Ben ik gehackt?

Let op gedrag dat is veranderd: nieuwe uitgaande bestemmingen, verbindingen met vaste tussenpozen, aanmeldingen op vreemde tijden, één machine die met veel andere verbinding maakt en ongebruikelijk uitgaand volume. Elk signaal is te controleren in firewall-, DNS- en directorylogs. Twee of meer tegelijk zijn het onderzoeken waard; continue netwerkmonitoring let er elke dag op, niet alleen op de dag dat u kijkt.

Ja. In de gezamenlijke advisory AA24-038A van 7 februari 2024 meldden CISA, NSA en FBI dat actoren van Volt Typhoon hun toegang tot de IT-omgevingen van sommige slachtoffers minstens vijf jaar hadden behouden. Aanvallers die dezelfde beheertools gebruiken als uw IT-team laten weinig signatures achter; daarom telt het gedrag op het netwerk.

Exporteer de meest benaderde uitgaande bestemmingen uit uw firewall of DNS-server en bekijk de zeldzame; controleer geslaagde aanmeldingen buiten kantooruren; tel met hoeveel interne hosts elke werkplek verbinding maakt op de poorten voor SMB, RDP, SSH en WinRM; en vergelijk het uitgaande volume van elke server met zijn eigen gemiddelde.

Nee. NetSenX voegt het netwerkzicht toe: het ziet apparaten zonder agent en de beweging tussen hosts. Endpointbeveiliging blijft dekken wat er binnen elke machine gebeurt. Het Free-abonnement heeft geen tijdslimiet en vraagt geen creditcard, zodat u eerst ziet wat het op uw eigen netwerk vindt.

Ja. Aanvallers die gestolen wachtwoorden en de beheertools op uw systemen gebruiken, kunnen lang onopgemerkt blijven: er gaat niets kapot, dus niemand kijkt. Hun gedrag verraadt hen, bijvoorbeeld een computer die met vaste tussenpozen contact zoekt met een nieuwe externe server, één machine die met veel andere verbinding maakt, of uploads 's nachts. NetSenX detecteert beaconing, scans, lateral movement en ongewoon uitgaand datavolume op elk abonnement, Free inbegrepen. Activiteit die het netwerk nooit raakt, ziet het niet.

Vaak wel. Een aanvaller die één machine in handen heeft, gebruikt die om rond te kijken en verder te trekken: hij scant naar andere hosts, probeert de wachtwoorden die op de eerste machine zijn opgeslagen en maakt verbinding via beheerprotocollen zoals SMB, RDP of SSH. In een plat netwerk, waarin elke computer elke server bereikt, houdt niets hem op. Drie gratis maatregelen beperken hoe ver hij komt: segmenteer het netwerk zodat werkplekken geen servers bereiken die ze niet nodig hebben, neem dagelijkse accounts hun lokale beheerdersrechten af en gebruik voor elk systeem een ander wachtwoord. NetSenX detecteert de scans en de nieuwe sessies tussen hosts die deze beweging oplevert, op elk abonnement, ook Free. Wat de aanvaller binnen de eerste machine doet voordat er iets over het netwerk gaat, ziet het niet.

Zelden op zichzelf. Traagheid heeft meestal gewone oorzaken: een back-up, een update van het besturingssysteem, een videogesprek, een volle verbinding. Kijk beter als er verkeer bij komt dat u niet kunt verklaren, zoals een server die 's nachts grote hoeveelheden uploadt, een computer die met vaste tussenpozen contact zoekt met een onbekende bestemming, of een apparaat dat nooit veel verstuurde en plotseling veel verstuurt. Begin bij uw firewall of router: welk intern adres gebruikt de bandbreedte, en waar gaat het verkeer heen? Is het een bekende taak, dan bent u klaar. Een prestatiemonitor laat zien dat een verbinding druk is; NetSenX toont ongewoon uitgaand datavolume per host, afgezet tegen het eigen normale gedrag van die host, en of het patroon op weglekkende data lijkt.

