwbaar zijn voordat je herstelde systemen ermee verbindt. Een kritieke applicatie die is aangesloten op een gecompromitteerde identiteitsdienst blijft blootgesteld.

Pas criteria voor opheffing van isolatie toe

Verifieer vóór het opnieuw verbinden dat het systeem opnieuw is opgebouwd of opgeschoond, is gepatcht en vrij is van bekende persistentie. Roteer blootgestelde authenticatiegegevens, bevestig dat beveiligingshulpmiddelen actief zijn en rapporteren, richt verscherpte monitoring in en verkrijg goedkeuring van de eigenaar van het IT-middel. Verbind systemen gefaseerd opnieuw, zodat onverwacht gedrag kan worden ingedamd voordat het de hele dienst raakt.

Voor de opnieuw opgebouwde bestandsserver zet het team een gecontroleerde back-up terug, scant het de gegevens op bekende indicatoren, herstelt het de machtigingen en vraagt het de eigenaar om het openen en wijzigen van representatieve bestanden te testen. De beveiligingscontroles omvatten rapportage door de EDR en verwachte verbindingen. Na deze tests keurt de eigenaar de vrijgave van de dienst goed en start het team de afgesproken monitoringperiode.

Onderscheid vrijgave van het einde van het herstel

Vergelijk processen, verbindingen, prestaties en dienstgedrag met het normale referentieprofiel. Verscherpte monitoring kan in een responsplan 30 dagen duren, met extra beveiligingsmeldingen voor de indicatoren van het incident. Bepaal de periode en criteria volgens de zaak en het plan.

De incidentmanager stelt het herstel formeel als voltooid vast wanneer diensten zijn hersteld en stabiel zijn, tijdens de monitoringperiode geen activiteit van de aanvaller is waargenomen en de responsdocumentatie volledig is.

Ransomware versleutelt gegevens of vergrendelt systemen en eist betaling voor toegang. Bij dubbele afpersing stelen aanvallers ook gegevens en dreigen ze die te publiceren. Data-afpersing kan zonder versleuteling plaatsvinden, dus zichtbare bestandsschade is slechts één deel van het onderzoek.

Herken de activiteit vóór de versleuteling

Een veelvoorkomende aanvalsvolgorde begint met phishing, gestolen authenticatiegegevens voor toegang op afstand of een blootgestelde kwetsbaarheid. Aanvallers verkennen systemen, stelen authenticatiegegevens, verplaatsen zich lateraal, schakelen beveiligingshulpmiddelen uit, vallen back-ups aan en exfiltreren gegevens voordat ze op grote schaal versleutelen.

Waarschuwingstekens zijn onder meer onverwachte hulpmiddelen voor beheer op afstand, nieuwe accounts met verhoogde rechten, grote uploads en verwijdering van schaduwkopieën. Een opdracht zoals vssadmin delete shadows moet in de context van het proces en de gebruiker worden onderzocht. Deze voortekenen kunnen verdedigers de kans geven in te grijpen voordat grootschalige versleuteling begint.

Volg de eerste drie responsstappen

De ransomwarechecklist van CISA plaatst deze acties in volgorde:

1. Identificeer en isoleer getroffen systemen onmiddellijk. Geef kritieke systemen voorrang. Als meerdere systemen of subnetten zijn getroffen, koppel dan zo nodig los op switchniveau. Bescherm niet-getroffen kritieke systemen en back-ups tegen dezelfde toegangswegen.
2. Schakel alleen uit als loskoppelen van het netwerk onmogelijk is. Uitschakelen gaat ten koste van vluchtig bewijs, inclusief mogelijke sleutels en activiteit die alleen in het geheugen aanwezig is, maar kan nodig zijn om verdere verspreiding te voorkomen als isolatie niet lukt.
3. Beoordeel en prioriteer systemen voor herstel. Gebruik de lijst met kritieke IT-middelen en technische afhankelijkheden om te bepalen welke diensten eerst moeten terugkeren.

Coördineer telefonisch of via een ander afzonderlijk kanaal. Aanvallers kunnen bedrijfsmail of -chat volgen en reageren door vernietiging te versnellen. Verifieer dat de isolatie is geslaagd voordat je erop vertrouwt.

Stel bewijs veilig en bepaal de reikwijdte van de aanval

Leg geheugen- en schijfbewijs vast van een representatieve steekproef van getroffen systemen en maak momentopnamen van relevante cloudvolumes. Bewaar losgeldberichten, extensies van versleutelde bestanden, malwarevoorbeelden, loggegevens en indicatoren. Die helpen de variant te identificeren, toegang en verplaatsing te reconstrueren en het onderzoek van responspartners te ondersteunen.

