# Laterale beweging en C2-beaconing detecteren

> Hoe laterale beweging en command-and-control-beaconing er op het netwerk uitzien, gekoppeld aan MITRE ATT&CK, en hoe u ze in de praktijk detecteert.

Source page: https://netsenx.com/nl/detect-lateral-movement-c2-beaconing

Laatst gecontroleerd: 6 november 2026

Laterale beweging is een aanvaller die zich vanaf de eerste gecompromitteerde machine naar andere verspreidt, meestal door met gestolen inloggegevens in te loggen op diensten voor externe toegang. C2-beaconing (command-and-control) is gecompromitteerde software die met vaste tussenpozen contact opneemt met de server van de aanvaller voor instructies. Beide moeten over het netwerk, dus beide zijn in het netwerkverkeer te detecteren, ook als het versleuteld is: laterale beweging als ongebruikelijke sessies tussen hosts via beheerprotocollen, beaconing als een vast ritme van kleine verbindingen met één bestemming.

## Het feit om mee te plannen

In een gezamenlijke handleiding van 7 februari 2024 waarschuwden CISA, NSA, FBI en partnerorganisaties dat aanvallers die 'living off the land' toepassen dezelfde legitieme tools gebruiken als beheerders, waardoor hun activiteit opgaat in de normale werking, en adviseerden ze baselines bij te houden van normale netwerk-, gebruikers- en beheeractiviteit om afwijkingen te zien.

Bron: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Zo detecteert u ze

Vier werkwijzen die met elk hulpmiddel werken, en die NetSenX automatiseert.

1. **Houd een baseline bij van wie met wie praat** Laterale beweging is alleen zichtbaar tegen wat normaal is. Leg vast welke hosts gewoonlijk met welke servers verbinding maken en op welke poorten: een werkplek die plotseling SMB- of RDP-sessies opent naar tien servers, valt dan op.
2. **Kijk naar oost-westverkeer, niet alleen naar de rand** Verkeer tussen hosts binnen het LAN komt nooit langs de internetfirewall. Plaats een SPAN- of TAP-poort, of een sensor, in elk segment dat u moet zien.
3. **Zoek naar ritme, niet naar inhoud** Beaconing verschijnt als verbindingen met één bestemming met bijna vaste tussenpozen, vaak met kleine berichten van vergelijkbare grootte en wat willekeurige jitter. Tijdstippen en volume blijven zichtbaar als de sessie versleuteld is.
4. **Correleer over hosts heen** Meerdere hosts die naar hetzelfde nieuwe domein beaconen, of één host die eerst scant en daarna inlogt op de machines die hij scande, is een sterker signaal dan welke losse verbinding ook.

## Gekoppeld aan MITRE ATT&CK

Namen en ID's van de technieken zijn die van MITRE. De laatste kolom noemt de detectiecategorie van NetSenX waaronder dit verkeer valt; dat betekent niet dat elke variant van de techniek wordt gezien.

| Techniek | Hoe het eruitziet op het netwerk | Detectie in NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Eén host die binnen korte tijd verbinding maakt met veel interne adressen of poorten. | Scans |
| [T1021](https://attack.mitre.org/techniques/T1021/) Remote Services (Lateral Movement) | Een werkplek die SMB-, RDP-, SSH- of WinRM-sessies opent naar servers of andere werkplekken die hij nooit eerder gebruikte. | Laterale beweging |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Kleine, regelmatige verbindingen met dezelfde externe bestemming via HTTPS, dag en nacht. | C2-beaconing |
| [T1573](https://attack.mitre.org/techniques/T1573/) Encrypted Channel (Command and Control) | Hetzelfde ritme binnen TLS: tijdstippen, volume, bestemming en handshake blijven zichtbaar zonder ontsleuteling. | C2-beaconing, uit metadata |
| [T1041](https://attack.mitre.org/techniques/T1041/) Exfiltration Over C2 Channel (Exfiltration) | Een host die beacons verstuurt en plotseling via hetzelfde kanaal veel meer data naar buiten stuurt. | Ongebruikelijk uitgaand datavolume |
| [T1048](https://attack.mitre.org/techniques/T1048/) Exfiltration Over Alternative Protocol (Exfiltration) | Grote uitgaande overdrachten via een protocol dat de host daar normaal niet voor gebruikt. | Ongebruikelijk uitgaand datavolume |

