Incidentrespons

Regelmatige verbindingen van een werkplek met een nieuwe externe server, één host die interne reeksen scant op SMB-, RDP- of databasepoorten, nieuwe beheerderssessies naar veel servers en een grote upload naar cloudopslag vanaf een server die normaal weinig verstuurt. Ze komen meestal in die volgorde, voordat er één bestand versleuteld is.

Vaak wel, omdat de stappen vóór de versleuteling over het netwerk gaan: command-and-controlverbindingen, scans, lateral movement en datadiefstal. Dat is het venster waarin een aanval nog te stoppen is. Niet elke aanval laat al die stappen zien, en een aanval die op één machine blijft, geeft het netwerk weinig te zien.

Nee. NetSenX meldt het netwerkgedrag dat meestal aan ransomware voorafgaat, zodat uw team kan handelen zolang er nog tijd is. Hosts isoleren, de aanvaller verwijderen en data herstellen blijven de taak van uw team, uw endpointbeveiliging en uw back-ups.

De getroffen hosts van het netwerk loskoppelen, hun logs bewaren, de daar gebruikte inloggegevens resetten en uw incidentresponsleverancier bellen. Valt uw organisatie onder NIS2, dan begint de termijn van 24 uur voor de vroege waarschuwing zodra u kennis krijgt van een significant incident.

Koppel de getroffen machines los van het netwerk, op de switch of door de kabel eruit te trekken en wifi uit te zetten. Laat ze zo mogelijk aanstaan, want het geheugen bevat bewijs, tenzij u ze op geen andere manier kunt isoleren. Neem geen contact op met de aanvallers en betaal niets voordat u advies hebt ingewonnen. Bel uw incidentresponsdienstverlener, de hulplijn van uw cyberverzekeraar als u die hebt, of uw nationale CSIRT. Wijzig beheerderswachtwoorden vanaf een schoon apparaat, controleer of uw back-ups intact en losgekoppeld zijn, en begin een schriftelijk logboek met tijden van wat u ziet en doet. Valt u onder NIS2, dan loopt de termijn van 24 uur voor de vroegtijdige waarschuwing vanaf het moment dat u kennis krijgt van een significant incident; betrek daarom vanaf het begin wie de meldingen verzorgt.

Ongeveer in deze volgorde, aangepast aan uw situatie. Eén: isoleer getroffen machines van het netwerk zonder ze uit te zetten, en stop de verspreiding op de switches of de firewall. Twee: bel uw incidentresponsdienstverlener, de hulplijn van de verzekeraar en zo nodig een advocaat, en begin een incidentlogboek. Drie: stel bewijs veilig en controleer of back-ups intact en offline zijn. Vier: zoek uit hoe de aanvallers binnenkwamen, welke systemen ze bereikten en of er data is weggelekt, en beoordeel de meldplichten onder NIS2 en de AVG, met hun termijnen. Vijf: beslis wat u medewerkers, klanten en partners vertelt. Zes: verwijder de aanvaller, reset inloggegevens en dicht de toegangsweg. Zeven: herbouw en herstel op volgorde van prioriteit uit schone back-ups. Acht: houd wekenlang goed toezicht en houd een evaluatie. NetSenX helpt bij stap vier en acht, met netwerkbewijs en doorlopende detectie.

Dat is een zakelijke en juridische beslissing, en opsporingsdiensten raden betalen af: het financiert de aanvallers, garandeert niet dat de bestanden terugkomen of dat gestolen data wordt verwijderd, en betalen aan een groep onder sancties kan illegaal zijn. Beslis samen met uw incidentresponsleverancier, uw verzekeraar en uw juristen, en meld het incident bij de politie en, waar van toepassing, bij uw CSIRT. NetSenX onderhandelt niet en zet geen data terug; het helpt eerder te zien wat de aanvallers op het netwerk deden.

Betalen maakt de diefstal niet ongedaan. U zou criminelen betalen voor de belofte data te wissen die ze alle reden hebben te houden, en opsporingsdiensten, waaronder Europol en nationale politiediensten, raden betalen af; er zijn gevallen bekend waarin data na betaling toch werd gepubliceerd of verkocht. Betalen aan een gesanctioneerde persoon of groep kan bovendien illegaal zijn. De beslissing ligt bij de directie, samen met uw incidentresponsdienstverlener, verzekeraar en advocaten. Stel vóór de beslissing de feiten vast: wat er echt is weggelekt, of er persoonsgegevens bij zitten, welke meldingen los van betaling verplicht zijn en wat u de betrokkenen vertelt. Onder de AVG wordt een inbreuk in verband met persoonsgegevens beoordeeld op wat er gebeurde, niet op de vraag of er losgeld is betaald. NetSenX onderhandelt niet; het helpt met de feiten, via alerts die tonen welke hosts wanneer ongewone volumes naar buiten stuurden.

Een ransomware-onderhandelaar is een specialist, vaak geleverd door een incidentresponsbedrijf of via het panel van de verzekeraar, die namens het slachtoffer met de aanvallers communiceert. Zijn taak is tijd winnen, bewijs krijgen van wat is meegenomen, testen of een ontsleutelingstool werkt en, als het bedrijf besluit te betalen, sanctielijsten controleren en de voorwaarden afhandelen. Er een inschakelen betekent niet dat u hebt besloten te betalen: praten kan dagen opleveren om uit back-ups te herstellen. Open de chat van de aanvallers niet zelf en beantwoord hun e-mails niet voordat u advies hebt, want wat u zegt kan uw positie verzwakken. Vraag eerst uw verzekeraar, omdat polissen vaak het door hem gekozen bedrijf voorschrijven, en bewaar elk bericht als bewijs. NetSenX speelt geen rol bij onderhandelingen; zijn alerts helpen vaststellen wat het netwerk echt heeft verlaten, wat ertoe doet als de beweringen van de aanvallers worden getoetst.

Kijk wat het netwerk heeft verlaten, en wanneer: firewall- en proxylogs, auditlogs van cloudopslag en de logs van de betrokken machines. Grote uploads naar cloudopslag of naar een onbekend adres in de dagen vóór de versleuteling zijn het gebruikelijke teken. Vraag uw incidentresponsdienstverlener de volumes te vergelijken met wat elke server bevat, en bewaar de logs voordat ze worden overschreven. Publiceren de aanvallers een steekproef op een leksite, dan zegt dat iets over wat ze meenamen, al zelden alles, en hun beweringen bewijzen in geen enkele richting iets. NetSenX bewaart zijn alerts over ongewoon uitgaand datavolume per host, met tijdstip, bestemming en volume, wat helpt de omvang van een overdracht te schatten. Bestandsnamen binnen versleutelde sessies ziet het niet.

