Wat je leert
Leerdoelen
- Meld feiten gescheiden van vermoedens
- Beperk directe blootstelling binnen je eigen bevoegdheid
- Leg een bruikbare tijdlijn van het incident vast
Begin met veiligheid en melden
Beschrijf wat je hebt waargenomen, wanneer het begon, om welk apparaat of account het gaat en wat je al hebt gedaan. Gebruik het incidentcontact van je organisatie. Als de gewone e-mail of chat gecompromitteerd kan zijn, gebruik dan een goedgekeurd apart kanaal. Geef voorrang aan de veiligheid van mensen en aan kritieke diensten, vóór routinematige probleemoplossing.
Beperk de schade zonder bewijs te vernietigen
Volg het responsplan. Een getrainde responder kan een apparaat van het netwerk isoleren en het tegelijk aan laten staan om vluchtig bewijs te bewaren. Draai geen willekeurige opschoontools en zet apparaten niet terug voordat je instructies hebt gekregen. Beslissingen over inperking verschillen voor een persoonlijke laptop, een gedeelde server en een veiligheidskritiek systeem.
Leg een tijdlijn vast
Noteer het tijdstip van het eerste symptoom, de getoonde berichten en de stappen die zijn genomen. Bewaar de originele logs en berichten volgens de instructies. Upload geen vertrouwelijke bedrijfsgegevens naar openbare analysediensten. Een duidelijke tijdlijn helpt responders de omvang te begrijpen en de aanval te onderscheiden van latere herstelacties.
Toegepast voorbeeld
Plaats het in context
Een gebruiker ziet op een werklaptop een verdachte melding over versleuteling. Hij neemt via een bekend telefoonnummer contact op met IT, volgt de isolatie-instructies en noteert het bericht. Hij gaat niet experimenteren met een “decryptor” die hij via een zoekmachine heeft gevonden.
Illustratief scenario om van te leren, geen bewering over een geverifieerd incident bij een klant.Veelgemaakte fouten
- Een incident uit schaamte stilhouden
- Het apparaat wissen voordat responders het hebben beoordeeld
- Vertrouwelijke bestanden uploaden naar openbare tools
Jouw praktische checklist
Vinkjes in de checklist zijn tijdelijk en worden niet vastgelegd als voortgang in je account.
Korte samenvatting
Meld snel, beperk de schade in verhouding en bewaar de context. De beste eerste stap hangt af van het systeem en het goedgekeurde responsplan.