Dat kan. Beveiligingstools uitschakelen is een veelvoorkomende vroege stap van aanvallers en ransomware, omdat het een getuige weghaalt voordat het echte werk begint. Kijk in de console van uw endpointbeveiliging wie of wat de instelling wanneer heeft gewijzigd, zoek op die machine naar nieuwe beheerdersaccounts, nieuwe services en geplande taken, en isoleer haar als u de wijziging niet kunt verklaren. Vraag de support van de leverancier of een update de oorzaak kan zijn; soms is dat het antwoord. Dit is bewijs van het endpoint: een netwerksensor ziet geen gewijzigde instelling op een computer. Wel kan hij laten zien of die machine zich daarna ongewoon gedraagt op het netwerk, bijvoorbeeld door met vaste tussenpozen een nieuwe externe server te benaderen of sessies naar andere hosts te openen, wat NetSenX op elk abonnement detecteert.

Begin met wat u al hebt: de DHCP-leases op uw router of server, de MAC-adrestabellen van uw switches en de clientlijst van de wifi-controller. Vergelijk ze met uw inventaris en zoek alles uit wat u niet kunt verklaren; de eerste helft van een MAC-adres noemt de fabrikant, wat vaak verraadt of het een printer, een telefoon of een kleine computer is. Port security of 802.1X houdt onbekende apparaten bij voorbaat buiten het netwerk. De netwerkkaart van NetSenX toont op elk abonnement de hosts die in gemonitorde segmenten worden gezien en met wie ze praten, zodat een nieuw apparaat opvalt zodra het begint te communiceren. Een apparaat dat zwijgt, of in een segment zit dat u niet monitort, verschijnt er niet.

Ja, via het access point of de wifi-controller: de clientlijst toont elk verbonden apparaat met MAC-adres, signaalsterkte en vaak een apparaatnaam. Vergelijk die met wat u verwacht en controleer in de DHCP-leases van de router welke apparaten onlangs een adres kregen. Een paar instellingen maken de lijst betrouwbaarder: een apart gastnetwerk voor bezoekers en privételefoons, een wifiwachtwoord dat verandert wanneer medewerkers vertrekken, en WPA2 of WPA3 Enterprise met persoonlijke logins in plaats van één gedeelde sleutel. Moderne telefoons gebruiken op elk netwerk een ander MAC-adres, dus een onbekend adres bewijst nog geen indringer. NetSenX beheert geen wifi, maar de netwerkkaart toont de apparaten die in gemonitorde segmenten communiceren, zodat een nieuwkomer die interne servers bereikt opvalt.

Ja, als de aansluiting is doorverbonden met een actieve switchpoort. Een bezoeker, een externe monteur of een indringer kan een laptop aansluiten of achter een printer een kleine computer zoals een Raspberry Pi achterlaten, die dan binnen uw firewall zit. Voorkomen is goedkoop: koppel ongebruikte switchpoorten los, gebruik 802.1X of op zijn minst port security zodat alleen bekende apparaten toegang krijgen, zet vergaderruimtes en receptie op een gastnetwerk, en kijk tijdens rondes achter printers en onder bureaus. Detectie is de tweede laag. De netwerkkaart van NetSenX toont op elk abonnement nieuwe apparaten die in gemonitorde segmenten gaan communiceren, en NetSenX markeert een verborgen apparaat dat met vaste tussenpozen naar buiten belt als beaconing. Bereikt het apparaat de aanvaller via een eigen mobiele verbinding, dan is alleen zichtbaar wat het binnen uw netwerk doet, zoals scannen; een apparaat dat alleen luistert, blijft onzichtbaar.