Zoek de overdracht, niet de bewering. Aanvallers overdrijven soms om de druk op te voeren, en soms namen ze echt alles mee wat ze zeggen. Controleer firewall- en proxylogs op grote uitgaande overdrachten in de dagen vóór de versleuteling, vooral naar cloudopslag of naar adressen die verder niemand gebruikt, en noteer welke interne hosts ze verstuurden. Vergelijk het volume met wat die servers bevatten. Vraag een bewijsmonster alleen op via uw responder, en bekijk wat erin zit. Auditlogs van cloudopslag en SaaS-diensten kunnen massale downloads laten zien. Laat het bewijs geen noemenswaardige uitgaande overdracht zien, dan helpt dat bij de beslissing en een eventuele melding, maar het ontbreken van bewijs op één route bewijst niet dat er via een andere niets is weggelekt. NetSenX bewaart alerts over ongewoon uitgaand datavolume per host, met tijdstip, bestemming en volume; bestandsnamen in versleutelde overdrachten ziet het niet.

Vaak wel, als de logs van die periode er nog zijn. De gepubliceerde bestanden geven aanwijzingen: hun jongste wijzigingsdatum bepaalt de vroegst mogelijke datum van de diefstal, en de mappen waar ze vandaan komen wijzen naar de betrokken servers. Zoek daarna in firewall-, proxy- en cloudauditlogs naar grote uitgaande overdrachten vanaf die servers rond die tijd, en naar het eerste regelmatige contact met een onbekende externe server, dat vaak het begin van de inbraak markeert. Laat dat uw incidentresponsdienstverlener doen en download de gelekte data niet zelf van de site: betrek uw responder en advocaat, want omgaan met gestolen data brengt eigen risico's mee. Doe aangifte van de publicatie bij de politie. NetSenX bewaart gedurende de alertgeschiedenis van uw abonnement alerts over ongewoon uitgaand volume per host, met tijdstip en bestemming, wat het tijdvenster flink kan verkleinen.

Nee. NetSenX analyseert flowmetadata en een paar protocolvelden en ontsleutelt nooit verkeer. Verlaat data het netwerk via een versleutelde verbinding, en dat is bijna altijd zo, dan ziet het welke host hoeveel naar welke bestemming stuurde en wanneer, maar niet de namen of inhoud van de bestanden. Dat is toch nuttig: het vertelt u welke server u moet onderzoeken, hoe groot de overdracht was en wanneer ze plaatsvond, wat vaak genoeg is om in te perken wat erin kan hebben gezeten. Om te weten welke bestanden zijn meegenomen, combineert u het met bronnen die bestanden zien: auditlogs van bestandsservers en cloudopslag, telemetrie van endpoint detection and response (EDR), tools tegen datalekken of een forensisch onderzoek van de server. Publiceren de aanvallers monsters, dan geven die ook aan om welke mappen het ging.

Ze proberen het, als ze een weg open hielden: gestolen wachtwoorden, een vergeten tool voor externe toegang, een nieuw account, een geplande taak of een VPN die nooit is gepatcht. Sommige criminelen verkopen of geven de toegang ook door, zodat een tweede aanval van iemand anders via dezelfde deur kan komen. Reset na een incident alle inloggegevens die mogelijk zijn uitgelekt, serviceaccounts inbegrepen, verwijder tools voor externe toegang die niemand goedkeurde, sluit de toegangsweg, bouw getroffen machines opnieuw op uit betrouwbare images en houd het netwerk wekenlang goed in de gaten. Nieuwe verbindingen met de servers van de aanvaller zijn een typisch teken; NetSenX detecteert C2-beaconing op elk abonnement, ook Free, en op de indicatoren uit uw incidentrapport kunt u zoeken in uw firewall- en DNS-logs.

Incidentrespons is de georganiseerde manier waarop een bedrijf een beveiligingsincident ontdekt, indamt, ervan herstelt en ervan leert. Het omvat het technische werk, zoals machines isoleren, de aanvaller verwijderen en systemen herstellen, en de beslissingen eromheen: wie leidt, wie wordt ingelicht, wanneer externe hulp komt, wat er aan toezichthouders, verzekeraars en klanten wordt gemeld. Een klein bedrijf heeft daar geen securityteam voor nodig. Het heeft een kort schriftelijk plan nodig, telefoonnummers die werken als e-mail niet werkt, iemand die 's nachts mag beslissen, en bewijs dat laat zien wat er gebeurde. NetSenX helpt met het bewijs en de termijnen: het detecteert netwerkgedrag dat vaak op een inbraak wijst, legt elke alert uit en volgt per incident de termijnen van artikel 23 van NIS2. Aanvallers verwijderen of systemen herstellen doet het niet.

Het bekendste model kent er zes: voorbereiding, identificatie, indamming, uitroeiing, herstel en lessen trekken, uit het handboek voor incidentbehandelaars van SANS. De eerdere richtlijn van NIST, SP 800-61 Revision 2, bracht hetzelfde werk onder in vier fasen. In april 2025 verving NIST die door SP 800-61 Revision 3, die incidentrespons koppelt aan de zes functies van het Cybersecurity Framework 2.0: govern, identify, protect, detect, respond en recover. Allemaal zeggen ze hetzelfde: het meeste werk gebeurt vóór het incident, in de voorbereiding, en erna, in de verbetering. Voor een klein bedrijf is de praktische volgorde eenvoudig: opmerken, schade beperken, oorzaak wegnemen, veilig weer aan het werk en veranderen wat het incident mogelijk maakte. Die volgorde voor uw eigen systemen opschrijven is de nuttigste eerste stap.

Door nu te beslissen wat u anders midden in de nacht zou moeten improviseren. Schrijf een plan van één pagina: wie leidt, wie systemen mag uitschakelen, wie met klanten, verzekeraars en toezichthouders praat. Bewaar telefoonnummers op papier en in een tweede kanaal, want e-mail en chat kunnen uitvallen of gecompromitteerd zijn. Ken uw drie of vier belangrijkste systemen en de volgorde waarin u ze zou herstellen, en test een herstel uit de back-up. Maak afspraken met een incidentresponsdienstverlener voordat u er een nodig hebt, en controleer wie u volgens uw cyberverzekering als eerste moet bellen. Zorg dat de logs die u nodig zou hebben bestaan en lang genoeg worden bewaard: firewall, VPN, directory en netwerkgeschiedenis. NetSenX levert de netwerkgeschiedenis en uitgelegde alerts, en pdf-rapporten vanaf het Starter-plan maken het makkelijker een bewijspakket over te dragen.

Minder dan de meeste sjablonen doen vermoeden, zolang het onder druk werkt. Het essentiële past op twee of drie pagina's: wie leidt en wie vervangt, de telefoonnummers van de mensen en dienstverleners die u belt, wanneer u een systeem isoleert of het bedrijf van internet afsluit, waar de back-ups staan en hoe u de belangrijkste systemen herstelt, en wie beslist over meldingen aan het CSIRT, de privacytoezichthouder, verzekeraars en klanten, met hun termijnen. Voeg een korte checklist voor het eerste uur toe en een sjabloon voor het incidentlogboek. Druk het af, want de bestandsserver met het plan kan net de server zijn die wordt versleuteld. Herzie het na elk incident en minstens eens per jaar. NetSenX volgt per incident de termijnen van artikel 23 van NIS2 en houdt een auditlog bij van alerts en beslissingen van analisten, wat het meldingsdeel van het plan ondersteunt.

