# Hoe detecteer je ransomware op het netwerk?

> De netwerksignalen die aan versleuteling door ransomware voorafgaan, gekoppeld aan MITRE ATT&CK, en wat netwerkdetectie wel en niet kan.

Source page: https://netsenx.com/nl/detect-ransomware-on-the-network

Laatst gecontroleerd: 7 november 2026

Ransomware op het netwerk detecteren betekent de aanval betrappen in de stappen vóór de versleuteling van het eerste bestand. Een aanvaller moet eerst een machine bereiken, contact leggen met de eigen server, de bestandsservers en back-ups vinden, daarheen bewegen en bij de meeste huidige aanvallen data naar buiten kopiëren als tweede drukmiddel. Elk van die stappen gaat over het netwerk en laat een patroon achter: regelmatige verbindingen met een externe server, één host die vele andere scant, nieuwe beheerderssessies, een grote upload 's nachts. Versleuteling is de laatste stap, en de stap die het netwerk het minst ziet.

## Het feit om mee te plannen

In het gezamenlijke advies AA24-131A, voor het eerst gepubliceerd op 10 mei 2024, meldden CISA, de FBI en partnerdiensten dat affiliates van Black Basta wereldwijd meer dan 500 organisaties hadden getroffen, een model van dubbele afpersing gebruikten dat systemen versleutelt en data exfiltreert, en RClone gebruikten om data vóór de versleuteling te exfiltreren.

Bron: [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)

## Signalen op het netwerk, in de volgorde waarin ze meestal verschijnen

Geen enkel signaal bewijst op zichzelf ransomware. In deze volgorde, of samen, verdienen ze nog dezelfde dag een onderzoek.

1. **Een nieuwe externe server, met vaste tussenpozen benaderd** Een werkplek maakt elke paar minuten, dag en nacht, verbinding met een bestemming die verder niemand gebruikt. Dat is vaak het command-and-controlkanaal van de aanvaller of een niet-goedgekeurde tool voor toegang op afstand.
2. **Eén host die het interne netwerk scant** De gecompromitteerde machine tast interne adresreeksen af op open SMB- (445), RDP- (3389) en databasepoorten, op zoek naar bestandsservers, back-ups en domeincontrollers.
3. **Nieuwe beheerderssessies naar veel servers** Externe sessies via SMB, RDP of WinRM van een werkplek naar servers die hij nooit gebruikte, vaak buiten werktijd, laten zien dat de aanvaller naar de data toe beweegt.
4. **Een grote upload voordat er iets versleuteld is** Data kopiëren naar cloudopslag, met tools zoals RClone, verschijnt als ongewoon uitgaand volume van een server die normaal weinig verstuurt, vaak 's nachts.
5. **Veel lezen en herschrijven op netwerkshares** Zodra de versleuteling begint, leest en herschrijft één client in korte tijd grote hoeveelheden data op netwerkshares. Dan gaat indammen voor alles.

## Gekoppeld aan MITRE ATT&CK

Namen en ID's van de technieken zijn die van MITRE. De laatste kolom noemt de detectiecategorie van NetSenX waaronder dit verkeer valt; dat betekent niet dat elke variant van de techniek wordt gezien.

| Techniek | Hoe het eruitziet op het netwerk | Detectie in NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Eén host die in korte tijd verbinding maakt met veel interne adressen op SMB-, RDP- of databasepoorten. | Scannen |
| [T1021.002](https://attack.mitre.org/techniques/T1021/002/) Remote Services: SMB/Windows Admin Shares (Lateral Movement) | Een werkplek die SMB-sessies opent met beheershares op servers die hij nooit gebruikte. | Lateral movement |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Kleine, regelmatige verbindingen met één externe bestemming via HTTPS, dag en nacht. | C2-beaconing |
| [T1567.002](https://attack.mitre.org/techniques/T1567/002/) Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration) | Een server die veel meer data dan gewoonlijk uploadt naar een cloudopslagdienst. | Ongewoon uitgaand datavolume |
| [T1486](https://attack.mitre.org/techniques/T1486/) Data Encrypted for Impact (Impact) | Versleuteling draait op de hosts. Raakt ze netwerkshares, dan leest en herschrijft één client grote volumes via SMB. | Geen eigen detectie: NetSenX bewaakt de stappen ervoor |

