Dreigingsinformatie en proactief dreigingsonderzoek

Een verbinding in een logboek wordt pas bruikbare inlichting wanneer iemand uitlegt waarom die voor een beslissing van belang is. Gegevens zijn een kale waarneming, informatie voegt betekenis toe en inlichtingen voegen analyse en relevantie toe.

Begin bij de beslissing

“203.0.113.45 maakte verbinding op poort 443” zijn gegevens. “Op dat adres stond vorige week een phishingpagina” is informatie. “Een groep die zich op onze sector richt, gebruikt het adres voor aansturing en controle; zoek naar eerdere verbindingen en overweeg het te blokkeren” zijn inlichtingen. De laatste uitspraak verbindt bewijs met een dreiging, een omgeving en een actie.

Een inlichtingenbehoefte is een vraag die aan een beslissing en een eigenaar is gekoppeld. Een prioritaire inlichtingenbehoefte (PIR) geeft aan op welke vraag de leiding het meest dringend antwoord nodig heeft. “Welke ransomwaregroepen richten zich hier op ziekenhuizen en hoe komen ze binnen?” kan richting geven aan een financieringsbeslissing. “Verzamel meer ransomwaregegevens” geeft de analist geen duidelijk eindpunt.

Volg de cyclus

1. Planning en aansturing: spreek behoeften, gebruikers en deadlines af.
2. Verzameling: verzamel de rapporten en interne registraties die nodig zijn om de vragen te beantwoorden.
3. Verwerking: vertaal, normaliseer, dedupliceer en structureer de gegevens.
4. Analyse: verbind waarnemingen, beoordeel verklaringen en vermeld de mate van betrouwbaarheid.
5. Verspreiding: stuur een bruikbaar product naar de persoon die moet handelen.
6. Feedback: vraag of het product de vraag heeft beantwoord en wat moet veranderen.

Sommige diagrammen van de cyclus combineren verwerking met een andere stap en tonen vijf fasen. Het werk loopt nog steeds van een vraag via bewijs en analyse naar levering en feedback. Een feed kopen levert gegevens voor de verzameling; het overige werk blijft bij de organisatie liggen.

Werk een financieringsvraag uit

Het hoofd beveiliging van een ziekenhuis moet beslissen of er dit kwartaal geld komt voor multifactorauthenticatie (MFA) voor toegang op afstand. De analist verzamelt een advies van een nationale instantie, twee rapporten uit de zorgsector en de logboeken van het virtuele privénetwerk (VPN) van het ziekenhuis. Bij de verwerking haalt de analist de gemelde technieken eruit en zet de logtijden om naar een gemeenschappelijk formaat.

Uit de analyse blijkt dat drie van de vier beschreven groepen binnenkwamen met gestolen VPN-inloggegevens. De logboeken tonen 1.200 mislukte VPN-aanmeldingen uit onbekende landen in 30 dagen. De rapporten onderbouwen het toegangsrisico; de mislukte aanmeldingen tonen toegangspogingen, geen succesvolle toegang. Een briefing van één pagina adviseert om eerst VPN-MFA in te voeren, terwijl het security operations center (SOC) de indicatoren ontvangt. Het hoofd vraagt om de kosten in de volgende briefing: die feedback geeft vorm aan de volgende behoefte.

Onderscheid waarnemingen van oordelen

“Het bestand maakte contact met deze server” is een waarneming. “De actor bereidt ransomware voor” is een beoordeling die bewijs en een mate van betrouwbaarheid vereist. Schrijf ze afzonderlijk op, zodat een lezer de redenering kan betwisten zonder de feiten kwijt te raken.

Bevestigingsvooroordeel geeft de voorkeur aan bewijs dat bij een vroege theorie past. Het ankereffect houdt de eerste schatting in stand ondanks nieuw bewijs. Spiegelbeelddenken gaat ervan uit dat de tegenstander denkt zoals de analist. Gebruik analyse van concurrerende hypothesen: noem plausibele verklaringen, leg aannames vast en zoek bewijs dat tegen elke verklaring pleit. Een collega kan vervolgens beoordelen hoe het oordeel tot stand kwam.

Eén dreigingsrapport kan verschillende beslissingen ondersteunen. Een bestuurder moet de blootstelling van de organisatie aan risico's begrijpen, terwijl een ontwikkelaar van detectieregels moet weten welk gedrag een regel moet herkennen. Soorten inlichtingen beschrijven deze verschillende toepassingen.

Vergelijk de vier soorten

Een systeem voor beveiligingsinformatie en gebeurtenisbeheer (SIEM) doorzoekt beveiligingsregistraties en brengt ze met elkaar in verband. Hulpmiddelen voor endpointdetectie en -respons (EDR) verzamelen gegevens over endpointactiviteit en ondernemen daarop actie. Technische inlichtingen kunnen deze hulpmiddelen na validatie rechtstreeks voeden.

Technische details blijven vaak uren tot weken bruikbaar omdat aanvallers ze goedkoop kunnen vervangen. Een strategisch oordeel kan beslissingen maanden tot jaren sturen. Dit zijn bruikbare verwachtingen over de levensduur, geen vervalregels voor elk afzonderlijk gegeven. Een bekende kwaadaardige bestandshash blijft na afloop van een campagne hetzelfde bestand identificeren.

Maak van één rapport vier producten

Stel dat een rapport ransomware tegen fabrikanten beschrijft. Het bestuur ontvangt een strategische alinea over productiestilstand en de investering die nodig is om dat risico te verminderen. Het moet een beslissing kunnen nemen zonder opdrachtregels te interpreteren.

De beveiligingsmanager ontvangt een operationele notitie: een aangesloten aanvaller maakt deze maand in de regio misbruik van een bepaalde VPN-kwetsbaarheid. De notitie vermeldt de waarschijnlijke doelwitten en de urgentie van de huidige campagne.

Ontwikkelaars van detectieregels ontvangen tactische details: de groep schakelt back-ups uit en gebruikt PowerShell voor uitvoering op afstand. Dit gedrag geeft aan welke logboeken, maatregelen en detectielogica aandacht nodig hebben. Het SIEM en de firewall ontvangen de technische bijlage: drie SHA-256-hashes, twee domeinen en één IP-adres, met context en informatie over de behandeling ervan.

De producten delen bewijs, maar beantwoorden verschillende vragen. Als je de volledige ruwe bijlage naar het bestuur stuurt, draag je het werk van de analist over aan een lezer die er niets mee kan. Als je een analist alleen een langetermijntrend geeft, blijft de directe detectietaak onbeantwoord.

Maak een rapport gemakkelijk bruikbaar

Begin een intern rapport met de belangrijkste beoordelingen. Laat daarop het ondersteunende bewijs, de mate van betrouwbaarheid, aanbevolen acties en waar nuttig een bijlage met indicatoren volgen. Noem wie wanneer moet handelen; een campagne die morgen eindigt, vereist een andere deadline dan een budgetbeslissing voor volgend kwartaal. Voeg een deelbaarheidslabel toe, zoals TLP:AMBER uit het Traffic Light Protocol, om lezers te vertellen hoe ver het rapport mag worden verspreid.

Sommige organisaties gebruiken drie niveaus van inlichtingen en rekenen technische indicatoren tot tactische inlichtingen. Kijk naar de doelgroep en de inhoud voordat je het product indeelt. Een andere naam verandert niet wat een bestuurder of detectiehulpmiddel nodig heeft.

Een bruikbaar dreigingsprofiel legt uit welke actoren voor de organisatie van belang zijn en waarom. Begin met intentie, wat een actor wil; capaciteit, de middelen en vaardigheden die de actor kan inzetten; en gelegenheid, de toegang of zwakke plek waarover de actor kan beschikken.

Vergelijk motieven en toegang van actoren

Een geavanceerde persistente dreigingsactor (APT) beschikt over sterke vaardigheden en veel middelen, behoudt toegang en keert na verwijdering terug. De term beschrijft langdurig, georganiseerd gedrag. Steun door een staat komt vaak voor, maar ook capabele criminele groepen kunnen op dat niveau opereren. Beschouw het gedrag en de toegang van de actor als bewijs, niet hoe indrukwekkend de naam klinkt.