Gebruik het bericht, de extensie en de voorbeelden om via vertrouwde diensten zoals No More Ransom of opsporingsinstanties te controleren of een ontsleutelingstool beschikbaar is. Onderzoek ook eerdere toegang en exfiltratie. Het herstellen van versleutelde bestanden verklaart niet of aanvallers nog een account, token of achterdeur hebben.

Op een zaterdag om 03.40 uur UTC tonen twee bestandsservers ongeveer 1.200 hernoemingen per minuut, of 20 per seconde, met de extensie “.lckd”. De incidentbehandelaar isoleert de servers en de domeincontroller die het account van de aanvaller gebruikte, en het netwerkteam schakelt de uplink van het getroffen segment uit. Systemen blijven ingeschakeld. Een behandelaar legt het geheugen van één server vast en bewaart het bericht terwijl een ander beschermde back-ups controleert.

Schakel de responspartners uit het plan in

De incidentmanager betrekt volgens het plan de leiding, juridische zaken, de verzekeraar en opsporingsinstanties. Verzekeringsvoorwaarden kunnen een snelle melding of goedgekeurde responsbedrijven vereisen. Juridische zaken bepaalt welke meldplichten gelden als gegevens betrokken zijn. Volg deze werkstromen terwijl de technische indamming doorgaat. Onmiddellijke herinstallatie zou bewijs vernietigen en een server kunnen terugbrengen naar een netwerk waar de aanvaller nog toegang heeft.

Bij herstel na ransomware moet worden voorkomen dat de aanvaller de schade kan herhalen. Dam bekende toegang in, verwijder persistentie, richt een schone omgeving in, vervang blootgestelde authenticatiegegevens en zet gecontroleerde gegevens terug op opnieuw opgebouwde systemen. Neem alleen systemen weer in gebruik waarvan is geverifieerd dat ze schoon zijn.

Bescherm en test de herstelbron

Offline, onveranderbare of anderszins beschermde back-ups kunnen pogingen om onlinekopieën te verwijderen overleven. Controleer vóór gebruik of het gekozen punt van vóór de compromittering is, niet is versleuteld en geen bekende hulpmiddelen of persistentie van de aanvaller bevat. Een onversleutelde back-up uit de onopgemerkte verblijfsduur van de aanvaller kan nog steeds onveilig zijn.

Meet vooraf de doorvoersnelheid bij terugzetten. In decimale SI-eenheden is 48 TB gelijk aan 48.000.000 MB. Bij een gemeten snelheid van 400 MB/s duurt onafgebroken overdracht:

Dat is 120.000 seconden, of ongeveer 33,3 uur. Als kritieke diensten slechts 6 TB nodig hebben, is de overdracht daarvan:

Dat is ongeveer 4,2 uur. Dit zijn overdrachtstijden. Opnieuw opbouwen, validatie, afhankelijkheden en opnieuw verbinden kosten ook tijd en moeten daarom in de operationele herstelschatting worden opgenomen. Herstel kritieke diensten in volgorde van afhankelijkheid in plaats van elke gegevensverzameling gelijk in de wachtrij te plaatsen.

Onderzoek de identiteitsinfrastructuur

Handmatig uitgevoerde ransomwareaanvallen gaan vaak gepaard met gestolen authenticatiegegevens met verhoogde rechten. Stel vast of accounts met verhoogde rechten, domeincontrollers of KRBTGT zijn gecompromitteerd. Als domeincompromittering is vastgesteld of redelijkerwijs wordt vermoed, coördineer dan domeinherstel: bouw vertrouwde domeincontrollers opnieuw op of herstel ze, reset authenticatiegegevens van accounts met verhoogde rechten en serviceaccounts, beoordeel groepsbeleid en voer de vereiste KRBTGT-resets uit met replicatie ertussen.

Groepsbeleid kan wijzigingen over veel computers verspreiden. Een kwaadaardig beleid of een vertrouwde identiteit onder controle van de aanvaller laten bestaan, kan de verder schone wederopbouw van servers ondermijnen. De omvang bepaalt hoe breed dit werk moet zijn; versleuteling op slechts één werkstation toont op zichzelf geen domeincompromittering aan.

Begrijp wat betaling wel en niet kan oplossen

CISA en de FBI raden losgeldbetaling af. Betaling garandeert geen werkende ontsleutelingstool of verwijdering van gestolen gegevens. Ontsleutelingstools kunnen traag, gebrekkig of onvolledig zijn. Betaling financiert verdere criminaliteit en het slachtoffer kan opnieuw doelwit worden. In 2021 waarschuwde het Office of Foreign Assets Control (OFAC) van het Amerikaanse ministerie van Financiën dat ransomwarebetalingen sancties kunnen schenden. De leiding werkt samen met juridisch adviseurs en meestal de verzekeraar; een analist beslist niet om te betalen.