## Wat NetSenX vandaag doet

- Detecteert scans, lateral movement, C2-beaconing en ongewoon uitgaand datavolume op basis van netwerkgedrag, op elk abonnement, Free inbegrepen.
- Legt elke melding uit in begrijpelijke taal, met de netwerkkenmerken die de score bepaalden, zodat een klein team een inbraak kan onderscheiden van een nieuwe back-uptaak.
- Noemt op de melding de MITRE ATT&CK-techniek waar een detectie daarmee overeenkomt, en toont in een dekkingsoverzicht welke technieken uw actieve detecties afdekken.
- Volgt de termijnen van artikel 23 NIS2 als een incident significant blijkt, en bereidt voor uw FG een melding van een datalek onder artikel 33 AVG voor.

## Wat NetSenX niet doet

NetSenX stopt geen versleuteling op een host, zet geen bestanden terug en heeft geen eigen detectie voor de versleutelingsstap zelf: daarvoor zijn endpointbeveiliging (EDR) en offline back-ups. Het ziet alleen de segmenten die u monitort en ontsleutelt verkeer nooit. Een aanval die op één machine begint en eindigt, geeft het netwerk weinig te zien, en een melding is een reden om te onderzoeken, geen bewijs van ransomware.

## Vragen van kopers

### Wat zijn de vroege signalen van ransomware op een netwerk?

Regelmatige verbindingen van een werkplek met een nieuwe externe server, één host die interne reeksen scant op SMB-, RDP- of databasepoorten, nieuwe beheerderssessies naar veel servers en een grote upload naar cloudopslag vanaf een server die normaal weinig verstuurt. Ze komen meestal in die volgorde, voordat er één bestand versleuteld is.

### Kan netwerkmonitoring ransomware vóór de versleuteling detecteren?

Vaak wel, omdat de stappen vóór de versleuteling over het netwerk gaan: command-and-controlverbindingen, scans, lateral movement en datadiefstal. Dat is het venster waarin een aanval nog te stoppen is. Niet elke aanval laat al die stappen zien, en een aanval die op één machine blijft, geeft het netwerk weinig te zien.

### Stopt NetSenX ransomware?

Nee. NetSenX meldt het netwerkgedrag dat meestal aan ransomware voorafgaat, zodat uw team kan handelen zolang er nog tijd is. Hosts isoleren, de aanvaller verwijderen en data herstellen blijven de taak van uw team, uw endpointbeveiliging en uw back-ups.

### Wat doen we eerst als we deze signalen zien?

De getroffen hosts van het netwerk loskoppelen, hun logs bewaren, de daar gebruikte inloggegevens resetten en uw incidentresponsleverancier bellen. Valt uw organisatie onder NIS2, dan begint de termijn van 24 uur voor de vroege waarschuwing zodra u kennis krijgt van een significant incident.

## Bronnen

- [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)
- [MITRE ATT&CK — Data Encrypted for Impact (T1486)](https://attack.mitre.org/techniques/T1486/)
- [Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.

## Gerelateerde pagina's

- [Laterale beweging en C2-beaconing detecteren](https://netsenx.com/nl/detect-lateral-movement-c2-beaconing)
- [Hoe u ziet of er iemand in uw netwerk zit](https://netsenx.com/nl/is-someone-inside-your-network)
- [NIS2-netwerkmonitoring](https://netsenx.com/nl/nis2-network-monitoring)
- [Wat is NDR?](https://netsenx.com/nl/what-is-ndr)
- [Prijzen en het Free-abonnement](https://netsenx.com/nl/pricing)