Wat is…? Netwerk- en beveiligingstermen

Een firewall is een apparaat of programma dat bepaalt welke netwerkverbindingen zijn toegestaan en de rest blokkeert, op basis van regels die u instelt. Hij staat meestal tussen uw kantoornetwerk en internet, en soms tussen interne segmenten, bijvoorbeeld tussen kantoor-pc's en productiemachines. Een regel kan zeggen: computers op kantoor mogen via webpoorten het internet op, maar niemand van buiten mag de bestandsserver bereiken. Een firewall is onmisbaar, maar beoordeelt verbindingen alleen aan de hand van zijn regels; een indringer die een toegestane verbinding gebruikt, merkt hij niet op. Netwerkdetectie kijkt naar wat er binnen die toegestane verbindingen gebeurt.

Een router is het apparaat dat het ene netwerk met het andere verbindt en het verkeer daartussen doorgeeft, meestal uw kantoornetwerk met internet. Hij bepaalt waar elk datapakket naartoe moet, zoals een postsorteercentrum. In kleine kantoren is de router vaak ook firewall, wifi-toegangspunt en het apparaat dat computers een adres geeft. Omdat alles wat uw netwerk verlaat erdoorheen gaat, is hij belangrijk voor beveiliging: houd de software bij, wijzig het standaardwachtwoord van de beheerder, zet beheer op afstand vanaf internet uit en kijk af en toe naar de lijst met verbonden apparaten.

Een netwerkswitch is het kastje met veel aansluitingen dat de computers, printers en servers in een kantoor met elkaar verbindt en elk stuk verkeer alleen naar het apparaat stuurt waarvoor het bedoeld is. Onbeheerde switches werken direct na het aansluiten. Beheerde switches zijn instelbaar: ze kunnen het netwerk opsplitsen in aparte segmenten (VLAN's) en verkeer kopiëren naar een monitorpoort, een functie die port mirroring of SPAN heet. Via die kopie ziet een netwerksensor het verkeer tussen apparaten zonder in de weg te zitten. Plant u netwerkmonitoring, controleer dan of uw hoofdswitch beheerd is.

Een VLAN (virtual local area network, virtueel lokaal netwerk) is een manier om één fysiek netwerk met switchinstellingen in meerdere gescheiden netwerken op te delen, zodat apparaten in het ene VLAN niet rechtstreeks met apparaten in een ander VLAN kunnen praten. Een bedrijf kan kantoor-pc's, gastenwifi, pinautomaten en camera's in verschillende VLAN's zetten en alleen de verbindingen toestaan die elke groep nodig heeft. Dat beperkt hoe ver een besmetting zich verspreidt. Een VLAN is zo goed als de regels tussen VLAN's, meestal ingesteld op de router of firewall, en die regels verschuiven in de loop van de tijd. Het verkeer tussen segmenten bekijken laat zien of de geplande scheiding echt standhoudt.

Een IP-adres (Internet Protocol) is het nummer waarmee een apparaat op een netwerk wordt herkend, zodat data erbij kan worden afgeleverd, zoals een postadres voor computers. Op kantoor hebben apparaten meestal privéadressen zoals 192.168.1.20, die niet rechtstreeks vanaf internet bereikbaar zijn; de router heeft een openbaar adres dat de buitenwereld ziet. Adressen kunnen veranderen wanneer een apparaat opnieuw verbinding maakt, daarom leggen beveiligingstools ook de apparaatnaam of het hardwareadres vast. Noemt een melding een IP-adres, dan is de eerste stap meestal uitzoeken welk apparaat dat adres op dat moment had.

Een MAC-adres (media access control) is een hardware-identificatie die in elke netwerkinterface is ingebouwd, zoals de wifi- of kabelaansluiting van een laptop, geschreven als zes paren tekens, bijvoorbeeld 3C:22:FB:1A:4D:90. Apparaten op hetzelfde lokale netwerk gebruiken het om elkaar data te bezorgen. Anders dan een IP-adres verandert het meestal niet bij een nieuwe verbinding, zodat het helpt een apparaat over langere tijd te herkennen, al gebruiken moderne telefoons en laptops op wifi vaak willekeurige MAC-adressen voor privacy. Netwerkoverzichten gebruiken MAC-adressen samen met apparaatnamen om apparaten uit elkaar te houden.

DHCP (Dynamic Host Configuration Protocol) is de dienst die elk apparaat bij het verbinden automatisch een IP-adres en basisnetwerkinstellingen geeft, zodat niemand ze met de hand hoeft in te voeren. In kleine kantoren doet de router dat meestal, in grotere bedrijven een server. De DHCP-server houdt een lijst bij van welk apparaat welk adres kreeg en wanneer, de zogeheten leases. Die lijst is nuttig voor beveiliging: ze helpt uitzoeken welk apparaat het adres uit een melding had, en ze laat apparaten zien waarvan u niet wist dat ze verbonden waren. Bewaar die gegevens zo lang als een onderzoek ze nodig kan hebben.

DNS (Domain Name System) is het telefoonboek van internet: het vertaalt namen zoals netsenx.com naar de IP-adressen die computers nodig hebben om verbinding te maken. Elke keer dat iemand een website opent of een applicatie een server benadert, gaat er meestal eerst een DNS-opvraging aan vooraf. Dat maakt DNS nuttig voor beveiliging: de namen die een apparaat opvraagt, laten zien waar het naartoe wil, ook naar een malwareserver of een niet-goedgekeurde AI-dienst. Aanvallers misbruiken DNS ook, bijvoorbeeld door data in opvragingen te verstoppen, wat DNS-tunneling heet. DNS via uw eigen resolvers laten lopen en hun logs bewaren helpt bij onderzoeken.

NAT (network address translation) is de techniek waarmee een router veel apparaten met privéadressen één openbaar internetadres laat delen. Als een pc op uw kantoor een website bezoekt, vervangt de router het privéadres van de pc door zijn eigen openbare adres en onthoudt hij welk antwoord bij welk apparaat hoort. Door NAT zijn uw kantoorapparaten standaard niet rechtstreeks vanaf internet bereikbaar, wat helpt, maar NAT is geen firewall: regels voor port forwarding kunnen bewust een weg naar binnen openen. Voor onderzoek betekent NAT dat partijen buiten alleen het adres van de router zien, dus uw eigen logs moeten laten zien welk intern apparaat het was.

