Reactie op incidenten plannen

Dit artikel maakt deel uit van de SecOps-discipline (Security Operations) in het Microsoft Beveiliging Adoption Framework (SAF). Het helpt SecOps-leiders, architecten, IT-leiders en zakelijke belanghebbenden de mogelijkheden voor het reageren op incidenten te ontwerpen die actieve cyberaanvallen onderzoeken, indammen en ervan herstellen, terwijl zakelijke, operationele, juridische en reputatie-impact worden geminimaliseerd.

Gebruik dit artikel voor strategie-, proces- en uitvoeringsrichtlijnen voor incidentrespons. Gebruik Prepare for incident response voor gereedheidsactiviteiten. Gebruik voor scenariospecifieke richtlijnen voor uitvoering Incident response playbooks overview. Gebruik SecOps-technologie voor richtlijnen voor de implementatie specifiek voor beheersmaatregelen en op productniveau.

Overzicht van reactie op incidenten

Incidentrespons is de praktijk van het onderzoeken en herstellen van actieve aanvalscampagnes tegen uw organisatie.

Incidentrespons heeft de grootste directe invloed op kritieke SecOps-metrische gegevens, met name:

  • Gemiddelde tijd om te bevestigen (MTTA). De tijd die uw team nodig heeft om een waarschuwing of incident na het genereren te bevestigen.
  • Gemiddelde tijd om te herstellen (MTTR). De tijd die nodig is om een beveiligingsincident op te lossen na bevestiging.

Het verminderen van deze metrische gegevens verlaagt het risico van de organisatie en beperkt de impact van aanvallers.

Een geslaagde reactie op incidenten is afhankelijk van nauwe samenwerking tussen incidentresponsers, opsporing van bedreigingen, bedreigingsinformatie, IT-activiteiten, juridische, communicatie- en leiderschapsteams.

Playbooks voor incidentreacties

Playbooks voor reactie op incidenten bieden scenariospecifieke, stapsgewijze richtlijnen waarmee SecOps-teams snel en consistent kunnen reageren op veelvoorkomende aanvalstechnieken.

Playbooks zijn een cruciale output van de planning. Ze worden ontwikkeld, gecontroleerd en gevalideerd voordat incidenten plaatsvinden, zodat responders onderzoeken en insluitingsacties onder druk kunnen uitvoeren zonder dat ze in realtime werkstromen hoeven te ontwerpen.

Microsoft publiceert playbooks voor reactie op incidenten op basis van best practices van Microsoft IncidentRespons, met richtlijnen voor veelvoorkomende aanvalsscenario's, waaronder:

  • Phishing
  • Password spray
  • Misbruik van het verlenen van app-machtigingen
  • Aangetaste of schadelijke toepassingen

Elk playbook voor reactie op incidenten omvat:

Playbook | DetailsVereisten | Vereiste logregistratie, rollen, machtigingen en configuratie die nodig zijn voordat een onderzoek kan beginnen. Werkstroom | Een aanbevolen onderzoeksstroom die sequentiëren en afhankelijkheden verduidelijkt. Controlelijst | Een taakgerichte controlelijst die uitvoering ondersteunt, met name in gereguleerde of gecontroleerde omgevingen. Onderzoeksstappen | Gedetailleerde stapsgewijze richtlijnen die zijn afgestemd op de specifieke aanvalstechniek.

Playbooks vormen een aanvulling op, maar vervangen geen incidentresponsplannen, herstelprocedures of besluitvormingsprocessen van de directie. In plaats daarvan wordt uw strategie voor incidentrespons operationeel gemaakt door detecties om te zetten in herhaalbare reactieacties met hoge betrouwbaarheid.

Principes voor effectieve respons

Ongeacht de specifieke hulpprogramma's of processen die u gebruikt, vereist effectieve incidentrespons een consistente toepassing van de volgende principes.

  • Blijf kalm en gericht: beveiligingsincidenten zijn verstorend en emotioneel geladen. Houd eerst de focus op de acties met de hoogste impact.

  • Balans met precisie: Reageer snel op bedreigingen, maar valideer acties om onbedoelde schade, verlies van bewijs of onvolledig herstel te voorkomen.

