Aanvalstechnieken uitgelegd

Laterale beweging is de manier waarop een aanvaller zich vanaf de eerste gecompromitteerde machine naar andere verspreidt, meestal met gestolen inloggegevens via diensten zoals SMB, RDP, SSH of WinRM. MITRE ATT&CK beschrijft het als tactiek TA0008; Remote Services is techniek T1021.

Zoek naar een host die met bijna regelmatige tussenpozen, de klok rond, verbinding maakt met dezelfde externe bestemming en daarbij kleine berichten van vergelijkbare grootte stuurt. Het patroon is zichtbaar in flowdata en firewalllogs, ook bij versleuteld verkeer, omdat tijdstip, volume en bestemming niet versleuteld zijn.

Grotendeels wel: wie met wie verbinding maakt, op welke poort, wanneer en hoeveel data er gaat, is zichtbaar zonder ontsleuteling. Verborgen blijft de inhoud van de sessie, zoals de opdrachten in een versleutelde externe sessie.

De technieken die verkeer tussen machines veroorzaken, bijvoorbeeld Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) en Exfiltration Over C2 Channel (T1041). Technieken die binnen één host blijven, zijn voor endpointtools.

C2-beaconing (command and control) is malware die met vaste tussenpozen contact zoekt met de server van de aanvaller om instructies op te halen. Op het netwerk ziet dat eruit als kleine verbindingen met dezelfde bestemming om de paar minuten, dag en nacht, vaak met wat willekeurige spreiding zodat het minder regelmatig lijkt. Omdat het een patroon in de tijd is, blijft het zichtbaar als het verkeer versleuteld is. Legitieme software doet het ook, zoals update-agents, monitoringtools en chatapps; waar het om gaat is een nieuwe bestemming, een apparaat dat er geen reden voor heeft, of een ritme dat nooit stopt, ook 's nachts niet. NetSenX detecteert beaconing op elk abonnement, ook Free, en legt in de alert uit welke kenmerken van ritme en bestemming de doorslag gaven.

Exfiltratie is datadiefstal door data uit uw netwerk te kopiëren, vaak naar cloudopslag of naar een server van de aanvaller, en meestal voordat ransomware iets versleutelt. Aanvallers spreiden het over nachten en weekenden of houden elke overdracht klein om eenvoudige volumealarmen te ontlopen. Het wordt ontdekt door het uitgaande verkeer van elke host te vergelijken met zijn eigen normaal: bestemming, volume en tijdstip. Let vooral op uploads naar cloudopslagdiensten of naar adressen die geen andere host gebruikt, iets wat publieke waarschuwingen over ransomwaregroepen telkens weer beschrijven. Versleuteling verbergt de inhoud van een overdracht, niet het volume, de bestemming of het tijdstip. NetSenX detecteert ongewoon uitgaand datavolume per host, op elk abonnement, ook Free.

„Living off the land” betekent dat aanvallers de tools gebruiken die al op uw systemen staan, zoals PowerShell, remote desktop of beheerhulpmiddelen, in plaats van eigen malware. Antivirus laat ze vaak door omdat de tools legitiem zijn. Wat hen verraadt, is ongewoon gebruik, zoals een account dat zich aanmeldt waar het dat nooit deed of een werkplek die sessies naar veel servers opent. Een basislijn van normale activiteit helpt, en ook beperken wie beheertools überhaupt mag gebruiken. NetSenX detecteert op het netwerk nieuwe sessies tussen hosts, scans en laterale beweging, op elk abonnement. Wat volledig binnen één host gebeurt, zoals een script dat bestanden leest, gaat nooit over het netwerk en vraagt om detectie op het endpoint.

Vaak wel, als het communiceert. Een kleine computer of wifibrug onder een bureau moet de aanvaller bereiken, dus verschijnt hij als host die verbindingen naar buiten maakt, vaak met vaste tussenpozen. Controleer uw switches op onbekende MAC-adressen en gebruik waar mogelijk port security of 802.1X. NetSenX ziet het verkeer van hosts op gemonitorde segmenten en detecteert beaconing en ongewone verbindingen; een apparaat dat zwijgt, of op een segment zit dat u niet monitort, blijft buiten beeld.

MITRE ATT&CK is een gratis, openbare kennisbank van de tactieken en technieken die aanvallers gebruiken, opgebouwd door de non-profitorganisatie MITRE uit echte incidenten en twee keer per jaar bijgewerkt. Tactieken zijn de doelen van de aanvaller, zoals eerste toegang, verkenning of exfiltratie; technieken zijn de manieren om ze te bereiken, elk met een code, zoals T1021 voor diensten op afstand. Verdedigers gebruiken het als gemeenschappelijke taal: om een alert te beschrijven, tools te vergelijken en te zien welke technieken hun maatregelen dekken en welke niet. Het is geen afvinklijst, en geen enkel product dekt elke techniek. NetSenX noemt bij een alert de ATT&CK-techniek als een detectie daarmee overeenkomt, en toont in een dekkingsoverzicht welke technieken uw ingeschakelde detecties afdekken.

Ze beschrijven een aanval op drie detailniveaus. Een tactiek is het doel van de aanvaller op een bepaald moment, het waarom: laterale beweging betekent bijvoorbeeld van de ene machine naar andere komen. Een techniek is hoe hij dat bereikt, zoals het gebruik van diensten op afstand, en een subtechniek maakt het nog specifieker, zoals remote desktop of SMB-beheershares. Een procedure is de concrete manier waarop een bepaalde groep het doet: welke tool, welk commando, in welke volgorde. Samen heten ze TTP's. Het onderscheid doet ertoe voor de verdediging: een procedure blokkeren, zoals de bestandshash van één tool, is makkelijk te omzeilen, terwijl het detecteren van een techniek, zoals een werkplek die plotseling beheersessies naar veel servers opent, werkt welke tool er ook wordt gebruikt. Netwerkdetectie werkt vooral op het niveau van technieken, daarom noemen alerts van NetSenX technieken en geen tools.

Verkenning is het verzamelen van informatie door de aanvaller voordat hij in actie komt. In MITRE ATT&CK is het de eerste tactiek, en het omvat wat er buiten uw netwerk gebeurt: uw publieke IP-adressen scannen op open diensten, namen van medewerkers en e-mailformaten verzamelen van uw website en sociale netwerken, uw leveranciers opzoeken en naar gelekte wachtwoorden zoeken. Veel ervan is voor u onzichtbaar, omdat het openbare bronnen gebruikt. Wat u wel kunt doen, is beperken wat het oplevert: ongebruikte diensten richting internet sluiten, publieke details over uw IT tot een minimum beperken en controleren of bedrijfsadressen in bekende datalekken voorkomen. Scans van uw publieke adressen zijn te zien in firewall-logs, al zijn ze op internet een constante achtergrondruis. Eenmaal binnen doen aanvallers een tweede ronde verkenning, die een aparte tactiek is en veel makkelijker vanaf het netwerk te zien.

Resource development is het voorbereiden van tools en infrastructuur voor een aanval: servers huren, domeinen registreren die op echte lijken, accounts kopen of stelen, malware of certificaten voor codeondertekening bemachtigen, of toegang tot een slachtoffer kopen bij een initial access broker. Het gebeurt aan de kant van de aanvaller voordat er iets bij u aankomt, dus rechtstreeks valt er weinig te detecteren. De sporen verschijnen later, en dat is nuttig: een domein dat vorige week is geregistreerd en op dat van uw leverancier lijkt, een bestemming op pas gehuurde cloudservers, een certificaat dat enkele dagen vóór de verbinding is uitgegeven. Threat-intelligencefeeds en waarschuwingen publiceren zulke infrastructuur. Registreer veelvoorkomende tikfouten van uw eigen domein en stel DMARC in, zodat uw naam moeilijker te misbruiken is. NetSenX ziet aanvallers hun infrastructuur niet opbouwen; het ziet uw hosts er verbinding mee maken, zoals beaconing naar een nieuwe externe server.