Meestal dagen tot weken, soms veel langer. Het rapport M-Trends 2026 van Mandiant stelt de wereldwijde mediane verblijftijd (dwell time), de tijd van het begin van een inbraak tot de ontdekking ervan, op 14 dagen voor de incidenten die het in 2025 onderzocht. Een mediaan verbergt een lange staart: de helft van die inbraken duurde langer. De verblijftijd is kort als de aanvaller lawaai maakt, zoals bij ransomware, en lang als het om stille toegang of datadiefstal gaat; inbraken die een buitenstaander ontdekt, duurden doorgaans langer dan die een bedrijf zelf vindt. Wat haar verkort, is letten op gedrag en niet alleen op signaturen: regelmatig contact met een nieuwe externe server, scans, nieuwe sessies tussen hosts. NetSenX detecteert die op elk abonnement, ook Free, in de segmenten die het monitort.

De meeste monitoring laat niets zichtbaars op het scherm achter, dus kijk wat er geïnstalleerd is en wie de computer beheert. Monitoring door het bedrijf staat normaal in de lijst met geïnstalleerde programma's of beheerprofielen en hoort in een schriftelijk beleid te staan; vraag het bij twijfel aan IT of HR. Tekenen dat er iets niet-goedgekeurds draait, zijn een tool voor externe toegang die u niet zelf installeerde, een muis of vensters die vanzelf bewegen, een nieuwe browserextensie, een webcamlampje dat aangaat of beveiligingssoftware die is uitgeschakeld. Op het netwerk is een computer die regelmatig data naar een onbekende externe server stuurt het duidelijkste technische teken. NetSenX kijkt naar apparaten en verbindingen, nooit naar mensen: zulke beaconing detecteert het op elk abonnement, maar wat er in de computer draait, ziet het niet.

Meestal niet rechtstreeks. Passief sniffen, een apparaat dat alleen luistert, verstuurt niets en laat dus bijna niets achter om te detecteren. Wat u wel kunt zien, is het werk dat een aanvaller moet doen om verkeer te zien dat niet voor hem bedoeld is. Op een netwerk met switches moet hij het omleiden, bijvoorbeeld met ARP-spoofing, of aansluiten op een mirrorpoort, een hub of een TAP. Switchfuncties zoals dynamic ARP inspection en DHCP snooping blokkeren het omleiden, port security beperkt wie kan aansluiten, en versleuteling van interne diensten met HTTPS, SSH en SMB-versleuteling maakt onderschept verkeer veel minder bruikbaar. Een sensor op het segment ziet ongewone ARP-berichten en het nieuwe apparaat dat begint te communiceren; een luisteraar die volledig stil blijft, is onzichtbaar voor NetSenX, zoals voor elke netwerksensor.

Van veel ervan, als het netwerk dat toelaat. Eenmaal binnen bereikt een aanvaller elk systeem dat de gecompromitteerde machine bereikt, en logt hij overal in waar opgeslagen of gestolen wachtwoorden werken. Gedeelde mappen, een bestandsserver die iedereen kan lezen en één beheerderswachtwoord op elke computer maken die lijst lang. Drie dingen maken haar korter: segmenten die werkplekken weghouden van servers die ze niet nodig hebben, accounts met zo weinig rechten als het werk toelaat, en multifactorauthenticatie (MFA) voor externe toegang en beheerdersaanmeldingen. Gestolen data moet bovendien twee keer over het netwerk: wanneer de aanvaller bestanden van andere hosts verzamelt en wanneer hij ze naar buiten stuurt. NetSenX detecteert nieuwe sessies tussen hosts en ongewoon uitgaand datavolume per host, op elk abonnement, ook Free.

