Wat is het Diamond Model?
Het Diamond Model is een analytisch framework voor het beschrijven en analyseren van cyberinbreuken. Elke inbraak (event) wordt beschreven als een relatie tussen vier kerncomponenten: een tegenstander zet een vermogen in via een infrastructuur tegen een slachtoffer. Door deze componenten systematisch in kaart te brengen, ontstaat inzicht in wie aanvalt, hoe, waarmee en op wie. Het model is complementair aan andere frameworks zoals MITRE ATT&CK (wat beschrijft de aanvaller), de Cyber Kill Chain (welke fase) en STIX/TAXII (hoe deel je de informatie).
Event
De 4 Kerncomponenten
Adversary (Tegenstander)
De actor die de aanval uitvoert of aanstuurt. Dit kan een individu, groep, organisatie of natiestaat zijn.
- Adversary Operator: de persoon die de aanval daadwerkelijk uitvoert (de hacker achter het toetsenbord)
- Adversary Customer: de opdrachtgever die profiteert van de aanval (bijv. een inlichtingendienst of criminele organisatie)
Vaak is de tegenstander bij het begin van de analyse onbekend. Door de andere drie componenten te analyseren kan de tegenstander worden geïdentificeerd of geattribueerd.
Capability (Vermogen)
De tools, technieken en procedures (TTPs) die de tegenstander gebruikt om de aanval uit te voeren.
- Capability Capacity: het totale arsenaal van de tegenstander — alle kwetsbaarheden die deze kan uitbuiten
- Adversary Arsenal: de specifieke tools en malware die worden ingezet
Voorbeelden: phishing-mails, exploit kits, ransomware, zero-day exploits, custom backdoors, social engineering.
Infrastructure (Infrastructuur)
De fysieke en logische communicatiestructuren die de tegenstander gebruikt om het vermogen in te zetten en het slachtoffer te bereiken.
- Type 1: volledig in eigendom/beheer van de tegenstander (eigen servers, domeinen)
- Type 2: gecompromitteerde of gehuurde infrastructuur (botnets, bulletproof hosting, VPN-diensten)
- Service Providers: legitieme diensten die (onbewust) worden misbruikt (cloud, CDN, DNS)
Victim (Slachtoffer)
Het doelwit van de aanval — de organisatie, het netwerk, het systeem of de persoon die wordt aangevallen.
- Victim Persona: de mensen en organisaties die worden getarget (wie)
- Victim Asset: de specifieke systemen, netwerken, accounts of data die worden aangevallen (wat)
Het begrijpen van waarom juist dit slachtoffer is gekozen, geeft inzicht in de motivatie van de tegenstander.
Relaties tussen componenten
Elke zijde van de diamant vertegenwoordigt een relatie. Door deze relaties te analyseren ontstaan bruikbare inzichten.
Meta-features
Naast de 4 kerncomponenten kent het Diamond Model 6 meta-features die context geven aan elk event.
Toepassing in de praktijk
Wanneer gebruik je het Diamond Model?
- Incident analyse: Systematisch een inbraak ontleden — wie, wat, hoe, waarom
- Threat intelligence: Verbanden leggen tussen incidenten, campagnes identificeren
- Attributie: Door meerdere events te correleren kun je de tegenstander identificeren
- Pivoting: Vanuit één bekende component (bijv. een IP-adres) de andere componenten achterhalen
- Communicatie: Uniforme taal voor het rapporteren van dreigingen aan management en partners
- Planning: Verdedigingsmaatregelen richten op de juiste component (blokkeer de infra, detecteer de capability, bescherm de victim)
Relatie met andere frameworks
Diamond Model + MITRE ATT&CK
ATT&CK beschrijft de Capability in detail: welke tactieken en technieken worden gebruikt. Het Diamond Model geeft de context: wie zet die technieken in, via welke infra, tegen wie.
Diamond Model + Cyber Kill Chain
De Kill Chain beschrijft de Phase (meta-feature): in welke stap van de aanval zitten we? Het Diamond Model vult aan met wie, wat en waarmee per fase.
