Versleuteld verkeer

Versleuteld verkeer analyseren zonder ontsleutelen

Laatst gecontroleerd: 6 november 2026

Analyse van versleuteld verkeer detecteert dreigingen in met TLS versleuteld netwerkverkeer zonder het te ontsleutelen, op basis van wat zichtbaar blijft: wie met wie communiceert, wanneer, hoe vaak, hoeveel data er wordt verplaatst en welke parameters de TLS-handshake heeft. Zo zijn C2-beaconing en ongebruikelijke gegevensoverdrachten te vinden; de inhoud van een sessie blijft onzichtbaar.

Het feit om mee te plannen

TLS 1.3 (RFC 8446, IETF, augustus 2018) versleutelt alle handshakeberichten na de ServerHello, ook het servercertificaat, en schrapt de statische RSA-sleuteluitwisseling. Een passieve sensor met een kopie van de privésleutel van de server kan de sessie dus niet meer ontsleutelen; daarvoor is een onderscheppende proxy nodig of sessiesleutels die op de eindpunten zijn geëxporteerd.

Bron: RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)

Wat NetSenX vandaag doet

Ontsleutelt verkeer nooit: er is geen onderscheppende proxy te beheren en geen onderscheppingscertificaat op uw apparaten te installeren.
Detecteert C2-beaconing en ongebruikelijke uitgaande overdrachten in versleuteld verkeer op basis van timing, volume en bestemmingen, vanaf het Starter-abonnement ook op basis van de TLS-handshake. De handshake is alleen zichtbaar waar de agent pakketten vastlegt: op Linux of als sensor op een SPAN- of TAP-poort, niet in de basismodus op macOS.
Op de bewaakte host leest de agent de servernaam en de parameters uit de TLS-handshake en de antwoorden op DNS-query's, om elke verbinding te benoemen met de dienst die ze bereikt. De versleutelde inhoud van een sessie leest hij niet.
Legt elke alert uit in begrijpelijke taal, met de netwerkkenmerken die de score bepaalden, in elk plan.

Wat NetSenX niet doet

Zonder ontsleuteling ziet NetSenX niet wat er in een sessie zit: een kwaadaardig bestand dat via HTTPS is gedownload, de tekst van een e-mail of de inhoud van een upload. Endpointbeveiliging (EDR) en e-mailbeveiliging dekken dat terrein. Is inspectie van de inhoud een vereiste, kies dan een hulpmiddel dat verkeer ontsleutelt en plan hoe u met de ontsleutelde inhoud omgaat.

Vragen van kopers

Kan NDR dreigingen in versleuteld verkeer detecteren zonder ontsleuteling?

Ja, op basis van metadata. Timing, volume, bestemmingen en de TLS-handshake blijven zichtbaar wanneer de inhoud versleuteld is, zodat beaconing naar een C2-server en ongebruikelijke gegevensoverdrachten te detecteren zijn zonder de versleuteling te breken. Wat onzichtbaar blijft, is de inhoud van de sessie.

Wat leest NetSenX uit een versleutelde verbinding?

Flow-metadata (wie met wie verbindt, wanneer, hoe vaak en hoeveel data er wordt verplaatst) en enkele protocolvelden: de servernaam en de parameters uit de TLS-handshake, en de antwoorden op DNS-query's. NetSenX ontsleutelt de sessie nooit en leest de versleutelde inhoud niet.

Waarom TLS-verkeer niet ontsleutelen voor inspectie?

Ontsleuteling maakt inhoud zichtbaar, maar betekent een onderscheppingspunt dat sleutels bewaart, een onderscheppingscertificaat op elk apparaat en het verwerken van ontsleutelde inhoud die persoonsgegevens kan bevatten. Sinds TLS 1.3 kan een passieve sensor sessies niet meer ontsleutelen met een kopie van de privésleutel van de server.

Zijn netwerkmetadata persoonsgegevens volgens de AVG?

Dat kan. Het Hof van Justitie van de EU oordeelde in de zaak-Breyer (C-582/14, 19 oktober 2016) dat een dynamisch IP-adres een persoonsgegeven kan zijn. NetSenX publiceert een verwerkersovereenkomst volgens artikel 28 AVG en bewaart klantgegevens in de EU.

Bronnen

Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.

Probeer NetSenX op uw eigen netwerk

Begin met het Free-abonnement voor maximaal 3 apparaten, of boek een demo van 20 minuten.

Bekijk prijzen Boek een demo