Via een dienst die op dat adres antwoordt, of via een mens. Uw publieke IP-adres is op zichzelf geen deur; de open poorten erachter zijn dat wel. Aanvallers scannen het hele internet op remote desktop, VPN-gateways, firewalls met beheer op afstand, mail- en webservers, en proberen daarna gestolen wachtwoorden of bekende kwetsbaarheden op alles wat antwoordt. De andere veelvoorkomende route slaat het publieke adres helemaal over: een phishingmail laat een medewerker iets uitvoeren, waarna de besmette computer zelf contact zoekt met de aanvaller. Controleer van buitenaf welke poorten u openstelt, sluit alles wat niet nodig is, zet de rest achter een VPN met multifactorauthenticatie (MFA) en patch eerst de apparaten die aan internet hangen. In gemonitorde segmenten toont NetSenX welke hosts van buitenaf worden bereikt en detecteert het de beaconing die op een besmetting volgt.

Ja, en vaak een makkelijke. Printers, IP-camera's, videorecorders, smart-tv's en toegangssystemen draaien op kleine besturingssystemen die zelden worden bijgewerkt, houden vaak hun standaardwachtwoord en kunnen geen antivirus draaien. Aanvallers gebruiken ze op twee manieren: als verborgen steunpunt waar niemand naar kijkt, en als startpunt om de rest van het netwerk te scannen. Wijzig standaardwachtwoorden, werk de firmware bij, schakel ongebruikte diensten uit en zet deze apparaten in een eigen netwerksegment dat uw servers niet kan bereiken, en internet alleen voor zover nodig. Omdat u er geen agent op kunt installeren, bewaakt u ze vanuit het netwerk: vanaf een SPAN- of TAP-poort ziet NetSenX hun bestemmingen en detecteert het beaconing en scans, op elk abonnement, zonder software op het apparaat.

Dat kan. Smart-tv's, kastjes voor schermdelen en vergadersystemen zijn computers met microfoons, camera's en netwerktoegang, bijgewerkt volgens het schema van de fabrikant, als ze al worden bijgewerkt. Veel ervan benaderen de hele dag de cloud van de fabrikant, ook in stand-by, en sommige accepteren schermdelen van iedereen op hetzelfde netwerk. Zet ze in een eigen netwerksegment dat uw bestandsservers en de laptops die erop worden getoond niet kan bereiken, schakel ongebruikte functies uit, wijzig standaardwachtwoorden en installeer updates. Controleer daarna wat ze echt doen: bekeken vanaf een SPAN- of TAP-poort ziet NetSenX hun bestemmingen en detecteert het beaconing en scans op elk abonnement, zonder software op het apparaat. Of een cloud van de fabrikant in het buitenland acceptabel is, beslist u; NetSenX laat het verkeer zien, het beoordeelt de fabrikant niet.

Vaak is het de medewerker, maar u weet het pas na controle. Aanmeldingen vanuit een nieuw land of via een nieuwe provider komen voor bij reizen, een nieuwe telefoon of een mobiel netwerk dat via een andere stad loopt, en ook wanneer iemand een gestolen wachtwoord gebruikt. Vraag het de persoon rechtstreeks, via een ander kanaal dan het betreffende account. Kijk daarna in de identiteitslogs van de dienst: is de multifactorauthenticatie (MFA) voltooid, zijn er mailboxregels of nieuwe apparaten toegevoegd, en meldde hetzelfde account zich binnen een uur aan vanaf twee ver uit elkaar liggende plaatsen? Dat bewijs staat in de logs van uw identiteitsprovider, VPN en SaaS-diensten, niet op het netwerk. NetSenX voegt de netwerkkant toe, zoals een apparaat dat daarna begint te scannen of nieuwe sessies naar servers opent; het ziet geen identiteitsgebeurtenissen en koppelt een aanmelding niet aan een persoon.