Diamond Model + STIX/TAXII
STIX is het gestandaardiseerde formaat om Diamond Model-informatie te delen. TAXII is het transportprotocol. Samen maken ze threat intelligence uitwisselbaar.
Diamond Model + NIST CSF
NIST CSF structureert je verdediging. Het Diamond Model structureert je begrip van de dreiging. Samen: weet waartegen je je verdedigt en hoe je dat organiseert.
Praktijkvoorbeelden
Voorbeeld 1 — Spear phishing op een overheidsorganisatie
- Adversary: Vermoedelijk statelijke actor (APT-groep)
- Capability: Spear phishing e-mail met macro-document, custom backdoor
- Infrastructure: Gecompromitteerde webserver als C2, bulletproof hosting voor payload delivery
- Victim: Beleidsmedewerker met toegang tot vertrouwelijke documenten
Pivot: De C2-server wordt ook gebruikt bij aanvallen op een andere organisatie → zelfde adversary, andere victim.
Voorbeeld 2 — Ransomware bij een leverancier
- Adversary: Financieel gemotiveerde cybercriminelen (Ransomware-as-a-Service)
- Capability: Initiële toegang via gecompromitteerde VPN-credentials, laterale beweging via PsExec, LockBit ransomware
- Infrastructure: Tor-gebaseerde leak site, Bitcoin wallets, gehuurde VPS voor exfiltratie
- Victim: IT-dienstverlener die werkt voor de Rijksoverheid (ABRO-leverancier)
Impact: Via de leverancier is mogelijk toegang tot TBB-informatie gecompromitteerd → ABRO incident handling procedures van toepassing.
Voorbeeld 3 — Supply chain aanval
- Adversary: Geavanceerde statelijke actor
- Capability: Backdoor in software-update van een vertrouwde leverancier
- Infrastructure: Gecompromitteerde build-server van de leverancier, legitiem update-mechanisme
- Victim: Alle organisaties die de software gebruiken, inclusief overheidsinstanties
Relevantie: ABRO H1 (onderaannemers/toeleveranciers) en H4 (cyber) stellen eisen aan supply chain beveiliging om dit type aanval te mitigeren.
Cyber Kill Chain (Lockheed Martin)
De Cyber Kill Chain is een model ontwikkeld door Lockheed Martin in 2011 dat een cyberaanval beschrijft in 7 opeenvolgende fasen. Het idee: als je de keten in een vroege fase doorbreekt, voorkom je dat de aanvaller zijn uiteindelijke doel bereikt. Het model is complementair aan het Diamond Model — de Kill Chain beschrijft de Phase meta-feature: in welke stap van de aanval bevindt een event zich?
1. Reconnaissance (Verkenning)
De aanvaller verzamelt informatie over het doelwit: e-mailadressen, organisatiestructuur, gebruikte technologieen, open poorten, publieke documenten.
- Voorbeelden: OSINT, LinkedIn scraping, DNS enumeration, port scanning, Google dorking
- Detectie: Webserver logs monitoren op scanning-patronen, honeypots inzetten, social media awareness training
- Preventie: Minimaliseer publiek beschikbare informatie, verwijder metadata uit documenten
2. Weaponization (Bewapening)
De aanvaller ontwikkelt of selecteert het aanvalsmiddel: malware, exploit, phishing-document. Dit combineert een exploit met een payload (bijv. een backdoor).
- Voorbeelden: Macro-documenten maken, exploit kits configureren, custom RAT bouwen
- Detectie: Moeilijk — vindt plaats buiten het netwerk van het slachtoffer
- Preventie: Threat intelligence gebruiken om bekende tooling te identificeren
3. Delivery (Aflevering)
Het wapen wordt afgeleverd bij het slachtoffer. Dit is het eerste directe contact tussen aanvaller en doelwit.
- Voorbeelden: Phishing e-mail met bijlage, watering hole website, USB-stick, gecompromitteerde software-update
- Detectie: E-mail filtering, web proxy logs, endpoint detectie, sandboxing van bijlagen
- Preventie: SPF/DKIM/DMARC, URL filtering, gebruikersbewustzijn, macro-beleid
4. Exploitation (Uitbuiting)
De kwetsbaarheid wordt uitgebuit om code uit te voeren op het systeem van het slachtoffer. De aanvaller krijgt initieel voet aan de grond.