Eerste toegang is de tactiek om een eerste voet tussen de deur van uw netwerk te krijgen. De gebruikelijke wegen zijn phishing die iemand een bestand laat openen of een wachtwoord laat invullen, misbruik van een kwetsbaarheid in een systeem dat aan internet hangt, zoals een VPN-gateway of firewall, inloggen op diensten op afstand met gestolen of geraden wachtwoorden, misbruik van de toegang van een leverancier, en drive-by-downloads van gecompromitteerde websites. De ransomwarewaarschuwingen van CISA noemen deze routes keer op keer. De meeste verdediging ligt buiten een netwerksensor: eerst de apparaten aan internet patchen, multifactorauthenticatie (MFA) bij elke aanmelding op afstand, e-mailfiltering en het sluiten van diensten die u niet nodig hebt. De eerste toegang zelf is op het netwerk vaak maar deels zichtbaar, maar wat volgt meestal wel: de gecompromitteerde machine neemt contact op met de server van de aanvaller. NetSenX detecteert die beaconing op elk abonnement, ook Free.

Uitvoering is de tactiek om de code van de aanvaller op een systeem te laten draaien: een macro in een document, een script dat een misleide gebruiker start, een commando via een tool voor beheer op afstand of een geplande taak. Het gebeurt binnen de host, dus daar ligt ook de belangrijkste verdediging: endpoint detection and response (EDR), allowlisting van applicaties, het blokkeren van macro's in bestanden van internet en het beperken van scripttools voor gewone gebruikers. Een netwerksensor ziet geen proces starten. Hij ziet de gevolgen die over het netwerk gaan, en dat is vaak genoeg voor een alarm: het nieuwe programma downloadt zijn volgende fase, belt daarna met vaste tussenpozen een server, of de machine begint haar buren te scannen. NetSenX detecteert dat op elk abonnement; welk programma op de host het deed, kan het niet zeggen, dat is een vraag voor endpointtools.

Persistentie is hoe aanvallers hun toegang behouden ondanks herstarts, wachtwoordwijzigingen en opruimacties: nieuwe accounts, geplande taken en services, tools voor externe toegang die als legitiem zijn geïnstalleerd, webshells op servers aan internet, gewijzigde VPN- of firewallinstellingen en gestolen sessietokens voor clouddiensten. De meeste persistentie zit op hosts en in identiteitssystemen en wordt gevonden met endpointtools, controles van de directory en vergelijkingen van configuraties. Controleer regelmatig op beheerdersaccounts die niemand kan verklaren, software voor externe toegang die niemand goedkeurde en doorstuurregels in mailboxen. Wat persistentie meestal nodig heeft, is een verbinding terug naar de aanvaller, en die is op het netwerk zichtbaar: een host die steeds dezelfde externe server blijft bellen, zelfs weken nadat een incident is afgesloten. NetSenX detecteert die beaconing op elk abonnement.

Privilege-escalatie is de aanvaller die beperkte toegang omzet in meer macht: van gewone gebruiker naar lokale beheerder, en van daaruit naar domein- of cloudbeheerder. Hij misbruikt ongepatchte kwetsbaarheden, verkeerd ingestelde services, wachtwoorden die in scripts of browsers zijn opgeslagen en accounts met meer rechten dan hun taak vraagt. Het gebeurt vooral binnen hosts en de directory, dus preventie is patchen, dagelijkse accounts hun lokale beheerdersrechten afnemen, aparte beheerdersaccounts alleen voor beheer gebruiken en regelmatig controleren wie in bevoorrechte groepen zit. Een netwerksensor ziet weinig van de escalatie zelf. Hij ziet wat de aanvaller met de nieuwe rechten doet, en dat loopt meestal over het netwerk: sessies naar de domeincontroller, beheerverbindingen naar veel servers, toegang tot back-ups. NetSenX detecteert die laterale beweging op elk abonnement, ook Free.

Stealth is de tactiek om kwaadaardige activiteit te verbergen of normaal te laten lijken. Sinds versie 19 van MITRE ATT&CK, uitgebracht in april 2026, neemt ze een groot deel over van de vroegere tactiek Defense Evasion, die werd opgesplitst in Stealth en Defense Impairment. Stealth omvat technieken zoals zich voordoen als legitieme bestanden of services, artefacten verbergen en bestanden verhullen zodat tools en mensen ze over het hoofd zien. Op signaturen gebaseerde tools hebben het hier moeilijk, omdat elk onderdeel op zichzelf gewoon oogt. Wat zichtbaar blijft, is gedrag dat niet bij de geschiedenis van een host past: een vast ritme naar een nieuwe bestemming, of een werkplek die plotseling met veel servers praat. Koppelt u detecties aan ATT&CK, werk dan verwijzingen naar Defense Evasion bij. NetSenX zoekt zulk gedrag vanuit het netwerk op elk abonnement; het ontsleutelt nooit verkeer en beoordeelt dus patronen, geen inhoud.

Defense Impairment is de tactiek om beveiligingsmaatregelen uit te schakelen, te verzwakken of te verstoren. MITRE ATT&CK voerde haar in met versie 19, in april 2026, toen de vroegere tactiek Defense Evasion werd opgesplitst in Stealth en Defense Impairment. Typische voorbeelden zijn antivirus of endpointagents uitzetten, logging stoppen of wissen, en firewallregels aanpassen zodat het verkeer van de aanvaller doorkomt. Op de host beschermen manipulatiebeveiliging voor beveiligingstools, een alert als een agent niet meer rapporteert en beheerdersrechten voor slechts enkele mensen. Het netwerk voegt een onafhankelijke blik toe: een server waarvan de endpointagent is stilgevallen, moet het netwerk blijven gebruiken, en NetSenX blijft zijn gedrag volgen, zoals beaconing, scans en uploads, op elk abonnement. De status van de agent zelf ziet het niet; die toont de endpointconsole, en daar loont een dagelijkse blik.

Credential access is de tactiek om wachtwoorden, hashes, tickets en tokens te stelen, zodat de aanvaller kan inloggen als iemand die daar recht op heeft. Gangbare technieken zijn inloggegevens uit het geheugen van een computer halen, wachtwoorden lezen die in browsers of scripts zijn opgeslagen, wachtwoorden raden of sprayen tegen aanmelddiensten, ze op het netwerk onderscheppen met adversary-in-the-middle-trucs en servicetickets opvragen om offline te kraken. Verdediging is multifactorauthenticatie (MFA), lange unieke wachtwoorden voor serviceaccounts, minder beheerdersaanmeldingen op gewone werkplekken en endpointbeveiliging tegen het uitlezen van geheugen. Een deel is op het netwerk zichtbaar, zoals veel mislukte verbindingen van één host naar aanmelddiensten of ARP-trucs in een segment; het meeste gebeurt op hosts en in de directory. NetSenX ziet de netwerkkant en vooral waarvoor gestolen inloggegevens daarna worden gebruikt: nieuwe sessies tussen hosts.

Discovery is de aanvaller die al binnen is en uitzoekt wat uw netwerk bevat: welke hosts er zijn, welke diensten ze aanbieden, op welke shares bestanden staan, wie de beheerders zijn en waar de back-ups staan. Typische technieken zijn interne adresreeksen scannen, netwerkshares opsommen, de directory bevragen en de configuratie lezen van de machine waarop hij zit. Anders dan verkenning van buitenaf gaat interne discovery over uw netwerk, en daarmee is het een van de zichtbaarste fasen: één host die plotseling verbinding maakt met veel interne adressen op SMB-, RDP- of databasepoorten. Directoryvragen zijn eerder zichtbaar in identiteitslogs dan voor een flowsensor. Segmentatie beperkt wat discovery kan bereiken. NetSenX detecteert interne scans op elk abonnement, ook Free, en koppelt ze vanaf het Pro-plan aan de sessies die volgen.