  • Breng geen schade toe: zorg ervoor dat reacties niet:

    • Forensisch bewijs vernietigen
    • Onnodige bedrijfsonderbreking veroorzaken
    • Hoofdoorzaakanalyse en leren voorkomen

  • Juridisch vroeg betrekken: Juridische richtlijnen zijn van cruciaal belang voor:

    • Betrokkenheid van rechtshandhaving
    • Meldingen over regelgeving en privacy
    • Externe communicatie
    • Bevoegdheden behouden

  • Informatie delen beheren: openbare of klantgerichte communicatie moet alleen plaatsvinden met juridische richtlijnen, om aansprakelijkheid en onjuiste informatie te voorkomen.

  • Hulp krijgen wanneer dat nodig is: voor grote of geavanceerde aanvallen is vaak uitgebreide, gespecialiseerde expertise vereist, waaronder externe responders, leveranciers of professionele services.

Incidentrespons is vergelijkbaar met het behandelen van een kritieke medische aandoening: het systeem is van cruciaal belang, kan niet worden afgesloten en is te complex voor elke persoon om volledig te begrijpen.

Balanssnelheid en risico

Tijdens incidenten moeten SecOps-teams consistent in balans zijn:

  • Snelheid versus nauwkeurigheid : snel handelen zonder escalatie van impact
  • Transparantie versus aansprakelijkheid : informatie op de juiste wijze delen met onderzoekers, leidinggevenden en klanten

Het is belangrijk om aanbevolen acties te volgen die het risico verminderen en veelvoorkomende valkuilen voorkomen, terwijl u voldoet aan de verwachtingen van belanghebbenden.

Best practices voor technische respons

Belangrijke doelen tijdens het reageren op technische incidenten zijn onder andere:

  • Het bereik van de aanval identificeren
  • Persistentiemechanismen identificeren
  • Het doel van de aanvaller bepalen, indien mogelijk

Permanente aanvallers retourneren vaak als hun doelstellingen niet volledig worden verstoord.

Aanbevolen procedures zijn onder andere:

  • Vermijd het uploaden van bestanden naar openbare scanners: aanvallers monitoren diensten zoals VirusTotal om doelgerichte malware te ontdekken.
  • Houd zorgvuldig rekening met systeemwijzigingen: breng alleen wijzigingen aan wanneer het risico van inactiviteit opweegt tegen de impact van het bedrijf. Documenteer alle incidentgestuurde wijzigingen voor terugdraaien tijdens het herstel.
  • Meedogenloos prioriteit geven aan onderzoek: Focusanalyse op resources die de aanvaller daadwerkelijk heeft gebruikt of gewijzigd. Volledige forensische dekking is vaak niet haalbaar.
  • Deel bewust informatie: Zorg ervoor dat interne teams en goedgekeurde externe onderzoekers bevindingen delen onder juridische begeleiding.
  • Integreer diepgaande systeemexperts: neem platform-, toepassings- en infrastructuurexperts op, niet alleen beveiligingsgeneers.
  • Plan voor verminderde capaciteit: Ga ervan uit dat 50% van het personeel maar voor 50% efficiënt werkt door stress en vermoeidheid.
  • Verwachtingen beheren: bij sommige incidenten is het identificeren van de eerste toegangsvector mogelijk onmogelijk vanwege verwijderde of niet-beschikbare telemetrie.

Best practices voor reactie op operaties

Operationele coördinatie is net zo cruciaal.

Belangrijke doelstellingen zijn onder andere:

  • De focus op bedrijfskritieke assets behouden
  • Rolhelderheid en beslissingsinstantie tot stand brengen
  • Bedrijfs- en operationele impact beheren

Aanbevolen werkwijzen:

  • Een incidentopdrachtsysteem (ICS) gebruiken: als er geen permanente crisisorganisatie bestaat, biedt ICS een tijdelijke structuur.
  • Dagelijkse SecOps-bewerkingen behouden: detectie, triage en bewaking moeten worden voortgezet tijdens onderzoeken.
  • Vermijd paniekgestuurde aankopen: koop geen hulpprogramma's die u tijdens het incident niet kunt implementeren en gebruiken.
  • Escaleer naar platformeigenaren en leveranciers: zorg voor toegang tot uitgebreide expertise voor besturingssystemen, toepassingen en kerninfrastructuur.
  • Informatiestromen vroeg definiëren: Stel verwachtingen in voor updates voor leidinggevenden en belanghebbenden.

