/categories/detecties/Recent content in Detecties on Suspicious BytesHugonl-NLMon, 08 Jun 2026 00:00:00 +0000/posts/writing-your-first-sigma-rule/Mon, 08 Jun 2026 00:00:00 +0000/posts/writing-your-first-sigma-rule/<p>Sigma is voor logdetecties wat YARA is voor bestanden: een generieke, leveranciersonafhankelijke manier om te beschrijven <em>wat</em> je wilt detecteren, die je daarna omzet naar de querytaal die je SIEM echt spreekt.</p> <h2 id="waarom-een-portable-formaat">Waarom een portable formaat?</h2> <p>Detecties die direct in één querytaal zijn geschreven, zitten daar voor altijd aan vast. Met Sigma schrijf je één keer en compileer je naar meerdere backends:</p> <ul> <li>Eén regel, meerdere doelen (Splunk, Elastic, Sentinel, …)</li> <li>Reviewbaar in pull requests zoals alle andere code</li> <li>Deelbaar met de community zonder je stack te lekken</li> </ul> <blockquote> <p>Een detectie die je niet kunt testen, versioneren en reviewen is een risico, geen bezit.</p>/posts/detecting-lateral-movement/Sat, 30 May 2026 00:00:00 +0000/posts/detecting-lateral-movement/<p>Zodra een aanvaller een voet aan de grond heeft, begint het interessante deel: bewegen van de eerste host naar datgene waarvoor ze eigenlijk kwamen. Die east-west-beweging laat sporen na als je weet welke events je moet koppelen.</p> <h2 id="signalen-om-te-koppelen">Signalen om te koppelen</h2> <p>Lateral movement is zelden één rokend-pistool-event. Het komt naar boven uit correlatie:</p> <ol> <li>Netwerk-logon-events (<code>4624</code> type 3) vanaf ongebruikelijke bronnen</li> <li>Aanmaken van een service of geplande taak op de bestemming</li> <li>Kort daarna een remote procesaanmaak</li> </ol> <blockquote> <p>Correleer over hosts heen, niet alleen binnen één host. Eén <code>4624</code> is ruis; een reeks ervan die een account door het netwerk volgt, is een verhaal.</p>