/tags/mitre-attack/Recent content in Mitre-Attack on Suspicious BytesHugonl-NLSat, 30 May 2026 00:00:00 +0000/posts/detecting-lateral-movement/Sat, 30 May 2026 00:00:00 +0000/posts/detecting-lateral-movement/<p>Zodra een aanvaller een voet aan de grond heeft, begint het interessante deel: bewegen van de eerste host naar datgene waarvoor ze eigenlijk kwamen. Die east-west-beweging laat sporen na als je weet welke events je moet koppelen.</p> <h2 id="signalen-om-te-koppelen">Signalen om te koppelen</h2> <p>Lateral movement is zelden één rokend-pistool-event. Het komt naar boven uit correlatie:</p> <ol> <li>Netwerk-logon-events (<code>4624</code> type 3) vanaf ongebruikelijke bronnen</li> <li>Aanmaken van een service of geplande taak op de bestemming</li> <li>Kort daarna een remote procesaanmaak</li> </ol> <blockquote> <p>Correleer over hosts heen, niet alleen binnen één host. Eén <code>4624</code> is ruis; een reeks ervan die een account door het netwerk volgt, is een verhaal.</p>/posts/building-a-threat-actor-profile/Fri, 24 Apr 2026 00:00:00 +0000/posts/building-a-threat-actor-profile/<p>Cyber threat intelligence is pas nuttig als het een beslissing verandert. Een goed actor-profiel zet verspreide waarnemingen om in iets waar een verdediger deze week mee aan de slag kan, niet alleen iets om te lezen.</p> <h2 id="structuur-wint-van-proza">Structuur wint van proza</h2> <p>Een profiel dat als een verhaal leest, is lastig operationeel te maken. Leg het vast als gestructureerde velden:</p> <ul> <li>Aliassen en overlappende clusters</li> <li>Beoogde sectoren en regio&rsquo;s</li> <li>Waargenomen technieken (gekoppeld aan ATT&amp;CK)</li> <li>Bekende infrastructuurpatronen</li> </ul> <blockquote> <p>Inlichtingen zonder een betrouwbaarheidsniveau zijn slechts een gerucht met goede opmaak. Zeg wat je weet, hoe goed je het weet, en hoe je ongelijk zou krijgen.</p>