Criminele operaties verdelen het werk vaak. Makelaars in initiële toegang verkopen toegang tot binnengedrongen netwerken. Bij ransomware als dienst leveren ontwikkelaars ransomware aan aangesloten aanvallers die aanvallen uitvoeren en de inkomsten delen. Verdediging tegen de toegangsmethode van één aangesloten aanvaller kan daarom belangrijker zijn dan het herkennen van één malwarenaam.

Kijk verder dan de netwerkgrens

Een insider heeft al toegang, dus een firewall aan de netwerkgrens kan niet het hele risico aanpakken. Minimale rechten beperken wat met die toegang kan worden bereikt. Preventie van gegevensverlies en analyse van gebruikersgedrag kunnen helpen misbruik en fouten te herkennen, met de normale werkzaamheden van de persoon als context.

Een ketenbedreiging gebruikt een vertrouwde derde partij om klanten te bereiken: een update, een aanbieder van beheerde diensten of een bibliotheek. Bij de compromittering van SolarWinds Orion in 2020 plaatsten aanvallers een achterdeur in ondertekende software-updates. SolarWinds meldde aanvankelijk dat minder dan 18.000 klanten mogelijk getroffen producten hadden geïnstalleerd. Installatie van een getroffen product en bevestigd daaropvolgend misbruik zijn verschillende beweringen.

Begin bij de organisatie

Een webwinkel met 80 medewerkers is afhankelijk van de openbare winkel en verwerkt klantgegevens. Financieel gemotiveerde criminelen zijn van belang omdat diefstal van betalingen en storingen de inkomsten bedreigen. Opportunistische aanvallers zijn van belang omdat de winkel vanaf internet bereikbaar is. Onopzettelijke insiders zijn van belang omdat medewerkers klantgegevens kunnen blootstellen. Een statelijke groep die zich op defensieonderzoek richt, is weinig relevant voor het huidige profiel van deze webwinkel.

Leg voor elke relevante actor het motief, de waargenomen methoden en de gelegenheid vast. Gebruik dat profiel om rapporten, ATT&CK-gedrag en onderwerpen voor proactief dreigingsonderzoek te kiezen. Herzie het wanneer de organisatie haar diensten of technologie verandert.

Attributie koppelt activiteit aan een actor. Gedeelde malware, gehuurde hosting en opzettelijke valse aanwijzingen maken dat oordeel moeilijk. Leveranciers gebruiken ook verschillende namen: MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) volgt APT28 (G0007), ook bekend als Fancy Bear en Forest Blizzard. Vermeld het bewijs en de mate van betrouwbaarheid achter de attributie; detectiewerk kan doorgaan terwijl de actor onbekend blijft.

Een bron kan bekend zijn en toch irrelevant voor de beslissing. Een andere kan zeer relevant zijn, maar te zwak onderbouwd om blokkering te rechtvaardigen. Beoordeel toegang, bruikbaarheid en bewijs als afzonderlijke vragen.

Vind de juiste bronnen

Inlichtingen uit openbare bronnen (OSINT) komen uit publiek verkrijgbaar materiaal: overheidsadviezen, onderzoeksrapporten, openbare code, kwetsbaarheidsregistraties en berichten van onderzoekers. Openbare beschikbaarheid is bepalend; een openbaar verkocht rapport kan nog steeds een openbare bron zijn. Een CERT (computer emergency response team) of CSIRT (computer security incident response team) coördineert incidenten en publiceert vaak adviezen.

Besloten bronnen beperken wie informatie ontvangt. Daaronder vallen groepen die alleen met leden delen, besloten leveranciersrapporten en feeds met een licentie die verdere verspreiding beperkt. Interne SIEM-, EDR-, servicedesk- en incidentregistraties zijn ook beperkte bronnen en beschrijven rechtstreeks de activiteit van de organisatie. Een dreigingsinformatieplatform (TIP) zoals MISP, OpenCTI of Open Threat Exchange kan inlichtingen dedupliceren, verrijken, verbinden en verspreiden. Het heeft nog steeds behoeften en het oordeel van analisten nodig.

Het diepe web bestaat uit niet-geïndexeerde inhoud, waaronder gewone besloten portalen. Voor het darkweb zijn speciale netwerken zoals Tor nodig. Gespecialiseerde monitoring kan gelekte inloggegevens of vermeldingen van slachtoffers vinden. Regel die verzameling via goedgekeurde aanbieders en met juridisch advies; koop geen gestolen gegevens en ga niet in zee met criminelen.

Beoordeel bruikbaarheid en onderbouwing

Examendoelen noemen deze factoren “betrouwbaarheidsniveaus”. Ze helpen bepalen of je op een gegeven kunt handelen. De betrouwbaarheid van de analyse beschrijft afzonderlijk de sterkte van het bewijs en de redenering achter een oordeel. Relevantie meet bruikbaarheid; ze maakt een bewering niet meer waar.

Een rapport van vanochtend over malware die zich richt op het ERP-systeem van de organisatie, bevestigd door een tweede leverancier, is actueel en relevant. Een bewering over een firewallexploit voor een product dat de organisatie niet heeft, is irrelevant voor directe maatregelen. Een onverklaarde IP-lijst uit 2023 moet worden gevalideerd voordat die een blokkeerlijst wordt.

Houd twee soorten beoordeling gescheiden

Het Admiraliteitssysteem beoordeelt bronbetrouwbaarheid van A tot en met E, met F voor onbekende betrouwbaarheid, en geloofwaardigheid van informatie van 1 tot en met 5, met 6 voor onbekende geloofwaardigheid. A betekent volledig betrouwbaar; E betekent onbetrouwbaar. Informatie met een 1 is bevestigd door andere bronnen; 5 betekent onwaarschijnlijk. B2 betekent dat een doorgaans betrouwbare bron waarschijnlijk ware informatie meldt. Een betrouwbare bron kan een onjuiste bewering herhalen, dus blijven de twee beoordelingen gescheiden.

Waarschijnlijkheid gaat over de vraag of een gebeurtenis zal plaatsvinden. Betrouwbaarheid gaat over de onderbouwing van die schatting. De waarschijnlijkheidsschaal van de Amerikaanse Intelligence Community Directive (ICD) 203 gebruikt “onwaarschijnlijk” voor 20–45%, “waarschijnlijk” voor 55–80% en “zeer waarschijnlijk” voor 80–95%. “Het betaalportaal zal waarschijnlijk worden aangevallen. Onze betrouwbaarheid van dat oordeel is gemiddeld” vermeldt de twee oordelen afzonderlijk. Leg de gebruikte schaal vast en het onafhankelijke bewijs, de aannames en hiaten achter de mate van betrouwbaarheid.

Een compromitteringsindicator (IoC) is een waarneembaar spoor dat met een zekere mate van betrouwbaarheid op een aanval wijst. De waarde ervan komt voort uit de rol, het bewijs en de ouderdom, en uit de waarde zelf. Een aanvalsindicator (IoA) legt de nadruk op gedrag bij een aanval die gaande is, zoals een proces dat het geheugen van de opslag voor inloggegevens leest.

Herken soorten indicatoren

Andere bruikbare sporen zijn URL's, onderwerpen, bestandspaden, registersleutels, mutexnamen en user-agentstrings. Een bestandshash identificeert exacte inhoud. De SHA-256-hashes van “invoice_4471” en “invoice_4472” beginnen met 207b0dad en 60072dc4; als je één teken verandert, verandert het resultaat. Voor identificatie heeft SHA-256 de voorkeur omdat voor MD5 en SHA-1 praktische botsingen zijn aangetoond.

Verzamel, analyseer en pas toe

Bij verzameling haal je sporen uit incidenten, sandboxes, feeds en van partners. Bewaar waar en wanneer elk spoor is waargenomen. Tijdens de analyse valideer je het formaat en verrijk je de waarde: gebruik domeinregistraties, passieve DNS-geschiedenis, reputatie, geolocatie, scanners met meerdere scanengines en sandboxresultaten. WHOIS kan registratiegegevens leveren; passieve DNS levert eerder waargenomen verwijzingen. Leg vast of de bron phishing afleverde, een payload hostte of voor aansturing en controle diende.