- Voorbeelden: Office macro-executie, browser exploit, OS-kwetsbaarheid, SQL injection
- Detectie: EDR/XDR, applicatie-whitelisting, exploit detectie, anomalie-detectie
- Preventie: Patching, hardening, least privilege, DEP/ASLR
5. Installation (Installatie)
De aanvaller installeert persistente toegang: backdoors, RATs, webshells of andere mechanismen om terug te kunnen keren.
- Voorbeelden: Registry run keys, scheduled tasks, DLL hijacking, webshell plaatsen, rootkit
- Detectie: File integrity monitoring, registry monitoring, anomalie in scheduled tasks
- Preventie: Applicatie-whitelisting, file integrity monitoring, beperkte schrijfrechten
6. Command & Control (C2)
Het gecompromitteerde systeem maakt verbinding met de aanvaller voor aansturing. De aanvaller kan nu commando's geven en data ontvangen.
- Voorbeelden: HTTPS beaconing, DNS tunneling, social media C2, Cobalt Strike, steganografie
- Detectie: Netwerk monitoring, DNS anomalie-detectie, JA3/JA3S fingerprinting, beacon-detectie
- Preventie: Egress filtering, proxy-gebruik afdwingen, DNS sinkholing, netwerksegmentatie
7. Actions on Objectives (Doelacties)
De aanvaller voert zijn uiteindelijke doel uit: data exfiltratie, sabotage, ransomware deployment, spionage of verdere laterale beweging naar andere doelwitten.
- Voorbeelden: Data stelen en exfiltreren, ransomware uitrollen, systemen saboteren, accounts aanmaken voor toekomstige toegang
- Detectie: DLP, gebruikersgedragsanalyse (UBA), grote data-transfers detecteren, privilege escalation monitoring
- Preventie: Dataclassificatie, encryptie, netwerksegmentatie, off-site backups
Relatie met het Diamond Model
De Kill Chain geeft de volgorde van events, het Diamond Model geeft per event de details (wie, wat, hoe, tegen wie). Samen vormen ze een compleet beeld: je weet niet alleen wat er in elke fase gebeurt, maar ook welke tegenstander welk vermogen via welke infrastructuur tegen welk slachtoffer inzet.
Praktijkvoorbeeld: APT-aanval op een ministerie
Alle 7 fasen in een campagne
- 1. Reconnaissance: De aanvaller scant LinkedIn voor beleidsmedewerkers van het ministerie, vindt e-mailadressen via publieke documenten en identificeert de VPN-leverancier via Shodan.
- 2. Weaponization: Er wordt een Word-document gemaakt met een macro die een custom backdoor downloadt. Het document imiteert een beleidsnota van een partner-ministerie.
- 3. Delivery: Het document wordt per e-mail verstuurd naar 5 beleidsmedewerkers, afkomstig van een gespooft adres van het partner-ministerie.
- 4. Exploitation: Een medewerker opent het document en schakelt macro's in. De macro misbruikt een bekende Office-kwetsbaarheid om PowerShell uit te voeren.
- 5. Installation: De PowerShell-code downloadt een backdoor die zich registreert als Windows-service en bij elke reboot automatisch start.
- 6. Command & Control: De backdoor maakt elke 30 minuten verbinding met een gecompromitteerde WordPress-site die als C2-relay functioneert via HTTPS.
- 7. Actions on Objectives: De aanvaller gebruikt de toegang om lateraal te bewegen naar de fileserver, vertrouwelijke beleidsdocumenten te kopiëren en via de C2-keten te exfiltreren.
MITRE ATT&CK Framework
MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) is een open kennisbank van tactieken en technieken die aanvallers daadwerkelijk in de praktijk gebruiken. Het is de industriestandaard voor het classificeren van wat aanvallers doen en wordt wereldwijd gebruikt door SOCs, threat intelligence teams en red teams. Zie attack.mitre.org.
Structuur
De 14 Tactieken
1. Reconnaissance
Informatie verzamelen over het doelwit om toekomstige operaties te plannen. Actieve en passieve verkenning.