Minder mensen dan u denkt, maar met duidelijke rollen. Eén persoon leidt en beslist, meestal de directeur of iemand die hij aanwijst, met een vaste vervanger. Eén persoon doet of stuurt het technische werk: uw IT-beheerder, uw managed service provider of een extern incidentresponsbedrijf. Eén persoon verzorgt de communicatie met medewerkers, klanten en leveranciers, en één houdt de juridische kant en de meldingen bij, vaak samen met de functionaris voor gegevensbescherming en een advocaat. In een bedrijf van 30 mensen kunnen dat drie mensen met meerdere petten zijn. Waar het om gaat, is dat elke rol op papier staat, dat de leider 's nachts kan beslissen zonder op een overleg te wachten en dat de externe nummers vooraf zijn afgesproken. Vanaf het Starter-plan, waar teambeheer bij zit, geeft NetSenX ieder van hen een eigen account, zodat redenen van alerts en beslissingen voor het hele team zichtbaar zijn.

Een retainer is een overeenkomst met een incidentresponsbedrijf, getekend voordat er iets gebeurt, die u een reactie binnen een afgesproken tijd garandeert en prijs en voorwaarden vastlegt. Zonder retainer zoekt u een aanbieder, onderhandelt u over een contract en verleent u toegang terwijl de aanvaller nog actief is. Veel cyberverzekeraars hebben een eigen panel van responsbedrijven en verwachten dat u die eerst belt; controleer dus uw polis voordat u apart iets tekent. Een klein bedrijf heeft misschien geen betaalde retainer nodig als de hulplijn van de verzekeraar dit dekt, maar moet wel weten wie het belt, wat dat bedrijf op de eerste dag nodig heeft en hoe het bij uw systemen komt. NetSenX is geen incidentresponsbedrijf. Het geeft het bedrijf dat u belt uitgelegde alerts en een netwerkgeschiedenis van vóór het incident, meestal het bewijs dat achteraf het moeilijkst te reconstrueren is.

Een tabletopoefening is een overleg waarin de mensen die een incident zouden afhandelen stap voor stap een realistisch scenario doorlopen, zonder een systeem aan te raken. Een gespreksleider brengt de situatie in fasen: een alert laat op de avond, een losgeldbriefje op maandagochtend, een journalist die belt, een back-up die ook versleuteld blijkt. In elke fase zegt het team wat het zou doen, wie zou beslissen en wie het zou bellen. Negentig minuten met directie, IT, communicatie en degene die juridische zaken doet, is genoeg. De waarde zit in de gaten die u vindt: een telefoonnummer dat niemand heeft, een beslissing die niemand mag nemen, een log dat niemand bijhoudt. Schrijf ze op, los ze op en herhaal de oefening een of twee keer per jaar. Een scenario op basis van een echte alert of een eerder incident leert meer dan een algemeen scenario.

Het zijn sporten van één ladder. Een gebeurtenis is alles wat er gebeurt en kan worden vastgelegd: een aanmelding, een verbinding, een gewijzigd bestand. Een alert is een gebeurtenis, of een patroon van gebeurtenissen, dat een tool markeert omdat het ertoe kan doen, zoals een werkplek die om de paar minuten een nieuwe externe server benadert. Een incident is wat u vaststelt nadat u een of meer alerts hebt bekeken en concludeert dat de beveiliging echt is of wordt aangetast: er zit een aanvaller binnen, er is data gestolen, een dienst is verstoord. Het verschil telt omdat verplichtingen aan incidenten hangen, niet aan alerts: de meldtermijnen van NIS2 lopen vanaf het moment dat u kennis krijgt van een significant incident, niet vanaf het moment dat een tool een alert geeft. NetSenX levert alerts met een begrijpelijke reden; of ze samen een incident vormen, blijft uw oordeel, en die beslissing wordt in het auditlog vastgelegd.

Door de alert snel en elke keer in dezelfde volgorde te toetsen aan wat u weet. Stel vier vragen: zijn het apparaat en de eigenaar bekend, is er een zakelijke reden voor dit gedrag, zijn de bestemming of het account vertrouwd, en is er op dezelfde host of op hetzelfde moment nog iets ongewoons gebeurd? Een back-uptaak, een software-update of een beheerder die laat werkt, verklaren veel alerts binnen enkele minuten. Wat niemand kan verklaren, meerdere hosts raakt of op een andere alert volgt, verdient escalatie. Schrijf op wat u controleerde, ook als het onschuldig was, zodat de volgende niet bij nul begint. NetSenX legt bij elke alert uit welke netwerkkenmerken de doorslag gaven, noemt de MITRE ATT&CK-techniek als die van toepassing is en laat u een vals-positief markeren, waarbij de beslissing in het auditlog wordt bewaard.

Naar het effect op het bedrijf, niet naar hoe alarmerend het eruitziet. Een eenvoudige schaal werkt: laag als één apparaat is getroffen en ingedamd, middel als een account of meerdere apparaten betrokken zijn, hoog als belangrijke systemen of persoonsgegevens gevaar lopen, en kritiek als de bedrijfsvoering stilvalt of data het bedrijf heeft verlaten. Vraag wat er getroffen is, hoeveel systemen en mensen, of het om persoons- of klantgegevens gaat, of het zich verspreidt en of diensten die u aan anderen levert verstoord zijn. Het antwoord bepaalt wie wordt gebeld, hoe snel en of meldplichten kunnen gelden: NIS2 werkt met het begrip significant incident en de AVG met een inbreuk in verband met persoonsgegevens, elk met eigen criteria. Spreek de schaal vooraf af en zet haar in uw plan. NetSenX toont bij elke alert wat er op welke hosts werd gezien, een vertrekpunt voor dit oordeel en geen vervanging ervan.

Eén persoon met naam en toenaam, met een vaste vervanger en de bevoegdheid om zonder overleg te handelen. Beslissingen tijdens een incident zijn dringend en ongemakkelijk: het bedrijf van internet afsluiten, een productiesysteem stilleggen, de politie bellen, klanten inlichten. Als niemand duidelijk bevoegd is, gaan er uren verloren met wachten op instemming. In de meeste kleine bedrijven beslist de directeur, geadviseerd door IT en een externe responder; in grotere bedrijven handelt een incidentmanager namens de directie binnen afgesproken grenzen. Leg vast welke beslissingen deze persoon alleen mag nemen en welke de directie nodig hebben, en zorg dat de vervanger bereikbaar is als de leider op reis is. NIS2 maakt bovendien de bestuursorganen van betrokken entiteiten verantwoordelijk voor het goedkeuren van maatregelen voor het beheer van cyberbeveiligingsrisico's en het toezicht op de uitvoering ervan, dus de directie hoort het plan te kennen voordat het nodig is.