Bij toepassing zet je gevalideerde inlichtingen aan het werk. Een DNS-filter kan een domein blokkeren; EDR kan de hash van een aantoonbaar kwaadaardig bestand blokkeren; een SIEM-bewakingslijst kan overeenkomsten naar voren brengen. Doorzoek ook historische registraties, omdat een nieuw rapport activiteit kan verklaren die al heeft plaatsgevonden.

Werk een gemelde e-mail uit

Een gebruiker meldt “Factuur 4471 achterstallig” met invoice_4471.zip. Leg de afzender, het onderwerp en de hash van de bijlage vast. Sandboxanalyse vindt een script dat contact maakt met hxxps://update-portal[.]example/load. Verrijking toont registratie drie dagen eerder en een verwijzing naar 203.0.113.45, dat ook door twee sterk gelijkende domeinen wordt gebruikt.

De analist blokkeert het domein bij de DNS-resolver, voegt de hash toe aan EDR en doorzoekt 30 dagen aan proxylogboeken. Vier werkstations maakten contact met het domein. Die hosts worden aanknopingspunten voor onderzoek; door de context van de verbinding te bekijken, stel je vast wat op elke host is gebeurd. Blokkering voorkomt toekomstige overeenkomsten via die maatregel, maar eerdere activiteit moet nog worden onderzocht.

Houd rekening met weergave en ouderdom

Rapporten maken waarden onklikbaar om te voorkomen dat iemand ze per ongeluk opent: https wordt hxxps en punten worden [.]. Herstel de werkende vorm voordat je een indicator laadt in een hulpmiddel dat een gewoon adres verwacht.

Stel controle- of vervaldatums vast op basis van type en bewijs. Een IP-adres kan na 30 dagen worden gecontroleerd; domeinen en bestandshashes kunnen langer bruikbaar blijven. Bij gedeelde hosting en contentdeliverynetwerken is voorzichtigheid nodig, omdat blokkering van één IP-adres veel legitieme diensten kan treffen. Een overeenkomst vereist context en een zoekopdracht zonder resultaten betekent alleen dat de gezochte waarden niet in de beschikbare registraties zijn gevonden.

Tactieken, technieken en procedures (TTP's) beschrijven gedrag op drie niveaus. Een tactiek is het doel, een techniek is de algemene methode en een procedure is de specifieke uitvoering door de actor. Dat onderscheid verklaart waarom sommige detectieregels blijven werken als malware en servers veranderen.

Onderscheid doel, methode en uitvoering

Bij persistentie is de tactiek het behouden van toegang. Scheduled Task/Job: Scheduled Task (T1053.005) is een techniek waarmee dat kan worden bereikt. Een procedure omvat de exacte taaknaam, het bestandspad, de opdracht en de trigger.

In een waargenomen procedure registreert een actor met beheerdersrechten een taak met de naam “OneDriveSync”. Die voert C:\Users\Public\sync.exe bij elke aanmelding uit als SYSTEM. De taaknaam kan veranderen terwijl de techniek van de geplande taak hetzelfde blijft. Het pad en de taaknaam beschrijven bewijs om te onderzoeken; de terugkerende trigger verklaart het doel van persistentie.

Lees de Pyramid of Pain

De Pyramid of Pain van David Bianco, gepubliceerd in 2013, rangschikt wat de tegenstander moet veranderen nadat een verdediger het heeft gedetecteerd en het gebruik ervan heeft verhinderd. Van de laagste naar de hoogste kosten:

1. Hashwaarden: triviaal; bouw het bestand opnieuw of pak het opnieuw in.
2. IP-adressen: gemakkelijk; verkrijg een ander serveradres.
3. Domeinnamen: eenvoudig; registreer en configureer een andere naam.
4. Netwerk- en hostsporen: hinderlijk; verander kenmerkende paden, namen of protocoldetails.
5. Hulpmiddelen: uitdagend; vervang en test werkende aanvalsmiddelen.
6. TTP's: moeilijk; leer een andere werkwijze en voer die in.

De piramide meet wat aanpassing de tegenstander kost. Ze rangschikt niet hoe ernstig een inbraak is en zegt ook niet dat een verdediger elke indicator op een lager niveau moet weggooien.

Vergelijk detectieregels bij een verandering in een campagne

Een inbraak levert een hash van een lader, het adres 198.51.100.77 voor aansturing en controle (C2) en het domein update-portal.example op. Ook laat de inbraak de taak “OneDriveSync” achter, gebruikt de aanvaller een hulpmiddel om inloggegevens uit het geheugen te halen en start die vanuit een Office-applicatie een scriptinterpreter die verbinding met internet maakt.

Als de actor de lader opnieuw bouwt en zowel het serveradres als het domein verandert, vinden de drie detectieregels voor exacte waarden geen overeenkomsten meer. Een detectieregel voor de taaknaam blijft werken totdat de naam verandert. Een detectieregel voor het hulpmiddel blijft mogelijk werken totdat het hulpmiddel verandert. Een regel voor het gedrag van Office naar script naar netwerk kan al die vervangingen doorstaan omdat die de methode observeert.

Zorg voor de gegevens die gedragsdetectie nodig heeft

Een gedragsregel geeft een beveiligingsmelding wanneer winword.exe of excel.exe het proces powershell.exe, wscript.exe of mshta.exe start en het kindproces binnen 60 seconden een uitgaande verbinding maakt. Daarvoor zijn gegevens over de procesafstamming, tijdstempels en netwerkgebeurtenissen nodig die aan het proces zijn gekoppeld. Een lijst met domeinen alleen volstaat niet.

Gedragsgebaseerde detectieregels moeten worden afgestemd omdat legitieme software en beheerders ook scripts en geplande taken gebruiken. Onderzoek normaal gebruik voordat je uitzonderingen kiest. Als je zonder onderscheid elke beheerder uitsluit, verlies je nuttig zicht op gecompromitteerde accounts met verhoogde rechten.

Een aantoonbaar kwaadaardige hash levert een nauwkeurige overeenkomst voor één bestand op en is snel in te zetten. Infrastructuurwaarden moeten worden gecontroleerd op gedeeld eigenaarschap en ouderdom. Combineer snelle blokkering van indicatoren en zoekopdrachten in het verleden met geteste gedragsgebaseerde detectieregels voor een dekking die langer meegaat.

MITRE ATT&CK staat voor Adversarial Tactics, Techniques, and Common Knowledge. Het is een gedeelde kennisbank die is opgebouwd uit waargenomen inbraken. MITRE begon ermee in 2013 en publiceerde de kennisbank in 2015. Ze geeft een analist een woordenschat voor gedrag en bewijs van hoe dat gedrag is voorgekomen.

Kies het domein en de versie

ATT&CK heeft de domeinen Enterprise, Mobile en ICS (industriële besturingssystemen). Enterprise omvat systemen zoals Windows, macOS, Linux, clouddiensten, identiteitsproviders, netwerkapparaten, containers en ESXi. Mobile behandelt Android en iOS; ICS behandelt industriële besturingssystemen.

Enterprise v20, uitgebracht in oktober 2026, heeft 15 tactiekkolommen: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration en Impact.

Een tactiek verklaart het doel van een tegenstander. Deze kolommen vormen geen verplichte tijdlijn: een indringer kan verkenning herhalen na verplaatsing naar een ander systeem, een tactiek overslaan of met één actie meerdere doelen nastreven.

In v19, uitgebracht in april 2026, werd de vroegere Enterprise-tactiek Defense Evasion opgesplitst in Stealth (TA0005) en Defense Impairment (TA0112). Stealth verbergt activiteit; Defense Impairment beschadigt de waarneembaarheid van de verdediging en beveiligingsmaatregelen of schakelt die uit. Oudere Enterprise-lagen met 14 kolommen moet je daarom interpreteren met aandacht voor de versie. Tactieklabels in andere domeinen kunnen verschillen.

Lees de identificaties

Het achtervoegsel na de punt maakt een subtechniek specifieker. LSASS is de Windows Local Security Authority Subsystem Service. Het lezen van het geheugen daarvan ondersteunt T1003.001; een rapport dat alleen “inloggegevens uitlezen” vermeldt, ondersteunt het bredere T1003. Een techniek kan meerdere tactieken dienen: Scheduled Task (T1053.005) kan uitvoering, persistentie of privilege-escalatie ondersteunen.

