Houd deze week een tabletop van twee uur voor incident response

Voor een tabletop-oefening heeft u een ruimte, een scenario, twee uur en iemand nodig die opschrijft wat er misgaat. U hebt geen leverancier, budget of kant-en-klaar incident response plan nodig. Het doel is om uit te zoeken, zolang er nog niets in brand staat, wie er daadwerkelijk besluit een server van het netwerk te halen en waar de telefoonnummers worden bewaard.

Kies één scenario en de juiste mensen

Kies één enkel scenario. Ransomware op een fileserver en accountovername van een mailbox bij de financiële afdeling zijn voor een klein team de twee nuttigste, omdat beide besluiten afdwingen over isolatie, communicatie en herstel. Probeer niet beide in één sessie te behandelen.

U hoeft het scenario niet zelf te schrijven. De Exercise in a Box van het NCSC is gratis, bevat tabletop-oefeningen over onder meer ransomware en phishing, en biedt materiaal om de oefening op te zetten, te plannen, uit te voeren en de acties na afloop vast te stellen. De Tabletop Exercise Packages van CISA bieden sjablonen voor doelstellingen, discussievragen, een feedbackformulier en een After Action Report, waaronder scenario's voor ransomware en lokale overheden. Gebruik ze als houvast en pas de details aan op uw eigen systemen.

Nodig de mensen uit die in de praktijk ook aan de lijn zouden zitten:

• degene die de directory en de back-ups beheert
• de persoon die downtime kan goedkeuren (een manager, niet alleen IT)
• iemand die de externe communicatie verzorgt, al is dat de office manager
• één facilitator die niet meespeelt en geen vragen beantwoordt

De facilitator is belangrijk. Als dezelfde persoon het scenario leidt en zijn of haar eigen inrichting verdedigt, wordt de oefening een demo.

De agenda van twee uur

Stel aan het begin één regel vast: antwoorden moeten beschrijven wat u echt zou doen met de toegang en tools die u vandaag hebt, niet wat het beleid voorschrijft. Zegt iemand "we zouden de logs controleren", dan vraagt de facilitator welke logs, waar, en wie er maandagochtend om 07:40 toegang toe heeft.

Injects voor de ransomwareversie

Voer het scenario stapsgewijs in, niet in één keer. Een werkbare volgorde:

1. Een gebruiker meldt dat documenten op een gedeelde schijf een andere extensie hebben gekregen en dat er in elke map een tekstbestand met een losgeldbrief staat.
2. Twee andere gebruikers melden hetzelfde. De fileserver is traag.
3. De back-upconsole toont dat de laatste job is voltooid, maar de back-upserver is lid van het domein.
4. In de brief van de aanvaller staat de dreiging om over 72 uur data te publiceren.
5. E-mail ligt plat, omdat de mailconnector draait op een getroffen host.

Bij elke stap hoort een vraag. Wie kan de host isoleren, en is daar goedkeuring voor nodig? Zijn back-ups bereikbaar met dezelfde beheerdersgegevens die de aanvaller mogelijk in handen heeft? Waar staat de contactlijst als de directory en e-mail niet beschikbaar zijn? Wie besluit of de politie of een toezichthouder wordt ingeschakeld, en wie neemt contact op met uw verzekeraar?

Injects voor de versie met accountovername

Begin met een medewerker van finance die meldt dat zij herhaaldelijk MFA-verzoeken ontvangt die ze zelf niet heeft gestart. Voeg daar een aanmelding vanuit een onbekend land aan toe, daarna de ontdekking van een inboxregel die e-mail doorstuurt naar een extern adres, en tot slot een factuur met gewijzigde bankgegevens die naar een klant is verstuurd. Vraag hoe u sessies en tokens intrekt, en niet alleen het wachtwoord reset. Vraag hoe ver uw aanmeldlogs teruggaan en wie de mailbox controleert op regels en gedelegeerde toegang. Wilt u snel nagaan of inloggegevens van medewerkers al voorkomen in openbare datalekken, dan is onze controle op gelekte wachtwoorden een prima voorbereidende stap.

Leg de gaten vast zolang ze vers zijn

De notulist houdt een eenvoudig logboek bij. Maak het tijdens de sessie niet netjes. Een regel ziet er zo uit:

Inject 3 | Backups reachable with domain admin | Gap: backup server domain-joined,
no offline copy confirmed | Owner: infra lead | Fix by: 30 days | Severity: high

Elke gap heeft een eigenaar en een datum nodig, anders is het een wens. Rangschik ze op wat u had belet door te werken, niet op hoe pijnlijk ze waren. Typische bevindingen zijn alledaags: niemand kende de inloggegevens van de registrar, het piketnummer was verouderd, de persoon die bevoegd is productie stil te leggen was met verlof en had geen vervanger.

Vraag de deelnemers om schriftelijke feedback voordat ze vertrekken. Het pakket van CISA bevat een sjabloon voor een feedbackformulier en een After Action Report, zodat u geen van beide zelf hoeft te ontwerpen.

Maak van het logboek een runbook

Zet het logboek binnen een week om in een kort runbook. Een tot twee pagina's per scenario is genoeg. Een runbook dat niemand tijdens een incident leest, is erger dan geen runbook.

Neem op:

• Het eerste uur: genummerde acties, elk met een benoemde rol in plaats van een persoonsnaam.
• Beslisbevoegdheden: wie systemen mag isoleren, wie de betaling van externe hulp mag goedkeuren, wie met klanten spreekt.
• Contactgegevens: afgedrukt of offline opgeslagen, voor medewerkers, leveranciers, uw ISP, verzekeraar en externe responders.
• Omgaan met bewijs: wat u niet mag wissen of herstarten voordat iemand images en logs heeft veiliggesteld.
• Herstelvolgorde: welke systemen als eerste terugkomen en wat aantoont dat ze schoon zijn.

Voor een bredere opzet wordt de Computer Security Incident Handling Guide van NIST, SP 800-61 Rev. 2, veel gebruikt. NIST heeft deze echter op 3 april 2025 ingetrokken en vervangen door Rev. 3, dus hanteer de actuele revisie als referentie. Wilt u een externe blik op het runbook of hulp bij het begeleiden van de sessie, bekijk dan onze diensten incident response en advies.

Plan daarna de herhaling in. Houd het andere scenario over drie tot zes maanden en test de oplossingen uit het eerste gap-log opnieuw.

Waar u kunt beginnen

1. Reserveer deze week twee uur en blokkeer de agenda's van de vier of vijf mensen die aan de lijn zouden zitten.
2. Download een scenario voor ransomware of phishing uit Exercise in a Box of een CISA-pakket en pas het aan op uw echte systemen.
3. Wijs een facilitator aan die niet meespeelt, en een notulist die het gap-log bijhoudt.
4. Houd de sessie met de echte tools open: back-upconsole, directory, aanmeldlogs, contactlijst.
5. Koppel aan elke gap een eigenaar en een datum voordat de ruimte leegloopt.
6. Schrijf binnen zeven dagen het runbook van één pagina en bewaar een kopie op een plek die werkt als uw netwerk dat niet doet.