Meestal vijf dingen. Of systemen of de hele locatie worden geïsoleerd, met de onderbreking die dat meebrengt. Wie erbij wordt gehaald: een incidentresponsbedrijf, de hulplijn van de verzekeraar, een advocaat. Of het incident meldplichtig kan zijn, bij het nationale CSIRT onder NIS2 of bij de privacytoezichthouder onder de AVG, en wie de melding voorbereidt. Wat medewerkers, klanten en partners wanneer te horen krijgen, zonder te beloven wat nog niet bekend is. En hoe het bedrijf doordraait: handmatige processen, alternatieve communicatie, welke klanten eerst worden gebeld. Geen van deze beslissingen is technisch, en daarom kan een technisch team ze niet alleen nemen. Bereid ze voor als opties in uw plan. NetSenX geeft de directie een feitelijk vertrekpunt: welke hosts wanneer welk gedrag lieten zien, en de termijnen van artikel 23 van NIS2 die voor het incident worden gevolgd.

Verplaats het overleg over het incident naar een kanaal dat de aanvaller niet kan meelezen, voordat u iets over uw plannen zegt. Aanvallers die een mailbox of de directory beheersen, lezen vaak de berichten van het responsteam mee en passen zich aan. Spreek vooraf een alternatief kanaal af: telefoongesprekken, een berichtengroep op apparaten zonder bedrijfsaccounts of een aparte samenwerkingsruimte met eigen logins. Bewaar een geprinte contactlijst, want het adresboek kan onbereikbaar zijn. Vraag uw verzekeraar, bank en belangrijke klanten elk verzoek van u telefonisch te bevestigen, want criminelen sturen midden in een incident soms valse berichten. Zijn directory en mail opnieuw opgebouwd en de inloggegevens gereset, ga dan terug. De alerts van NetSenX staan in een eigen dashboard dat u vanaf een schoon apparaat opent, zodat het beeld van het netwerk niet van de bedrijfsmail afhangt.

Omdat het geheugen onder druk tekortschiet en straks iedereen vraagt wat er wanneer gebeurde. Een eenvoudig logboek legt vast hoe laat het was, wat er werd waargenomen, wat er werd besloten, door wie en waarom, en wat er werd gedaan. Het laat een tweede persoon 's nachts overnemen zonder opnieuw te beginnen, toont verzekeraar en toezichthouder dat u snel en weloverwogen handelde, en vormt de basis voor de tijdlijn in een NIS2-melding of een AVG-melding. Het beschermt ook de beslissers: een keuze die achteraf verkeerd lijkt, was met de kennis van dat moment vaak redelijk, en het logboek laat dat zien. Houd het bij buiten de getroffen systemen, op papier of in een gedeeld document dat vanaf een schoon apparaat bereikbaar is, en noteer alle tijden in één tijdzone. NetSenX levert alerts met tijdstempel en een auditlog van beslissingen van analisten die u bij uw eigen verslag kunt voegen.

Knip het netwerk door, niet de stroom, en kopieer voordat u opruimt. Een getroffen machine isoleren op de switchpoort, op de firewall of via de endpointtool houdt de aanvaller eruit, terwijl geheugen, draaiende processen en open verbindingen intact blijven voor onderzoek. Exporteer voordat u machines opnieuw installeert, bestanden wist of accounts verwijdert de relevante logs, noteer verdachte accounts en bestanden en maak, als specialisten dat adviseren, een geheugendump en een schijfimage. Blokkeer de bestemmingen van de aanvaller op de firewall, maar noteer welke en wanneer. Moet u kiezen tussen snelheid en bewijs, bijvoorbeeld omdat de versleuteling zich verspreidt, dan wint snelheid: eerst de schade stoppen. Netwerkbewijs gaat het makkelijkst verloren, omdat veel apparaten maar een korte geschiedenis bewaren; NetSenX bewaart zijn alerts met tijdstip, hosts en bestemmingen gedurende de geschiedenis van uw abonnement.

Haal hem van het netwerk, maar laat hem aanstaan tenzij u een reden hebt om dat niet te doen. De kabel eruit trekken en wifi uitzetten neemt de aanvaller de controle af en stopt de verspreiding, terwijl het geheugen bewijs bewaart dat bij uitschakelen verdwijnt: draaiende programma's, netwerkverbindingen, soms sleutels die bij herstel helpen. Uitzetten is de juiste keuze als u de machine niet anders kunt isoleren en de schade zich snel verspreidt, of als specialisten erom vragen. Log niet als beheerder in om rond te kijken, start geen opschoontools en herstart niet voordat u advies hebt, want elke stap verandert het bewijs. Noteer het tijdstip en wat u deed. Is de machine een server waar anderen van afhangen, isoleer hem dan op de switch of firewall in plaats van willekeurig kabels los te trekken. Een netwerksensor zoals NetSenX bewaart wat de machine deed voordat u haar loskoppelde.

Een korte lijst veelgemaakte fouten. Wis of herbouw geen machines voordat het bewijs veiliggesteld is, anders verliest u de middelen om te achterhalen hoe de aanvaller binnenkwam. Reset wachtwoorden niet één voor één terwijl de aanvaller nog meekijkt; plan de indamming en voer haar in één keer uit. Bespreek het incident niet via e-mail of chat die gecompromitteerd kan zijn. Neem geen contact op met de aanvallers en betaal ze niet zonder advies van uw responder, verzekeraar en advocaat. Herstel niet uit back-ups voordat u weet dat ze van vóór de inbraak zijn. Maak niet publiek bekend wat u nog niet weet, en beloof klanten niet dat er geen data is getroffen voordat u het hebt gecontroleerd. Mis geen termijnen: een vroegtijdige waarschuwing onder NIS2 of een AVG-melding kan met onvolledige feiten worden gedaan en later worden aangevuld. En stop niet met het netwerk in de gaten houden als de systemen weer draaien.

Werk terug vanuit wat u weet, met behulp van tijdstempels. Begin bij de machine waar het incident werd opgemerkt, vraag welke andere host er als eerste op een ongewone manier verbinding mee maakte en herhaal dat voor die host. Endpointlogs tonen aanmeldingen en nieuwe programma's, directorylogs welk account vanaf welke computer werd gebruikt, firewall- en VPN-logs de eerste verbindingen met buiten. De vroegste regelmatige contacten met een server van de aanvaller wijzen vaak de eerste besmette machine aan. Patiënt nul doet ertoe omdat die laat zien hoe de aanvaller binnenkwam, en die weg moet dicht voordat u herstelt. Houd er rekening mee dat de eerste machine die u vindt vaak niet de eerste besmette is. Alerts van NetSenX bevatten tijdstippen, hosts en bestemmingen, en vanaf het Pro-plan koppelt netwerkbrede correlatie scans, nieuwe sessies en beaconing tussen hosts tot één verhaal, wat deze zoektocht verkort.