Maak van een pagina een verdedigingsplan

Lees eerst de beschrijving en ondersteunde platforms. Procedurevoorbeelden laten met verwijzingen zien hoe genoemde groepen of software de techniek uitvoerden. Risicobeperkende maatregelen stellen beveiligingsmaatregelen voor. Sinds v18 in oktober 2025 verwijzen detectiestrategieën naar platformspecifieke analysemodellen en de gegevenscomponenten die ze vereisen, zoals gebeurtenissen voor het aanmaken van processen of netwerkverbindingen.

Zo kan een ontwikkelaar vragen of de benodigde loggegevens bestaan voordat een regel wordt gebouwd. Een groepspagina vermeldt ook waargenomen technieken en ondersteunt daarmee een dreigingslaag voor relevante actoren.

Leg de ATT&CK-versie vast in koppelingen, rapporten en hittekaarten. Releases verschijnen meestal in april en oktober. Technieken kunnen veranderen of worden ingetrokken: v19 trok Impair Defenses (T1562) in en verdeelde de inhoud over technieken zoals Disable or Modify Tools (T1685). Een oude identificatie moet opnieuw worden beoordeeld, ook als het beschreven gedrag nog steeds relevant is.

Een ATT&CK-koppeling verbindt gedrag met een genoemde techniek en het bijbehorende bewijs. Een bestandsnaam, leverancierslabel of malwarefamilie kan richting geven aan onderzoek, maar de koppeling beschrijft wat er gebeurde. Begin met een beschrijving van de actie in gewone taal.

Volg het bewijs in vijf stappen

1. Vind het gedrag. Haal de actie, het object en het resultaat uit de registratie.
2. Onderzoek het gedrag. Begrijp wat de actie doet en wat het bewijs ervoor kan aantonen.
3. Identificeer de tactiek. Vraag welk doel de actie hier dient.
4. Identificeer de techniek. Zoek de algemene methode die past.
5. Identificeer de subtechniek. Gebruik die wanneer het bewijs dat detail ondersteunt.

Vergelijk het concept met de interpretatie van een andere analist. Bewaar de log- of rapportpassage achter elke rij, zodat iemand anders de koppeling kan controleren.

Werk een inbraak uit

Eén waarneming kan meerdere koppelingen ondersteunen omdat methode en doel overlappen. Houd het bewijs voor elke bewering expliciet. Het vinden van Mimikatz identificeert software (S0002); het stelt niet vast dat LSASS is gelezen, tenzij bewijs van uitvoering die actie ondersteunt.

Kies het detailniveau

Als een rapport alleen “phishing” vermeldt, koppel dan Phishing (T1566). Bijlage en link zijn verschillende subtechnieken en het rapport heeft daartussen geen keuze gemaakt. Leg een hiaat vast wanneer bewijs ontbreekt. Een specifiekere identificatie is alleen nuttig als die gerechtvaardigd is.

Hetzelfde taakmechanisme kan verschillende doelen hebben. Een taak die eenmaal een programma start, ondersteunt Execution. Een taak die voor elke aanmelding is ingesteld, ondersteunt Persistence. Leg meerdere tactieken vast wanneer het bewijs meerdere doelen ondersteunt.

Vermijd koppeling op basis van trefwoorden. Een zin over “inloggegevens” kan het gebruik van een gestolen account beschrijven, niet de diefstal van inloggegevens. Een identificatie uit Common Vulnerabilities and Exposures (CVE) benoemt een kwetsbaarheid; het misbruiken van een zwakke plek in een openbaar bereikbare server is Exploit Public-Facing Application (T1190). Behandel de zwakke plek en het gedrag als afzonderlijke velden.

Maak het resultaat controleerbaar

Gebruik een tabel met gedrag, bewijs, tactiek, techniek of subtechniek, ATT&CK-versie en betrouwbaarheid. Die uitvoer kan input zijn voor een incidentrapport, Navigator-laag of plan voor proactief dreigingsonderzoek. Houd onzekere koppelingen zichtbaar onzeker, zodat een latere lezer een gevolgtrekking van een analist niet voor een vastgelegde actie aanziet.

Een ATT&CK-hittekaart maakt een vraag zichtbaar: welk relevant gedrag kan de organisatie detecteren en waar zitten de hiaten? Begin bij de dreigingen die voor de organisatie van belang zijn en vergelijk die met aantoonbare dekking door de verdediging.

Maak twee verschillende lagen

ATT&CK Navigator voorziet de matrix van aantekeningen in lagen die als JSON worden opgeslagen. Een dreigingslaag scoort technieken die worden gebruikt door actoren in het dreigingsprofiel. Een dekkingslaag legt de detectieregels of maatregelen van de organisatie vast. Geef elke laag een naam, ATT&CK-versie en legenda, zodat een donker vak een duidelijke betekenis heeft.

Voor een eenvoudige dreigingsscore tel je hoeveel relevante groepen elke techniek hebben gebruikt. Een score van vier betekent vier groepen in dat profiel, geen vier aanvallen of een viermaal zo grote kans op compromittering. Dekking kan worden vastgelegd als afwezig, gedeeltelijk of getest. Maak in de legenda duidelijk of die het bestaan van een regel, testresultaten of preventie beschrijft.

Werk tien relevante technieken uit

Vier relevante groepen leveren deze dreigingslaag op:

Voor vier van de tien technieken bestaan geteste detectieregels: 40% van deze dreigingslaag. De noemer bestaat uit de tien geselecteerde technieken. Het is geen 40% van heel ATT&CK, alle procedures of alle mogelijke aanvallen.

Van de niet-gedekte technieken heeft PowerShell de hoogste score. Scheduled Task en RDP volgen. Het team plant eerst PowerShell-scriptblokregistratie en een regel voor gecodeerde PowerShell-opdrachten. Een hiaat met een lagere score kan toch urgent zijn als het een kritiek IT-middel raakt; houd die bedrijfscontext naast de score zichtbaar.

Verhelp het hiaat van gegevens tot test

Lees de detectiestrategie en analyses van de techniek om de benodigde loggegevens te bepalen. Een voorgestelde regel voor gecodeerde opdrachten kan niet werken als de inhoud van de opdracht ontbreekt. Schakel verzameling in, bevestig dat registraties binnenkomen met bruikbare velden en een bruikbare bewaartermijn en bouw en stem vervolgens de regel af.

Test met toegestane, veilige simulaties en controleer of de verwachte beveiligingsmelding afgaat. De test stelt dekking vast voor de uitgevoerde procedure en omstandigheden. Een techniek kan veel procedures bevatten, dus leg vast welke is getest en wat gedeeltelijk blijft gedekt.

Risicobeperkende maatregelen pakken verschillende onderdelen van hetzelfde gedrag aan. Voor LSASS Memory (T1003.001) kunnen LSA-beveiliging of Credential Guard en striktere foutopsporingsrechten naast detectie de blootstelling verminderen. Een gekleurd vak moet aangeven welk soort dekking het vertegenwoordigt.

Houd de kaart bruikbaar in de tijd

Vergelijk lagen tussen kwartalen om voltooide verbeteringen en openstaande risico's te tonen. Herzie het dreigingsprofiel en de platformreikwijdte voordat je de dekking uitbreidt: een organisatie met alleen Windows heeft weinig aan het invullen van niet-gerelateerde macOS-vakken. Vakken met een hoge dreiging en zwakke dekking leveren ook onderwerpen voor proactief dreigingsonderzoek op terwijl aan technische verbeteringen wordt gewerkt.

De Cyber Kill Chain beschrijft een inbraak in zeven fasen. Analisten Eric Hutchins, Michael Cloppert en Rohan Amin van Lockheed Martin introduceerden het model in 2011 om kennis over de werkwijze van een tegenstander te verbinden met verdedigingsacties.