Een netwerkpoort is een nummer dat aangeeft voor welke dienst op een apparaat een verbinding bedoeld is, zodat één computer tegelijk een webserver, een mailserver en toegang op afstand kan draaien. Gangbare voorbeelden: poort 443 voor beveiligde websites, 22 voor beheer op afstand via SSH, 3389 voor extern bureaublad en 445 voor bestandsdeling. Een poort heet open als er een dienst op luistert. Open poorten die vanaf internet bereikbaar zijn, zijn een veelgebruikte ingang voor aanvallers, daarom moet u weten welke u hebt. Een poortscan is iemand die veel poorten afgaat om open poorten te vinden.

Een netwerkpakket is een kleine eenheid data die over een netwerk wordt verstuurd; grotere berichten, bestanden en webpagina's worden in veel pakketten opgedeeld en aan de andere kant weer samengevoegd. Elk pakket heeft een header, zoals de envelop van een brief, met de adressen en poorten van afzender en ontvanger, en een inhoud. Versleuteling beschermt de inhoud, maar een groot deel van de header blijft leesbaar zodat het netwerk het pakket kan afleveren. Beveiligingstools die pakketten vastleggen, kunnen die headers en enkele onversleutelde protocolvelden lezen; NetSenX doet dat waar pakketcapture is ingeschakeld en ontsleutelt de inhoud nooit.

Een netwerkprotocol is een afgesproken set regels voor hoe apparaten data uitwisselen, zodat apparatuur van verschillende fabrikanten elkaar begrijpt. Sommige protocollen vervoeren data (TCP en UDP), andere vinden adressen (DHCP, ARP), vertalen namen (DNS), beschermen data (TLS) of dienen een specifiek doel, zoals SSH voor beheer op afstand, SMB voor bestandsdeling of Modbus voor industriële machines. Beveiligingstools herkennen protocollen om te begrijpen wat een verbinding doet. Een onverwacht protocol, zoals verkeer voor beheer op afstand vanaf een printer of industriële opdrachten vanaf een kantoorlaptop, is vaak een signaal om na te gaan.

Een subnet is een reeks IP-adressen die één deel van een netwerk vormt, bijvoorbeeld 192.168.10.0 tot 192.168.10.255 voor kantoor en een andere reeks voor servers. Een netwerk in subnetten opdelen, meestal samen met VLAN's, groepeert apparaten en laat de router of firewall het verkeer tussen groepen regelen. Beheerders schrijven subnetten in een korte vorm zoals 192.168.10.0/24, waarbij het getal na de schuine streep aangeeft hoe groot de reeks is. In beveiligingsrapporten betekent een scan van een subnet dat één apparaat bij veel adressen in die reeks heeft aangeklopt, vaak een teken dat iemand het netwerk in kaart brengt.

Een LAN (local area network) is het netwerk binnen één gebouw of locatie, dat de computers, printers en servers daar verbindt. Een WAN (wide area network) verbindt netwerken over afstand, bijvoorbeeld meerdere kantoren van hetzelfde bedrijf of een locatie met internet. Verkeer binnen het LAN komt vaak nooit langs de firewall aan de rand van internet, dus een firewall alleen ziet niet hoe een gecompromitteerde pc de bestandsserver ernaast aanvalt. Dat interne verkeer, soms oost-westverkeer genoemd, is wat netwerkdetectie op een spiegelpoort bekijkt. Verbindingen tussen locaties, vaak VPN's, verdienen dezelfde aandacht.

Een proxyserver is een tussenpersoon die verbindingen maakt namens andere apparaten: een computer vraagt de proxy om een webpagina, en de proxy haalt die op. Bedrijven gebruiken proxy's om websites te filteren, webtoegang te loggen of inhoud te cachen. Sommige proxy's inspecteren versleuteld verkeer door het te ontsleutelen en opnieuw te versleutelen, wat een bedrijfscertificaat op elk apparaat vereist en privacyvragen oproept. Aanvallers gebruiken ook proxy's, om te verbergen waar hun verkeer vandaan komt. Een netwerksensor die verbindingen ziet samenkomen bij een onverwachte proxy of anonimiseringsdienst, heeft iets gevonden om na te gaan. NetSenX ontsleutelt nooit verkeer en werkt niet als proxy.

Een netwerk-TAP (test access point) is een klein hardwareapparaat op een netwerkkabel dat al het verkeer dat erdoorheen gaat naar een monitorpoort kopieert, zonder het oorspronkelijke verkeer te veranderen of te vertragen. Het doet hetzelfde als een spiegelpoort op een beheerde switch, maar werkt op elke kabel en verliest geen pakketten als de switch druk is. TAP's zijn gebruikelijk waar switches onbeheerd zijn, in industriële netwerken of wanneer een auditor een onafhankelijke kopie wil. Met NetSenX bewaakt een agent op een host aan een TAP het hele segment en telt die als één apparaat.

NetFlow en vergelijkbare formaten zoals IPFIX en sFlow zijn samenvattingen van netwerkverbindingen die routers en switches kunnen exporteren: wie met wie praatte, op welke poorten, wanneer en met hoeveel bytes en pakketten. Een flowrecord is als een telefoonrekening: het noemt de gesprekken, niet wat er werd gezegd. Flowdata helpt bij capaciteitsplanning en bij het opmerken van ongebruikelijke volumes of bestemmingen, en is goedkoper op te slaan dan volledig verkeer. Details zoals DNS-antwoorden of de TLS-handshake ontbreken. NetSenX leest zijn eigen kopie van het verkeer van een agent of spiegelpoort, in plaats van alleen te vertrouwen op geëxporteerde flowgegevens.

ARP (Address Resolution Protocol) is de manier waarop apparaten op een lokaal netwerk het hardwareadres vinden dat bij een IP-adres hoort, bijvoorbeeld om verkeer bij de router af te leveren. Omdat ARP elk antwoord vertrouwt dat binnenkomt, kan een aanvaller op hetzelfde netwerk valse antwoorden sturen en zich voordoen als de router of een ander apparaat. Dat is ARP-spoofing, waarmee de aanvaller doorgaand verkeer kan meelezen of wijzigen, een vorm van man-in-the-middle-aanval. Beheerde switches hebben er beschermingen tegen. NetSenX geeft meldingen voor ARP-spoofing vanaf het Pro-abonnement, op de segmenten die het bewaakt.