Collection is de aanvaller die de data verzamelt die hij wil voordat hij die naar buiten brengt: bestanden van shares naar één plek kopiëren, ze in archieven comprimeren, mailboxen lezen, een database exporteren, schermafbeeldingen maken. Vaak zie je het als één host die plotseling veel meer van bestandsservers of databases leest dan ooit, soms 's nachts, gevolgd door een pauze terwijl de archieven worden gemaakt. Auditlogs van bestanden en databases tonen wat er werd gelezen, en endpointtools zien archieven ontstaan. Op het netwerk lijkt het verzamelen op nieuwe sessies van die host naar veel bestandsservers, en de volgende stap, exfiltratie, op ongewoon uitgaand volume vanaf die host. Beperk wie wat mag lezen, vooral serviceaccounts met brede toegang tot bestanden. NetSenX detecteert nieuwe sessies tussen hosts en ongewoon uitgaand datavolume per host op elk abonnement; welke bestanden in versleutelde sessies zijn gelezen, ziet het niet.

Command and control is de tactiek waarmee aanvallers praten met de systemen die ze hebben gecompromitteerd: commando's sturen, resultaten ontvangen en meer tools afleveren. Technieken zijn onder meer regelmatige contacten via webprotocollen, versleutelde kanalen, legitieme clouddiensten of berichtenplatforms als doorgeefluik, tunnels via DNS of andere protocollen, niet-standaard poorten en proxy's die de echte server verbergen. Omdat het kanaal moet bestaan om de aanvaller te laten handelen, is het een van de betrouwbaarste dingen om te detecteren, ook als de inhoud versleuteld is: timing, bestemming en ritme verraden het. Bekende kwaadaardige bestemmingen blokkeren helpt, maar vangt geen nieuwe. NetSenX detecteert beaconing op elk abonnement en DNS-tunneling, en vergelijkt vanaf het Starter-plan TLS-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPAN/TAP-sensor.

Impact is het einddoel van de aanvaller dat zichtbaar wordt: data versleutelen voor losgeld, systemen wissen, diensten stilleggen, back-ups beschadigen, websites bekladden of data en industriële processen manipuleren. In ATT&CK hoort ook het belemmeren van herstel erbij, zoals schaduwkopieën en back-upcatalogi verwijderen. In deze fase is indammen dringend en staat het bewijs onder druk. Preventie ligt eerder: offline back-ups die de aanvaller niet kan bereiken, scheiding tussen IT en productie, en alerts op de stappen die eraan voorafgaan. De versleuteling zelf gebeurt op hosts; raakt ze netwerkshares, dan leest en herschrijft één client in korte tijd grote hoeveelheden data. NetSenX heeft geen eigen detectie voor de versleutelingsstap en stopt die niet; het bewaakt de fasen ervoor, zoals beaconing, scans, laterale beweging en ongewoon uitgaand volume, op elk abonnement.

De cyber kill chain is een model dat Lockheed Martin in 2011 publiceerde en dat een inbraak in zeven fasen beschrijft: verkenning, bewapening, aflevering, misbruik, installatie, command and control, en acties op het doel. De boodschap is dat een aanvaller in elke fase moet slagen, terwijl een verdediger er maar één hoeft te doorbreken. MITRE ATT&CK is gedetailleerder en past beter bij wat er na de eerste voet tussen de deur gebeurt, met veel tactieken en honderden technieken; de meeste teams gebruiken daarom de kill chain om een aanval aan de directie uit te leggen en ATT&CK om detectie te plannen. Beide komen op hetzelfde praktische punt uit: aanvallen bestaan uit stappen, en elke stap is een kans om ze op te merken. Voor een klein bedrijf zijn de latere fasen, command and control, beweging binnen het netwerk en weglekkende data, de plek waar netwerkdetectie zoals NetSenX het meeste toevoegt.

Begin bij de aanvallen die u het waarschijnlijkst zult tegenkomen, niet bij de hele matrix. Neem twee of drie recente openbare waarschuwingen die bij uw sector passen, bijvoorbeeld een CISA-waarschuwing over een ransomwaregroep, zet de genoemde technieken op een rij en vraag per techniek: zouden we haar voorkomen, zouden we haar zien, en waar zouden we haar zien? Noteer per techniek het antwoord: endpoint, identiteit, e-mail, netwerk of niets. De gaten die ertoe doen, zijn de stappen waar elk antwoord niets is. Test er daarna een of twee met een eenvoudige oefening in plaats van op de tabel te vertrouwen. Streef niet naar volledige dekking; streef naar minstens één betrouwbaar signaal in elke fase van een typische aanval. NetSenX noemt in zijn alerts de ATT&CK-techniek als die van toepassing is en toont in een dekkingsoverzicht welke technieken uw ingeschakelde detecties afdekken; dat vult de netwerkkolom van deze oefening.

Meestal dezelfde volgorde. De aanvaller zet zijn steunpunt vast zodat het een herstart overleeft, neemt contact op met zijn eigen server voor instructies, kijkt rond om te leren wat het netwerk bevat, steelt of verhoogt inloggegevens, trekt door naar waardevollere systemen zoals bestandsservers, de domeincontroller en de back-upserver, verzamelt data, stuurt die naar buiten en versleutelt pas daarna, bij ransomware. Sommige stappen duren minuten, andere weken. De meeste gaan over het netwerk: regelmatig contact met een nieuwe externe server, één host die interne reeksen scant, nieuwe beheersessies tussen machines, ongewone uploads. Daarom is netwerkdetectie waardevol na de eerste voet tussen de deur, ook als de toegangsweg onzichtbaar was. NetSenX detecteert beaconing, scans, laterale beweging en ongewoon uitgaand datavolume op elk abonnement, ook Free, in de segmenten die het monitort.

Gedeeltelijk. Endpoint detection and response (EDR) ziet wat er gebeurt op elke machine waarop het draait, zoals het starten van een tool voor beheer op afstand of het uitlezen van inloggegevens, en goede EDR vangt zo veel laterale beweging. Wat het mist, zijn hosts zonder agent, zoals printers, camera's, appliances en onbeheerde servers, agents die aanvallers hebben uitgeschakeld, en beweging met legitieme tools en geldige wachtwoorden, die op elke afzonderlijke machine normaal oogt. Het netwerk ziet de relatie tussen hosts: een werkplek die plotseling beheersessies opent naar servers die hij nooit gebruikte. Daarom werken de twee het best samen. NetSenX detecteert laterale beweging en scans op elk abonnement, ook Free, en correleert vanaf het Pro-plan hosts tot één verhaal; wat binnen een host draait, ziet het niet, dat blijft de taak van EDR.

Omdat niets een aanvaller die binnenkomt tegenhoudt om alles te bereiken. In een plat netwerk zitten alle computers, printers en servers in hetzelfde segment en kunnen ze met alle andere verbinden, dus één besmette laptop bereikt rechtstreeks de bestandsserver, de back-upserver, de boekhouding en de productiemachines. Segmentatie verdeelt het netwerk in zones, zoals werkplekken, servers, back-ups, gasten, printers en camera's, en productie, met firewallregels die alleen de verbindingen toestaan die elke zone nodig heeft. Ze hoeft niet perfect te zijn om te helpen: back-ups en de belangrijkste servers scheiden van gewone werkplekken blokkeert al de schadelijkste routes. Platte netwerken maken detectie bovendien moeilijker, omdat alles met alles praat. De netwerkkaart van NetSenX toont op elk abonnement wie echt met wie praat, een goed vertrekpunt om uw zones te tekenen.

