Testplan Detectie en Isolatie Qmanage

Transcriptie

1 Testplan Detectie en Isolatie Qmanage

2 Inhoudsopgave 1 Test: DNS-detectie Voorbereidingen DNS-test uitvoeren Controle Isolatie In Quarantaine Hulpverzoek Uit Quarantaine Test: Honeypot Voorbereidingen Honeypot aanvallen Test: Koppeling met externe detectie Voorbereiding Test... 6 Pagina 2 van 6

3 1 Test: DNS-detectie De DNS-detectie wordt getest door een test-hostname op te vragen. Bij standaardinstellingen resulteert een score van 60 in een possible incident, zichtbaar in Qmanage. Een score van 80 leidt tot een incident, met isolatie als gevolg. 1.1 Voorbereidingen Verbind een geregistreerd test-apparaat met een switchpoort die door Qmanage beheerd wordt, of een SSID op een access point/concentrator die door Qmanage beheerd wordt Surf naar qmanage.nl. Laadt deze pagina op een juiste wijze? 1.2 DNS-test uitvoeren Start de Qdetect Tester Voer de DNS Detection test uit met een juiste confidence (standaard is 80 voldoende voor een incident) 1.3 Controle Is er in Qmanage een incident aangemaakt voor het testapparaat? Pagina 3 van 6

4 2 Isolatie 2.1 In Quarantaine Nadat u de DNS Detection heeft uitgevoerd, wordt uw testapparaat in quarantaine geplaatst. Wacht, indien nodig, 30 seconde Surf naar qmanage.nl. Krijgt u een quarantaine-pagina te zien? Controleer of het QNID helemaal onderaan de webpagina overeenkomt met het incident in Qmanage. Surf naar een site op de whitelist. Is deze pagina wel op te vragen? 2.2 Hulpverzoek Indien er in het Functioneel Implementatieplan voor gekozen is dat gebruikers vanuit quarantaine een hulpverzoek naar uw servicedesk kunnen versturen, wordt met deze test gevalideerd of deze s op een juiste wijze aankomen. Vul het formulier voor hulpverzoeken in Wordt de op het afgesproken adres afgeleverd? 2.3 Uit Quarantaine Indien er in het Functioneel Implementatieplan gekozen is om gebruikers de OneStrike-optie aan te bieden, kan het incident nu vanaf het testapparaat opgeheven worden, waarna het apparaat uit isolatie gehaald wordt. Let op: indien er met dit test-apparaat al een OneStrike gebruikt is, is deze optie wellicht niet meer beschikbaar. Kies de OneStrike-optie op de quarantaine-webpagina Voer de OneStrike uit. Indien de OneStrike niet beschikbaar is, sluit dan het incident in Qmanage. Wacht, indien nodig, 30 seconde Surf naar qmanage.nl. Laadt deze pagina op een juiste wijze? Pagina 4 van 6

5 3 Test: Honeypot Indien er in het Functioneel Implementatieplan gekozen is de Qdetect honeypot in te zetten, simuleert u in deze test een aanval. Door deze aanval wordt er een incident aangemaakt en vindt isolatie plaats. 3.1 Voorbereidingen Verbind een (geregistreerd) test-apparaat met een switchpoort of SSID dat door Qmanage beheerd wordt Surf naar qmanage.nl. Laadt deze pagina op een juiste wijze? 3.2 Honeypot aanvallen Met deze test simuleert u een aanval op de Qdetect honeypot met behulp van de Qdetect Tester. Start de Qdetect Tester Vul in de Qdetect Tester een IP-adres in waarop de honeypot actief is. De detectie-ip s staan in het Technisch Implementatieplan Voer een SSH-attack uit Controleer of er in Qmanage een incident is aangemaakt Pagina 5 van 6

6 4 Test: Koppeling met externe detectie Indien er in het Functioneel Implementatieplan gekozen is om externe detection reports te verwerken, wordt nu de koppeling getest. Bij ontvangst van een melding met de juiste inhoud wordt er een (possible) incident aangemaakt in Qmanage. 4.1 Voorbereiding De externe instantie of de Teammanager van Quarantainenet verzendt een testmelding 4.2 Test Omdat het een testmelding betreft, is de inhoud van het (possible) incident niet van toepassing op uw situatie. Is er een (possible) incident aangemaakt in Qmanage? Pagina 6 van 6