Een incidentrapport schrijven

De managementsamenvatting is geschreven voor niet-technische leidinggevenden. Deze moet in 1-2 alinea's antwoord geven op de volgende vragen:

• Wat is er gebeurd en wanneer?
• Wat is er getroffen?
• Wat is eraan gedaan?
• Wat is de huidige status?

Gebruik geen vakjargon. Maak de impact meetbaar (X records, Y uur uitval, kosten van $Z).

De tijdlijn vormt de feitelijke basis van het rapport. Neem het volgende op:

• Tijdstempel (UTC, vermeld de tijdzone)
• Wat er is gebeurd (waarneembaar feit)
• Bron van de informatie (verwijzing naar logboek, hulpmiddel, getuige)

Houd feiten en interpretatie gescheiden. Voorbeeld: "14:32 UTC — IDS-melding geactiveerd op host 10.0.1.5 (verwijzing: SIEM-gebeurtenis-ID 8842)"

In het technische gedeelte worden de TTP's van de aanvaller vastgelegd:

• Methode voor initiële toegang (phishing, misbruik, diefstal van inloggegevens)
• Gebruikte hulpmiddelen en malware (met hashwaarden)
• Stappen voor laterale verplaatsing
• Gegevens die zijn benaderd of buitgemaakt
• Geïnstalleerde persistentiemechanismen

Koppel deze aan het MITRE ATT&CK-framework voor gestandaardiseerde communicatie.

Maak de impact meetbaar aan de hand van de CIA-triade:

• Vertrouwelijkheid: welke gegevens zijn benaderd of gestolen? Persoonlijke gegevens, intellectueel eigendom, financiële gegevens?
• Integriteit: zijn er gegevens gewijzigd?
• Beschikbaarheid: hoe lang duurde de uitval?
• Financieel: directe kosten, regelgevende boetes, klantverloop
• Reputatie: openbare bekendmaking, berichtgeving in de media

Neem alle indicatoren van compromittering op voor defensief gebruik:

De hoofdoorzaak moet specifiek zijn: "De aanvaller kreeg aanvankelijk toegang via een phishing-e-mail die de e-mailfiltering omzeilde doordat DMARC niet werd afgedwongen voor het domein van het slachtoffer." Aanbevelingen moeten concreet en geprioriteerd zijn en worden toegewezen aan verantwoordelijken met deadlines.

Veel incidenten leiden tot een verplichte melding:

• GDPR: meld het incident binnen 72 uur nadat je ervan op de hoogte bent geraakt bij de toezichthoudende autoriteit
• HIPAA: meld het binnen 60 dagen bij HHS (betrokken personen binnen 60 dagen)
• PCI-DSS: meld een vermoedelijk compromis binnen 24 uur bij de kaartmerken

Classificeer het rapport op de juiste manier — het bevat gevoelige informatie over kwetsbaarheden en TTP's van aanvallers. Verspreid het alleen op basis van een noodzaak tot kennisname. Een juridisch adviseur moet het rapport beoordelen voordat je het extern verspreidt. Interne kopieën moeten toegangsregistratie bevatten.

Aanbevelingen uit het rapport moeten worden gevolgd totdat ze zijn voltooid. Wijs aan elke aanbeveling een verantwoordelijke, vervaldatum en prioriteit toe. Houd de status bij in je systeem voor het volgen van problemen. Bekijk de aanbevelingen na 30, 60 en 90 dagen opnieuw. Niet-uitgevoerde aanbevelingen vormen bij toekomstige incidenten een aansprakelijkheidsrisico.

Een incidentrapport legt vast wat er is gebeurd (tijdlijn), hoe het is gebeurd (technische analyse), wat de impact was (CIA-triade), wat er is gedaan (responsacties) en wat er moet worden hersteld (aanbevelingen). De managementsamenvatting is niet-technisch. IOC's worden vastgelegd voor hergebruik in de verdediging. Termijnen voor meldingen aan toezichthouders moeten worden gehaald. Aanbevelingen hebben verantwoordelijken en vervaldatums nodig om uitvoerbaar te zijn.