Een forensische image is een exacte, geverifieerde kopie van een schijf of van het geheugen van een computer, gemaakt zodat onderzoekers haar kunnen bekijken zonder het origineel te veranderen. Ze wordt gemaakt met speciale tools, voorzien van een hash zoals SHA-256 zodat elke latere wijziging opvalt, en bewaard met een overzicht van wie haar in handen had. U hebt er een nodig als het incident kan uitmonden in een juridisch geschil, een verzekeringsclaim, een politiezaak of vragen van een toezichthouder, en als u wilt weten hoe de aanvaller binnenkwam voordat u de machine herbouwt. Gewone back-ups zijn geen vervanging, want ze laten gewiste bestanden, geheugen en systeemgebieden weg. Laat een specialist haar maken als dat kan. Netwerkbewijs vult haar aan: NetSenX legt vast wat over het netwerk ging, wat de schijfimage van één machine niet kan laten zien.

De bewijsketen is het schriftelijke overzicht van wie een bewijsstuk wanneer en hoe heeft verzameld, en wie het sindsdien in handen had. Voor een schijfimage, een logexport of een netwerkopname betekent dat: de bron, datum en tijd, de gebruikte methode of tool, een hashwaarde die bewijst dat de kopie niet is veranderd, de opslagplaats en elke persoon die er toegang toe had. Zonder dat overzicht kan een rechter, verzekeraar of toezichthouder betwijfelen of het bewijs is wat u zegt. Een klein bedrijf kan het eenvoudig houden: één formulier per stuk, kopieën op eenmalig beschrijfbare of afgeschermde opslag, en geen werk op de originelen. NetSenX houdt een auditlog bij van alerts, beslissingen van analisten en configuratiewijzigingen, en vanaf het Starter-plan een bewijsspoor (proof trail), wat dit overzicht voor de netwerkkant van een incident ondersteunt.

Exporteer ze zodra u een incident vermoedt, voordat u iets anders verandert. Veel apparaten bewaren logs maar enkele dagen of tot een maximale omvang: firewalls, VPN-gateways, switches en sommige clouddiensten overschrijven eerst de oudste regels, en een actieve aanvaller kan proberen ze te wissen. Maak vooraf een lijst van de logs die ertoe doen, meestal firewall, VPN, directory en authenticatie, e-mail, endpointconsole en DNS, en hoe u elk ervan exporteert. Kopieer ze tijdens het incident naar opslag buiten de getroffen systemen, noteer tijdstip en hash van elk bestand en verleng zo mogelijk de bewaartermijn op de apparaten. Vraag uw cloudaanbieders hoe ver hun auditlogs teruggaan. NetSenX bewaart zijn alerts in zijn eigen dienst gedurende de alertgeschiedenis van uw abonnement, 30 dagen op Free en langer op betaalde abonnementen, wat er ook met uw apparaten gebeurt.

Uitroeiing is de aanwezigheid van de aanvaller volledig verwijderen voordat u systemen weer in gebruik neemt. Daaronder valt malware en tools wissen, de toegangsweg dichten, door de aanvaller aangemaakte accounts, geplande taken en software voor externe toegang verwijderen, alle mogelijk uitgelekte inloggegevens resetten en de misbruikte kwetsbaarheden patchen. In de praktijk is getroffen machines herbouwen uit schone images vaak betrouwbaarder dan ze opschonen, omdat moeilijk te bewijzen is dat elke wijziging is gevonden. Uitroeiing mislukt als ze gedeeltelijk is: een aanvaller die één steunpunt houdt, komt terug, soms weken later. Ze moet worden gepland op basis van het bewijs uit uw onderzoek, niet op gevoel. Het netwerk daarna in de gaten houden toetst of het gelukt is: NetSenX detecteert hernieuwde beaconing naar bekende of nieuwe externe servers en nieuwe laterale sessies, op elk abonnement.

Vanaf een schoon apparaat, in een geplande volgorde en binnen één kort venster. Begin met de accounts die alles beheersen: domein- en cloudbeheerders, het back-upsysteem, externe toegang en serviceaccounts met brede rechten. In Active Directory wordt het account dat Kerberos-tickets ondertekent (krbtgt) twee keer gereset, met tijd voor replicatie ertussen, zodat vervalste tickets niet meer werken. Reset daarna gewone gebruikers, trek actieve sessies en tokens in clouddiensten in en vereis multifactorauthenticatie (MFA) overal waar die ontbreekt. Stuur nieuwe wachtwoorden niet via e-mail die gecompromitteerd kan zijn. Reset u te vroeg, terwijl de aanvaller nog een steunpunt heeft, dan vangt hij de nieuwe wachtwoorden gewoon op; dam dus eerst in. Identiteitswijzigingen vallen buiten het zicht van een netwerksensor; NetSenX laat zien of de machines van de aanvaller daarna nog naar buiten bellen.

Zeker weten kunt u het niet, maar u kunt redelijk vertrouwen opbouwen. Controleer of u begrijpt hoe hij binnenkwam en of die weg dicht is, of elk account en elke tool die hij aanmaakte is verwijderd en of de inloggegevens zijn gereset. Kijk daarna naar de afwezigheid van activiteit: geen verbindingen met zijn bekende servers, geen nieuwe beheerdersaccounts, geen onverklaarde aanmeldingen, geen scans tussen hosts. Doorzoek uw logs en endpoints op de indicatoren uit uw onderzoek, zoals IP-adressen, domeinen en bestandshashes. Blijf minstens enkele weken extra alert, want sommige aanvallers wachten. Een compromise assessment door een extern bedrijf geeft een onafhankelijke blik. NetSenX ondersteunt die afwezigheidstest vanuit het netwerk: beaconing, scans, laterale beweging en ongewoon uitgaand volume worden op elk abonnement gedetecteerd, ook Free, dus stilte in de gemonitorde segmenten betekent iets.

De hardware meestal wel, de installatie niet. Ransomware en de tools die meekomen veranderen het besturingssysteem, voegen accounts toe en laten moeilijk vindbare persistentie achter; de betrouwbare aanpak is getroffen machines wissen en opnieuw installeren uit betrouwbare images, en daarna data herstellen uit een back-up van vóór de inbraak. Bewaar de schijven, of images ervan, van machines die u voor het onderzoek nodig hebt voordat u ze hergebruikt. Besmettingen op firmwareniveau bestaan, maar zijn zeldzaam; uw responder zegt het als er reden is hardware te vervangen. Ook niet-getroffen machines moeten worden gecontroleerd, want aanvallers raken vaak meer systemen aan dan ze versleutelen. Zorg voordat u herbouwde machines weer aansluit dat de toegangsweg dicht is. De netwerkkaart van NetSenX laat zien welke hosts tijdens het incident met de getroffen machines praatten, wat helpt bepalen wat u nog meer moet controleren.