## Wat NetSenX vandaag doet

- Detecteert scans, laterale beweging, C2-beaconing en ongebruikelijk uitgaand datavolume op basis van netwerkgedrag, op elk abonnement, ook Free.
- Verbindt vanaf het Pro-abonnement hosts tot een graaf van wie met wie communiceert, zodat een scan gevolgd door nieuwe externe sessies, of meerdere hosts die naar één bestemming beaconen, als één verhaal verschijnen in plaats van als losse meldingen.
- Noemt in de melding de MITRE ATT&CK-techniek wanneer een detectie daarmee overeenkomt, en toont in een dekkingsoverzicht welke technieken uw actieve detecties afdekken.
- Analyseert versleuteld verkeer op basis van tijdstippen, volume en bestemmingen, vanaf het Starter-abonnement ook op basis van de TLS-handshake, en ontsleutelt het nooit. De handshake is alleen zichtbaar waar de agent pakketten vastlegt: op Linux of als sensor op een SPAN- of TAP-poort, niet in de basismodus op macOS.

## Wat NetSenX niet doet

NetSenX ziet laterale beweging alleen waar die een bewaakt segment passeert: een sessie tussen twee hosts in een onbewaakt segment, of activiteit die binnen één machine blijft, valt buiten zijn zicht. Het leest de inhoud van versleutelde sessies niet, vervangt geen incidentrespons en beweert niet elke variant te zien van elke ATT&CK-techniek op deze pagina.

## Vragen van kopers

### Wat is laterale beweging in cybersecurity?

Laterale beweging is de manier waarop een aanvaller zich vanaf de eerste gecompromitteerde machine naar andere verspreidt, meestal met gestolen inloggegevens via diensten zoals SMB, RDP, SSH of WinRM. MITRE ATT&CK beschrijft het als tactiek TA0008; Remote Services is techniek T1021.

### Hoe detecteer je C2-beaconing?

Zoek naar een host die met bijna regelmatige tussenpozen, de klok rond, verbinding maakt met dezelfde externe bestemming en daarbij kleine berichten van vergelijkbare grootte stuurt. Het patroon is zichtbaar in flowdata en firewalllogs, ook bij versleuteld verkeer, omdat tijdstip, volume en bestemming niet versleuteld zijn.

### Is laterale beweging te detecteren in versleuteld verkeer?

Grotendeels wel: wie met wie verbinding maakt, op welke poort, wanneer en hoeveel data er gaat, is zichtbaar zonder ontsleuteling. Verborgen blijft de inhoud van de sessie, zoals de opdrachten in een versleutelde externe sessie.

### Welke MITRE ATT&CK-technieken ziet netwerkdetectie?

De technieken die verkeer tussen machines veroorzaken, bijvoorbeeld Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) en Exfiltration Over C2 Channel (T1041). Technieken die binnen één host blijven, zijn voor endpointtools.

## Bronnen

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)

Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.

## Gerelateerde pagina's

- [Hoe u ziet of er iemand in uw netwerk zit](https://netsenx.com/nl/is-someone-inside-your-network)
- [Ransomware op het netwerk detecteren](https://netsenx.com/nl/detect-ransomware-on-the-network)
- [Versleuteld verkeer analyseren](https://netsenx.com/nl/encrypted-traffic-analysis)
- [NDR, EDR of SIEM](https://netsenx.com/nl/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Functies](https://netsenx.com/nl/features)
- [NIS2-netwerkmonitoring](https://netsenx.com/nl/nis2-network-monitoring)