Signalen van een inbraak
Hoe u ziet of er iemand in uw netwerk zit
Er zit iemand in uw netwerk wanneer een aanvaller werkende toegang heeft tot minstens één van uw machines of accounts en die gebruikt om rond te kijken, naar andere systemen over te stappen of data mee te nemen. Er gaat zelden een alarm af. De signalen zijn kleine gedragsveranderingen: een host die met vaste tussenpozen een nieuwe bestemming benadert, een account dat inlogt waar het dat nooit deed, een server die veel meer data naar buiten stuurt dan normaal. De meeste kunt u vandaag nog gratis controleren met logs die een beheerder al heeft.
Het feit om mee te plannen
Op 7 februari 2024 meldden CISA, NSA en FBI, samen met partnerorganisaties, in de gezamenlijke advisory AA24-038A dat actoren van Volt Typhoon hun toegang tot de IT-omgevingen van sommige slachtoffers minstens vijf jaar hadden behouden, vooral met de eigen beheertools van de slachtoffers in plaats van met malware.
Wat uw netwerk na 18:00 verlaat
Eén voorbeeldnacht in het netwerk van een klein bedrijf: zes soorten apparaten, vier soorten bestemmingen. Verschuif de klok om te zien wat er weggaat, hoeveel, en welke stromen een melding zouden geven. Omvang alleen is niet het signaal: de grote overdracht van de back-up is normaal, een kleine upload van een pc die meestal uit staat niet.
Voorbeeldgegevens, geen vastgelegde detectie
| Apparaat | Bestemming | Volume | Zou dit een melding geven? |
|---|---|---|---|
| Pc van de boekhouding | Onbekende bestemmingen | 180 MB | Ja: ongebruikelijk uitgaand datavolume |
| ERP-server | Bekende zakelijke diensten | 20 MB | Nee: gebruikelijk voor dit apparaat |
| Tv in de vergaderruimte | Bekende zakelijke diensten | 3 MB | Nee: gebruikelijk voor dit apparaat |
| Camerarecorder | Bekende zakelijke diensten | 30 MB | Nee: gebruikelijk voor dit apparaat |
| Laptop van een ontwikkelaar | Onbekende bestemmingen | 1 MB | Ja: command-and-control-beaconing |
Toon de gewone nacht van elk apparaat als tabel
| Apparaat | Zijn gewone nacht |
|---|---|
| Pc van de boekhouding | Druk tijdens kantooruren met zakelijke diensten en enkele AI-tools; 's nachts stil. |
| ERP-server | Elk uur wat synchronisatie met zakelijke diensten, dag en nacht. |
| Tv in de vergaderruimte | Kleine updates van de fabrikant. |
| Camerarecorder | Een gestage stroom naar de cloud van de fabrikant. |
| Laptop van een ontwikkelaar | Zakelijke diensten en AI-tools tijdens kantooruren; 's nachts stil. |
| Back-upserver | Elke nacht één grote kopie naar de vaste back-upleverancier. |
Wat een netwerksensor hier niet ziet: bestandsnamen en inhoud binnen versleutelde sessies, en welk programma op het apparaat de gegevens verstuurde. Dat ziet endpointbeveiliging (EDR).
Signalen om op te letten, en gratis controles voor vandaag
Geen van deze signalen bewijst op zichzelf een inbraak. Elk is snel gecontroleerd, en twee of meer tegelijk verdienen onderzoek.
01Nieuwe of zeldzame uitgaande bestemmingen
Een host die een domein of IP-adres begint te benaderen dat niemand anders in het bedrijf gebruikt, zeker als het onlangs is geregistreerd. Controle: exporteer de meest benaderde bestemmingen van de afgelopen 30 dagen uit uw firewall of DNS-server en bekijk de bestemmingen die door één host zijn benaderd.
02Verbindingen met vaste tussenpozen
Malware die zich bij zijn beheerder meldt, maakt vaak om de paar minuten verbinding, dag en nacht, met kleine berichten van vergelijkbare grootte. Controle: sorteer in firewall- of proxylogs de verbindingen van één host naar één bestemming op tijd en zoek naar een vast ritme buiten werktijd.
03Inloggen op vreemde tijden of vanaf vreemde plekken
Geslaagde aanmeldingen 's nachts, vanuit landen waar u geen personeel hebt, of door accounts die normaal nooit interactief inloggen, zoals serviceaccounts. Controle: bekijk de geslaagde aanmeldingen van de afgelopen 30 dagen in uw directory of identityprovider, gefilterd op tijden buiten kantooruren.