TCP (Transmission Control Protocol) en UDP (User Datagram Protocol) zijn de twee belangrijkste manieren waarop data over netwerken reist. TCP zet een verbinding op, nummert de pakketten en verstuurt verloren pakketten opnieuw, zodat alles compleet en in de goede volgorde aankomt; websites, e-mail en bestandsoverdracht gebruiken het. UDP stuurt pakketten gewoon zonder controle, wat sneller is en past bij spraakgesprekken, video, DNS-opvragingen en een deel van het nieuwere webverkeer. Voor beveiligingstools maakt het verschil uit: een TCP-verbinding heeft een duidelijk begin en einde, terwijl UDP-verkeer door de tool zelf gegroepeerd moet worden. Scans en floods kunnen beide gebruiken.

ICMP (Internet Control Message Protocol) vervoert controle- en foutberichten tussen apparaten, zoals host onbereikbaar. Ping is het eenvoudigste hulpmiddel dat het gebruikt: het stuurt een kort bericht naar een adres en wacht op antwoord, om te controleren of een apparaat bereikbaar is en hoe snel. Beheerders gebruiken ping dagelijks. Aanvallers ook, om te ontdekken welke adressen actief zijn voordat ze die scannen, en floods van ICMP-berichten kunnen een verbinding of apparaat overbelasten. Veel firewalls beperken ICMP vanaf internet. NetSenX geeft op elk abonnement een melding bij ICMP-floods.

SMB (Server Message Block) is het protocol dat de meeste kantoornetwerken gebruiken om bestanden en printers te delen, bijvoorbeeld als u een document op een netwerkschijf opent. Omdat het toegang geeft tot bedrijfsdata en ook voor beheer op afstand wordt gebruikt, leunen aanvallers er sterk op zodra ze binnen zijn: om data te kopiëren, zich naar andere machines te verspreiden en, bij ransomware-aanvallen, bestanden op gedeelde mappen te versleutelen. SMB mag nooit vanaf internet bereikbaar zijn. Binnen het netwerk is een werkplek die plotseling SMB-sessies naar veel servers opent een klassiek teken van laterale beweging, dat NetSenX op elk abonnement markeert.

Een domeincontroller is de server die in veel bedrijfsnetwerken aanmeldingen controleert en de centrale lijst van gebruikers, computers en rechten bijhoudt, meestal met Active Directory van Microsoft. Als iemand zich aanmeldt op een bedrijfscomputer, bevestigt de domeincontroller wie diegene is en waar hij bij mag. Dat maakt hem het waardevolste doelwit voor een aanvaller: wie hem beheerst, beheerst de accounts van het bedrijf. Bescherm hem met aparte beheeraccounts, waar mogelijk meervoudige authenticatie en strikte netwerktoegang. Een werkplek die plots op ongebruikelijke wijze met de domeincontroller praat, verdient een controle.

NTP (Network Time Protocol) houdt de klokken van computers en netwerkapparaten gelijk met een nauwkeurige tijdbron. Het klinkt onbelangrijk, maar elk log, elke melding en elke incidenttijdlijn hangt ervan af. Loopt de firewall vijf minuten voor, de server twee uur achter en staat een camerarecorder op het verkeerde jaar, dan kan niemand reconstrueren wat er in welke volgorde gebeurde, en wordt bewijs voor verzekeraars, auditors of autoriteiten zwak. Laat alle apparaten dezelfde betrouwbare tijdbron gebruiken, controleer af en toe of ze overeenkomen en noteer welke tijdzone uw logs gebruiken. Het is een van de goedkoopste beveiligingsmaatregelen die er zijn.

Syslog is een al lang gebruikte standaard om logberichten van apparaten zoals firewalls, switches, routers en servers naar één centrale plek te sturen. In plaats van dat elk apparaat een eigen klein log bijhoudt dat na een paar dagen wordt overschreven, sturen ze allemaal hun berichten naar een logserver of een SIEM (security information and event management). Centrale logs zijn voor een aanvaller lastiger te wissen en makkelijker te doorzoeken als u moet weten wat er gebeurde. Controleer of uw belangrijke apparaten syslog ergens naartoe sturen, of de klokken kloppen en of de opslag genoeg geschiedenis bewaart voor een onderzoek.

SNMP (Simple Network Management Protocol) laat beheerders netwerkapparaten zoals switches, printers en routers bewaken en soms instellen: hun status, verkeerstellers en instellingen. Het is zeer gangbaar en zeer oud. Oudere versies beschermen de toegang alleen met een gedeeld woord, de community string, dat vaak op de standaardwaarde public of private blijft staan, waardoor iedereen op het netwerk de instellingen van apparaten kan lezen of zelfs wijzigen. Gebruik waar mogelijk SNMP versie 3 met echte inloggegevens, wijzig standaardwaarden en beperk welke hosts apparaten mogen bevragen. SNMP-verkeer van een onverwachte host kan erop wijzen dat iemand het netwerk in kaart brengt.

Een endpoint is een apparaat aan het eind van een netwerkverbinding dat mensen of programma's rechtstreeks gebruiken: laptops, desktops, servers, telefoons en tablets, en soms printers of terminals. Endpointbeveiliging is de bescherming die op die apparaten wordt geïnstalleerd, van virusscanner tot EDR (endpoint detection and response). De term doet ertoe omdat veel beveiligingsproducten alleen endpoints dekken. Apparaten waarop zulke software niet kan draaien, zoals camera's, gebouwregelaars of industriële machines, vallen erbuiten, net als een endpoint waarvan de beveiliging is uitgeschakeld. Netwerkdetectie bewaakt ze allemaal via hun verkeer.