Omdat ze zich hetzelfde gedragen: ze nemen met vaste tussenpozen, dag en nacht, contact op met een server om updates te zoeken, hun status te melden of configuratie op te halen. Back-upagents, antivirus, tools voor beheer op afstand, tijdsynchronisatie en veel bedrijfsapplicaties doen het. Daarom leveren eenvoudige regels die alleen naar regelmaat kijken veel ruis op. Wat malware onderscheidt, is de context: een bestemming die verder niemand in het bedrijf gebruikt, een pas geregistreerd domein of gehuurde server, een apparaat zonder reden voor zulke software, een ritme dat op een bepaalde dag begon, of verkeer dat niet past bij het programma dat de host hoort te draaien. NetSenX beoordeelt beaconing aan de hand van de eigen geschiedenis van elke host en de bestemming, legt elke alert uit en laat u bekende software markeren als vals-positief, waarbij de beslissing in het auditlog wordt bewaard.

DNS-tunneling is het verstoppen van data of commando's in DNS-opvragingen, de vragen die elk apparaat stelt om namen in adressen om te zetten. Omdat bijna elk netwerk DNS doorlaat, gebruiken aanvallers het als kanaal: data wordt gecodeerd in lange, willekeurig ogende subdomeinen van een domein dat zij beheren, en hun nameserver antwoordt met instructies. Het is traag, maar het komt door firewalls die al het andere blokkeren, en het wordt gebruikt voor command and control en voor het stelen van data in kleine stukjes. Tekenen zijn veel unieke, lange subdomeinen onder één domein, ongebruikelijke recordtypes zoals TXT, en een host die veel meer DNS-opvragingen doet dan normaal. Alle apparaten verplichten uw eigen resolvers te gebruiken en hun opvragingen te loggen, maakt het zichtbaar. NetSenX detecteert DNS-tunneling; opvragingen die apparaten versleuteld naar resolvers buiten uw netwerk sturen, ziet het niet.

Ja, als niemand naar DNS kijkt. Data die via DNS-opvragingen wegloopt, verschijnt niet als een grote upload, want elke opvraging draagt maar enkele tientallen bytes, en veel firewalls laten DNS zonder inspectie door. Het valt op in het patroon: één host die duizenden opvragingen doet naar subdomeinen van hetzelfde onbekende domein, met lange, willekeurig ogende namen die nooit terugkomen, vaak in een gelijkmatig tempo. Om het zichtbaar te maken, laat u apparaten alleen uw eigen DNS-resolvers gebruiken, blokkeert u direct DNS naar internet op de firewall, bewaart u resolverlogs en bekijkt u domeinen met ongewoon veel unieke subdomeinen. DNS-filterdiensten voegen blokkeerlijsten van bekende tunnelingdomeinen toe. NetSenX detecteert DNS-tunneling in gemonitorde segmenten; andere technieken via DNS, zoals algoritmisch gegenereerde domeinen, horen vandaag niet bij waar het op alarmeert.

Dat kan, en het zicht neemt af. DNS over HTTPS (DoH) stuurt naamopvragingen in gewoon versleuteld webverkeer naar een resolver, vaak een publieke, zodat uw eigen DNS-server en de logs ervan ze nooit zien. Browsers en sommige besturingssystemen kunnen het zelf aanzetten, en malware kan het gebruiken om zowel haar opvragingen als getunnelde data te verbergen. Wat u wel kunt doen: browsers en apparaten via beleid uw eigen resolver laten gebruiken, bekende publieke DoH-resolvers op de firewall blokkeren waar dat bij uw omgeving past, en elk apparaat onderzoeken dat gelijkmatig versleuteld verkeer naar een DoH-resolver stuurt en uw DNS-server negeert. Een netwerksensor ziet de verbinding met de resolver, de timing en het volume, maar niet de namen erin. NetSenX ontsleutelt nooit verkeer en kan DoH-opvragingen dus niet lezen; het beaconingpatroon kan het nog wel signaleren.

Low-and-slow-exfiltratie is data stelen in kleine hoeveelheden over lange tijd, zodat geen enkele overdracht ongewoon lijkt: een paar honderd megabyte elke lunchpauze, een maand lang, of een gestaag straaltje 's nachts, vaak naar een cloudopslagdienst die veel mensen legitiem gebruiken. Eenvoudige bandbreedtealarmen missen het omdat ze naar pieken zoeken. Het wordt gevonden door elke host over dagen en weken met zijn eigen geschiedenis te vergelijken: een server die rond lunchtijd nooit uploadde, doet dat nu elke dag, of een werkplek stuurt op hetzelfde uur een beetje naar dezelfde nieuwe bestemming. Logs van cloudopslag en proxy kunnen het per gebruiker tonen. Kijk naar het totaal per host en bestemming over een week, niet alleen per uur. NetSenX beoordeelt uitgaand volume aan de hand van de gebruikelijke bestemmingen, volumes en tijdstippen van elke host, op elk abonnement.

Omdat ze de verkeerde vraag stellen. Een bandbreedtealarm vraagt of een verbinding drukker is dan een vaste grens; datadiefstal is meestal zo opgezet dat die eronder blijft. Aanvallers versturen in stukken, 's nachts of in drukke uren wanneer een paar honderd megabyte verdwijnt tussen back-ups en videogesprekken, en naar cloudopslagdiensten die uw medewerkers ook gebruiken, zodat bestemmingslijsten ook niet aanslaan. Een vaste grens gaat bovendien af bij elke grote legitieme overdracht, en dan leest niemand de alarmen meer. De nuttige vraag is per host: stuurt deze machine meer, naar een andere bestemming of op een ander tijdstip dan normaal? Daarvoor is een basislijn per host nodig in plaats van per verbinding. NetSenX houdt zo'n basislijn bij en detecteert ongewoon uitgaand datavolume per host op elk abonnement, ook Free.

Cobalt Strike is een commerciële tool voor geautoriseerde red-team-oefeningen die criminelen op grote schaal misbruiken, vaak in gekraakte versies, om gecompromitteerde machines te besturen. Op het netwerk meldt het implantaat, beacon genoemd, zich met een ingesteld interval bij een teamserver, meestal via HTTPS, soms via DNS of tussen interne hosts via SMB. Tekenen zijn regelmatige verbindingen met spreiding naar een bestemming die verder niemand gebruikt, standaard- of nauwelijks gewijzigde instellingen in webverzoeken en certificaten, TLS-clientvingerafdrukken die overeenkomen met gepubliceerde voor bekende configuraties, en SMB-verbindingen tussen werkplekken die normaal niet met elkaar praten. Veel operators passen hun configuratie juist aan om deze tekenen te vermijden, dus gedrag telt zwaarder dan indicatoren. NetSenX detecteert beaconing en laterale beweging op elk abonnement en vergelijkt vanaf het Starter-plan TLS-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPAN/TAP-sensor.

Vaak wel, tenzij u weet wie scant. In een bedrijfsnetwerk zijn er een paar legitieme scanners, zoals een kwetsbaarheidsscanner, een inventarisatietool, een netwerkbeheersysteem of een printerdriver die apparaten zoekt, en die horen bekend, ingepland en gedocumenteerd te zijn. Een gewone werkplek, printer of camera die plotseling in korte tijd verbinding maakt met veel interne adressen of veel poorten is iets anders: het is een van de duidelijkste tekenen dat iemand na binnenkomst het netwerk in kaart brengt, en het komt meestal vroeg, vóór de echte schade. Houd een lijst bij van goedgekeurde scanners en hun adressen, zodat een alert in seconden te controleren is, en onderzoek al het andere dezelfde dag. NetSenX detecteert scans op elk abonnement, ook Free, ook vanaf apparaten zonder agent, als het ze vanaf een SPAN- of TAP-poort bekijkt.

Kijk op twee plekken: de logs van het doelwit en het patroon op het netwerk. De logs van het doelwit, op een bestandsserver, een remote-desktophost, een SSH-server of de domeincontroller, tonen de mislukte aanmeldingen zelf en de geprobeerde accountnamen; veel mislukkingen over veel accounts vanaf één bron is password spraying, veel voor één account is brute force. Het netwerk toont de bron: één host die herhaaldelijk korte verbindingen met een aanmelddienst maakt, vaak op meerdere servers. Brute force op remote desktop of SSH binnen het LAN is niet normaal; het wijst op een gecompromitteerde machine of een niet-geautoriseerde test. Blokkeer of vertraag herhaalde mislukkingen, vereis multifactorauthenticatie (MFA) waar het kan en onderzoek de bronhost. NetSenX ziet de herhaalde verbindingen tussen hosts in gemonitorde segmenten en detecteert de scans en laterale beweging die er meestal bij horen; het aantal mislukte aanmeldingen staat in het log van de server.

