Français
English
DeutschCompromise assessment
Een e-mail verstuurd zonder uw medeweten, een gewijzigde factuur bij een klant, inloggegevens in een datalek: voor u besluit dat er ingebroken werd, of het uitsluit, hebt u feiten nodig. Wij zoeken naar sporen van een aanvaller in uw systemen, met een scope en deliverables die vooraf vastliggen.
Wanneer u het aanvraagt
- Een klant of leverancier heeft een frauduleuze e-mail of factuur ontvangen die van bij u lijkt te komen.
- Uw inloggegevens, of die van uw medewerkers, duiken op in een datalek.
- Een partner, uw IT-dienstverlener of software die u gebruikt, werd gehackt.
- Een incident werd 'opgekuist' zonder onderzoek, en u wilt weten of de aanvaller echt weg is.
- Voor een overname, of na het conflictueuze vertrek van iemand met beheerdersrechten.
Wat wij onderzoeken
Accounts en mailbox
Ongewone aanmeldingen, doorstuurregels, gedelegeerde toegang, toegelaten applicaties en e-mails verstuurd zonder uw medeweten.
Werkposten en servers
Persistentiemechanismen, geplande taken, tools voor overname op afstand die zonder uw medeweten geïnstalleerd werden, en uitvoeringssporen.
Directory en geprivilegieerde accounts
Aangemaakte of gereactiveerde accounts, toevoegingen aan beheerdersgroepen en onverklaarde wijzigingen van rechten.
Toegang op afstand en perimeter
Logs van de vpn, de firewall en de toegang op afstand, diensten die op internet zichtbaar zijn.
Gelekte inloggegevens
Aanwezigheid van uw domeinen en adressen in gekende datalekken.
Indicatoren van compromittering
Vergelijking met de indicatoren die voor lopende campagnes gepubliceerd worden, onder meer door het CCB.
Verloop
Een compromise assessment bewijst niet dat er geen aanvaller is: het stelt vast wat de onderzochte sporen tonen, en wat ze niet dekken. Daarom wordt de scope schriftelijk vastgelegd.
Afbakening
Scope (accounts, werkposten, servers, periode), beschikbare bronnen en toegangen, schriftelijk vastgelegd met de termijn en de prijs.
Verzameling
Ophalen van logs en sporen met erkende tools, zonder uw activiteit te onderbreken en met behoud van hun bewijswaarde.
Analyse
Zoeken naar tekenen van inbraak en persistentie, kruiscontrole van bronnen en manuele controle van elke waarschuwing.
Conclusies
Verslag: wat onderzocht werd, wat gevonden werd en de grenzen van het onderzoek. Wordt een compromittering bevestigd, dan loopt de opdracht verder als incidentrespons, met uw akkoord.
Veelgestelde vragen
Wat is het verschil met een penetratietest?
Een penetratietest zoekt de deuren die een aanvaller zou kunnen gebruiken. Een compromise assessment zoekt de sporen van een aanvaller die al binnen geweest zou zijn. Beide vullen elkaar aan.
En als u iets vindt?
Wij verwittigen u zonder op het verslag te wachten. De verzamelde elementen worden bewaard, en de opdracht kan verdergaan als incidentrespons, met uw akkoord.
Moet er software op onze toestellen geïnstalleerd worden?
Dat hangt af van de beschikbare bronnen. De logs van uw onlinediensten worden met leestoegang geraadpleegd; op werkposten en servers kan tijdelijk een verzameltool gestart worden. De afbakening bepaalt wat gebruikt wordt.
Betekent 'niets gevonden' dat er geen risico is?
Nee. Het betekent dat er binnen de onderzochte scope geen sporen van compromittering gevonden werden, over de periode die de beschikbare logs dekken. Het verslag zegt dat uitdrukkelijk en stelt maatregelen voor om een volgende poging beter te detecteren.