Soms, want opnieuw inrichten maakt alleen de machines schoon die u opnieuw inrichtte. Wat overblijft, zit meestal ergens anders: gestolen wachtwoorden en sessietokens, accounts die de aanvaller in de directory of in clouddiensten aanmaakte, een tool voor externe toegang op een server die niemand opnieuw installeerde, geplande scripts op een netwerkshare, gewijzigde firewallregels of een back-up waar zijn tools al in zaten. Voordat u een incident afsluit, reset u alle inloggegevens die mogelijk zijn uitgelekt, controleert u overal nieuwe accounts, doorstuurregels voor e-mail en software voor externe toegang, vergelijkt u firewall- en VPN-instellingen met een betrouwbare kopie en herstelt u alleen uit back-ups van vóór de inbraak. Houd het netwerk daarna enkele weken goed in de gaten. Nieuwe verbindingen met de servers van de aanvaller zijn een typisch teken dat er iets gemist is; NetSenX detecteert C2-beaconing op elk abonnement, ook Free.

Gedeeltelijk wel. Verschillende nationale instanties bieden gratis diensten aan: in Spanje controleert de Antibotnet-dienst van INCIBE of uw publieke IP-adres voorkomt in meldingen over besmette apparaten, en nationale CERT's in andere landen sturen vergelijkbare meldingen door naar de eigenaren van getroffen netwerken; vraag uw internetprovider of hij ze aan u doorgeeft. Gratis controles aan uw kant helpen ook: het log van geblokkeerde uitgaande verbindingen op uw firewall, DNS-logs met opvragingen van bekende kwaadaardige domeinen, en elk apparaat dat dag en nacht dezelfde externe server benadert. Een reputatiecheck vertelt u dat er iets achter uw publieke adres is gemeld, niet welk apparaat het was. NetSenX detecteert C2-beaconing per host op elk abonnement, ook Free, en wijst zo het apparaat zelf aan.

Een compromise assessment is een onderzoek van beperkte duur dat één vraag beantwoordt: zit er nu een aanvaller in onze omgeving, of zat die er onlangs? Specialisten doorzoeken bewijs van endpoints, logs en het netwerk op sporen van een inbraak, in plaats van te testen of een inbraak mogelijk is, zoals een penetratietest doet. Het is zinvol vóór een overname, nadat een leverancier of een bedrijf in uw sector is getroffen, wanneer u een netwerk overneemt dat niemand heeft gedocumenteerd, of wanneer er iets vreemds gebeurde dat niemand kon verklaren. Vraag de aanbieder welke data hij nodig heeft, hoe ver hij terug kan kijken en wat hij niet dekt. De kwaliteit hangt af van het bewijs dat er al is: netwerkgeschiedenis die vóór de start is vastgelegd, is meer waard dan alles wat daarna wordt verzameld. NetSenX bewaart alerts en hun redenen gedurende de geschiedenis van uw abonnement: 30 dagen op Free, langer op betaalde abonnementen.

Zoek uit hoe het werd aangevallen en controleer precies die route in uw eigen bedrijf. Lees de publieke verklaring, de waarschuwing van uw nationale CSIRT of brancheorganisatie en berichtgeving die de methode noemt: een misbruikte VPN of firewall, een gedeelde leverancier, phishing, een bekende ransomwaregroep. Criminele groepen gebruiken dezelfde kwetsbaarheid of dezelfde leverancierstoegang vaak tegen veel bedrijven tegelijk; deelt u software of een dienstverlener met het slachtoffer, vraag het die leverancier dan rechtstreeks. Patch het genoemde product, controleer externe toegang en leveranciersaccounts en ga na of uw back-ups offline staan en te herstellen zijn. Kijk daarna op uw netwerk naar de eerste stappen: nieuwe externe servers die met vaste tussenpozen worden benaderd, interne scans en nieuwe beheersessies. NetSenX detecteert die op elk abonnement, ook Free; wat er gebeurt in segmenten die het niet monitort, kan het u niet vertellen.