Vergelijk het uitgaande verkeer van elke server met zijn eigen normaal en kijk goed naar bestemmingen in cloudopslag. Veel servers hoeven nooit veel naar internet te sturen, dus een database- of bestandsserver die gigabytes uploadt naar een dienst voor bestandsdeling of cloudopslag is op zichzelf al ongewoon; ransomwarewaarschuwingen beschrijven tools zoals Rclone die precies zo worden ingezet vóór de versleuteling. Praktische stappen: beperk welke servers überhaupt naar internet mogen, log uitgaande verbindingen op de firewall of proxy en bekijk wekelijks per server de volumes naar cloudopslag. Gebruikt u officieel een clouddienst, scheid dan op de proxy de legitieme bestemmingen ervan van privéaccounts als dat kan. NetSenX detecteert ongewoon uitgaand datavolume per host, met bestemming en tijdstip, op elk abonnement; de inhoud van versleutelde uploads of het account waarnaar ze gingen, ziet het niet.

PsExec en vergelijkbare tools voeren commando's uit op een computer op afstand door via de beheershares een kleine service te kopiëren en die te starten, en protocollen voor beheer op afstand zoals WinRM en remote desktop doen vergelijkbaar werk. Beheerders gebruiken ze dagelijks, en daarom laat antivirus ze meestal door: de tool is ondertekend en legitiem, alleen de context klopt niet. Aanvallers gebruiken ze om zich van één machine naar vele te verspreiden, ransomware in één keer naar alle servers te duwen of scripts met gestolen beheerdersgegevens te draaien. Wat ze verraadt, is wie ze gebruikt, vanaf waar en wanneer: een werkplek die om 1.30 uur beheersessies opent naar servers die hij nooit gebruikte, of één account dat binnen minuten tientallen hosts aanraakt. Beperk welke machines andere mogen beheren. NetSenX detecteert zulke nieuwe beheersessies tussen hosts als laterale beweging op elk abonnement.

Ja, en dat gebeurt vaak. Met geldige inloggegevens kan een aanvaller zich net als elke medewerker aanmelden op remote desktop, VPN, SSH, netwerkshares en clouddiensten, en de beheertools gebruiken die al geïnstalleerd zijn. Antivirus heeft niets te detecteren, omdat er geen kwaadaardig bestand is, en elke afzonderlijke aanmelding kan op zichzelf normaal ogen. Wat hem verraadt, is het patroon: een account dat zich aanmeldt vanaf een computer die het nooit gebruikte, op een ongewoon uur, bij veel systemen in korte tijd; een werkplek die plotseling met servers praat; een serviceaccount dat interactief wordt gebruikt. Multifactorauthenticatie (MFA), aparte beheerdersaccounts en grenzen aan welke machines met welke mogen verbinden, zijn de belangrijkste verdediging. NetSenX ziet de netwerkkant hiervan, nieuwe sessies tussen hosts en scans, op elk abonnement; de aanmeldgebeurtenissen in uw directory ziet het niet, die tonen identiteitslogs.

In beide, want elk ziet wat het andere mist. Authenticatielogs van directory, servers en VPN tonen welk account zich waar aanmeldde, met welke methode en of het mislukte; ze zijn de beste bron voor gestolen inloggegevens, maar alleen voor systemen die loggen, de logs bewaren en ze sturen naar een plek waar iemand ze leest. Netwerkflows tonen welke host met welke verbinding maakte, op welke poort, hoe vaak en hoeveel, voor elk apparaat in een gemonitord segment, ook voor apparaten die geen logs bijhouden: printers, appliances, onbeheerde servers. Accountnamen tonen ze niet. In de praktijk is een nieuwe sessie tussen twee hosts die nooit met elkaar praatten een netwerksignaal, en het account erachter een identiteitsvraag. NetSenX dekt de netwerkkant op elk abonnement; combineer het met de aanmeldlogs van uw directory of een SIEM, waarnaar NetSenX vanaf het Business-plan kan exporteren.

Detectie op basis van grafen behandelt uw netwerk als een kaart van wie met wie praat: elke host is een punt, elke verbinding een lijn, en de kaart wordt in de tijd vergeleken met haar gebruikelijke vorm. Laterale beweging verschijnt als nieuwe lijnen die niet passen, zoals een werkplek die plotseling met meerdere servers verbonden is, een keten van sprongen van de ene machine naar de volgende, of een groep hosts die allemaal hetzelfde nieuwe externe adres bereiken. Het voordeel is context: één nieuwe verbinding kan onschuldig zijn, maar een nieuw pad van de laptop van een gebruiker via een bestandsserver naar de back-upserver niet. De aanpak wordt al jaren in academisch onderzoek bestudeerd. Vanaf het Pro-plan correleert NetSenX hosts in zo'n graaf, zodat een scan gevolgd door nieuwe sessies op afstand, of meerdere hosts met beaconing naar één bestemming, als één verhaal verschijnen in plaats van losse alerts.

Vaak wel, door hun ontwerp. Een regel beschrijft iets wat al bekend is: een bestandshash, een domein, een reeks gebeurtenissen die iemand eerder zag. Ze is precies en goedkoop en werkt goed tegen massamalware. Ze faalt als aanvallers een detail veranderen, legitieme tools gebruiken of een pad door uw netwerk nemen waarvoor niemand een regel schreef, zoals een nieuwe server, een vergeten leveranciersaccount of een ongewone keten van sprongen. Gedragsdetectie stelt een andere vraag: doet deze host iets wat hij nog nooit deed, vergeleken met zijn eigen geschiedenis en met vergelijkbare hosts? Ze vangt nieuwe paden, maar heeft tijd nodig om normaal te leren kennen, en haar alerts vragen om oordeel. De meeste volwassen omgevingen combineren beide. NetSenX detecteert gedrag op het netwerk, zoals beaconing, scans, laterale beweging en ongewoon uitgaand volume, en legt elke alert uit, zodat u een nieuw aanvalspad kunt onderscheiden van een nieuw bedrijfsproces.

Een printer die plotseling binnen enkele minuten verbinding maakt met honderden interne adressen, is verkeerd ingesteld of gecompromitteerd. Sommige printers en hun drivers zoeken legitiem naar apparaten of scanmappen, maar dat patroon is regelmatig en beperkt; hele adresreeksen in kaart brengen is dat niet. Printers draaien volwaardige besturingssystemen, vaak met oude firmware, standaardwachtwoorden, webinterfaces en opgeslagen adresboeken, dus een aanvaller kan er een overnemen en als stille uitvalsbasis gebruiken om te scannen, verbindingen door te sturen of tools op te slaan, wetend dat niemand de logs bekijkt. Werk de firmware bij, wijzig het standaardwachtwoord, schakel diensten uit die u niet gebruikt en zet printers in een eigen segment dat de printserver bereikt, maar niet elke computer. NetSenX detecteert scans op elk abonnement, vanaf een SPAN- of TAP-poort, zonder software op de printer.

Eerst indammen, dan verwijderen, in één gecoördineerde actie. Zoek onopvallend zoveel mogelijk uit: welke hosts en accounts betrokken zijn, hoe de aanvaller binnen- en buitenkomt en waar zijn tools staan. Handel daarna tegelijk: isoleer de getroffen hosts op de switch of firewall, blokkeer hun externe bestemmingen, schakel de gecompromitteerde accounts uit of reset ze vanaf een schoon apparaat, en dicht de toegangsweg, zoals een VPN-account of een blootgestelde dienst. Stukje bij beetje handelen waarschuwt de aanvaller, die dan naar andere hosts uitwijkt of systemen gaat beschadigen. Haal een incidentresponsbedrijf erbij als u dat nog niet deed, en houd een logboek bij. Herbouw na het indammen de getroffen machines en houd het netwerk wekenlang goed in de gaten. NetSenX verwijdert geen aanvallers; het toont vanuit het netwerk welke hosts betrokken zijn en waarheen ze verbinden, precies wat een indammingsplan nodig heeft, en het signaleert daarna hernieuwde activiteit.

