Workflow voor alerttriage

Begin met precies te begrijpen wat de waarschuwing heeft veroorzaakt. Lees de detectieregel en de onbewerkte gebeurtenis die eraan ten grondslag ligt. Vraag jezelf af:

• Welke regel is geactiveerd en wat detecteert die werkelijk?
• Welk systeem, welke gebruiker en welk proces zijn betrokken?
• Wat zijn het tijdstempel, het bron-IP en de bestemming?

Een veelvoorkomende gegevenslading van een waarschuwing bevat de belangrijkste aangrijpingspunten:

Een onbewerkte waarschuwing vertelt zelden het hele verhaal. Verrijking voegt context toe waarmee je de ernst kunt beoordelen:

• Context van het bedrijfsmiddel — is dit een server, een laptop van een ontwikkelaar of een domeincontroller?
• Gebruikerscontext — heeft dit account verhoogde rechten? Is de gebruiker met vakantie?
• Dreigingsinformatie — staat het IP, domein of de hash bekend als kwaadaardig?
• Historische uitgangssituatie — heeft dit systeem dit eerder gedaan?

Een aanmelding door een systeembeheerder verschilt sterk van dezelfde aanmelding op een database met kroonjuwelen.

Indicatoren van compromittering (IOC's), zoals IP's, domeinen, URL's en bestands-hashes, moeten worden gecontroleerd aan de hand van reputatie- en dreigingsinformatiebronnen.

Handige controles tijdens triage:

Losse gebeurtenissen bevestigen zelden een incident. Doorschakelen betekent één indicator volgen om gerelateerde activiteit te vinden.

Vanuit een verdacht proces ga je op zoek naar:

• Andere processen die door hetzelfde bovenliggende proces zijn gestart
• Netwerkverbindingen die dat systeem rond hetzelfde tijdstip maakte
• Andere systemen die hetzelfde bestemmings-IP benaderden
• Authenticatiegebeurtenissen voor de betrokken gebruiker

Zo bouw je een tijdlijn op en verandert een losse waarschuwing in een duidelijk beeld van een aanval.

Niet alle echte positieve detecties zijn even urgent. Stel prioriteiten aan de hand van twee assen: impact en zekerheid.

• Hoge impact + hoge zekerheid — onmiddellijk escaleren (bijvoorbeeld ransomware op een server)
• Hoge impact + lage zekerheid — snel onderzoeken om dit te bevestigen
• Lage impact — afhandelen in de volgorde van de wachtrij

De kritikaliteit van het bedrijfsmiddel en de reikwijdte van de impact bepalen de impact. Een gecompromitteerde domeincontroller krijgt een hogere prioriteit dan de spamwaarschuwing van één gebruiker.

Het MITRE ATT&CK-raamwerk catalogiseert tactieken en technieken van tegenstanders. Een waarschuwing aan ATT&CK koppelen helpt je redeneren over welke fase van een aanval je ziet en wat er daarna kan gebeuren.

Een gecodeerd PowerShell-commando wordt bijvoorbeeld gekoppeld aan:

• Tactiek: Uitvoering
• Techniek: T1059.001 (PowerShell)

Als je ook technieken voor persistentie of laterale beweging ziet, vordert de dreiging en neemt de urgentie toe.

De meeste waarschuwingen zijn valse positieven. Leer de gebruikelijke gevallen kennen, zodat je ze vol vertrouwen kunt afhandelen:

• IT-beheertools die het gedrag van aanvallers nabootsen (PsExec, scripten)
• Kwetsbaarheidsscanners die netwerkwaarschuwingen activeren
• Back-uptaken die grote gegevensoverdrachten veroorzaken
• Ontwikkelaars die gecodeerde of verdoezelde testscripts uitvoeren

Wanneer je een terugkerend vals positief bevestigt, adviseer je een wijziging in de afstelling, zodat die geen ruis meer veroorzaakt.

Of je een waarschuwing nu sluit of escaleert, documenteer alles duidelijk. Met goede notities kan de volgende analist direct verder en ben je beter beschermd tijdens controles.

Een goede triagenotitie bevat:

• Welke waarschuwing het was en waarom die werd geactiveerd
• Wat je hebt gecontroleerd en welk bewijs je hebt gevonden (met tijdstempels en IOC's)
• Je conclusie en de afhandeling
• Een aanbevolen vervolgactie of wijziging in de afstelling

Vage notities zoals 'lijkt in orde, gesloten' zijn nutteloos en gevaarlijk.

Escaleer naar niveau 2 of incidentrespons wanneer een waarschuwing een bevestigde of waarschijnlijke echte positieve detectie met reële impact is. Blijf niet hangen in onzekerheid wanneer er veel op het spel staat.

Escaleer onmiddellijk als je het volgende ziet:

• Bevestigde uitvoering van malware of actief C2-verkeer
• Een gecompromitteerd account met verhoogde rechten
• Tekenen van laterale beweging of gegevensexfiltratie
• Alles wat een kritiek bedrijfsmiddel raakt

Escaleer bij twijfel over een waarschuwing met hoge impact. Een SEV1 te veel escaleren is veiliger dan er één missen.

Je hebt de triagewerkstroom voor waarschuwingen doorlopen:

• Triage deelt waarschuwingen in als echte positieve detectie, valse positieve detectie of onschadelijke echte positieve detectie
• Lees de waarschuwing en verrijk die daarna met context over het bedrijfsmiddel, de gebruiker en dreigingsinformatie
• Leg verbanden tussen gegevens om een tijdlijn op te bouwen en de reikwijdte te bevestigen
• Stel prioriteiten op basis van impact en zekerheid en koppel activiteit aan MITRE ATT&CK
• Documenteer bevindingen duidelijk en escaleer echte positieve detecties met hoge impact zonder vertraging

Vervolgens leer je hoe draaiboeken en ticketbeheer dit proces herhaalbaar maken.