Cyber Security Ops-retrospective

Bespreek incidenten, maatregelen en hiaten met je securityteam.

Probeer deze retrospective live eens

Dreigingen & incidenten

Welke dreigingen of incidenten hebben we deze cyclus afgehandeld?

We hebben een phishingcampagne gericht op Finance binnen 30 minuten na de eerste melding ingedamd.
Door een verkeerd geconfigureerde S3-bucket lagen interne logs open, maar er is geen klantdata getroffen.
Afgelopen weekend kwamen er meerdere brute-force-inlogpogingen binnen op onze VPN-gateway.
Maatregelen & successen

Welke verdediging, tools of processen werkten goed?

Onze SIEM-correlatieregels hebben de poging tot lateral movement vroeg opgepikt.
Dankzij het overdrachtsdocument van de on-call verliep de escalatie van 2 uur 's nachts soepel en snel.
De automatische containment in onze EDR heeft ons uren handmatig werk bespaard.
Hiaten & kwetsbaarheden

Waar hadden we blinde vlekken of zwakke plekken?

We hadden geen zicht op de SaaS-app van een derde partij die gecompromitteerd werd.
Door alertmoeheid bleef een echt signaal twee uur liggen.
Onze patchcyclus is te traag voor kritieke CVE's.
Acties & hardening

Wat gaan we doen om onze securitypositie te verbeteren?

SIEM-regels bijstellen om false positives vóór de volgende review met 25% te verminderen.
De SaaS-app van de derde partij toevoegen aan de scope van onze continue monitoring.
Deze sprint een playbook voor overname van cloudaccounts maken en testen.

Wat is de Cyber Security Ops-retrospective?

De Cyber Security Ops-retrospective brengt je securityoperationsteam samen om terug te kijken op de afgelopen cyclus: wat jullie hebben gedetecteerd, hoe jullie hebben gereageerd en hoe jullie hebben hersteld. Hij is bedoeld voor SOC-analisten, incident responders, threat hunters en security engineers die willen dat de lessen uit alerts, incidenten en bijna-incidenten ook echt tot verbeteringen leiden. Het bord heeft vier kolommen. Dreigingen & incidenten zet op een rij wat er is gebeurd. Maatregelen & successen legt vast welke tools en processen hebben gewerkt. Hiaten & kwetsbaarheden gaat over de blinde vlekken en zwakke plekken die aan het licht kwamen. Bij Acties & hardening spreek je af wat er verandert, met een eigenaar per actiepunt. Werken jullie al met MITRE ATT&CK of NIST CSF, koppel de bevindingen daar dan aan, zodat je de voortgang van cyclus tot cyclus kunt volgen. Houd het blameless. Mensen praten alleen over de alert die ze hebben gemist of het bijna-incident dat ze hebben veroorzaakt als ze weten dat het gesprek over systemen en processen gaat. Houd de retrospective na een groot incident, aan het eind van een on-callrotatie of volgens een vast schema, en loop de acties van de vorige cyclus na voordat je nieuwe toevoegt.

Cyber Security Ops-retrospectiveformat

Dreigingen & incidenten

Welke dreigingen of incidenten hebben we deze cyclus afgehandeld?

Zet de alerts, events en incidenten op een rij die het team deze periode heeft afgehandeld. Vraag mensen zich te houden aan wat er gebeurde, wanneer en wat de impact was, zonder schuld toe te wijzen. Zo heeft iedereen dezelfde feiten voordat jullie bespreken wat goed werkte.

Maatregelen & successen

Welke verdediging, tools of processen werkten goed?

Benoem de maatregelen, automatisering en overdrachten die jullie hebben beschermd, en wees concreet over welke tool of welk proces het werk deed. In een securityteam worden successen makkelijk overgeslagen, en door ze op te schrijven weet je wat je moet blijven doen.

Hiaten & kwetsbaarheden

Waar hadden we blinde vlekken of zwakke plekken?

Hier komen detectiehiaten, beperkingen van tooling, frictie in processen en ongepatchte risico's naar boven. Houd het blameless, zodat mensen ook de ongemakkelijke punten durven te noemen. Wat hier terechtkomt, bepaalt meestal het grootste deel van het actieplan.

Acties & hardening

Wat gaan we doen om onze securitypositie te verbeteren?