Aanbevolen procedures voor technisch herstel

Herstel moet opzettelijk, geconsolideerd en snel zijn.

Belangrijke doelstellingen zijn onder andere:

  • Bereik beperken zodat herstel binnen 24 uur mogelijk kan plaatsvinden
  • Vermijd afleidingen die niet rechtstreeks zijn gekoppeld aan herstel

Aanbevolen werkwijzen:

  • Stel niet alle wachtwoorden in één keer opnieuw in: geef prioriteit aan bekende gecompromitteerde accounts, met name beheerders- en serviceaccounts. Gebruik gefaseerde resets voor gebruikers wanneer dat nodig is.
  • Herstelacties consolideren: een gecoördineerde 'Big Bang'-herstel beperkt de aanpassing van aanvallers.
  • Gebruik eerst bestaande hulpprogramma's: maak gebruik van hulpprogramma's die al zijn geïmplementeerd en begrepen.
  • Vermijd het uitschakelen van de aanvaller: stel dat aanvallers mogelijk toegang hebben tot productiegegevens en e-mail.

Microsoft's Security Operations Center maakt gebruik van een niet-productie Microsoft 365 tenant voor veilige IR-samenwerking.

Best practices voor het herstel van operaties

Belangrijke doelstellingen zijn onder andere:

  • Eigenaar van het plan verwijderen
  • Beheerd bereik
  • Continue communicatie van belanghebbenden

Aanbevolen werkwijzen:

  • Een herstelleider aanwijzen: gecentraliseerde besluitvorming voorkomt verwarring.
  • Limieten begrijpen: Breng externe expertise in wanneer teams overbelast of onervaren zijn.
  • Geleerde lessen vastleggen: SecOps-playbooks, procedures en rolspecifieke richtlijnen bijwerken.

Communicatie van leidinggevenden en raadsleden zijn effectiever wanneer ze van tevoren gepland en gerepeteerd worden.

Proces voor reactie op incidenten voor SecOps

Beslissen en handelen

Wanneer hulpprogramma's zoals Microsoft Defender XDR of Microsoft Sentinel een incident maken:

  • MTTA eindigt wanneer een analist eigenaar wordt
  • MTTR begint wanneer herstel begint

Op basis van betrouwbaarheid en bereik kiezen analisten tussen:

  • Opschonen terwijl u gaat – Richt u op incidenten in een vroeg stadium.
  • Grootschalige sanering – Focus op diepgewortelde aanvallers die persistent aanwezig blijven.

Gedeeltelijk herstel waarschuwt de aanvaller vaak en escaleert schade.

Veelvoorkomende herstelacties zijn:

  • Eindpunten: isoleren en opnieuw imageen
  • Servers en toepassingen : herstel coördineren met eigenaren
  • Gebruikersaccounts uitschakelen – aanmeldgegevens opnieuw instellen, tokens laten verlopen, MFA valideren
  • Serviceaccounts : coördineren met eigenaren en IT-bewerkingen
  • E-mail: schadelijke berichten verwijderen en originelen behouden
  • Andere acties: app-tokens intrekken, services opnieuw configureren

Opschoning na incidenten

Effectieve incidentrespons is onvolledig zonder institutioneel leren. Activiteiten na incidenten zijn onder andere:

  • Vastleggen van compromisindicatoren (IoC's)
  • Onbekende of niet-gepatchte beveiligingsproblemen aanpakken
  • Logboekregistratie en telemetrie inschakelen of verbeteren
  • Beveiligingsbasislijnen bijwerken
  • Responsprocessen en playbooks verbeteren

Deze verbeteringen verminderen handmatige inspanning en verkorten reactietijden in toekomstige incidenten.

Volgende stappen 

  • Laatst bijgewerkt om