In een beheerste volgorde, op een schone basis en met open ogen. Zorg eerst dat de toegangsweg van de aanvaller dicht is en dat zijn accounts en tools weg zijn. Bouw eerst de kern opnieuw op: de directory, beheerdersaccounts, het back-upsysteem en de firewall, met nieuwe inloggegevens. Herstel daarna de systemen in volgorde van zakelijke prioriteit, uit back-ups waarvan u hebt gecontroleerd dat ze van vóór de inbraak zijn en die vóór gebruik zijn gescand. Breng elk systeem eerst terug in een gemonitord netwerksegment voordat iedereen toegang krijgt, en houd gebruikers op nieuwe wachtwoorden met multifactorauthenticatie (MFA). Vertel medewerkers wat ze moeten melden als iets vreemd lijkt, en reken erop dat herstel langer duurt dan de aanval. Houd het netwerk wekenlang goed in de gaten; NetSenX detecteert hernieuwde beaconing, scans en laterale beweging op elk abonnement, en zo valt een onvolledige opschoning vaak op.

Vaak gedeeltelijk, als u het hebt voorbereid. Bepaal vooraf welke processen kritiek zijn en hoe ze een paar dagen zonder IT draaien: bestelformulieren op papier, telefoonlijsten van klanten en leveranciers, handgeschreven pakbonnen, een reservelaptop die nooit op het bedrijfsnetwerk heeft gezeten. Getroffen systemen isoleren kan andere laten doorwerken, en daarom betaalt goede segmentatie zich juist tijdens een incident uit, niet alleen ervoor. Pas op met kortere wegen: privéapparaten of een laptop van thuis op het beschadigde netwerk aansluiten kan het probleem verspreiden of bewijs vernietigen. Communiceer met medewerkers via een kanaal buiten de getroffen systemen en zeg duidelijk wat ze niet moeten doen. Verzekeraars en klanten waarderen een bedrijf dat hen bleef bedienen. NetSenX toont welke segmenten en hosts betrokken zijn, wat helpt bepalen wat veilig online kan blijven.

Minstens enkele weken, en langer na een ernstige inbraak. Aanvallers die een steunpunt hielden, wachten vaak tot het responsteam ontspant, en toegang die aan anderen is verkocht, kan veel later worden gebruikt. Bekijk in deze periode dagelijks de alerts, zoek naar verbindingen met de indicatoren uit uw onderzoek, controleer op nieuwe beheerdersaccounts en tools voor externe toegang, en ga na of back-ups blijven draaien en niet door ongewone hosts worden aangeraakt. Behandel elke herhaling van het oorspronkelijke patroon als een nieuw incident, niet als ruis. Spreek vooraf af wie wat bekijkt en wanneer de verhoogde waakzaamheid eindigt. NetSenX detecteert beaconing, scans, laterale beweging en ongewoon uitgaand volume op elk abonnement, ook Free, en de alertgeschiedenis, 30 dagen op Free en langer op betaalde abonnementen, laat u de weken na het incident vergelijken met de weken ervoor.

Het is een overleg, binnen enkele weken na het incident, waarin iedereen die betrokken was doorneemt wat er gebeurde en wat er moet veranderen. Bouw de tijdlijn op uit het incidentlogboek en stel dan vier vragen: wat ging goed, wat ging slecht, wat wisten of hadden we niet, en wat gaan we veranderen, met een eigenaar en een datum per wijziging. Zonder schuldvraag: het doel is systemen en procedures te verbeteren, niet iemand te straffen, anders worden fouten de volgende keer verzwegen. Typische uitkomsten zijn een gesloten pad voor externe toegang, MFA waar die ontbrak, een back-up die nu offline staat, een telefoonlijst die werkt, een log dat langer wordt bewaard. Verwerk de uitkomsten in uw plan en uw volgende tabletopoefening. Alerts van NetSenX en het auditlog geven de evaluatie een feitelijke tijdlijn voor de netwerkkant.

Leg de regel vooraf vast, want een klein bedrijf heeft zelden een nachtdienst. Schrijf op welke alerts het waard zijn iemand te wekken, wie dat is en wat die persoon alleen mag doen: bijvoorbeeld één werkplek isoleren, maar niet de ERP-server uitzetten. Al het andere wacht tot de ochtend, met een controle op een vast tijdstip. Besteedt u monitoring uit, leg dezelfde regels dan schriftelijk vast met de aanbieder. Maak de eerste stappen eenvoudig genoeg voor een niet-specialist: apparaat van het netwerk halen, tijd noteren, het afgesproken nummer bellen. Test de belketen één keer. NetSenX stuurt alerts met een begrijpelijke reden en de betrokken hosts, zodat wie gewekt wordt snel ziet of het een back-uptaak is of een werkplek die in de kleine uurtjes een nieuwe externe server belt. Een nachtdienst levert het u niet.

Vaak wel, want versleuteling is de laatste stap van een langere reeks. Daarvoor moeten aanvallers meestal binnenkomen, hun eigen server benaderen, rondkijken, bestandsservers en back-ups bereiken en bij de meeste aanvallen van nu ook data naar buiten kopiëren. Die stappen duren vaak dagen en gaan over het netwerk: een werkplek die met vaste tussenpozen een nieuwe externe server belt, één host die interne reeksen scant, nieuwe beheersessies naar servers, een grote upload 's nachts. Aanvallers kiezen weekenden en feestdagen omdat niemand kijkt, niet omdat de eerdere stappen onzichtbaar waren. De nuttige vraag is of iets die signalen heeft vastgelegd en of iemand de alert zou hebben gezien. NetSenX detecteert beaconing, scans, laterale beweging en ongewoon uitgaand volume op elk abonnement, ook Free; of er op een alert van vrijdagavond vóór maandag wordt gereageerd, hangt af van uw alarmeringsketen.

Te wisselend om met één getal iets te zeggen: van uren, als een geautomatiseerde groep een blootgesteld systeem misbruikt, tot weken, als de toegang van iemand anders is gekocht of de aanvallers rustig de back-ups zoeken en data kopiëren. Wat vaststaat is de volgorde: toegang, contact met de server van de aanvaller, verkenning, beweging naar servers, datadiefstal en pas dan versleuteling. Elke fase is een kans om het op te merken. Plan alsof u weinig tijd hebt: houd back-ups offline zodat ze overleven, zorg dat externe toegang multifactorauthenticatie (MFA) vereist en bepaal vooraf wie 's nachts een host isoleert. Behandel elk teken van de vroege fasen, zoals een werkplek die interne reeksen scant, als dringend. NetSenX alarmeert op elk abonnement op het netwerkgedrag van die fasen, en daar komt de tijd om te handelen vandaan.