Presenteer de leiding geverifieerde herstelopties, gemeten terugzettijden, bekende blootstelling van gegevens en onopgeloste vragen. Controleer vertrouwde bronnen voor ontsleutelingstools voordat betaling als enige weg wordt beschouwd. Een ontsleutelingstool verwijdert geen persistentie en herstelt de oorspronkelijke toegangsweg niet.

Ga door met de respons op gestolen gegevens

Herstelde dienstverlening maakt de bekendmaking niet ongedaan. Bepaal welke gegevens zijn buitgemaakt en wie is getroffen, ondersteun de beoordeling van meldplichten door juridische zaken en monitor relevante leksites. Een belofte van een aanvaller om kopieën te verwijderen is niet te verifiëren.

Versterk daarna beschermde back-ups en terugzettests, vereis MFA voor toegang op afstand en detecteer vroege activiteit zoals het verwijderen van back-ups. Deel passende indicatoren met autoriteiten of sectorale groepen via het goedgekeurde proces van de organisatie.

Een incidentevaluatie onderzoekt wat er is gebeurd, hoe de respons werkte en wat moet veranderen. Deel nuttige lessen zodra ze tijdens het incident naar voren komen. Houd na belangrijke incidenten een gestructureerde evaluatie zolang het bewijs en de beslissingen nog vers in het geheugen liggen.

Bereid een gezamenlijk beeld van het incident voor

Een evaluatie vindt meestal plaats binnen enkele dagen tot twee weken na afsluiting. Betrek de incidentbehandelaars, technisch medewerkers, eigenaren van IT-middelen, het management en andere betrokkenen. Gebruik een begeleider om de bespreking gericht te houden. Een ernstig incident verdient een eigen evaluatie; kleine zaken kunnen in regelmatige bijeenkomsten worden gegroepeerd.

Bereid de incidenttijdlijn, het actielogboek, de omvang, impact en relevante metingen voor. Maak onderscheid tussen wat op het moment van een beslissing bekend was en informatie die later is ontdekt. Anders kan het team een redelijke vroege keuze beoordelen met feiten die niet beschikbaar waren voor degene die de keuze maakte.

Vraag naar zowel de respons als de aanval

Bespreek wat er is gebeurd en wanneer, hoe de detectie plaatsvond en welke stappen goed werkten. Onderzoek daarna vertragingen, onduidelijke instructies, ontbrekende hulpmiddelen en rechten en informatie die eerder nodig was. Identificeer de voortekenen of indicatoren die een volgende poging aan het licht kunnen brengen.

Een evaluatie zonder schuldtoewijzing richt zich op systemen, processen en beslissingen. Vastleggen dat iemand op een phishinglink klikte, is nodig om de toegang te verklaren. Als je daar stopt, geeft dat weinig inzicht in waarom één klik toegang tot een bestandsserver mogelijk maakte. Vraag welke maatregelen, rechten en responsafspraken de impact lieten toenemen.

Behoud wat werkte en herstel wat faalde

Bij een phishingrespons detecteerde EDR de uitvoering binnen 15 minuten. Behoud de detectie en verifieer dat die effectief blijft. De indamming duurde 2,5 uur omdat de dienstdoende analist geen EDR-isolatierechten had. Maak een concrete toegangsaanpassing met een verantwoordelijke en een test, binnen de bevoegdheidsgrenzen van het plan.

Op de bestandsserver ontbrak auditregistratie van bestandstoegang, zodat het team niet kon vaststellen welke bestanden waren gelezen. Leg dat hiaat in het bewijs vast en schakel passende auditregistratie in. Het accountdraaiboek liet het intrekken van cloudtokens weg; werk het bij en laat incidentbehandelaars de aangepaste stap oefenen. Deze bevindingen betreffen verschillende tekortkomingen en vereisen afzonderlijke acties.

Schrijf een bruikbaar evaluatierapport

Het rapport bevat een managementsamenvatting, incidentbeschrijving en tijdlijn, omvang en impact, grondoorzaak en bijdragende factoren, responsacties met tijdstippen, wat werkte en faalde, corrigerende maatregelen met verantwoordelijken en deadlines en incidentmeetwaarden. Gebruik het bewijs om de bevindingen te onderbouwen en houd onopgeloste vragen zichtbaar.

