# Hoe u ziet of er iemand in uw netwerk zit

> De signalen dat een indringer al in het bedrijfsnetwerk zit, gratis controles voor vandaag en waar netwerkdetectie past. Met datum en bronnen.

Source page: https://netsenx.com/nl/is-someone-inside-your-network

Laatst gecontroleerd: 6 november 2026

Er zit iemand in uw netwerk wanneer een aanvaller werkende toegang heeft tot minstens één van uw machines of accounts en die gebruikt om rond te kijken, naar andere systemen over te stappen of data mee te nemen. Er gaat zelden een alarm af. De signalen zijn kleine gedragsveranderingen: een host die met vaste tussenpozen een nieuwe bestemming benadert, een account dat inlogt waar het dat nooit deed, een server die veel meer data naar buiten stuurt dan normaal. De meeste kunt u vandaag nog gratis controleren met logs die een beheerder al heeft.

## Het feit om mee te plannen

Op 7 februari 2024 meldden CISA, NSA en FBI, samen met partnerorganisaties, in de gezamenlijke advisory AA24-038A dat actoren van Volt Typhoon hun toegang tot de IT-omgevingen van sommige slachtoffers minstens vijf jaar hadden behouden, vooral met de eigen beheertools van de slachtoffers in plaats van met malware.

Bron: [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)

## Wat uw netwerk na 18:00 verlaat

**Voorbeeldgegevens, geen vastgelegde detectie**

Eén voorbeeldnacht in het netwerk van een klein bedrijf: zes soorten apparaten, vier soorten bestemmingen. Verschuif de klok om te zien wat er weggaat, hoeveel, en welke stromen een melding zouden geven. Omvang alleen is niet het signaal: de grote overdracht van de back-up is normaal, een kleine upload van een pc die meestal uit staat niet.

| Apparaat | Zijn gewone nacht |
|---|---|
| Pc van de boekhouding | Druk tijdens kantooruren met zakelijke diensten en enkele AI-tools; 's nachts stil. |
| ERP-server | Elk uur wat synchronisatie met zakelijke diensten, dag en nacht. |
| Tv in de vergaderruimte | Kleine updates van de fabrikant. |
| Camerarecorder | Een gestage stroom naar de cloud van de fabrikant. |
| Laptop van een ontwikkelaar | Zakelijke diensten en AI-tools tijdens kantooruren; 's nachts stil. |
| Back-upserver | Elke nacht één grote kopie naar de vaste back-upleverancier. |

### 03:00 De pc van de boekhouding uploadt 's nachts

Ongebruikelijk uitgaand datavolume: deze pc stuurt 's nachts normaal niets, en nooit naar deze bestemming. NetSenX vergelijkt de uploads van elke host met zijn eigen gebruikelijke bestemmingen, volumes en tijdstippen, dus de upload valt op hoewel hij klein is naast de back-up.

### 00:00 De laptop van de ontwikkelaar meldt zich elke vijf minuten

Command-and-control-beaconing: kleine, regelmatige verbindingen met één nieuwe bestemming, de hele nacht. Het volume is minimaal; de regelmaat verraadt het. In elk abonnement, ook Free.

### 02:00 De ERP-server stuurt een archief naar een gehuurde cloudserver

Ongebruikelijk uitgaand datavolume naar een bestemming die deze server nooit heeft gebruikt. Gehuurde cloudservers verschijnen bovendien in de cloud-beoordelingswachtrij, zodat u ze kunt controleren.

Wat een netwerksensor hier niet ziet: bestandsnamen en inhoud binnen versleutelde sessies, en welk programma op het apparaat de gegevens verstuurde. Dat ziet endpointbeveiliging (EDR).

## Signalen om op te letten, en gratis controles voor vandaag

Geen van deze signalen bewijst op zichzelf een inbraak. Elk is snel gecontroleerd, en twee of meer tegelijk verdienen onderzoek.