Volg de zeven fasen

1. Verkenning: onderzoek personen en blootgestelde systemen.
2. Gereedmaken van aanvalsmiddelen: bereid kwaadaardige code of een exploit voor met een middel om die af te leveren.
3. Aflevering: stuur het aanvalsmiddel via e-mail, het web, USB of een andere route.
4. Exploitatie: activeer code via een kwetsbaarheid of een gebruikersactie.
5. Installatie: plaats malware of een ander mechanisme dat toegang behoudt.
6. Aansturing en controle (C2): breng een kanaal tot stand om het gecompromitteerde systeem aan te sturen.
7. Uitvoering van aanvalsdoelen: streef het doel na, zoals diefstal, versleuteling of verdere verplaatsing.

Het gereedmaken van aanvalsmiddelen gebeurt aan de kant van de aanvaller. Verdedigers zien daar meestal weinig rechtstreeks van. Andere fasen kunnen bewijs achterlaten in e-mail-, endpoint-, netwerk- of identiteitsregistraties.

Lees een volledige inbraak

Een aanvaller bestudeert vacatures en medewerkersprofielen om financiële medewerkers te vinden: verkenning. De aanvaller maakt een spreadsheet met een kwaadaardige macro: gereedmaken van aanvalsmiddelen. Het versturen daarvan als leveranciersfactuur is aflevering. Een gebruiker schakelt de inhoud in en de macro wordt uitgevoerd: exploitatie.

Een achterdeur die bij aanmelding start, zorgt voor installatie. De HTTPS-contacten van de achterdeur om de vijf minuten zorgen voor C2. Het kopiëren van klantgegevens naar een externe server is uitvoering van aanvalsdoelen. Elk label beschrijft de activiteit die door bewijs wordt ondersteund; als de gegevensverzameling eindigt voordat een fase wordt waargenomen, leg dan vast dat het bewijs ontbreekt.

Het verdedigingsidee achter de keten is om de operatie te onderbreken voordat die haar doel bereikt. Een succesvolle blokkering bij aflevering kan de latere fasen van die poging voorkomen. Dat kost doorgaans minder dan reageren na gegevensdiefstal en de mislukte poging levert nog steeds inlichtingen op over de volgende poging.

Kies een handelingsoptie

Het model uit 2011 koppelt fasen aan detecteren, weigeren, verstoren, afzwakken, misleiden en vernietigen. “Detecteren” herkent een actie. “Weigeren” voorkomt die. “Verstoren” onderbreekt de werking ervan. “Afzwakken” vermindert de effectiviteit. “Misleiden” geeft de tegenstander misleidende informatie of reacties.

“Vernietigen” beschrijft een offensieve actie tegen middelen van de tegenstander. Een verdedigingsanalyse geeft geen bevoegdheid om toegang tot die middelen te krijgen. Houd acties binnen de bevoegdheid van de organisatie en het goedgekeurde responsproces.

Herken de beperkingen van het model

De oorspronkelijke keten past beter bij malware die van buitenaf wordt afgeleverd dan bij een insider of een inbraak met een gestolen cloudaccount. Het model plaatst veel activiteit na compromittering onder uitvoering van aanvalsdoelen, waardoor onderscheid tussen bijvoorbeeld privilege-escalatie en verzameling verborgen blijft. De Unified Kill Chain van Paul Pols, gepubliceerd in 2017, breidt de beschrijving uit tot 18 fasen.

Echte operaties kunnen terugkeren naar eerdere stappen: een indringer kan na binnenkomst verder verkennen. Vergelijk verschillende inbraken fase voor fase om terugkerende aflevermethoden en C2-inrichtingen te herkennen en combineer dat campagnebeeld met gedetailleerder bewijs van gedrag. Een vroege blokkering is een nuttig resultaat, maar gerelateerde pogingen en al blootgestelde hosts verdienen nog steeds onderzoek.

Het Diamond Model of Intrusion Analysis, in 2013 gepubliceerd door Sergio Caltagirone, Andrew Pendergast en Christopher Betz, beschrijft één inbraakgebeurtenis. Bij die gebeurtenis gebruikt een tegenstander via infrastructuur een aanvalsmiddel tegen een slachtoffer om een resultaat te bereiken.

Plaats bewijs bij het juiste hoekpunt

Een C2-IP-adres is infrastructuur. De code die dat adres gebruikt, is een aanvalsmiddel. Leg bij het slachtoffer zowel de personen of organisatie als de getroffen systemen vast; “één laptop” kan verhullen waarom dat IT-middel is gekozen.

Type 1-infrastructuur is eigendom van de tegenstander of staat volledig onder diens controle, zoals een gehuurde server. Type 2-infrastructuur staat onder controle van een tussenpersoon, zoals een gecompromitteerde website. De tussenpersoon kan een ander slachtoffer zijn. Hostingbedrijven en registrars zijn dienstverleners die kunnen helpen infrastructuur te onderzoeken of te verwijderen.

Voeg de omstandigheden van de gebeurtenis toe

De metakenmerken van het model beschrijven tijdstempel, fase, resultaat, richting, methodologie en middelen. Het tijdstempel zegt wanneer; de fase plaatst de activiteit in een bredere operatie; het resultaat legt succes, mislukking of onbekend vast. De richting kan aflevering van infrastructuur naar slachtoffer of C2 van slachtoffer naar infrastructuur tonen. De methodologie noemt de categorie activiteit, terwijl middelen de benodigde software, kennis of geld beschrijven.

Het uitgebreide model voegt een sociaal-politieke as toe tussen tegenstander en slachtoffer: het motief voor de keuze van dat doelwit. De technologische as verbindt aanvalsmiddel en infrastructuur: bijvoorbeeld de DNS-omzetting en HTTPS-communicatie waarmee een achterdeur de aansturende server bereikt.

Volg steeds één relatie naar gerelateerde gegevens

Een EDR-melding op een laptop van de financiële afdeling identificeert een achterdeur die contact maakt met cdn-sync.example. Begin met de laptop als slachtoffer, de achterdeur als aanvalsmiddel en het domein als infrastructuur. Laat de tegenstander onbekend.

Passieve DNS verbindt het domein met 203.0.113.45 en toont update-portal.example op dat adres. Dit levert een tweede aanknopingspunt voor infrastructuur op. Een malwareopslagplaats koppelt een ander exemplaar van een achterdeur aan dat tweede domein en voegt zo een aanvalsmiddel toe. Een partner meldt het domein bij incidenten bij twee logistieke bedrijven en voegt zo aanknopingspunten voor slachtoffers toe.

Elke vervolgstap levert een relatie op die je moet verifiëren. Gedeelde hosting alleen is zwak bewijs van gezamenlijke controle, dus bewaar de timing en bevestiging door ander bewijs voordat je niet-gerelateerde klanten samenvoegt. Het bruikbare resultaat is een groeiend bewijsspoor, geen snelle naam van een actor.

Verbind gebeurtenissen zonder te veel te beweren

Op tijd geordende gebeurtenissen voor één slachtoffer vormen een activiteitenreeks. Gerelateerde reeksen en gebeurtenissen vormen een activiteitengroep wanneer ze betekenisvolle kenmerken delen, zoals infrastructuur, aanvalsmiddel of doelwitkeuze. De groep komt bij benadering overeen met een tegenstander of campagne en blijft een analytische groepering totdat sterker bewijs attributie ondersteunt.

Lege hoekpunten vertellen de analist waar bewijs ontbreekt. Laat ze onbekend en gebruik de bekende verbindingen om de volgende zoekopdracht te plannen. Een volledig ogende diamant vol aannames is minder nuttig dan een onvolledige diamant waarvan de relaties kunnen worden gecontroleerd.

Eén incident kan een briefing over de voortgang, een detectieplan en een infrastructuuronderzoek vereisen. De Cyber Kill Chain, ATT&CK en het Diamond Model ordenen hetzelfde bewijs voor deze verschillende vragen.

Kies eerst de vraag

Analyseer één inbraak op drie manieren

Een phishingmail levert een spreadsheet af bij een financieel team. Een gebruiker schakelt de macro in. De macro installeert een achterdeur, registreert een geplande taak voor aanmelding en maakt via HTTPS contact met cdn-sync.example. Het SOC isoleert de laptop voordat het verdere activiteit ziet.