Op twee manieren. Een schijf kan de malware zelf bevatten, die start als iemand een vermomd bestand opent, en sommige malware kopieert zichzelf naar elke schijf die ze vindt om zo tussen computers en locaties te reizen. En een schijf die aangesloten is wanneer de versleuteling begint, wordt gewoon met al het andere versleuteld; daarom beschermt een back-up op een permanent aangesloten USB-schijf u niet tegen ransomware. Schakel het automatisch starten van programma's vanaf verwisselbare media uit, scan onbekende schijven op een aparte computer, sta waar mogelijk alleen apparaten van het bedrijf toe en koppel back-upschijven na elke run los. Het Spaanse INCIBE publiceerde een echte zaak waarin ransomware zich verspreidde doordat besmette apparaten werden aangesloten. Een overdracht via USB gaat niet over het netwerk, dus een netwerksensor ziet haar niet; NetSenX ziet wat de besmette computer daarna doet, zoals scannen of een externe server bellen.

Bewaar alles wat laat zien wat er gebeurde, wanneer en wat u deed, zonder het te veranderen. Dat zijn het incidentlogboek met tijden en beslissingen; exports van firewall-, VPN-, directory-, e-mail- en endpointlogs; het losgeldbericht en alle berichten van de aanvallers; schermafbeeldingen van wat gebruikers zagen; forensische images als specialisten die maakten; en bewijs van de gemaakte kosten. Noteer bij elk bestand een hash, de opslagplaats en wie het in handen had. De verzekeraar heeft meestal de tijdlijn en het kostenbewijs nodig; de politie de berichten van de aanvallers, betalingseisen en indicatoren; de toezichthouder wil weten welke data getroffen werd en hoe u reageerde. Vraag elk van hen vroeg wat ze nodig hebben, en bewaar kopieën buiten de getroffen systemen. Alerts van NetSenX, met tijden, hosts en bestemmingen, en het auditlog kunnen deel uitmaken van dit pakket, met pdf-rapporten vanaf het Starter-plan.

Gedurende de alertgeschiedenis van uw abonnement: 30 dagen op Free en langer op elk betaald abonnement, met de exacte termijnen op de prijspagina. Alerts worden opgeslagen met tijdstip, betrokken hosts, bestemmingen, volumes en de redenen die de doorslag gaven, samen met de beslissingen van analisten in het auditlog. Kan een incident leiden tot een claim, vragen van een toezichthouder of een rechtszaak, vertrouw dan niet alleen op de bewaartermijn: exporteer wat ertoe doet zolang het incident vers is, met pdf-rapporten vanaf het Starter-plan, en bewaar de export bij uw andere bewijs. Denk vóór een incident na over de periode die u nodig hebt: verblijftijden kunnen weken zijn, dus een korte geschiedenis kan eindigen voordat de inbraak begon. Logs van firewall, VPN en directory hebben hun eigen, vaak kortere bewaartermijn, die u beter vandaag controleert dan midden in een incident.

Handel het eerste uur zelf af, en haal een bedrijf erbij voor alles wat verder gaat dan één ingedamd apparaat. Uw eigen team kent de systemen, dus dat isoleert machines, begint het logboek en stelt bewijs veilig. Een extern bedrijf brengt wat een klein team zelden heeft: forensische tools en ervaring, kennis van de gewoonten van aanvallers, contacten met opsporingsdiensten en geloofwaardigheid bij verzekeraars en toezichthouders. Bel er een als een aanvaller nog actief kan zijn, als servers of veel apparaten getroffen zijn, als er data kan zijn weggelekt, of als het incident meldplichtig kan zijn of tot een claim kan leiden. Kijk eerst of uw cyberverzekering een bedrijf voorschrijft, want een ander kiezen kan de dekking raken, en spreek vooraf af welke toegang ze nodig hebben. NetSenX is geen incidentresponsbedrijf; de uitgelegde alerts en de netwerkgeschiedenis die het bewaart, zijn precies waar dat bedrijf op de eerste dag om vraagt.

Eerlijk, concreet en alleen met wat u weet, en daarna met updates. Zeg wat er wanneer gebeurde, welke categorieën van hun data betrokken waren, wat u hebt gedaan, wat u nog onderzoekt, wat zij moeten doen, zoals alert zijn op phishing met hun gegevens, en wie ze kunnen bereiken. Zeg niet dat er geen data is getroffen voordat het onderzoek dat onderbouwt; een correctie kost meer vertrouwen dan een voorzichtig eerste bericht. Stem de tekst af met uw advocaat en functionaris voor gegevensbescherming, want het informeren van personen kan een wettelijke plicht zijn met eigen verplichte inhoud, en met uw verzekeraar. Verstuur het via een kanaal dat niet gecompromitteerd is en waarschuw klanten dat er valse vervolgberichten kunnen rondgaan. Bewijs maakt het bericht precies: alerts van NetSenX tonen welke hosts wanneer ongewone volumes naar buiten stuurden, wat helpt te zeggen welke systemen, en dus welke klanten, het betreft.

Gedeeltelijk. Netwerkgegevens kunnen laten zien dat een bepaalde server, die met de data van die klant, in de periode geen ongewoon volume naar buiten stuurde en dat geen nieuwe externe bestemming er data van ontving. Dat is betekenisvol bewijs, zeker als de server normaal weinig verstuurt. Op zichzelf is het geen sluitend bewijs: data kan eerst naar een andere interne machine zijn gekopieerd en van daaruit verstuurd, in kleine hoeveelheden onder voor de hand liggende drempels zijn weggelekt, of via een kanaal zijn meegenomen dat de sensor niet ziet, zoals een rechtstreeks gebruikte clouddienst of een niet-gemonitord segment. Presenteer het de klant als wat het is: bewijs van afwezigheid op de paden die u monitort, gecombineerd met server- en cloudlogs. NetSenX bewaart per host alerts over ongewoon uitgaand volume, en de netwerkkaart toont welke hosts met die server praatten.

In de meeste EU-landen is het nationale CSIRT of het cyberbeveiligingsagentschap het eerste gratis telefoontje, en verschillende bieden diensten voor kleine bedrijven. Spanje heeft de gratis hulplijn 017 van INCIBE; Polen heeft CERT Polska, dat incidentmeldingen aanneemt; Duitsland heeft het BSI en de cybercrime-eenheden van de politie van de deelstaten; Frankrijk heeft het nationale platform Cybermalveillance voor bedrijven en de ANSSI voor gereguleerde entiteiten; Italië heeft CSIRT Italia bij de ACN; Nederland heeft het Digital Trust Center voor bedrijven en het NCSC voor vitale sectoren. Zij geven advies, soms indicatoren en contacten, maar doen het herstelwerk meestal niet voor u. De hulplijn van uw cyberverzekeraar, als u die hebt, is het andere vroege telefoontje, en misdrijven meldt u bij de politie. NetSenX biedt geen incidentrespons, maar zijn alerts geven wie u ook belt een feitelijk vertrekpunt.

