Sophos Incident Response, readiness en assessments begrijpen

Bij een actief of vermoed beveiligingsincident wordt het bestaande incidentproces gestart. Een lopende aanval is geen gewoon implementatieproject. Gebruik het contact uit het noodplan en de bevestigde serviceaanspraak, in plaats van eerst een assessment of nieuwe retainer te bestellen.

Digital Forensics and Incident Response (DFIR) combineert forensisch onderzoek met de reactie op een concreet incident. Readiness bereidt verantwoordelijken en procedures daarop voor. Security Testing en assessments onderzoeken een vooraf afgebakende beveiligingsscope. Deze diensten leveren verschillende resultaten en vervangen elkaar niet.

Een incident goed overdragen

Sophos beschrijft DFIR als hulp bij het identificeren en neutraliseren van actieve dreigingen, oorzaakanalyse, Compromise Assessments en Threat Hunting. De feitelijke werkzaamheden volgen uit de bestelde dienst en bevestigde aanspraak. De beschrijving van een team dat dag en nacht beschikbaar is, is geen individuele toezegging over de starttijd, aanwezigheid op locatie of herstelduur.

Voor de eerste overdracht wordt een kort en herleidbaar overzicht voorbereid:

1. Contacten en beslissingsbevoegdheid: technische incidentleiding, zakelijke verantwoordelijken en een goedgekeurd retourkanaal.
2. Waarnemingen in plaats van aannames: tijd met tijdzone, getroffen systemen of identiteiten, concrete meldingen en zichtbare gevolgen.
3. Al uitgevoerde maatregelen: bijvoorbeeld isolatie, accountbeperkingen of herstel, met tijdstip en uitvoerder.
4. Beschikbaar bewijs: logs, case-ID’s en bestaande back-ups, inclusief herkomst en opslagplaats. Onbekende volledigheid wordt uitdrukkelijk vermeld.
5. Aanspraak en scope: klant, overeenkomst of retainer en bekend getroffen gebied. Een onbevestigd recht wordt niet als vaststaand gepresenteerd.

Deze lijst is een Avanet-advies voor de organisatorische overdracht, geen volledige forensische procedure. Zij maakt een eerste aanpak mogelijk zonder door voortijdige wijzigingen belangrijke informatie te verliezen. Besmette systemen worden niet alleen opnieuw geïnstalleerd om een «schone uitgangssituatie» te creëren. De incidentverantwoordelijken beslissen per geval over isolatie, uitschakeling, bewijsbehoud en herstel.

Bewijsmateriaal kan wachtwoorden, persoonsgegevens of vertrouwelijke bedrijfsinformatie bevatten. Alleen benodigde gegevens worden via een bevestigd veilig kanaal overgedragen. Een openbaar ticket, chat of onbeveiligde bestandslink is geen geschikt alternatief. Als communicatieaccounts mogelijk gecompromitteerd zijn, wordt vooraf een betrouwbaar retourkanaal afgesproken.

MDR en DFIR onderscheiden

MDR is de doorlopende beheerde dienst voor threat hunting, detectie en afgesproken respons. DFIR behandelt één incident binnen de bevestigde onderzoeksscope. Ook als dezelfde organisatie beide aanbiedt, geeft een productmelding niet automatisch opdracht voor DFIR en geen recht op onbeperkt onderzoek.

Bij bestaand MDR-beheer zijn contacten en Threat Response-modus en de daadwerkelijke case-eigenaar en benodigde klantactie bepalend. Een customer-managed case wordt niet automatisch door het MDR-team onderzocht omdat er een Sophos-licentie is. Openstaande klantacties vereisen een eigenaar en verdwijnen niet door een veronderstelde dienstwissel.

De Security Services Retainer legt Service Units en bijzondere DFIR-voorwaarden uit. Een SU-saldo is geen algemene reactietijd en geen garantie om een incident binnen een bepaald aantal uren af te handelen. Controleer bestaande aanspraken in de concrete overeenkomsten.

Readiness: vóór een incident oefenen

Readiness betekent dat verantwoordelijkheden, toegang en beslisroutes al vóór een incident bruikbaar zijn. Een Tabletop Exercise is een begeleide scenariobespreking: het team doorloopt beslissingen en overdrachten zonder een echte aanval op productie uit te voeren.

Bepaal doel en deelnemers, bijvoorbeeld de samenwerking tussen IT, directie en communicatie bij gecompromitteerde beheeridentiteiten. De oefening moet duidelijk maken wie het incident uitroept, wie indamming toestaat, hoe buiten mogelijk getroffen systemen wordt gecommuniceerd en hoe herstelbesluiten ontstaan. Het resultaat is een verslag van waarnemingen en concrete verbeteringen met verantwoordelijken en termijnen.

Een bestaand noodplan bewijst op zichzelf niet dat herstel werkt of contacten bereikbaar zijn. Avanet adviseert na relevante wijzigingen de contact- en goedkeuringsketen en een passende herstelprocedure opnieuw te controleren. Een gesprek vervangt geen afzonderlijk geplande technische restoretest.

Assessments en beveiligingstests kiezen

External Penetration Testing onderzoekt toegang van buitenaf. Interne tests kunnen bepalen wat mogelijk is met bestaande netwerktoegang. Wireless-tests richten zich op wifi-aanvalsroutes; Web Application Assessments onderzoeken applicaties en hun specifieke beveiligingsproblemen. De servicenaam garandeert niet dat elke vestiging, applicatie of interface is inbegrepen.

Een assessment bewijst evenmin dat de omgeving volledig vrij van compromittering is. Een Compromise Assessment zoekt binnen de afgesproken scope naar aanwijzingen voor binnendringen; een penetratietest onderzoekt geselecteerde aanvalsroutes. Onderscheid beide van doorlopende Managed Risk-werkzaamheden en van respons op een al actief incident.

Vóór een test worden doelsystemen en uitsluitingen, toestemming van eigenaren, toegestane methoden, tijdvensters, gegevenstoegang en stopcriteria schriftelijk vastgelegd. Voor cloud- of externe systemen moet de bijbehorende testtoestemming bestaan. Er moet een contactpersoon bereikbaar zijn om de test stop te zetten; beschikbaarheid en impact op productie worden expliciet meegenomen. Zonder duidelijke toestemming begint geen test.

Het resultaat bevat begrijpelijke bevindingen met getroffen systemen, bewijs, gevolgen en geprioriteerde oplossingen. Een hertest controleert de afgesproken herstelde punten; de offerte bevestigt of, wanneer en in welke omvang die is inbegrepen. Een rapport is geen certificaat voor toekomstige onaantastbaarheid. Uitvoering en acceptatie van verbeteringen blijven afzonderlijke, zichtbare taken.

Voor geplande wijzigingen na de bevindingen helpt het onderscheid tussen TAM, support en Deployment Services om een aanbeveling om te zetten in een afgebakende opdracht met technische overdracht, in plaats van openstaande risico’s tussen dienstverleners door te schuiven.