Lateral movement detecteren

Sat, 30 May 2026 00:00:00 +0000

Zodra een aanvaller een voet aan de grond heeft, begint het interessante deel: bewegen van de eerste host naar datgene waarvoor ze eigenlijk kwamen. Die east-west-beweging laat sporen na als je weet welke events je moet koppelen.

Signalen om te koppelen

Lateral movement is zelden één rokend-pistool-event. Het komt naar boven uit correlatie:

Netwerk-logon-events (4624 type 3) vanaf ongebruikelijke bronnen
Aanmaken van een service of geplande taak op de bestemming
Kort daarna een remote procesaanmaak

Correleer over hosts heen, niet alleen binnen één host. Eén 4624 is ruis; een reeks ervan die een account door het netwerk volgt, is een verhaal.

Aan de slag met Threat Hunting met een minimale aanpak

Sat, 27 Sep 2025 00:00:00 +0000

Begin Vandaag met Hunten!

Threat hunting vereist geen enterprise tools. Je kunt simpelweg beginnen met wat je al hebt.

Minimale Vereisten

Begin met dingen die je waarschijnlijk al hebt. Werk van daaruit, en denk daarna na over verbeteren en groeien.

Centralized logging (Sysmon, firewall, proxy logs)
Query capability (ELK, Splunk, of zelfs grep)
Baseline knowledge van je netwerk
2-4 uur per week aan toegewijde hunting-tijd

Baselining is het lastigste onderdeel voor beginners, dus begin klein. Kies een ding dat je als “normaal” kunt omschrijven (welke hosts met internet praten, welke accounts als admin draaien, wat er bij het opstarten draait) en schrijf het op. Die ene baseline wordt de maatstaf voor je eerste hunts.

Threat-Hunting on Suspicious Bytes

Lateral movement detecteren

Signalen om te koppelen

Aan de slag met Threat Hunting met een minimale aanpak

Begin Vandaag met Hunten!

Minimale Vereisten