Verwerk goedgekeurde wijzigingen in het plan, draaiboeken, detectieregels, contactlijsten, training en risicoregister. Deel indicatoren of lessen met passende groepen via het goedgekeurde proces. Geef de actielijst een vaste plek waar de voortgang wordt bijgehouden, zodat latere bijeenkomsten die kunnen controleren.

“Beter communiceren” laat de verantwoordelijke, de wijziging en de toets op succes ongedefinieerd. Een bruikbare actie kan een afzonderlijke telefonische incidentverbinding, een verantwoordelijke, een deadline en een test specificeren waarmee dienstdoende medewerkers zonder toegang tot de bedrijfsidentiteit kunnen deelnemen. De evaluatie als bijeenkomst is dan afgerond; het verbeterwerk gaat door totdat de acties zijn geverifieerd.

Grondoorzaakanalyse vraagt waarom de omstandigheden voor een incident bestonden. De directe oorzaak is de directe technische oorzaak. Bijdragende factoren maakten het incident waarschijnlijker of schadelijker. Een onderliggende procesfout kan verklaren waarom die factoren bleven bestaan.

Volg de oorzaken voorbij de eerste fout

De techniek 5 keer waarom vraagt herhaaldelijk waarom een fout mogelijk was. De naam beschrijft een aanpak, geen eis om na precies vijf vragen te stoppen. Bij een ransomwarezaak:

1. Servers werden versleuteld omdat de aanvaller domeinbeheerdersrechten verkreeg.
2. Die authenticatiegegevens werden buitgemaakt op een bereikbare server.
3. De aanvaller bereikte die server via een VPN-account van een externe medewerker zonder MFA.
4. Het account had een tijdelijke MFA-uitzondering uit een migratie van twee jaar eerder.
5. Uitzonderingen hadden geen vervaldatum of beoordelingsproces.

Het ontbrekende beoordelingsproces is een onderliggende oorzaak in deze keten. Het ontbreken van MFA en blootgestelde authenticatiegegevens met verhoogde rechten blijven technische factoren die moeten worden aangepakt. Een visgraatdiagram, ook Ishikawa-diagram genoemd, groepeert mogelijke oorzaken onder koppen zoals mens, proces, technologie en omgeving. Tijdlijnanalyse vraagt welke maatregel elke fase had kunnen stoppen of aan het licht had kunnen brengen.

Formuleer acties met bewijs van voltooiing

Een corrigerende maatregel vereist een specifieke wijziging, verantwoordelijke, deadline, meetbaar resultaat en verificatie. Bijvoorbeeld: “Dwing uiterlijk 30 november MFA af op alle 214 VPN-accounts; verantwoordelijke: hoofd identiteits- en toegangsbeheer; verifieer met een rapport dat nul VPN-accounts zonder MFA toont.”

Volg acties in het ticket- of risicosysteem en test of ze werken, ook in een latere oefening. Preventieve maatregelen verminderen herhaling; detectieve maatregelen brengen de volgende poging eerder aan het licht. Een beoordeling bij het verlopen van uitzonderingen toevoegen pakt het uitzonderingsproces aan, terwijl een beveiligingsmelding bij gebruik van uitgezonderde accounts detectie toevoegt. Eén actie hoeft niet elk onderdeel van de oplossing te dragen.

Definieer de meetwaarde vóór de berekening

De gemiddelde detectietijd (MTTD) is het gemiddelde interval tussen het begin van kwaadaardige activiteit en de detectie ervan. Indammingstijd loopt meestal van detectie tot indamming; de tijd om kwetsbaarheden te verhelpen loopt van detectie tot de oplossing. Teams volgen ook de onopgemerkte verblijfsduur, incidentcategorieën en ernst, en intern gedetecteerde tegenover extern gemelde zaken. Vermeld begin- en eindpunten omdat organisaties sommige namen van meetwaarden verschillend gebruiken.

Vier detectievertragingen zijn 2, 30, 6 en 82 uur:

Het gemiddelde is 30 uur. Sorteer de waarden als 2, 6, 30 en 82; de mediaan is het gemiddelde van de twee middelste:

De zaak van 82 uur verhoogt het gemiddelde aanzienlijk. Rapporteer beide meetwaarden en onderzoek die zaak. Als de indamming 1,5, 4, 3 en 9,5 uur duurde, is het gemiddelde 18 gedeeld door 4, of 4,5 uur.

Vergelijk trends alleen met consistente definities en passende context. Een team dat alleen wordt beloond voor snelle ticketafsluiting kan zaken sluiten voordat de analyse is voltooid. Combineer snelheid met bewijs van een volledige respons en geverifieerde acties, zodat de meetwaarde verbetering ondersteunt.