04Eén machine praat met veel andere
Een werkplek die verbinding maakt met tientallen interne hosts op beheerpoorten zoals SMB (445), RDP (3389), SSH (22) of WinRM (5985 en 5986), scant of beweegt lateraal. Controle: tel in de flowdata van firewall of switch het aantal verschillende interne bestemmingen per bronhost op die poorten.
05Ongebruikelijk uitgaand volume
Een server die plotseling gigabytes uploadt, vaak 's nachts of naar clouddopslag die hij normaal niet gebruikt. Controle: vergelijk de uitgaande bytes van elke host deze week met zijn eigen gemiddelde.
06Nieuwe beheeraccounts, taken en services
Accounts die aan beheerdersgroepen zijn toegevoegd, nieuwe geplande taken of services en tools voor externe toegang die niemand heeft goedgekeurd. Controle: maak een lijst van de leden van bevoorrechte groepen en van recent aangemaakte taken en services op uw servers, en vraag wie elk ervan heeft toegevoegd.
Wat NetSenX vandaag doet
- Bekijkt hoe elke host zich op het netwerk gedraagt en markeert C2-beaconing, scans, laterale beweging en ongebruikelijk uitgaand datavolume, op elk abonnement, ook Free.
- Ziet apparaten zonder agent, zoals printers, camera's en besturingen, omdat één agent op een SPAN- of TAP-poort het hele segment bewaakt.
- Legt elke melding in begrijpelijke taal uit en noemt de netwerkkenmerken achter de score, zodat ook een klein team een inbraak kan onderscheiden van een nieuwe back-uptaak.
- Schrijft meldingen, beslissingen van analisten en configuratiewijzigingen naar een auditlog, en volgt de termijnen van artikel 23 NIS2 als een incident significant blijkt.
Wat NetSenX niet doet
NetSenX ziet niet wat er binnen een host gebeurt zonder het netwerk te raken, zoals een kwaadaardig proces dat nergens verbinding mee maakt; dat is werk voor endpointbeveiliging (EDR). Het ontsleutelt nooit verkeer en kan de inhoud van een versleutelde sessie dus niet lezen. Het vervangt geen incidentrespons: een host isoleren en opnieuw opbouwen blijft het werk van uw team of uw responsleverancier. Een melding is een reden om te kijken, geen bewijs van een inbraak.
Vragen van kopers
Hoe weet ik of ons bedrijfsnetwerk is gecompromitteerd?
Let op gedrag dat is veranderd: nieuwe uitgaande bestemmingen, verbindingen met vaste tussenpozen, aanmeldingen op vreemde tijden, één machine die met veel andere verbinding maakt en ongebruikelijk uitgaand volume. Elk signaal is te controleren in firewall-, DNS- en directorylogs. Twee of meer tegelijk zijn het onderzoeken waard; continue netwerkmonitoring let er elke dag op, niet alleen op de dag dat u kijkt.
Kan een aanvaller jarenlang onopgemerkt in een netwerk blijven?
Ja. In de gezamenlijke advisory AA24-038A van 7 februari 2024 meldden CISA, NSA en FBI dat actoren van Volt Typhoon hun toegang tot de IT-omgevingen van sommige slachtoffers minstens vijf jaar hadden behouden. Aanvallers die dezelfde beheertools gebruiken als uw IT-team laten weinig signatures achter; daarom telt het gedrag op het netwerk.
Welke gratis controles kan ik vandaag doen?
Exporteer de meest benaderde uitgaande bestemmingen uit uw firewall of DNS-server en bekijk de zeldzame; controleer geslaagde aanmeldingen buiten kantooruren; tel met hoeveel interne hosts elke werkplek verbinding maakt op de poorten voor SMB, RDP, SSH en WinRM; en vergelijk het uitgaande volume van elke server met zijn eigen gemiddelde.
Vervangt NetSenX antivirus of EDR?
Nee. NetSenX voegt het netwerkzicht toe: het ziet apparaten zonder agent en de beweging tussen hosts. Endpointbeveiliging blijft dekken wat er binnen elke machine gebeurt. Het Free-abonnement heeft geen tijdslimiet en vraagt geen creditcard, zodat u eerst ziet wat het op uw eigen netwerk vindt.
Bronnen
- CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.
Gerelateerde pagina's
Probeer NetSenX op uw eigen netwerk
Begin met het Free-abonnement voor maximaal 3 apparaten, of boek een demo van 20 minuten.