In een netwerk is een host elk apparaat met een adres dat verkeer verstuurt of ontvangt: een pc, een server, een printer, een telefoon, een camera of een virtuele machine. Beveiligingstools spreken van hosts in plaats van computers, omdat bij aanvallen vaak apparaten betrokken zijn die niemand als computer ziet. Zegt een melding dat een host beaconing of scans uitvoert, dan is de eerste taak uitzoeken welk fysiek of virtueel apparaat het is en van wie. In de prijzen van NetSenX is een apparaat een host waarop de NetSenX-agent draait; één agent op een spiegelpoort bewaakt elke host in dat segment.

Een DMZ (gedemilitariseerde zone) is een apart netwerksegment voor servers die vanaf internet bereikbaar moeten zijn, zoals een openbare webserver, een mailgateway of een gateway voor toegang op afstand, gescheiden van het interne netwerk. Wordt een van die blootgestelde servers gecompromitteerd, dan beperken de firewallregels tussen de DMZ en het interne netwerk wat de aanvaller daarna kan bereiken. Het idee is simpel: wat naar internet gericht is, hoort niet naast uw bestandsserver te staan. Houd verkeer vanuit de DMZ naar interne systemen goed in de gaten; een DMZ-server die nieuwe sessies naar binnen begint, is een sterk teken van problemen.

Inkomend verkeer (ingress) is data die van buiten uw netwerk binnenkomt; uitgaand verkeer (egress) is data die het verlaat. Traditioneel gaat de meeste moeite naar inkomend verkeer, aanvallers bij de deur tegenhouden. Uitgaand verkeer verdient evenveel aandacht, want bijna elke aanval moet iets naar buiten sturen: malware die zijn besturingsserver belt, gestolen data die wordt geüpload of medewerkers die bedrijfsbestanden naar niet-goedgekeurde diensten sturen. Eenvoudige regels voor uitgaand verkeer, zoals uitgaande DNS alleen vanaf uw eigen resolvers toestaan, helpen al. NetSenX houdt uitgaand verkeer goed in de gaten: beaconing naar externe servers en ongebruikelijk uitgaand datavolume geven op elk abonnement meldingen.

Noord-zuidverkeer stroomt tussen uw netwerk en de buitenwereld, bijvoorbeeld van een kantoor-pc naar internet; oost-westverkeer stroomt tussen apparaten binnen uw netwerk, bijvoorbeeld van een pc naar de bestandsserver. De firewall aan de rand ziet noord-zuidverkeer, maar meestal geen oost-westverkeer. Is een aanvaller eenmaal binnen, dan is het meeste van zijn werk oost-west: scannen, inloggen op andere machines, data kopiëren naar een tussenserver. Daarom wordt laterale beweging zichtbaar in het interne verkeer, gezien vanaf een spiegelpoort binnen het netwerk. NetSenX bewaakt beide richtingen op de segmenten die het monitort.

Bandbreedte is hoeveel data een verbinding per seconde kan vervoeren, zoals de breedte van een weg; latentie is hoe lang data onderweg is, zoals de reistijd. Een videogesprek vraagt gemiddelde bandbreedte en lage latentie; een nachtelijke back-up vraagt bandbreedte maar verdraagt latentie. Beide doen ertoe voor beveiliging, op twee manieren. Een plotselinge stijging van de uitgaande bandbreedte van één apparaat kan op datadiefstal of een malwarebesmetting wijzen. En beveiligingstools die inline in het verkeer zitten, kunnen latentie toevoegen, wat passieve sensoren op een spiegelpoort niet doen, omdat ze alleen een kopie krijgen.

WPA2 en WPA3 (Wi-Fi Protected Access, versies 2 en 3) zijn de beveiligingsstandaarden die wifiverkeer versleutelen en bepalen wie zich bij een draadloos netwerk mag aansluiten. WPA3 is nieuwer en beschermt beter tegen het raden van wachtwoorden. Gebruik op kantoor WPA2 of WPA3 met een sterk wachtwoord, of beter nog de enterprisemodus waarin elke persoon met een eigen account inlogt, zodat u de toegang van een vertrekkende medewerker kunt intrekken zonder het wachtwoord voor iedereen te wijzigen. Houd gasten op een apart netwerk dat interne apparaten niet kan bereiken. Oude standaarden zoals WEP en WPA horen niet meer gebruikt te worden.

Een API (application programming interface) is een vastgelegde manier waarop het ene programma met het andere praat, bijvoorbeeld zodat uw boekhoudsoftware banktransacties ophaalt of een ticketsysteem beveiligingsmeldingen ontvangt. API's zijn meestal beschermd met sleutels of tokens die als wachtwoorden voor programma's werken. Die sleutels zijn waardevol voor aanvallers, dus bewaar ze veilig, geef elke sleutel alleen de rechten die nodig zijn, vervang ze regelmatig en verwijder ze als een koppeling niet meer wordt gebruikt. NetSenX biedt API-toegang vanaf het Pro-abonnement, zodat meldingen en data in uw eigen tools terechtkomen.

Single sign-on (SSO) laat mensen één keer inloggen met één bedrijfsaccount en daarna veel applicaties gebruiken zonder voor elke applicatie een apart wachtwoord. Een centrale identiteitsprovider controleert de aanmelding, liefst met meervoudige authenticatie, en vertelt elke applicatie wie de persoon is, vaak via een standaard zoals SAML of OpenID Connect. SSO is goed voor beveiliging omdat er minder wachtwoorden te stelen zijn en vertrekkers overal tegelijk hun toegang verliezen zodra hun account wordt uitgeschakeld. De keerzijde is dat het centrale account erg waardevol wordt en goed beschermd moet worden. In NetSenX is SSO met SAML beschikbaar op het Enterprise-abonnement.

NAC (network access control) controleert apparaten voordat ze tot het netwerk worden toegelaten, bijvoorbeeld door een bedrijfscertificaat, een bijgewerkt besturingssysteem of een bekend hardwareadres te eisen voordat een switchpoort of wifinetwerk ze binnenlaat. Onbekende apparaten kunnen worden geweigerd of naar een gastennetwerk worden gestuurd. NAC verkleint het risico dat iemand simpelweg een wandcontactdoos inplugt, maar het bekijkt niet wat toegelaten apparaten daarna doen: een gecompromitteerde bedrijfslaptop komt door de controle. Netwerkdetectie vult NAC aan door het gedrag te bekijken zodra apparaten op het netwerk zijn.