Ja, in de meeste gevallen. Ransomware, afpersing, fraude en datadiefstal zijn misdrijven, en een aangifte helpt rechercheurs zaken te koppelen, levert soms ontsleutelingssleutels op uit acties van opsporingsdiensten en wordt door verzekeraars vaak geëist voor een claim. Aangifte bij de politie staat los van een melding aan uw CSIRT of privacytoezichthouder; mogelijk moet u meerdere meldingen doen. Veel landen hebben gespecialiseerde cybercrime-eenheden of online aangifte voor bedrijven, en uw nationale CSIRT kan u vertellen waar u terechtkunt. Neem de feiten mee: de tijdlijn, het losgeldbericht en de berichten, betalingseisen, indicatoren zoals IP-adressen en domeinen, en de kosten tot nu toe. Aangifte doen betekent niet dat u de regie over uw herstel kwijtraakt, en maakt het incident meestal niet openbaar. Alerts van NetSenX, met tijden, hosts en bestemmingen, kunnen deel uitmaken van wat u overdraagt.

Soms, aan de bijverschijnselen in plaats van aan de bedoeling. Het Spaanse INCIBE publiceerde een echte zaak waarin een medewerker kwaadaardige code inbracht en een miljoen euro stal. Zulke zaken leunen op toegang die de persoon al heeft, dus preventie zit in processen: functiescheiding bij betalingen, goedkeuring door een tweede persoon, codereview bij wijzigingen aan financiële systemen en snel intrekken van toegang bij een functiewissel. Technische signalen kunnen toch opduiken: een werkplek die een onbekende externe server benadert, nieuwe verbindingen met het betaal- of ERP-systeem vanaf een machine die het nooit gebruikte, ongewone uploads. NetSenX kijkt naar apparaten en verbindingen, nooit naar mensen: het kan dat gedrag op het netwerk signaleren, op elk abonnement, maar het beoordeelt geen bedoeling en ziet niet wat er binnen een applicatie gebeurt. Onderzoek naar een persoon is een zaak voor HR en juristen, en voor de ondernemingsraad waar die er is.

Controleer eerst de gewone oorzaken en zoek daarna naar tekenen van een aanval. Veel storingen komen door een verlopen certificaat of domein, een volle schijf, een mislukte update of een probleem bij de hostingprovider. Vraag het uw provider en kijk op zijn statuspagina, en bekijk daarna de logs van de webserver: een plotselinge vloed aan verzoeken vanaf veel adressen wijst op een denial-of-service-aanval; gewijzigde pagina's, nieuwe beheerdersaccounts of onbekende bestanden op een compromittering van de site zelf; een gewijzigd DNS-record op een aanval op uw domeinregistratie. Bewaar de logs voordat u iets herstart. Bevat de site klantgegevens of neemt hij betalingen aan, behandel een compromittering dan als mogelijk datalek. NetSenX beschermt geen publieke websites die buiten uw netwerk worden gehost; staat de webserver in uw netwerk, dan toont het ongewone uitgaande verbindingen en datavolumes vanaf die server.

Nee, en het verschil zit in waar elk werkt. Een distributed denial-of-service-aanval (DDoS) overspoelt uw website, VPN of internetverbinding met verkeer van veel machines tot die niet meer antwoorden. Hem stoppen vraagt om capaciteit vóór u: bij uw internetprovider, in een content delivery network of bij een scrubbingdienst die de vloed opvangt en filtert voordat die uw verbinding bereikt. Netwerkdetectie binnen uw bedrijf, zoals NetSenX, bekijkt het gedrag van uw eigen hosts om indringers, beaconing, scans, laterale beweging en weglekkende data te vinden; het blokkeert geen verkeer en heeft niet de bandbreedte om een vloed op te vangen. Vraag uw provider welke DDoS-bescherming uw verbinding nu heeft, en overweeg voor publieke diensten een beschermde hosting. Sommige DDoS-aanvallen dienen als afleiding, dus controleer of er tijdens de storing binnen niets anders gebeurt.

Bewijs en termijnen, geen extra handen. Tijdens een incident levert NetSenX alerts voor beaconing, scans, laterale beweging en ongewoon uitgaand datavolume, op elk abonnement, elk met een begrijpelijke reden, de betrokken hosts, bestemmingen, volumes en tijden, en de MITRE ATT&CK-techniek als die van toepassing is; de netwerkkaart van wie met wie praat; een auditlog van alerts en beslissingen van analisten; en het bijhouden van de termijnen van artikel 23 van NIS2, met een melding op grond van artikel 33 AVG die voor uw functionaris voor gegevensbescherming wordt voorbereid, terwijl het indienen bij u blijft. Vanaf het Starter-plan komen er pdf-rapporten en responsaanbevelingen bij, vanaf het Pro-plan de correlatie van hosts tot één verhaal. Het verwijdert geen aanvallers, herstelt geen data en onderhandelt niet, en het ziet niet in versleutelde sessies of in segmenten die u niet monitort. Dat terrein dekken uw responder, endpointtools en back-ups.

Sluit eerst zijn deur en stel dan vragen. Schort de accounts, VPN-toegang en tools voor ondersteuning op afstand van de leverancier op uw systemen op totdat hij bevestigt wat er is getroffen, en vervang gedeelde inloggegevens of API-sleutels. Vraag hem schriftelijk wat er wanneer gebeurde, welke van zijn systemen betrokken waren, of uw data of toegangsgegevens zijn blootgesteld en welke indicatoren van compromittering hij heeft, en doorzoek daarna uw logs daarop. Controleer wat zijn toegang kon bereiken: welke servers, welke data. Wees voorzichtig met e-mails van hem over betalingen, want gestolen mailconversaties worden hergebruikt voor factuurfraude. Is uw data via hem blootgesteld, dan hebt u mogelijk eigen meldplichten. Bekijk het contract op beveiligings- en meldingsclausules. NetSenX detecteert beaconing en ongewone sessies vanaf hosts die de leverancier gebruikte, en de netwerkkaart toont waarmee die hosts werkelijk praatten.

Omdat de opruiming anders is. Een gecompromitteerd account betekent dat iemand het wachtwoord of de sessie van een gebruiker heeft, overal bruikbaar: de oplossing is inloggegevens resetten, sessies intrekken, mailboxregels nakijken en multifactorauthenticatie (MFA) afdwingen, en het bewijs staat in identiteits- en dienstlogs. Een gecompromitteerd apparaat betekent dat iemand de machine zelf beheerst, vaak met malware: de oplossing is haar isoleren en herbouwen, en het bewijs zit op het endpoint en in het netwerkverkeer ervan. Veel incidenten omvatten beide, zoals wachtwoorden die van een besmette laptop zijn gestolen, of een account waarmee tools op een server zijn geïnstalleerd. Zoek uit wat u hebt voordat u maatregelen kiest, anders reset u wachtwoorden op een apparaat dat de nieuwe opvangt. NetSenX ziet de apparaatkant op het netwerk: een machine die een externe server belt, scant of nieuwe sessies opent. Misbruik van een account van buiten uw netwerk hoort bij de identiteitslogs.