Soms binnen een uur, soms over weken. Groepen die geautomatiseerde tools en gestolen beheerderswachtwoorden gebruiken, kunnen na de eerste voet tussen de deur zeer snel servers bereiken, terwijl anderen wachten, verkennen en data kopiëren voordat ze toeslaan. Beveiligingsleveranciers publiceren metingen van de zogenoemde breakout time, maar die beschrijven hun eigen klanten en methoden; neem elk afzonderlijk getal dus met voorzichtigheid. De praktische conclusie is in alle gevallen dezelfde: ga ervan uit dat u na het eerste teken weinig tijd hebt. Leg vooraf vast wie 's nachts een host mag isoleren, zorg dat alerts iemand bereiken die ze leest, en houd segmentatie tussen werkplekken en servers, zodat het pad van de aanvaller langer wordt. NetSenX detecteert de stappen die meestal op de eerste toegang volgen, beaconing, scans en laterale beweging, op elk abonnement, en daar komt de tijd om te reageren vandaan.

Zoek naar tekenen op de computer en op het netwerk, en verklein het risico hoe dan ook. Op de computer: onverwachte tools voor externe toegang, pop-ups die vragen uw bankgegevens opnieuw in te voeren, browserextensies die u niet installeerde, uitgeschakelde beveiligingssoftware. Op het netwerk: de pc die met vaste tussenpozen, dag en nacht, een onbekende externe server benadert, want zo houden banktrojans en trojans voor externe toegang contact met hun operators. Ook de meldingen van uw bank over nieuwe apparaten of gewijzigde begunstigden tellen. Het veiligst is een aparte computer, of een apart gebruikersaccount alleen voor bankieren, zonder e-mail, met actuele updates en goedkeuring door twee personen voor betalingen boven een grens. NetSenX detecteert beaconing vanaf die pc op elk abonnement; wat er in de browser gebeurt ziet het niet, en het vervangt de beveiligingscontroles van de bank niet.

Door te kijken naar wat de databaseserver naar buiten stuurde, niet naar de database zelf. Een ERP-export van klanten, prijzen of salarissen is groot, en de server waarop die draait, praat normaal met de ERP-applicatie, het back-upsysteem en een paar gebruikers, niet met internet. Tekenen zijn een grote uitgaande overdracht vanaf die server, of vanaf een werkplek die net een grote export heeft gemaakt, vooral 's nachts of naar cloudopslag; een databasedump die op een netwerkshare verschijnt; of kort daarvoor een nieuwe sessie op afstand naar de server. Beperk internettoegang vanaf databaseservers en log exports in het ERP-systeem zelf. NetSenX detecteert ongewoon uitgaand datavolume per host, met bestemming en tijdstip, op elk abonnement; welke tabellen in een versleutelde overdracht zaten, ziet het niet.

Meestal wel, zodra het de back-up kent. Een legitieme back-up of cloudsynchronisatie loopt van bekende hosts naar bekende bestemmingen op vaste tijden, met vergelijkbare volumes nacht na nacht, en begint op de dag dat de taak werd ingesteld. Diefstal verschilt meestal op minstens één punt: een host die nooit uploadt, een nieuwe bestemming, een ongewoon uur of een volume ver boven het normaal van die host. Gebruikt de diefstal dezelfde cloudaanbieder als uw back-ups, dan verschillen het account en de exacte bestemming, wat een proxy of de logs van de aanbieder beter laten zien dan flowdata. NetSenX vergelijkt de uploads van elke host met zijn eigen geschiedenis en legt de alert uit, zodat de nachtelijke back-up herkenbaar blijft; slaat hij toch aan, markeer hem dan één keer als vals-positief, en de beslissing blijft in het auditlog bewaard.

Het meeste verkeer van werkplekken naar een domeincontroller is onschuldig: aanmeldingen, groepsbeleid, tijdsynchronisatie en naamresolutie lopen de klok rond, ook 's nachts. Niet normaal is een werkplek die een interactieve sessie op afstand naar de domeincontroller opent, zoals remote desktop of beheer op afstand, of de beheershares ervan gebruikt, vooral vanaf de computer van iemand buiten IT en op een uur waarop niemand werkt. Dat is een typische stap voordat een aanvaller de directory overneemt, accounts aanmaakt of overal ransomware uitrolt. Beperk beheertoegang tot domeincontrollers tot een paar speciale beheermachines. NetSenX detecteert zulke nieuwe beheersessies tussen hosts als laterale beweging op elk abonnement en koppelt ze vanaf het Pro-plan aan de scans die er vaak aan voorafgaan.

ARP-spoofing is een apparaat op uw lokale netwerk dat zich valselijk uitgeeft als de router of een andere host, zodat verkeer dat voor hen bedoeld is via dat apparaat loopt. Een aanvaller kan zo onversleuteld verkeer lezen, inloggegevens onderscheppen of verbindingen manipuleren, en het werkt alleen vanuit hetzelfde segment, bijvoorbeeld vanaf een gecompromitteerde pc of een apparaat in een vrije netwerkaansluiting. Op beheerde switches blokkeert dynamic ARP inspection samen met DHCP snooping het; port security en 802.1X beperken wie kan aansluiten; versleuteling van interne diensten beperkt de schade. Zonder beheerde switches let u op één MAC-adres dat meerdere IP-adressen claimt, vooral dat van de gateway. Een sensor op het segment ziet zulke tegenstrijdige berichten, en de netwerkkaart van NetSenX toont de apparaten in gemonitorde segmenten, zodat een nieuwkomer opvalt.

Dat hangt af van de wifibeveiliging en van wat erboven versleuteld is. Op een open netwerk, of een netwerk waar iedereen hetzelfde wachtwoord deelt, kan iemand op het netwerk met enige moeite het verkeer van anderen zien of omleiden; WPA3 maakt passief meelezen veel moeilijker, en WPA2 of WPA3 Enterprise met persoonlijke logins scheidt gebruikers beter. Clientisolatie op gastnetwerken voorkomt dat apparaten überhaupt met elkaar praten. In de praktijk is het meeste verkeer vandaag beschermd door HTTPS, dus de grotere risico's zijn omleiding naar valse inlogpagina's en aanvallen op apparaten die nog onversleutelde protocollen gebruiken, zoals oude printers of camera's. Houd gasten op een geïsoleerd netwerk en medewerkers op persoonlijke logins. NetSenX beheert geen wifi; in gemonitorde segmenten laat het zien welke apparaten met welke praten en signaleert het scans van een nieuwkomer.

Heel weinig: vaak minuten tot uren, afhankelijk van hoeveel data er is en hoeveel machines tegelijk versleutelen. Als de versleuteling begint, lezen en herschrijven een of meer clients in korte tijd grote hoeveelheden data op netwerkshares, en gebruikers stuiten op bestanden die niet meer opengaan. Op dat moment gaat indammen voor: koppel de hosts los die versleutelen, haal getroffen shares offline of zet ze op alleen-lezen, en bescherm zo nodig de back-upserver door zijn netwerktoegang af te sluiten. Leg vooraf vast wie dat mag doen zonder te vragen. Het echte venster ligt eerder, in de dagen van beaconing, scans en laterale beweging vóór de versleuteling. NetSenX heeft geen eigen detectie voor de versleutelingsstap zelf; het bewaakt die eerdere stappen op elk abonnement, ook Free.