Malware is alle software die is geschreven om schade aan te richten op een computer of netwerk: gegevens stelen, bestanden versleutelen voor losgeld, gebruikers bespioneren of een aanvaller op afstand de controle geven. Virussen, wormen, trojans, ransomware en spyware zijn allemaal soorten malware. De meeste malware komt binnen via een e-mailbijlage, een kwaadaardige link, een nepdownload of een niet-gepatchte dienst die vanaf internet bereikbaar is. Antivirus en EDR zoeken ernaar op elke computer. Zodra malware draait, moet die meestal via het netwerk communiceren, met de beheerder ervan of met andere machines, en dat verkeer is precies wat een netwerksensor zoals NetSenX in de gaten houdt.

Alle drie zijn malware, maar ze verspreiden zich verschillend. Een virus hecht zich aan een bestand of programma en verspreidt zich wanneer iemand dat bestand opent of deelt. Een worm verspreidt zich zelfstandig over het netwerk, meestal via een kwetsbaarheid en zonder dat een gebruiker iets doet; daarom kan een worm in enkele minuten honderden machines besmetten. Een trojan doet zich voor als iets nuttigs, zoals een factuur of een gratis tool, zodat de gebruiker hem zelf installeert; hij kopieert zichzelf niet, maar opent vaak een achterdeur. Voor verdedigers is de worm het luidruchtigst op het netwerk, omdat hij snel scant en veel machines benadert.

Een DDoS-aanval (Distributed Denial of Service) overspoelt een website, server of internetverbinding met zoveel verkeer uit zoveel bronnen dat echte gebruikers er niet meer doorheen komen. Het verkeer komt meestal van een botnet van gekaapte machines, dus één adres blokkeren helpt niet. Zulke aanvallen worden vaak gebruikt voor afpersing of om een securityteam af te leiden terwijl er iets anders gebeurt. Bescherming komt van uw internetprovider, uw hostingpartij of een gespecialiseerde DDoS-beschermingsdienst, die de vloed opvangen voordat die u bereikt. Een detectietool binnen uw netwerk stopt geen DDoS; die kan u wel laten zien of uw eigen machines aan een aanval meedoen.

Bij een brute-force-aanval worden wachtwoorden een voor een geprobeerd totdat er een werkt, op een e-maillogin, een VPN, een extern bureaublad of een SSH-server. Moderne varianten gebruiken lijsten met gelekte wachtwoorden, of proberen één veelgebruikt wachtwoord op veel accounts (password spraying) om blokkades te omzeilen. De verdediging is bekend: lange, unieke wachtwoorden, tweestapsverificatie, accountblokkering na mislukte pogingen en geen inlogdiensten die vanaf het hele internet bereikbaar zijn. De inloglogs van de dienst zelf zijn het definitieve bewijs. Op het netwerk vormen veel mislukte verbindingen met een inlogdienst in korte tijd een zichtbaar patroon, en NetSenX zoekt daarnaar in elk abonnement, in het verkeer dat het ziet.

Een poortscan controleert welke netwerkpoorten open staan op een machine of in een reeks adressen, om te achterhalen welke diensten draaien, zoals web, bestandsdeling of extern bureaublad. Beheerders scannen hun eigen netwerk voor de inventaris. Aanvallers scannen om een weg naar binnen te vinden, en zodra ze binnen zijn, scannen ze opnieuw van binnenuit om het volgende doelwit te zoeken. Scans vanaf internet raken elk publiek adres de hele dag en zijn grotendeels ruis. Een scan die begint bij een computer binnen uw netwerk is iets anders, en vaak een van de eerste zichtbare tekenen van een indringer. NetSenX detecteert scans in elk abonnement.

Bij een man-in-the-middle-aanval plaatst de aanvaller zich heimelijk tussen twee partijen die denken rechtstreeks met elkaar te communiceren, bijvoorbeeld tussen een laptop en de router, of tussen een gebruiker en een website. Van daaruit kan hij het verkeer meelezen, wachtwoorden stelen of wijzigen wat er wordt verstuurd. Gangbare methoden zijn nep-wifihotspots, ARP-spoofing op een lokaal netwerk en trucs waardoor een apparaat de verkeerde server vertrouwt. Versleuteling met goed gecontroleerde certificaten, zoals HTTPS, verijdelt de meeste pogingen. NetSenX meldt ARP-spoofing vanaf het Pro-abonnement, wat de meest voorkomende vorm van deze aanval op een lokaal netwerk dekt.

Een kwetsbaarheid is een zwakke plek die een aanvaller kan gebruiken om iets te doen wat hij niet zou moeten kunnen: eigen code uitvoeren, gegevens lezen of een login omzeilen. Het kan een softwarefout zijn, een standaardwachtwoord dat niemand heeft gewijzigd, een verkeerd ingestelde dienst of een oud protocol dat nog aan staat. Kwetsbaarheden in populaire producten krijgen openbare kenmerken en ernstscores, zodat u kunt nagaan of u getroffen bent. Niet elke kwetsbaarheid weegt even zwaar: een lek in een VPN-gateway die vanaf internet bereikbaar is, is veel urgenter dan een lek in een programma dat niemand kan bereiken. De eerste stap is weten wat u draait en wat bereikbaar is.

Een exploit is een stuk code of een techniek die misbruik maakt van een specifieke kwetsbaarheid om een systeem te laten doen wat de aanvaller wil. De kwetsbaarheid is het openstaande raam; de exploit is degene die erdoor naar binnen klimt. Zodra een exploit voor een populair product openbaar is, doorzoeken aanvallers vaak binnen dagen, soms uren, het hele internet naar kwetsbare systemen. Daarom is snel patchen van systemen die vanaf internet bereikbaar zijn zo belangrijk. Na een geslaagde exploit legt de aanvaller meestal nieuwe verbindingen, haalt hij tools binnen of stapt hij over naar andere machines, en die activiteit kan zichtbaar zijn op het netwerk, ook als de exploit zelf dat niet was.