De Kill Chain-beschrijving identificeert aflevering, exploitatie, installatie en C2. Ze vermeldt dat uitvoering van aanvalsdoelen niet is waargenomen. Isolatie is een verdedigingsactie; het ontbreken van latere waarnemingen hangt nog steeds af van welke gegevens zijn verzameld.

ATT&CK onderscheidt de gedragingen: Spearphishing Attachment (T1566.001) voor de bijlage, User Execution: Malicious File (T1204.002) voor het inschakelen ervan, Scheduled Task (T1053.005) voor het herhaald starten en Web Protocols (T1071.001) voor de HTTPS-C2. Elke koppeling verwijst naar een feit in het incident.

De Diamond-gebeurtenis legt een onbekende tegenstander vast, de macro en achterdeur als aanvalsmiddel, het afzendadres en het benaderde domein als infrastructuur en het financiële team plus de getroffen laptop als slachtoffer. Het model suggereert om andere berichten van de afzender en andere hosts die contact maken met het domein te controleren.

Verbind fasen en gedrag zorgvuldig

Reconnaissance in ATT&CK komt nauw overeen met verkenning in de Kill Chain. Resource Development overlapt met het gereedmaken van aanvalsmiddelen. Initial Access en Execution kunnen aflevering en exploitatie beschrijven; Persistence overlapt met installatie; Command and Control overlapt met C2. Veel overige ATT&CK-tactieken passen binnen uitvoering van aanvalsdoelen.

De overeenkomst is bij benadering. ATT&CK geeft gedetailleerde onderscheidingen na compromittering die de oorspronkelijke keten samenvat. Als je één ATT&CK-tactiek in precies één Kill Chain-fase dwingt, kun je het doel of de volgorde verbergen die het bewijs laat zien.

Onderscheid aanvalsbeschrijvingen van testplannen

Het Open Source Security Testing Methodology Manual (OSSTMM) van ISECOM en de OWASP Web Security Testing Guide ordenen geautoriseerd testen: plannen, controles uitvoeren en resultaten rapporteren. Het zijn testmethodologieën. De drie aanvalsraamwerken beschrijven activiteit van tegenstanders voor analyse.

Een testplan kan ATT&CK-gedrag gebruiken om een toegestane simulatie te kiezen en vervolgens de resultaten gebruiken om de dekking bij te werken. Het plan en de woordenschat voor gedrag hebben verschillende taken. Geen enkel raamwerk stelt op zichzelf de identiteit van een actor vast; attributie vereist nog steeds afzonderlijk bewijs en een mate van betrouwbaarheid.

Proactief dreigingsonderzoek is een proactieve, herhaalde en door mensen geleide zoektocht naar activiteit van tegenstanders die geautomatiseerde detectieregels hebben gemist. Een onderzoeker houdt rekening met de mogelijkheid dat er al een inbraak is en zoekt vervolgens naar bewijs in endpoints, netwerken, identiteiten en clouddiensten.

Onderscheid verwante activiteiten

Een eerdere beveiligingsmelding kan een aanknopingspunt voor onderzoek opleveren. Een onderzoek dat een incident vindt, draagt het over aan incidentrespons. Deze grenzen beschrijven het doel van het werk; de teams kunnen gedurende het hele proces bewijs uitwisselen.

Aanvallers kunnen opgaan in normale activiteit door legitieme systeemmiddelen te misbruiken, met ingebouwde hulpmiddelen zoals PowerShell of Windows Management Instrumentation. Hulpmiddelen die beheerders dagelijks gebruiken, vereisen analyse in context. Onopgemerkte verblijfsduur is hoe lang een indringer onopgemerkt blijft. Proactief dreigingsonderzoek probeert die te verkorten; sommige inbraken blijven maanden of jaren verborgen.

Stem het onderzoekstype af op het startpunt

Een hypothesegestuurd onderzoek toetst een specifieke bewering over gedrag. Een inlichtingengestuurd onderzoek begint met indicatoren of TTP's uit een nieuw rapport en kan oudere registraties doorzoeken. Onderzoek op basis van een referentieprofiel stelt normale activiteit vast en onderzoekt afwijkingen. Onderzoek met machinelearningondersteuning gebruikt machinaal leren om ongebruikelijke patronen voor menselijk onderzoek naar voren te brengen.

Deze typen kunnen samenwerken. Een rapport over persistentie via geplande taken kan leiden tot een hypothese, een frequentievergelijking met het referentieprofiel en groepering van ongebruikelijke taakacties met machinelearningondersteuning. De onderzoeker interpreteert het bewijs nog steeds zelf.

Kies plekken waar veel op het spel staat

Configuraties en configuratiefouten bieden aanknopingspunten: nieuwe beheerdersaccounts, uitgeschakelde logboeken, wijzigingen in groepsbeleid en pas blootgestelde diensten. Kritieke IT-middelen zoals domeincontrollers, betalingssystemen, back-upservers en het ERP-systeem verdienen aandacht omdat compromittering hoge kosten heeft.

Gesegmenteerde of fysiek gescheiden netwerken kunnen minder goed zichtbaar zijn. Geef in industriële omgevingen de voorkeur aan passieve verzameling, omdat actief scannen kwetsbare apparatuur kan verstoren. Kies een methode die zowel bij het IT-middel als bij de dreiging past.

Controleer de waarneembaarheid voordat je een antwoord belooft

Proactief dreigingsonderzoek vereist relevante endpoint-, netwerk-, identiteits- of cloudregistraties, een toereikende bewaartermijn en hulpmiddelen om die te doorzoeken. De bewaartermijn is vaak 90 dagen of langer, maar het benodigde venster volgt uit de vraag. Controleer welke hosts en velden daadwerkelijk aanwezig zijn en hoe normale activiteit wordt herkend.

Het Hunting Maturity Model loopt van HM0 Initial, vertrouwen op geautomatiseerde beveiligingsmeldingen, via HM1 Minimal, zoeken naar indicatoren, HM2 Procedural, gebruik van extern geschreven procedures, en HM3 Innovative, het maken van procedures, tot HM4 Leading, het automatiseren van succesvolle onderzoeken tot detectieregels. Zoeken naar indicatoren is nuttig, maar vindt geen overeenkomsten meer wanneer de infrastructuur verandert.

Als geen ondersteunend bewijs wordt gevonden, rapporteer dan het geteste gedrag, de reikwijdte, methoden en grenzen van de waarneembaarheid. Ontbrekende loggegevens worden een bevinding over de waarneembaarheid. Een gedocumenteerde onschadelijke uitschieter verbetert het referentieprofiel. Beide zijn uitkomsten waarop je kunt handelen, ook als het onderzoek geen incident oplevert.

Een hypothese voor proactief dreigingsonderzoek stelt dat specifiek gedrag van een tegenstander in een afgebakende omgeving aanwezig kan zijn. Ze geeft de onderzoeker een zoekrichting en een eindpunt. Een beschuldiging zoals “hier is een APT” biedt geen van beide.

Stel de vier onderdelen op

Een bruikbare hypothese noemt gedrag, reikwijdte, waarneembaar bewijs en gegevensbron. De reikwijdte omvat systemen en tijd. Probeer: “Als dit gedrag op deze systemen tijdens deze periode voorkomt, zouden deze registraties dit bewijs moeten bevatten.”

Input bestaat uit rapporten over relevante actoren, ATT&CK-hiaten met een hoge dreiging, eerdere incidenten, nieuwe clouddiensten, fusies, dagelijkse anomalieën en bevindingen van red teams. Begin met één van deze aanknopingspunten en beschrijf het gedrag vervolgens nauwkeurig genoeg om ernaar te zoeken.

Baken onderzoek naar geplande taken af

“Aanvallers gebruiken PowerShell” levert te veel legitieme activiteit op. Een scherpere hypothese is: “Een tegenstander heeft in de afgelopen 30 dagen geplande taken, Scheduled Task (T1053.005), aangemaakt op werkstations van de financiële afdeling die programma's uitvoeren vanuit mappen waarin gebruikers kunnen schrijven, zoals C:\Users\Public of AppData.”