Zet de hiaten om in acties met een eigenaar en een deadline. Prioriteer ze op waarschijnlijkheid en impact, en koppel elke actie aan het hiaat dat ermee wordt gedicht, zodat je de voortgang de volgende keer kunt controleren.

Wanneer dient u deze retrospective te gebruiken?

  • Na een ernstig securityincident of datalek, om lessen vast te leggen zonder schuld toe te wijzen.
  • Aan het eind van een on-call- of SOC-dienstrotatie, om de alerts en overdrachten te bespreken.
  • Elke maand of elk kwartaal, om terugkerende hiaten te volgen en te zien of de verbeteringen van de vorige cyclus stand hebben gehouden.
  • Na een tabletopoefening, red team-opdracht of penetratietest, om samen te bepalen wat de bevindingen voor jullie team betekenen.
  • Wanneer je nieuwe SecOps-tooling of werkwijzen hebt ingevoerd en wilt nagaan of ze werken.

Voorstellen voor ijsbrekers

  • Als je een dag hacker was, wat zou dan je favoriete wapen zijn en waarom?
  • Wat is de creatiefste phishingpoging die je ooit hebt gezien, en werkte die bijna?

Wilt u een opwarmoefening waarbij uw team daadwerkelijk meedoet, en niet alleen hardop antwoorden geeft? Bekijk gratis ijsbrekers →

Ideeën en tips voor uw retrospectievevergadering

  • Houd het blameless. Praat over systemen en processen, niet over personen, zodat mensen fouten en bijna-incidenten durven toe te geven.
  • Koppel bevindingen aan een framework zoals MITRE ATT&CK of NIST CSF, zodat verbeteringen door de tijd heen makkelijk te volgen zijn.
  • Nodig analisten, responders, engineers en een manager uit. Elke rol ziet blinde vlekken die de anderen missen.
  • Laat mensen eerst privé of anoniem notities toevoegen, zodat junior analisten problemen kunnen melden zonder zich te laten leiden door senioriteit.
  • Timebox elke kolom en reserveer het laatste deel van de sessie om hiaten om te zetten in acties met eigenaren en deadlines.
  • Volg acties van de ene retrospective naar de volgende, zodat terugkerende kwetsbaarheden niet ongemerkt blijven liggen.

Veelgestelde vragen

Wanneer houden we een Cyber Security Ops-retrospective?
Houd hem na een groot incident, aan het eind van een on-callrotatie of elke maand of elk kwartaal. Met een vast schema vang je terugkerende hiaten op voordat ze tot incidenten leiden.
Hoe lang duurt een Cyber Security Ops-retrospective?
Reken op 45 tot 75 minuten, afhankelijk van de teamgrootte en het aantal incidenten dat je wilt bespreken. Door elk van de vier kolommen te timeboxen blijft de sessie op schema.
Wat is het verschil met een gewone incident-postmortem?
Een postmortem gaat diep in op één incident. Deze retrospective beslaat de hele cyclus, van de afgehandelde alerts tot de maatregelen die werkten en de hiaten die je vond. Bevindingen uit postmortems zijn daar goede input voor.
Hoe houden we de retrospective blameless?
Praat over systemen, processen en tooling in plaats van over personen, en begin met privé of anoniem notities maken. Mensen delen meer bijna-incidenten als ze niet bang zijn de schuld te krijgen.
Wie doen er mee aan een Cyber Security Ops-retrospective?
SOC-analisten, incident responders, threat hunters, security engineers en iemand van het management. Een mix van rollen brengt blinde vlekken aan het licht die één groep zou missen.
Kunnen we bevindingen koppelen aan securityframeworks?
Ja. Door bevindingen te koppelen aan MITRE ATT&CK of NIST CSF heb je een gedeeld referentiekader en kun je de voortgang over cycli heen makkelijker meten.

Gerelateerde sjablonen

Moederdagreflectie

Bedank de moeders en verzorgers die je team hebben gevormd.

Spookhuis Halloween-retrospective

Bespreek je sprint via vijf griezelige kamers

Zoete Succeswinkel retrospective

Een snoepwinkel-retro voor successen, zure momenten en geheime recepten

Kwartaalretrospective

Stap terug uit de sprints en kijk naar het hele kwartaal.

Bent u klaar om deze retrospective te houden?Probeer deze retrospective live eens