Op elke verbinding met die partij en op alles wat nieuw is. Begin bij wat u verbindt: gedeelde VPN-tunnels, accounts voor externe toegang die zij op uw systemen gebruiken, bestandsoverdrachten, e-mailconversaties en gedeelde cloudmappen. Schort die inloggegevens op of vervang ze tot zij bevestigen wat er getroffen is, en wees voorzichtig met hun e-mails die om gewijzigde betaalgegevens vragen, want aanvallers hergebruiken gestolen mailconversaties. Noemt hun waarschuwing of verklaring indicatoren van compromittering, zoals IP-adressen, domeinen of bestandshashes, zoek die dan in uw firewall-, proxy- en DNS-logs van de afgelopen weken. Let daarna op gedrag: hosts die plotseling met vaste tussenpozen nieuwe externe servers benaderen, scans, ongewone uploads. NetSenX detecteert die op elk abonnement, en de netwerkkaart laat zien wie met wie praat in de gemonitorde segmenten.

Maak van het incident van vorig jaar een test. Schrijf elke stap van de aanvaller op, van de eerste toegang tot het moment dat u het merkte, en vraag bij elke stap welke maatregel of welk log hem vandaag zou zien. Dicht daarna de gaten: was de ingang een VPN-account zonder multifactorauthenticatie (MFA), controleer dan of elk account voor externe toegang die nu heeft; merkte u pas iets bij de versleuteling, zoek dan uit welke eerdere stap over het netwerk ging en of er nu iets op zou alarmeren. Een tabletopoefening of een breach and attack simulation (BAS) speelt het scenario na zonder echte schade. NetSenX dekt de netwerkstappen die de meeste incidenten gemeen hebben, zoals beaconing, scans, laterale beweging en ongewoon uitgaand datavolume, op elk abonnement; breach and attack simulation zit erin vanaf het Business-plan. Wat alleen binnen een host gebeurt, vraagt om endpointbeveiliging.

Omdat niemand binnen op de juiste plek keek. Een klant krijgt een valse factuur uit uw gehackte mailbox, een bank meldt vreemde overboekingen, de politie of een nationaal CERT vindt uw data op een server van criminelen, of de aanvallers kondigen het aan op hun leksite. Binnen het bedrijf waren de signalen er vaak wel, maar ongelezen: firewall-logs die niemand bekijkt, een antivirusmelding die als ruis is weggeklikt, een server die 's nachts uploadt. De M-Trends-rapporten van Mandiant stelden herhaaldelijk vast dat inbraken die een buitenstaander ontdekte langer liepen dan inbraken die een bedrijf zelf vond. Het van buiten horen kost u bovendien de regie over tijdlijn en boodschap. Lezen wat al over uw netwerk gaat, verandert dat; NetSenX maakt er uitgelegde alerts van voor beaconing, scans, laterale beweging en ongewone uploads, op elk abonnement, ook Free.

Door te vragen wie, waarheen en wanneer, en het antwoord te vergelijken met normaal. Een back-up verplaatst data van bekende hosts naar een bekende bestemming, meestal op een vast tijdstip en elke nacht met een vergelijkbaar volume. Een update downloadt in een korte piek van de servers van de leverancier naar veel hosts. Diefstal ziet er anders uit: een host die zelden uploadt, verstuurt veel, naar een bestemming die niemand anders gebruikt, op een uur waarop hij normaal stil is, of een werkplek leest plotseling veel netwerkshares. Houd een korte lijst bij van uw geplande taken, met hun hosts en tijden, zodat iedereen een alert ermee kan vergelijken. NetSenX beoordeelt elke host aan de hand van zijn eigen gebruikelijke bestemmingen, volumes en tijdstippen, legt bij elke alert uit welke netwerkkenmerken de doorslag gaven, en laat u een alert markeren als vals-positief, waarbij de beslissing in het auditlog wordt bewaard.