Een beveiligingspatch is een update van een software- of hardwareleverancier die een kwetsbaarheid verhelpt. Er zijn patches voor besturingssystemen, browsers, kantoorsoftware, firewalls, VPN-gateways, printers en industriële apparaten. Ze snel installeren is een van de meest effectieve beveiligingsmaatregelen die er zijn, omdat de meeste aanvallen bekende kwetsbaarheden gebruiken en geen nieuwe. Patch eerst de systemen die vanaf internet bereikbaar zijn en daarna al het andere volgens een vast schema. Sommige systemen kunnen niet gepatcht worden, zoals oude machines die de productie aansturen; die hebben andere bescherming nodig, zoals een apart netwerksegment en toezicht op waarmee ze communiceren.

Een CVE (Common Vulnerabilities and Exposures) is een openbaar kenmerk voor een bekende kwetsbaarheid, geschreven als bijvoorbeeld CVE-2024-3400: het jaar, dan een nummer. De lijst wordt beheerd door de MITRE Corporation samen met partnerorganisaties, en dankzij het CVE-nummer hebben leveranciers, securityteams en tools het over precies hetzelfde probleem. Publiceert een leverancier een beveiligingsadvies, dan staan daarin de CVE's die worden opgelost. Leest u dat een CVE actief wordt misbruikt, ga dan na of u het betreffende product in die versie gebruikt, en installeer de patch of pas de tijdelijke oplossing van de leverancier toe. De Europese Unie heeft ook een eigen kwetsbaarhedendatabase, beheerd door ENISA.

CVSS (Common Vulnerability Scoring System) geeft een kwetsbaarheid een ernstscore van 0 tot 10, op basis van onder meer of die via het netwerk aan te vallen is, of er een login nodig is en wat een aanvaller ermee kan. Scores van 9,0 en hoger gelden als kritiek. De score helpt bij het sorteren, maar beschrijft de kwetsbaarheid in het algemeen, niet uw situatie. Een kritiek lek in een systeem dat niemand kan bereiken, kan minder zwaar wegen dan een middelzwaar lek in uw VPN die vanaf internet bereikbaar is. Combineer de score met twee vragen: is dit bij ons bereikbaar, en is bekend dat het nu wordt misbruikt?

Een zero-day is een kwetsbaarheid die aanvallers kennen en misbruiken voordat de leverancier een oplossing heeft uitgebracht; verdedigers hebben dus nul dagen gehad om te patchen. Zero-days zijn waardevol en worden vooral gebruikt bij gerichte aanvallen, al verspreiden sommige zich later breed. Omdat er geen patch is en vaak ook nog geen signature, zien tools die alleen naar bekende dreigingen zoeken de exploit zelf niet. Wat helpt, is wat daarna gebeurt: de gecompromitteerde machine gaat zich anders gedragen, maakt verbinding met nieuwe bestemmingen, scant of verplaatst gegevens. Gedragsgebaseerde detectie op het netwerk richt zich op die fase, en goede back-ups en segmentatie beperken de schade.

TTP's staat voor Tactics, Techniques and Procedures (tactieken, technieken en procedures): hoe een aanvaller werkt, in plaats van welk bestand of adres hij gebruikt. Een tactiek is het doel, zoals binnenkomen, verborgen blijven of gegevens stelen. Een techniek is een manier om dat te bereiken, zoals wachtwoorden stelen of met beheertools van machine naar machine gaan. Procedures zijn de concrete stappen van een bepaalde groep. Het MITRE ATT&CK-framework is de gezamenlijke catalogus van deze technieken. TTP's doen ertoe omdat aanvallers adressen en bestanden makkelijk wisselen, maar hun gewoonten traag veranderen; gedrag detecteren werkt daardoor langer dan een lijst bekende indicatoren blokkeren.

Threat intelligence is informatie over aanvallers en hun methoden die u helpt uzelf te verdedigen: bekende kwaadaardige adressen en domeinen, vingerafdrukken van bestanden, beschrijvingen van actieve campagnes en de sectoren waarop die zich richten. Ze komt van beveiligingsleveranciers, nationale CSIRT's, brancheorganisaties en openbare bronnen. Ze is het nuttigst als ze actueel is en voor u relevant; een lijst met een miljoen oude adressen levert vooral ruis op. Voor een klein bedrijf is de praktische vorm meestal wat al in uw bestaande tools is ingebouwd, plus waarschuwingen van het NCSC of uw nationale CSIRT over kwetsbaarheden die worden misbruikt. Het vult het bewaken van uw eigen netwerk aan, maar vervangt het niet.

Het aanvalsoppervlak is alles wat een aanvaller zou kunnen gebruiken om binnen te komen: servers die vanaf internet bereikbaar zijn, VPN-gateways, e-mailaccounts, tools voor toegang op afstand, clouddiensten, telefoons en laptops van medewerkers, leveranciers met toegang en zelfs ongebruikte open poorten. Hoe groter het is, hoe meer er te verdedigen valt. Verkleinen is vaak goedkoper dan verdedigen: zet diensten uit die niemand gebruikt, sluit toegang op afstand die vanaf het hele internet open staat, verwijder oude accounts en beperk de toegang van leveranciers. Een goede eerste oefening is een lijst maken van wat u op internet aanbiedt; die is meestal langer dan verwacht.

Een threat actor is degene die achter een aanval zit: een criminele groep, een door een staat gesteund team, een hacktivist, een individu of iemand van binnen, zoals een ontevreden medewerker. De term wordt gebruikt omdat een persoon of groep de beslissingen neemt, niet een stuk software. De meeste aanvallen op kleine en middelgrote bedrijven komen van criminele groepen die op geld uit zijn, meestal via ransomware, afpersing of factuurfraude, en ze kiezen slachtoffers op gelegenheid, niet op naam. Weten welke actoren uw sector aanvallen, helpt bepalen waar u eerst in investeert, maar de basismaatregelen zijn tegen bijna allemaal dezelfde.

Een APT (advanced persistent threat) is een bekwame aanvaller met veel middelen, vaak gesteund door een staat, die zich op specifieke organisaties richt en lang onopgemerkt binnen probeert te blijven, meestal voor spionage of sabotage. Advanced, omdat hij eigen tools en zorgvuldige methoden gebruikt; persistent, omdat hij blijft terugkomen. Doelwitten zijn overheden, defensie, energie en hun toeleveranciers, en zo komen ook middelgrote bedrijven in beeld. Zulke aanvallers vermijden luidruchtige malware en gebruiken gewone beheertools, dus de signalen zijn vooral gedrag: ongebruikelijke verbindingen tussen interne machines en stil, regelmatig contact met externe servers.