Niet vanuit alleen het netwerk. Een netwerksensor ziet welke host hoeveel waarheen en wanneer verstuurde, soms ook het protocol en de servernaam; het programma dat de verbinding opende, is alleen op de host zelf bekend. Gebruik daarvoor endpoint detection and response (EDR) of de verbindingslogging van het besturingssysteem op belangrijke servers, en leg proces- en netwerkgebeurtenissen samen vast, zodat een overdracht achteraf aan haar proces te koppelen is. Firewalls en proxy's die gebruikers authenticeren, kunnen het account toevoegen. In de praktijk vertelt de netwerkalert u naar welke server en welke minuut u moet kijken, wat het vinden van het proces snel maakt. NetSenX detecteert ongewoon uitgaand datavolume per host, met tijdstip en bestemming, op elk abonnement; het noemt niet het proces of de gebruiker erachter.

Een supply-chainaanval bereikt u via iemand die u vertrouwt: een softwareleverancier van wie een update is gemanipuleerd, een IT-dienstverlener van wie de tool voor beheer op afstand wordt misbruikt, een leverancier met VPN-toegang tot uw netwerk, of een gehackte partner van wie de e-mail wordt gebruikt om u kwaadaardige facturen te sturen. Het werkt omdat de toegang of software legitiem is en dus door de controles komt die u op vreemden toepast. Verdediging is weten welke leveranciers waartoe toegang hebben, ieder de minst nodige toegang en eigen accounts met multifactorauthenticatie (MFA) geven, toegang uitschakelen als die niet wordt gebruikt, en in contracten naar hun beveiliging vragen. NIS2 noemt de beveiliging van de toeleveringsketen in artikel 21 onder de maatregelen voor het beheer van cyberbeveiligingsrisico's. NetSenX ziet niet hoe een gemanipuleerde update wordt gemaakt; het ziet wat de toegang of software van de leverancier daarna op uw netwerk doet, zoals beaconing of nieuwe sessies.

Een zero-day is een kwetsbaarheid die aanvallers misbruiken voordat de leverancier een oplossing heeft uitgebracht, dus patchen helpt nog niet en signaturen bestaan niet. Zero-days zijn duur en worden vaak ingezet tegen systemen aan internet, zoals VPN-gateways, firewalls en servers voor bestandsoverdracht. Detectie steunt daarom op wat er na het misbruik gebeurt: een apparaat dat plotseling met nieuwe externe servers praat, een webserver die het interne netwerk gaat scannen, nieuwe beheersessies, weglekkende data. Verklein de blootstelling door zo weinig mogelijk diensten vanaf internet bereikbaar te houden, beheerinterfaces achter een VPN te zetten en waarschuwingen van leveranciers en de Known Exploited Vulnerabilities-catalogus van CISA te volgen, zodat u patcht zodra er een oplossing is. NetSenX detecteert het misbruik zelf niet; het detecteert het gedrag dat volgt, zoals beaconing, scans en ongewoon uitgaand volume, op elk abonnement.

Beide raden wachtwoorden, in tegengestelde richting. Brute force probeert veel wachtwoorden op één account, wat meestal een accountblokkering veroorzaakt en duidelijk in de logs van het doelwit opvalt. Password spraying probeert een of twee veelgebruikte wachtwoorden, zoals een seizoen met een jaartal, op veel accounts, blijft onder de blokkeringsgrens en spreidt de pogingen vaak over uren of over meerdere diensten. Spraying komt vaker voor tegen VPN's, webmail en cloudaanmeldingen, waar accountnamen makkelijk te raden zijn. De verdediging is voor beide gelijk: multifactorauthenticatie (MFA), veelgebruikte wachtwoorden verbieden en alerts op mislukte aanmeldingen over veel accounts vanaf één bron. Binnen het bedrijf verschijnt elk van beide op het netwerk als één host die herhaaldelijk korte verbindingen met aanmelddiensten maakt. NetSenX toont die verbindingen tussen hosts; het aantal mislukkingen en de geprobeerde accounts staan in de logs van de server of de identiteitsprovider.

Bij credential stuffing nemen aanvallers combinaties van e-mailadres en wachtwoord die bij andere websites zijn gelekt en proberen die automatisch uit op uw aanmeldingen, in de veronderstelling dat mensen wachtwoorden hergebruiken. Het richt zich op diensten aan internet, zoals webmail, VPN, klantportalen en cloudapplicaties, en komt van veel adressen tegelijk, zodat het vaak lijkt op een normale mix van aanmeldingen met een iets hoger aantal mislukkingen. De verdediging is multifactorauthenticatie (MFA), een regel tegen hergebruik van wachtwoorden, bedrijfsadressen controleren in bekende verzamelingen van datalekken en snelheidslimieten op inlogpagina's. Bied voor de accounts van uw klanten MFA aan en let op veel mislukte aanmeldingen over accounts heen. Een netwerksensor binnen uw bedrijf ziet hier weinig van, omdat het bij uw publieke diensten of bij een cloudaanbieder gebeurt. NetSenX ziet waarvoor een geslaagde aanmelding daarna wordt gebruikt, als die tot activiteit op uw interne netwerk leidt.

Kerberoasting is een aanval op Active Directory waarbij elke aangemelde gebruiker servicetickets aanvraagt voor accounts waaronder diensten draaien, die tickets meeneemt en offline kraakt om de wachtwoorden van die accounts te achterhalen. Er zijn geen bijzondere rechten voor nodig, het maakt weinig lawaai en het werkt het best tegen serviceaccounts met zwakke, oude wachtwoorden, die vaak brede rechten hebben. Verdediging is lange willekeurige wachtwoorden voor serviceaccounts, bij voorkeur beheerde serviceaccounts die automatisch roteren, sterke versleutelingstypen voor Kerberos, en alerts in de directorylogs als één host in korte tijd veel servicetickets aanvraagt. De ticketaanvragen zijn directorygebeurtenissen, zichtbaar voor identiteitsmonitoring en minder voor een flowsensor. NetSenX alarmeert niet op Kerberos-activiteit; het ziet waarvoor de gekraakte accounts daarna worden gebruikt, zoals nieuwe beheersessies naar servers.

Bij pass-the-hash gebruikt een aanvaller de opgeslagen hash van een wachtwoord, gehaald uit het geheugen of van de schijf van een gecompromitteerde computer, om zich als die gebruiker te authenticeren zonder het wachtwoord zelf ooit te kennen. Het werkt met de oudere NTLM-authenticatie die in veel netwerken nog gangbaar is, en laat een aanvaller met de identiteit van een beheerder van machine naar machine trekken. Verdediging is onder meer: niet inloggen met domeinbeheerdersaccounts op gewone werkplekken, een uniek lokaal beheerderswachtwoord per machine, beveiligingen die het uitlezen van inloggegevens uit het geheugen tegenhouden, NTLM beperken of uitschakelen waar mogelijk, en endpointbeveiliging. De diefstal van de hash gebeurt op een host; het hergebruik verschijnt op het netwerk als beheerverbindingen tussen machines die normaal niet met elkaar praten. NetSenX detecteert die laterale beweging op elk abonnement; het authenticatieprotocol zelf inspecteert het niet.

Een drive-by-download besmet een computer wanneer iemand alleen maar een webpagina bezoekt: een gecompromitteerde legitieme website, een kwaadaardige advertentie, of een pagina die zich voordoet als browserupdate of CAPTCHA en de gebruiker iets laat uitvoeren. De CISA-waarschuwing over de ransomwaregroep Interlock, AA25-203A van 22 juli 2025, beschrijft drive-by-downloads van gecompromitteerde legitieme websites en de ClickFix-techniek, waarbij een valse melding de gebruiker overhaalt een commando te plakken en uit te voeren. Verdediging is actuele browsers en besturingssystemen, DNS- en webfiltering, voorkomen dat gebruikers geplakte scripts uitvoeren, en mensen leren dat een website nooit nodig heeft dat zij een commando uitvoeren. Zodra er iets draait, belt het meestal naar huis: NetSenX detecteert de beaconing naar een nieuwe externe server die daarop volgt, op elk abonnement.