Door het vast te leggen voordat u het nodig hebt. Normaal is een beschrijving van wie met wie praat, wanneer en hoeveel: welke servers elke werkplek gebruikt, welke externe diensten hij bereikt, wanneer back-ups draaien, welke apparaten 's nachts stil zijn. De meeste kleine bedrijven hebben dat nooit opgeschreven, en daarom is een vreemde verbinding midden in een incident moeilijk te beoordelen. Begin met een eenvoudige lijst van uw servers, geplande taken, tools voor externe toegang en de leveranciers die van buitenaf verbinden. Firewall- en DNS-logs van een gewone week geven een eerste beeld. NetSenX leert het normale gedrag van elke host uit het verkeer in de gemonitorde segmenten en vergelijkt elke nieuwe verbinding daarmee, en de netwerkkaart toont op elk abonnement wie met wie praat. Een pas geïnstalleerde sensor heeft tijd met uw eigen verkeer nodig voordat zijn beeld van normaal betrouwbaar is, en NetSenX zegt het wanneer het nog niet genoeg data heeft.

Een indicator of compromise is een bewijsstuk dat erop wijst dat een systeem is aangevallen: een IP-adres of domein waarvan bekend is dat aanvallers het gebruiken, de hash van een kwaadaardig bestand, een verdachte bestandsnaam, de TLS-vingerafdruk van een bekende malwareclient, of een configuratiewijziging die malware doorvoert. Waarschuwingen van CISA, nationale CERT's en beveiligingsonderzoekers publiceren ze, zodat anderen hun eigen logs kunnen doorzoeken. Ze zijn nuttig en kortlevend: aanvallers wisselen van server en compileren hun tools opnieuw, dus een adres dat vorige maand kwaadaardig was, kan vandaag van iemand onschuldigs zijn. Daarom vullen indicatoren het letten op gedrag aan in plaats van het te vervangen. Doorzoek uw firewall-, proxy- en DNS-logs op de indicatoren uit elke waarschuwing die u aangaat. Vanaf het Starter-plan vergelijkt NetSenX TLS-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPAN/TAP-sensor, en gedrag zoals beaconing detecteert het op elk abonnement.

Ja. Antivirus en endpointtools zoeken op de machine naar bekende kwaadaardige bestanden en verdacht gedrag, en ze kunnen alleen rapporteren vanaf machines waarop ze geïnstalleerd zijn en draaien. Een aanvaller die met een gestolen wachtwoord inlogt en de aanwezige beheertools gebruikt, geeft ze weinig om op te reageren, en een printer, camera of server zonder agent meldt helemaal niets. Een tool die iemand heeft uitgeschakeld, kan er bovendien rustig uitzien in plaats van rood. Controleer welke machines echt aan de console rapporteren, wanneer elk zich voor het laatst meldde en of er een al dagen stil is. Voeg daarna een tweede, onafhankelijke blik toe: het netwerk. In de gemonitorde segmenten bekijkt NetSenX het gedrag dat erover gaat, zoals beaconing naar een nieuwe externe server, scans, nieuwe sessies tussen hosts en ongewone uploads, op elk abonnement, ook Free, of een host nu een agent heeft of niet.

Behandel het als een incident tot u een verklaring hebt. Nieuwe beheerdersaccounts zijn een gangbare manier voor aanvallers om toegang te houden, en ze krijgen vaak een onopvallende naam, zoals een variant van een service- of supportaccount. Verwijder het niet meteen: schakel het uit, noteer de naam, het tijdstip van aanmaak en wie of wat het aanmaakte, en bewaar de directory- en systeemlogs die dat tonen voordat ze worden overschreven. Vraag daarna de voor de hand liggende partijen, zoals uw IT-dienstverlener of een softwareleverancier, of zij het hebben aangemaakt. Was het niemand, kijk dan wat er tegelijk nog veranderde, reset vanaf een schoon apparaat de wachtwoorden van de andere beheerders en bel uw incidentresponsdienstverlener. Het account zelf is identiteitsbewijs dat een netwerksensor niet ziet; NetSenX laat zien of hosts die rond die tijd werden gebruikt begonnen te scannen of nieuwe sessies naar servers openden.