Een false positive is een melding over iets onschuldigs: de tool zegt aanval, maar het was een back-uptaak of nieuwe software. Een false negative is een aanval die de tool heeft gemist. Elke detectietool maakt beide soorten fouten, en die trekken in tegengestelde richting: maak de tool gevoeliger en u krijgt meer vals alarm, maak hem stiller en u mist meer. Te veel false positives zijn op hun eigen manier gevaarlijk, omdat mensen meldingen niet meer lezen. Vraag bij het vergelijken van tools hoe ze met vals alarm omgaan en hoe u er een markeert, in plaats van te vertrouwen op één nauwkeurigheidscijfer.

Een SOC (security operations centre) is een team, met de tools die het gebruikt, dat de beveiligingsmeldingen van een organisatie bewaakt, onderzoekt en op incidenten reageert, vaak de klok rond. Grote bedrijven hebben er een van zichzelf. De meeste kleine en middelgrote bedrijven kunnen er geen bemannen; ze kopen de dienst in bij een managed security provider of vertrouwen op een of twee IT-mensen die tijdens kantooruren naar meldingen kijken. Welk model u ook hebt, de tools moeten weinig meldingen geven waarop een mens kan handelen. NetSenX levert geen SOC-dienst; het geeft uw team of uw provider de netwerkmeldingen met hun context.

Een CSIRT (Computer Security Incident Response Team), ook CERT genoemd, is een team dat beveiligingsincidenten afhandelt. Elk EU-land heeft een nationaal CSIRT; in Nederland is dat het NCSC, in België het Centrum voor Cybersecurity België (CCB). Onder de NIS2-richtlijn melden bedrijven die eronder vallen significante incidenten bij hun CSIRT of de bevoegde autoriteit: een vroegtijdige waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen een maand. Nationale CSIRT's publiceren ook waarschuwingen over misbruikte kwetsbaarheden, waarop u zich kunt abonneren. NetSenX houdt de NIS2-meldtermijnen bij in elk abonnement.

Een penetratietest, of pentest, is een geautoriseerde aanval op uw systemen door beveiligingsspecialisten, om zwakke plekken te vinden voordat echte aanvallers dat doen. De testers proberen vanaf internet binnen te komen, of beginnen binnen het netwerk alsof ze een indringer of een kwaadwillende medewerker zijn, en rapporteren daarna wat ze bereikten en hoe u het oplost. Een pentest is een momentopname van één tijdstip en één reikwijdte, meestal een paar dagen werk. Het is de moeite waard eens per jaar of na grote wijzigingen. Het is ook een goede test van uw detectie: vraag achteraf of uw tools de testers hebben opgemerkt, en wanneer.

Bij beveiligingsoefeningen speelt het red team de aanvaller en verdedigt het blue team. Een red-team-oefening is breder dan een penetratietest: ze probeert een doel te bereiken, zoals de financiële share lezen, met elk realistisch middel en zonder ontdekt te worden, en test dus mensen en processen naast techniek. Het blue team is wie detecteert en reageert, vaak het IT- of securityteam. Werken beide partijen open samen en delen ze wat werkte, dan heet dat purple teaming. De aanvalssimulatie (breach and attack simulation) van NetSenX, in het Business-abonnement, voert veilige gesimuleerde aanvalsstappen uit zodat u kunt nagaan wat uw detectie opmerkt.

Een kwetsbaarheidsscan is een automatische controle van uw systemen tegen een database van bekende kwetsbaarheden en zwakke instellingen, zoals ontbrekende patches, standaardwachtwoorden of verouderde versleuteling. Een scanner kijkt naar wat elke machine prijsgeeft en maakt een lijst met bevindingen en ernstscores. Het is goedkoper en kan vaker dan een penetratietest, maar vindt alleen bekende problemen en kan niet beoordelen hoe ze samen uitpakken. Scan regelmatig van buitenaf alles wat u op internet aanbiedt, en intern minstens om de paar maanden. Reken op veel bevindingen; begin met die op systemen die vanaf internet bereikbaar zijn en waarvan bekend is dat ze worden misbruikt.

Een honeypot is een lokaas: een nepserver, nepapparaat of nepaccount dat zo is ingericht dat geen enkele legitieme gebruiker het ooit hoeft aan te raken. Omdat niemand er verbinding mee zou moeten maken, is elke verbinding per definitie verdacht, wat een melding oplevert met bijna geen vals alarm. Honeypots op internet trekken voortdurend scans aan en worden vooral gebruikt voor onderzoek naar het gedrag van aanvallers. In een bedrijfsnetwerk kan een eenvoudige nepshare of nep-inlogpagina een indringer betrappen die rondkijkt. Honeypots moeten zorgvuldig worden afgeschermd, zodat ze zelf geen weg naar het echte netwerk worden.

Een sandbox is een afgeschermde omgeving waarin een verdacht bestand of een verdachte link veilig kan worden geopend om te zien wat het doet, zonder risico voor echte systemen. E-mailbeveiligingsdiensten sturen bijlagen vaak eerst naar een sandbox: probeert het bestand extra code te downloaden, systeeminstellingen te wijzigen of vreemde servers te benaderen, dan wordt het geblokkeerd. Sandboxen houden veel tegen, maar makers van malware kennen ze; sommige malware wacht, controleert of ze bekeken wordt, of wordt alleen actief op de computer van een echte gebruiker. Daarom is een sandbox één laag van meerdere, naast endpointbeveiliging en het bewaken van het netwerk.

Een allowlist somt op wat is toegestaan, en al het andere wordt geblokkeerd. Een denylist somt op wat wordt geblokkeerd, en al het andere mag. Firewalls, e-mailfilters en applicatiecontrole gebruiken allebei. Allowlists zijn strenger en veiliger, bijvoorbeeld wanneer een productiemachine alleen met de drie systemen mag praten die hij nodig heeft, maar ze vragen onderhoud. Denylists zijn eenvoudiger, maar houden alleen tegen wat al als kwaadaardig bekend is. Deze termen vervangen de oudere whitelist en blacklist. Bij detectie betekent allowlisten ook bekende onschuldige activiteit markeren, zoals een back-upserver, zodat die geen meldingen meer veroorzaakt.