1. **Nieuwe of zeldzame uitgaande bestemmingen** Een host die een domein of IP-adres begint te benaderen dat niemand anders in het bedrijf gebruikt, zeker als het onlangs is geregistreerd. Controle: exporteer de meest benaderde bestemmingen van de afgelopen 30 dagen uit uw firewall of DNS-server en bekijk de bestemmingen die door één host zijn benaderd.
2. **Verbindingen met vaste tussenpozen** Malware die zich bij zijn beheerder meldt, maakt vaak om de paar minuten verbinding, dag en nacht, met kleine berichten van vergelijkbare grootte. Controle: sorteer in firewall- of proxylogs de verbindingen van één host naar één bestemming op tijd en zoek naar een vast ritme buiten werktijd.
3. **Inloggen op vreemde tijden of vanaf vreemde plekken** Geslaagde aanmeldingen 's nachts, vanuit landen waar u geen personeel hebt, of door accounts die normaal nooit interactief inloggen, zoals serviceaccounts. Controle: bekijk de geslaagde aanmeldingen van de afgelopen 30 dagen in uw directory of identityprovider, gefilterd op tijden buiten kantooruren.
4. **Eén machine praat met veel andere** Een werkplek die verbinding maakt met tientallen interne hosts op beheerpoorten zoals SMB (445), RDP (3389), SSH (22) of WinRM (5985 en 5986), scant of beweegt lateraal. Controle: tel in de flowdata van firewall of switch het aantal verschillende interne bestemmingen per bronhost op die poorten.
5. **Ongebruikelijk uitgaand volume** Een server die plotseling gigabytes uploadt, vaak 's nachts of naar clouddopslag die hij normaal niet gebruikt. Controle: vergelijk de uitgaande bytes van elke host deze week met zijn eigen gemiddelde.
6. **Nieuwe beheeraccounts, taken en services** Accounts die aan beheerdersgroepen zijn toegevoegd, nieuwe geplande taken of services en tools voor externe toegang die niemand heeft goedgekeurd. Controle: maak een lijst van de leden van bevoorrechte groepen en van recent aangemaakte taken en services op uw servers, en vraag wie elk ervan heeft toegevoegd.

## Wat NetSenX vandaag doet

- Bekijkt hoe elke host zich op het netwerk gedraagt en markeert C2-beaconing, scans, laterale beweging en ongebruikelijk uitgaand datavolume, op elk abonnement, ook Free.
- Ziet apparaten zonder agent, zoals printers, camera's en besturingen, omdat één agent op een SPAN- of TAP-poort het hele segment bewaakt.
- Legt elke melding in begrijpelijke taal uit en noemt de netwerkkenmerken achter de score, zodat ook een klein team een inbraak kan onderscheiden van een nieuwe back-uptaak.
- Schrijft meldingen, beslissingen van analisten en configuratiewijzigingen naar een auditlog, en volgt de termijnen van artikel 23 NIS2 als een incident significant blijkt.

## Wat NetSenX niet doet

NetSenX ziet niet wat er binnen een host gebeurt zonder het netwerk te raken, zoals een kwaadaardig proces dat nergens verbinding mee maakt; dat is werk voor endpointbeveiliging (EDR). Het ontsleutelt nooit verkeer en kan de inhoud van een versleutelde sessie dus niet lezen. Het vervangt geen incidentrespons: een host isoleren en opnieuw opbouwen blijft het werk van uw team of uw responsleverancier. Een melding is een reden om te kijken, geen bewijs van een inbraak.

## Vragen van kopers

### Hoe weet ik of ons bedrijfsnetwerk is gecompromitteerd?

Let op gedrag dat is veranderd: nieuwe uitgaande bestemmingen, verbindingen met vaste tussenpozen, aanmeldingen op vreemde tijden, één machine die met veel andere verbinding maakt en ongebruikelijk uitgaand volume. Elk signaal is te controleren in firewall-, DNS- en directorylogs. Twee of meer tegelijk zijn het onderzoeken waard; continue netwerkmonitoring let er elke dag op, niet alleen op de dag dat u kijkt.

### Kan een aanvaller jarenlang onopgemerkt in een netwerk blijven?

Ja. In de gezamenlijke advisory AA24-038A van 7 februari 2024 meldden CISA, NSA en FBI dat actoren van Volt Typhoon hun toegang tot de IT-omgevingen van sommige slachtoffers minstens vijf jaar hadden behouden. Aanvallers die dezelfde beheertools gebruiken als uw IT-team laten weinig signatures achter; daarom telt het gedrag op het netwerk.

### Welke gratis controles kan ik vandaag doen?

Exporteer de meest benaderde uitgaande bestemmingen uit uw firewall of DNS-server en bekijk de zeldzame; controleer geslaagde aanmeldingen buiten kantooruren; tel met hoeveel interne hosts elke werkplek verbinding maakt op de poorten voor SMB, RDP, SSH en WinRM; en vergelijk het uitgaande volume van elke server met zijn eigen gemiddelde.

### Vervangt NetSenX antivirus of EDR?

Nee. NetSenX voegt het netwerkzicht toe: het ziet apparaten zonder agent en de beweging tussen hosts. Endpointbeveiliging blijft dekken wat er binnen elke machine gebeurt. Het Free-abonnement heeft geen tijdslimiet en vraagt geen creditcard, zodat u eerst ziet wat het op uw eigen netwerk vindt.

## Bronnen

- [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)
- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.

## Gerelateerde pagina's

- [Laterale beweging en C2-beaconing detecteren](https://netsenx.com/nl/detect-lateral-movement-c2-beaconing)
- [Who is really inside your network? (artikel in het Engels)](https://netsenx.com/nl/blog/2026-10-02_who-is-inside-your-network)
- [NDR, EDR of SIEM](https://netsenx.com/nl/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Versleuteld verkeer analyseren](https://netsenx.com/nl/encrypted-traffic-analysis)
- [Prijzen en het Free-abonnement](https://netsenx.com/nl/pricing)