Eerst of het een taak is die u kent. Kijk naar tijdstip, bestemming en volume, en vergelijk die met uw back-upschema, software-updates en eventuele synchronisatie met een clouddienst. Een bekende back-up gaat op een vast tijdstip naar een bekende bestemming. Is de bestemming nieuw, het volume ongewoon of de server op dat uur normaal stil, zoek dan op de server zelf het verantwoordelijke proces, controleer wie kort daarvoor inlogde en kijk in het firewall- of proxylog hoe lang het al gebeurt. Sluit de server af van internet als de overdracht doorgaat en niemand haar kan verklaren. NetSenX detecteert ongewoon uitgaand datavolume per host op elk abonnement en bewaart tijdstip, bestemming en volume van elke alert gedurende de geschiedenis van uw abonnement; welke bestanden in een versleutelde overdracht zaten, ziet het niet.

Niet per se, maar het betekent dat iets achter dat adres zich misdroeg, of daarvoor werd gemeld. Veelvoorkomende oorzaken zijn een gecompromitteerde mailbox of een apparaat dat spam verstuurt, een met malware besmette computer die deel uitmaakt van een botnet, een open dienst die anderen misbruiken, of een adres dat van iemand anders was voordat uw provider het aan u toewees. Zoek uit om welke lijst het gaat en welke reden die geeft, controleer de logs van mailserver en firewall op ongewone uitgaande mail of verbindingen, en wijzig het wachtwoord van elke mailbox die onverwachte berichten verstuurde. Vraag pas om verwijdering als de oorzaak is opgelost, anders komt u opnieuw op de lijst. Een blokkeerlijst wijst naar uw publieke adres, dat veel apparaten delen; NetSenX detecteert beaconing en ongewoon uitgaand verkeer per host, op elk abonnement, wat u helpt het apparaat te vinden.

Mogelijk, dus controleer het in plaats van het weg te wuiven. Hardware verklaart veel gevallen: een kapotte muis, een draadloze ontvanger die een ander apparaat oppikt, of een touchpad dat op een mouw reageert. De andere verklaring is overname op afstand, door uw eigen IT-support of door iemand anders met een tool voor externe toegang. Vraag IT of er op dat moment iemand verbonden was, bekijk de geïnstalleerde programma's en draaiende tools voor hulp op afstand, en controleer of er daarna nieuwe accounts, wachtwoordwijzigingen of betalingen volgden. Kan niemand het verklaren, koppel de computer dan los van het netwerk, laat hem aanstaan en bel uw incidentresponsdienstverlener. Tools voor overname op afstand hebben een netwerkverbinding nodig, vaak met een relayserver van de leverancier, dus het verkeer is te zien: NetSenX toont de verbindingen van die computer en markeert regelmatig contact met een nieuwe externe server als beaconing, op elk abonnement.

Eerst observeren, dan handelen, en dan alles tegelijk. Een aanvaller die merkt dat er wordt gekeken, kan bewijs wissen, naar een andere machine uitwijken of de versleuteling vervroegen. Vermijd dus opvallende stappen, zoals het wachtwoord van de gebruiker resetten of een volledige scan draaien, voordat u een plan hebt. Verzamel eerst onopvallend wat u kunt: de geschiedenis in de endpointconsole, firewall- en DNS-logs en de verbindingen die de computer maakt. Bepaal met uw incidentresponsdienstverlener welke accounts en hosts u indamt en doe het daarna in één keer: isoleren, inloggegevens resetten vanaf een schoon apparaat en de bestemmingen van de aanvaller blokkeren binnen hetzelfde korte venster. Werk vanaf een schoon apparaat en bespreek het incident niet via een mailbox die gecompromitteerd kan zijn. Een NetSenX-sensor op een SPAN- of TAP-poort observeert zonder de computer aan te raken, en zijn alerts noemen de bestemmingen, tijdstippen en volumes die een indammingsplan nodig heeft.