Een IDS (Intrusion Detection System) bekijkt netwerkverkeer en geeft een melding wanneer het iets ziet dat overeenkomt met een bekend aanvalspatroon. Een IPS (Intrusion Prevention System) zit in de route van het verkeer en kan het ook blokkeren. Veel firewalls bevatten tegenwoordig een IPS. Beide leunen vooral op signatures van bekende aanvallen, dus ze zijn sterk tegen bekende dreigingen en zwakker tegen nieuwe methoden of aanvallers die gewone tools gebruiken. Een IPS die ten onrechte blokkeert, houdt ook zakelijk verkeer tegen. NDR (Network Detection and Response) voegt gedragsanalyse toe. NetSenX is een NDR: het kijkt en meldt, zit niet in de route van het verkeer en blokkeert zelf geen verkeer.

SOAR (Security Orchestration, Automation and Response) is software die beveiligingstools aan elkaar koppelt en de routinestappen bij een melding automatiseert: context verzamelen, een ticket openen, een laptop isoleren, een adres blokkeren, de juiste persoon inlichten. Het werkt met playbooks, uitgeschreven reeksen stappen per soort incident. SOAR is waardevol voor teams die veel meldingen per dag afhandelen, en vraagt werk om in te richten en te onderhouden. Kleine teams halen het meeste voordeel vaak uit eenvoudigere koppelingen. NetSenX stuurt meldingen naar Slack of een webhook vanaf het Pro-abonnement, en exporteert ze naar een SIEM vanaf het Business-abonnement.

DLP-tools (Data Loss Prevention) proberen te voorkomen dat gevoelige gegevens, zoals klantenlijsten, kaartnummers of ontwerpen, het bedrijf langs de verkeerde weg verlaten: per e-mail verstuurd, naar een persoonlijke cloud geüpload of naar een USB-stick gekopieerd. Ze herkennen inhoud en passen regels toe, en moeten zorgvuldig worden ingesteld om normaal werk niet te blokkeren. NetSenX is geen DLP-tool en leest de inhoud van uw verkeer niet. Wel meldt het in elk abonnement ongebruikelijke uitgaande overdrachten, bijvoorbeeld een machine die plotseling veel meer gegevens naar een extern adres stuurt dan normaal, wat vaak het zichtbare teken van diefstal is.

Een auditlog is een vastlegging van wie wat wanneer deed: wie inlogde, wie een instelling wijzigde, wie een rapport exporteerde, wie een melding sloot. Een goed auditlog kan achteraf niet ongemerkt worden aangepast en bewaart vermeldingen lang genoeg om bij een onderzoek te helpen. Auditors en toezichthouders vragen om auditlogs omdat die laten zien dat maatregelen echt worden nageleefd en niet alleen op papier staan. Na een incident reconstrueert u met het auditlog wat er is gebeurd. NetSenX houdt in elk abonnement een auditlog bij van acties in uw account, en voegt vanaf het Starter-abonnement voor meldingen een bewijsspoor toe dat elke latere wijziging zichtbaar maakt.

Dwell time is hoe lang een aanvaller in een netwerk zit voordat hij wordt ontdekt. Het M-Trends 2026-rapport van Mandiant noemt een wereldwijde mediaan van 14 dagen voor incidenten die in 2025 zijn onderzocht, en veel inbraken duren veel langer. Hoe langer de dwell time, hoe meer de aanvaller kan verkennen, stelen en voorbereiden; daarom brengen ransomwaregroepen een netwerk vaak dagenlang in kaart voordat ze versleutelen. De dwell time daalt wanneer iemand de binnenkant van het netwerk bewaakt, niet alleen de rand. Wat hem verkort, is het opmerken van vroege stappen, zoals interne scans, regelmatige meldingen naar een externe server of ongebruikelijke verbindingen tussen machines.

MTTD (Mean Time to Detect) is de gemiddelde tijd tussen het begin van een aanval en het moment dat iemand die opmerkt. MTTR (Mean Time to Respond, soms to Recover) is de gemiddelde tijd van opmerken tot indammen of herstellen. Beide meten hoe goed een beveiligingsprogramma werkt, en beide horen in de loop van de tijd te dalen. Voor een klein bedrijf zijn eerlijke ruwe cijfers nuttiger dan precieze: wanneer vonden we voor het laatst iets, hoe vonden we het en hoe lang duurde het voordat we in actie kwamen? Als het antwoord is dat iemand van buiten het u vertelde, is detectie het gat dat u als eerste moet dichten.

Schaduw-IT is alle software, clouddienst of apparatuur die medewerkers voor hun werk gebruiken zonder dat IT het weet of heeft goedgekeurd: een persoonlijk account voor het delen van bestanden, een gratis projecttool, een eigen router in het magazijn, een browserextensie. Het begint meestal met goede bedoelingen, omdat mensen hun werk gedaan willen krijgen. Het risico is dat bedrijfsgegevens terechtkomen op plekken die niemand beveiligt, back-upt of kan wissen als iemand vertrekt. Alles verbieden werkt zelden. Beter is uitzoeken wat er wordt gebruikt, goedgekeurde alternatieven bieden en een eenvoudige regel afspreken. NetSenX toont de apparaten die het op uw netwerk ziet en meldt het gebruik van AI-diensten vanaf het Pro-abonnement.

Een datalek is elk beveiligingsincident waarbij gegevens verloren gaan, worden gestolen, vernietigd, gewijzigd of gezien door iemand die ze niet mag zien. Er is geen hacker voor nodig: een e-mail met klantgegevens naar het verkeerde adres is ook een datalek. Volgens de AVG moet een inbreuk in verband met persoonsgegevens binnen 72 uur na ontdekking worden gemeld bij de toezichthouder, in Nederland de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat er risico voor mensen ontstaat; bij een hoog risico moeten de betrokkenen worden ingelicht. Het rapport IBM Cost of a Data Breach 2025 noemt gemiddelde wereldwijde kosten van 4,44 miljoen Amerikaanse dollar.