Het verwachte bewijs is een registratie van een aangemaakte taak die dat doel laat zien. Windows Security-gebeurtenis 4698 registreert het aanmaken van taken wanneer de relevante controle is ingeschakeld. Controleer het beleid en de verzameling vóór het onderzoek. Lees de taakactie, aanmaker, host en tijd en onderzoek overeenkomsten ongeacht het account dat ze heeft aangemaakt. Ook beheerdersinloggegevens kunnen worden misbruikt.

De voorwaarde over de map bakent de hypothese bewust af. Taken die vanuit beveiligde mappen worden uitgevoerd, vallen buiten die zoekopdracht, dus behoud die grens in het rapport.

Bepaal wat ertegen zou pleiten

Schrijf vóór het zoeken een weerleggend resultaat op. Elke overeenkomende taak kan bijvoorbeeld te herleiden zijn tot bekende software, goedgekeurde uitrolregistraties en verwacht procesgedrag. Die bevinding pleit tegen de afgebakende hypothese wanneer de vereiste loggegevens volledig zijn. Geen resultaten van hosts die gebeurtenis 4698 nooit hebben verstuurd, laten de vraag onbeantwoord.

Zoek even actief naar bewijs voor gewone verklaringen als voor kwaadaardige verklaringen. Leg wijzigingen in de hypothese en reikwijdte tijdens het werk vast; anders kan de uiteindelijke bewering verwijzen naar een vraag die nooit daadwerkelijk is getoetst.

Rangschik het werk en maak hiaten in gegevens zichtbaar

Een eenvoudige rangschikking geeft waarschijnlijkheid, impact en gegevensbeschikbaarheid een score van 1 tot 3 en vermenigvuldigt die vervolgens. In dit voorbeeld:

Volgens deze methode komt A eerst. B raakt belangrijke IT-middelen maar mist bruikbare gegevens, dus is het inschakelen van verzameling de eerste taak. De score rangschikt werk; het is geen kans en geen vervanging voor urgente incidentafhandeling.

Proactief dreigingsonderzoek levert waarde op wanneer het bewijs de respons, het referentieprofiel, de verzameling of de detectie verandert. PEAK, in 2023 geïntroduceerd door het SURGe-team van Splunk, ordent het werk als voorbereiden, uitvoeren en handelen, waarbij kennis elke fase informeert.

Voer het proces uit

Tijdens voorbereiden onderzoek je het gedrag, formuleer je de hypothese en bepaal je reikwijdte, gegevens en plan. Tijdens uitvoeren verzamel en analyseer je registraties, verfijn je zoekopdrachten en schaal je kritieke bevindingen onmiddellijk op. Tijdens handelen bewaar je het werk, communiceer je bevindingen en voer je verbeteringen door. Kennis omvat bedrijfscontext, dreigingsinformatie, ervaring en wat dit onderzoek ontdekt.

Nauwkeurig zoeken vindt bekende waarden of patronen. Frequentieanalyse telt waarden en onderzoekt zeldzame waarden. Groepering en clustering maken gerelateerde gebeurtenissen zichtbaar. Vergelijking met een referentieprofiel vergelijkt activiteit met normaal gedrag over een langere periode. Een tijdlijn kan uitschieters vervolgens met andere acties op de host verbinden.

Tel taaknamen en onderzoek vervolgens de context

Een onderzoeker telt namen op 2.000 Windows-hosts:

“SysHealthCheck” is het zeldzaamst en voert het niet-ondertekende bestand C:\Users\Public\svc.exe uit op drie hosts van de financiële afdeling. Die context maakt de taak het onderzoeken waard. “BackupAgentDaily” is ook zeldzaam binnen het geheel van hosts, maar komt overeen met software die alleen op servers is geïnstalleerd. Groepering naar hostrol verklaart de frequentie ervan.

Zeldzaamheid bepaalt de volgorde van onderzoek; classificatie vereist meer bewijs. Controleer procesafstamming, gebruiker, bestandshandtekening, hashreputatie, netwerkcontacten en aanmaaktijdstip. Classificeer een resultaat als onschadelijk, verdacht of kwaadaardig op basis van wat deze controles vaststellen. Documenteer legitieme uitschieters in het referentieprofiel.

Onderzoek timing als een ander aanknopingspunt

Eén host maakt contact met 198.51.100.77 met tussenpozen van 300, 302, 298, 301, 299, 300, 303 en 297 seconden. Het gemiddelde is 300 seconden en de standaardafwijking is ongeveer 1,9 seconden: een kleine spreiding. Menselijk surfgedrag heeft vaak een veel minder regelmatige timing.

Malware kan via beaconing contact maken met C2 en willekeurige jitter toevoegen, zodat tussenpozen dicht bij een gebruikelijk interval liggen zonder identiek te zijn. Ook legitieme update- en tijddiensten maken regelmatig contact met bestemmingen. Controleer het proces dat de verbinding startte, de geschiedenis van de bestemming en hoe vaak de verbinding op vergelijkbare hosts voorkomt voordat je een periodieke verbinding classificeert.

Handel en stel het bewijs veilig

Schaal kwaadaardige activiteit volgens het proces van de organisatie op naar incidentrespons. Stem acties af met de responders; verwijder het bestand niet en meld je niet interactief aan op een manier die bewijs verandert of de indringer alarmeert.

Zet het onderzoek om in een nieuwe of afgestemde regel, een verbetering van de waarneembaarheid, een configuratiewijziging, gedeelde inlichtingen of een verbeterd referentieprofiel. PowerShell-scriptblokregistratie legt bijvoorbeeld gebeurtenis 4104 vast en kan een hiaat voor latere analyse verhelpen.

Het rapport bewaart de hypothese, reikwijdte, bronnen, query's, bevindingen, foutpositieve resultaten en toegewezen vervolgtaken. Meet naast gevonden incidenten ook gemaakte detectieregels, verholpen hiaten, onderzochte technieken en de tijd tot resultaat. Opgeslagen query's en aantekeningen laten de volgende analist het nuttige werk herhalen of automatiseren.

Actieve verdediging houdt een tegenstander bezig, vertraagt of onderzoekt die via verdedigingsacties in de eigen omgeving van de organisatie. Misleiding, dynamische blokkering en snelle indamming kunnen dit ondersteunen. Digitale misleiding creëert middelen waarmee legitieme gebruikers geen zakelijke reden hebben om contact te maken.

Kies het lokmiddel voor het doel

Een honeypot heeft geen productiedoel. Een honeytoken kan zich in een verder echte omgeving bevinden: een nooit gebruikt beheerdersaccount, een valse cloudsleutel, een lokrecord in een database of een kanariedocument dat toegang meldt. Er is een meldingsroute nodig die vastlegt wat is aangeraakt en waar het contact vandaan kwam.

Laat de plaatsing de gevolgtrekking bepalen

Een valse bestandsserver dicht bij IT-middelen van de financiële afdeling kan interne verkenning of laterale beweging onthullen. Een vanaf internet bereikbare honeypot ontvangt vooral brede scans en geautomatiseerde aanvallen. Beide kunnen bruikbare inlichtingen verzamelen, maar een externe scan alleen levert weinig bewijs dat een bepaald bedrijf is uitgekozen.

Het verwachte referentieprofiel staat centraal. Als echte gebruikers regelmatig een lokbestand openen, vermengen de meldingen gewone activiteit met het gedrag dat je zoekt. Maak lokmiddelen aannemelijk voor een indringer en houd ze tegelijk buiten legitieme werkprocessen. Houd bij het beoordelen van contact rekening met bekende beveiligingsscanners.

Ga van één contact naar onderzoek

Een bedrijf plaatst FIN-BACKUP-02 op het netwerk van de financiële afdeling. De server heeft geen legitieme gebruikers en een verwacht aantal van nul verbindingen. Om 02.14 uur ontvangt de server een SMB-verbindingspoging vanaf een werkstation van de financiële afdeling.

De beveiligingsmelding levert een precies aanknopingspunt op: bronhost, bestemming, dienst en tijd. De onderzoeker bekijkt de activiteit van dat werkstation rond het contact en vindt een onbekend programma dat door een geplande taak wordt uitgevoerd en aanmeldingen via extern bureaublad met een account dat inactief zou moeten zijn. Het gecombineerde bewijs stuurt het onderzoek; het lokmiddel maakte een verborgen route gemakkelijker zichtbaar.