Een botnet is een netwerk van besmette computers, routers, camera's en andere apparaten die een crimineel op afstand bestuurt en verhuurt voor spam, credential stuffing, denial-of-service-aanvallen of als doorgeefluik voor andere misdrijven. Eigenaren merken het zelden, omdat het apparaat blijft werken; de prijs is uw bandbreedte, uw publieke adres op blokkeerlijsten en een aanvaller met een steunpunt in uw netwerk. Tekenen zijn een apparaat dat met vaste tussenpozen een commandoserver benadert, plotselinge golven uitgaande verbindingen naar veel adressen, mail vanaf een apparaat dat geen mail hoort te sturen, of een melding van uw provider of nationale CERT. Werk apparaten aan internet bij, wijzig hun standaardwachtwoorden en blokkeer uitgaande mail behalve vanaf uw mailserver. NetSenX detecteert beaconing en ongewoon uitgaand volume per host op elk abonnement, ook voor apparaten waarop geen agent kan draaien.

Een remote-access-trojan is malware die een aanvaller volledige controle over een computer geeft: hij kan het scherm zien, toetsaanslagen vastleggen, bestanden openen, de camera aanzetten, commando's uitvoeren en de machine als springplank naar het netwerk gebruiken. Ze komt meestal binnen via phishingbijlagen, nep-softwaredownloads of gekraakte programma's, en houdt verbinding met haar operator, permanent open of door met tussenpozen contact te zoeken. Op de computer zijn endpointbeveiliging en applicatiebeheer de belangrijkste verdediging. Op het netwerk is de verbinding met de operator het betrouwbaarste teken: klein, regelmatig verkeer naar een onbekende bestemming, vaak via HTTPS of een ongebruikelijke poort, soms doorgegeven via een legitieme clouddienst. NetSenX detecteert die beaconing op elk abonnement en vergelijkt vanaf het Starter-plan TLS-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPAN/TAP-sensor.

Een initial access broker is een crimineel die bij bedrijven inbreekt en die toegang aan anderen verkoopt in plaats van haar zelf te gebruiken: VPN-logins, inloggegevens voor remote desktop, een webshell op een server of controle over een besmette laptop. Ransomwaregroepen en andere criminelen kopen zulke toegang op criminele marktplaatsen en beginnen van daaruit hun aanval, soms weken later. Voor een slachtoffer heeft dat twee gevolgen. De eerste inbraak kan stil zijn en los lijken te staan van de latere schade, en wie versleutelt is misschien niet degene die binnenkwam. En de tijd tussen toegang en aanval is een kans: accounts die vanaf ongewone plekken worden gebruikt, een nieuwe tool voor externe toegang of een server die een extern adres belt, zijn te vinden voordat de koper komt. NetSenX detecteert de beaconing en nieuwe sessies die zulke toegang doorgaans oplevert, op elk abonnement; de aanmeldingen staan in identiteitslogs.

Een webshell is een klein kwaadaardig script op een webserver, meestal geplaatst via een kwetsbaarheid in een applicatie aan internet, waarmee een aanvaller via gewone webverzoeken commando's op de server kan uitvoeren. Het is een gangbare manier om toegang te houden tot misbruikte systemen zoals servers voor bestandsoverdracht, mailservers of contentmanagementsystemen, en het gaat op in normaal webverkeer. Tekenen zijn nieuwe of gewijzigde scriptbestanden in webmappen, webserverprocessen die opdrachtregels starten, en de server zelf die plotseling verbinding maakt met internet of met interne machines waarmee hij nooit praatte. Patch applicaties aan internet snel, bewaak webmappen op wijzigingen en beperk wat de webserver kan bereiken. Het bestand is op de host zichtbaar; NetSenX ziet het netwerkgedrag dat volgt, zoals een publiek bereikbare server die het interne netwerk scant of ongewone volumes naar buiten stuurt, op elk abonnement.

Protocoltunneling is het ene soort verkeer verbergen in het andere, zodat het door firewalls komt en onschuldig lijkt: commando's of gestolen data verpakt in DNS-opvragingen, in gewone webverzoeken, in ICMP-pings of binnen een SSH-verbinding. Aanvallers gebruiken het om een commandokanaal open te houden als directe verbindingen geblokkeerd zijn, of om via één gecompromitteerde host interne systemen te bereiken. Het valt op als protocollen zich vreemd gedragen: DNS-opvragingen met lange willekeurige namen, pings die veel meer data meedragen dan normaal, een SSH-sessie die dagen duurt en veel data verplaatst, of een host die verbindingen doorstuurt voor anderen. Beperk welke protocollen het netwerk mogen verlaten en vanaf welke hosts, en dwing DNS via uw eigen resolvers. NetSenX detecteert DNS-tunneling en signaleert beaconing en ongewoon uitgaand volume op elk abonnement; het ontsleutelt nooit verkeer, dus een versleutelde tunnel wordt op zijn patroon beoordeeld.

Omdat ze vertrouwd worden. Tools voor ondersteuning en beheer op afstand zijn ondertekend, vaak geïnstalleerd en toegestaan door firewalls, dus antivirus meldt ze zelden, en hun verkeer gaat net als elke legitieme sessie naar de cloud van de leverancier. Aanvallers installeren ze na binnenkomst, of misbruiken tools die er al staan, om toegang te houden die een wachtwoordwijziging overleeft. De CISA-waarschuwingen over groepen als Akira en Medusa beschrijven precies dit gebruik van software voor externe toegang. Houd een lijst bij van de tools die uw bedrijf echt gebruikt, blokkeer de installatie van andere, vereis multifactorauthenticatie (MFA) voor de tools die u toestaat, en verwijder wat niemand nodig heeft. Op het netwerk verschijnt een onverwachte tool als een host die regelmatig verbinding maakt met een leverancier van externe toegang die hij nooit gebruikte. NetSenX signaleert zulke nieuwe regelmatige contacten als beaconing op elk abonnement; of een tool is goedgekeurd, beslist u.

Een wiper vernietigt data in plaats van die voor losgeld vast te houden: ze overschrijft bestanden, schijfstructuren of firmware, zodat systemen niet meer opstarten of data niet meer te herstellen is. Ze wordt gebruikt voor sabotage, soms vermomd als ransomware met een losgeldbriefje dat nergens heen leidt, en bedrijven kunnen als bijkomende schade worden getroffen als ze zich via gedeelde leveranciers of netwerken verspreidt. Omdat er niets te onderhandelen valt, zijn offline back-ups en een geteste herstelplanning het enige echte antwoord. De stappen vóór het wissen lijken op die van andere inbraken: toegang, command and control, beweging naar veel machines, soms via centrale beheertools die de wiper overal tegelijk uitrollen. NetSenX detecteert het wissen zelf niet, dat gebeurt op hosts; het bewaakt de eerdere stappen, zoals beaconing, scans en laterale beweging, op elk abonnement.

Cryptojacking is criminelen die uw computers, servers of cloudaccounts gebruiken om voor zichzelf cryptovaluta te minen. Het steelt zelden data, maar kost stroom en clouduitgaven, vertraagt systemen, slijt hardware en toont dat iemand een weg naar binnen heeft, vaak via een ongepatchte server aan internet of gestolen cloudsleutels. Op de host ziet u aanhoudend hoge processorbelasting door een onbekend proces. Op het netwerk houden miners een langdurige verbinding met een miningpool, vaak op ongebruikelijke poorten, met kleine regelmatige berichten in beide richtingen, dag en nacht. Blokkeer bekende miningpoolbestemmingen op de firewall waar het kan, controleer cloudrekeningen op onverklaarde rekenkracht en patch servers aan internet. NetSenX signaleert regelmatige, aanhoudende verbindingen met een nieuwe externe bestemming als beaconing op elk abonnement; de processorbelasting is een zaak voor endpoint- of cloudmonitoring.