Koppel waargenomen acties aan ATT&CK zodra het bewijs die ondersteunt. Houd het contact zelf gescheiden van aannames over wat eraan voorafging of welke groep het veroorzaakte. De honeypot kan een interne inlichtingenbron worden en het onderzoek kan een gedragsregel vinden die automatisering waard is.

Beheers het risico van het lokmiddel

Isoleer honeypots, beperk hun mogelijkheden om productieomgevingen te bereiken en monitor ze nauwlettend, zodat een gecompromitteerd lokmiddel geen startpunt voor aanvallen kan worden. Systemen met uitgebreide interactiemogelijkheden vereisen deze zorg in het bijzonder omdat ze echte software draaien. Laat verzameling die activiteit en gegevens van bezoekers vastlegt juridisch en op privacy beoordelen. Beperk de interactie tot geautoriseerde systemen en acties.

MITRE Engage helpt misleiding en interactie met tegenstanders rond vastgestelde doelen te plannen. Misleiding werkt samen met de monitoring, onderzoekers en het responsteam van het SOC. De onderscheidende waarde is een middel met een referentieprofiel waarin legitiem gebruik vrijwel nul is, geen volledig beeld van elke inbraakroute.

Door te delen kan het incident van de ene organisatie een vroege waarschuwing voor een andere worden. Bruikbare uitwisselingen bevatten naast indicatoren ook context, betrouwbaarheid en omgangsregels. NIST Special Publication 800-150 beveelt aan om doelen, reikwijdte en omgangsregels voor het delen af te spreken voordat de urgente uitwisseling begint.

Kies het samenwerkingsverband en platform

Een Information Sharing and Analysis Center (ISAC) bedient een sector zoals financiën, gezondheidszorg of energie. Een Information Sharing and Analysis Organization (ISAO) kan ontstaan rond een ander gedeeld belang, zoals een regio. Nationale CERT's en CSIRT's coördineren incidenten en publiceren waarschuwingen. Voorbeelden zijn CISA in de Verenigde Staten, het NCSC van het Verenigd Koninkrijk en CERT-EU voor instellingen van de Europese Unie.

Draag relevante bevindingen bij en gebruik die van anderen. MISP ordent gedeelde gebeurtenissen en labels en kan servers van leden synchroniseren. OpenCTI slaat gekoppelde inlichtingen op in een kennisgraaf die op STIX is gebaseerd. Open Threat Exchange (OTX) groepeert gerelateerde indicatoren in “pulses” van de gemeenschap. Het platform ondersteunt de uitwisseling; de regels van het samenwerkingsverband bepalen de inhoud en doelgroep.

Onderscheid inhoud van transport

Structured Threat Information Expression (STIX) 2.1 is de op JSON gebaseerde inlichtingentaal van OASIS. Domeinobjecten beschrijven indicatoren, malware, dreigingsactoren, inbraakverzamelingen, aanvalspatronen, campagnes, kwetsbaarheden en handelingsopties. Relatieobjecten verbinden deze begrippen; een waarneming legt vast dat iets is gezien.

Een STIX-indicator bevat een patroon en een datum vanaf wanneer die geldig is. Zo geeft [domain-name:value = 'update-portal.example'] een overeenkomst met een domein aan. Het patroon bepaalt waarnaar je zoekt; het omvattende object biedt context en geldigheid.

Trusted Automated Exchange of Intelligence Information (TAXII) 2.1 vervoert STIX via HTTPS. Een server stelt verzamelingen beschikbaar die geautoriseerde clients lezen en waaraan ze, indien toegestaan, toevoegen. STIX beschrijft de inlichtingen; TAXII verplaatst ze. Geen van beide formaatkeuzes geeft op zichzelf toestemming om een rapport verder te verspreiden.

Pas TLP 2.0 toe

Het Traffic Light Protocol (TLP) van FIRST communiceert toegestane openbaarmaking:

TLP 2.0, uitgebracht in 2022, verving TLP:WHITE door TLP:CLEAR. TLP is een afspraak over delen, geen versleuteling of beveiligingsclassificatiesysteem.

Bij een TLP:AMBER-rapport van een ISAC kan de ontvanger het eigen SOC en klanten die bescherming nodig hebben informeren. De ontvanger mag het rapport niet openbaar plaatsen of aan de hele gemeenschap doorsturen. Voor bredere openbaarmaking is toestemming van de bron nodig.

Bereid het rapport voor op de toegestane doelgroep

Verwijder vóór verspreiding onnodige persoonsgegevens, interne hostnamen en identificerende gegevens van slachtoffers. Controleer toepasselijke vereisten voor gegevensbescherming, contracten, geheimhoudingsovereenkomsten en toestemming. Behoud waar mogelijk bruikbare indicatoren en gedragsbeschrijvingen zonder de identiteit van het slachtoffer bloot te geven. Gevoelige gegevens uit een rapport verwijderen en het TLP-label respecteren zijn afzonderlijke taken: een hostnaam verwijderen verruimt de oorspronkelijke toestemming om te delen niet.

Inlichtingengestuurde verdediging richt inspanning op tegenstanders en gedrag die voor de organisatie van belang zijn. Hetzelfde bewijs kan prioriteiten bij respons, patches, schattingen van bedrijfsrisico's, architectuur en detectie veranderen.

Verbind inlichtingen met vijf functies

Voor beveiligingsontwerp wijzen gestolen VPN-inloggegevens op phishingbestendige MFA. Het uitlezen van LSASS-geheugen wijst op Credential Guard en beperkte beheerders- en foutopsporingsrechten. Verplaatsing via RDP wijst op striktere RDP-toegang en segmentatie. De maatregel volgt de waargenomen methode en de omgeving die daardoor kan worden getroffen.

Onderscheid ernst van misbruik

Het Common Vulnerability Scoring System (CVSS) beschrijft technische ernst op een schaal van 0–10. De Known Exploited Vulnerabilities (KEV)-catalogus van CISA identificeert zwakke plekken waarvoor betrouwbaar bewijs bestaat dat ze in de praktijk worden misbruikt. Het Exploit Prediction Scoring System (EPSS) van FIRST schat de kans, van 0 tot 1, op misbruik in de komende 30 dagen. Geen van deze beschrijft op zichzelf het volledige bedrijfsrisico van het getroffen IT-middel.

Vergelijk twee bevindingen. A heeft CVSS 9,8, EPSS 0,03, staat niet in KEV en zit op een interne testserver. B heeft CVSS 7,5, EPSS 0,92, staat in KEV en treft de kritieke, vanaf internet bereikbare VPN-gateway. B komt eerst omdat huidig misbruik, blootstelling en bedrijfsbelang samenkomen. Rangschikken op alleen CVSS zou die feiten missen. Afwezigheid uit KEV laat nog steeds onzekerheid over misbruik bestaan; het bewijst niet dat de situatie veilig is.

Gebruik STRIDE om een ontwerp te onderzoeken

Dreigingsmodellering onderzoekt een systeemontwerp vóór een aanval. STRIDE van Microsoft groepeert dreigingen naar de beveiligingseigenschap die gevaar loopt:

Inlichtingen voegen toe welke dreigingen relevante tegenstanders nu gebruiken. Ze helpen prioriteiten te stellen bij de ontwerpbeoordeling zonder dreigingsmodellering te reduceren tot een lijst met actuele malwarenamen.

Zet beslissingen om in meetbare resultaten

Indicatoren kunnen SIEM-bewakingslijsten, EDR-blokkeerlijsten en DNS-filters voeden. Sigma geeft vaak logdetectieregels weer; YARA geeft regels voor bestandspatronen weer. Gedragsgebaseerde regels hebben nog steeds de juiste gegevens, tests en afstemming nodig.

Meet ontwikkelde detectieregels, de tijd van ontvangst tot toepassing van een indicator, incidenten die met inlichtingen zijn gevonden en beantwoorde behoeften. Vraag gebruikers of het product een beslissing heeft veranderd. Hun feedback actualiseert de behoeften, terwijl incident- en onderzoeksbevindingen het bewijs voor de volgende ronde toevoegen.