2. Resource Development
Infrastructuur en middelen opzetten: domeinen registreren, accounts aanmaken, tools ontwikkelen, credentials verkrijgen.
3. Initial Access
Eerste voet aan de grond krijgen in het netwerk: phishing, exploits op publieke diensten, supply chain compromittering.
4. Execution
Kwaadaardige code uitvoeren: PowerShell, scripts, exploits, command-line interfaces, scheduled tasks.
5. Persistence
Toegang behouden na reboots of credential-wijzigingen: registry keys, scheduled tasks, implants, accounts aanmaken.
6. Privilege Escalation
Hogere rechten verkrijgen: exploits, token manipulatie, misbruik van misconfiguraties, DLL hijacking.
7. Defense Evasion
Detectie vermijden: obfuscatie, logbestanden wissen, security tools uitschakelen, timestomping, process injection.
8. Credential Access
Inloggegevens stelen: keylogging, credential dumping (Mimikatz), brute force, password spraying, MFA bypass.
9. Discovery
De omgeving verkennen: netwerk-scans, systeeminformatie, account-enumeratie, shares ontdekken, trust-relaties.
10. Lateral Movement
Naar andere systemen bewegen: RDP, SMB, PsExec, pass-the-hash, remote services, exploitation van interne diensten.
11. Collection
Doeldata verzamelen: screenshots, keylogging, e-mail harvesting, clipboard data, data van gedeelde schijven.
12. Command and Control
Communiceren met gecompromitteerde systemen: HTTPS, DNS tunneling, custom protocollen, proxy gebruik.
13. Exfiltration
Data naar buiten brengen: via C2-kanaal, alternatieve protocollen, cloud opslag, fysieke media, geautomatiseerd.
14. Impact
Systemen manipuleren, verstoren of vernietigen: ransomware, data destructie, defacement, denial of service.
Relatie met Diamond Model en Kill Chain
Verband met JSCU Logging-eisen
Welke ATT&CK-technieken detecteert JSCU-logging?
De JSCU logging-eisen (zie JSCU Logging pagina) zijn specifiek ontworpen om de volgende ATT&CK-tactieken te kunnen detecteren:
- Initial Access (T1078): Login-logging detecteert misbruik van geldige accounts
- Execution (T1059): Proceslogging detecteert command-line en script executie
- Persistence (T1053, T1543): Service- en scheduled task-logging detecteert persistentie-mechanismen
- Privilege Escalation (T1068): Authenticatie- en autorisatielogging detecteert ongeautoriseerde privilege-escalatie
- Defense Evasion (T1070): Audit-logging van logwijzigingen detecteert pogingen om sporen te wissen
- Credential Access (T1110): Authenticatielogging detecteert brute force en password spraying
- Lateral Movement (T1021): Netwerk- en authenticatielogging detecteert remote service gebruik
- Exfiltration (T1041): Netwerklogging detecteert ongebruikelijke uitgaande datastromen
Tip: Gebruik de ATT&CK Navigator (attack-navigator) om visueel in kaart te brengen welke technieken jouw logging-configuratie afdekt.
MITRE D3FEND — Defensieve Tegenhanger
MITRE D3FEND (Detection, Denial & Disruption Framework Empowering Network Defense) is de defensieve tegenhanger van ATT&CK. Waar ATT&CK beschrijft wat de aanvaller doet, beschrijft D3FEND welke verdedigingstechnieken die aanval kunnen tegenhouden, detecteren of verstoren. Beheerd door MITRE, gefinancierd door de NSA. Zie d3fend.mitre.org.
De 6 D3FEND-tactieken (defensief)
Model
Het in kaart brengen van eigen assets, identiteiten, netwerk en gegevens — basis voor elke verdediging.
Harden
Hardening: configuratie-baselines, patching, application allow-listing, encryptie at rest/in transit.
Detect
Detectie via logs, file integrity monitoring, netwerkanalyse, EDR-telemetrie, SIEM-correlaties.
Isolate
Segmentatie, sandboxing, broker-patronen, microsegmentatie en zero-trust netwerktoegang.
Deceive
Honeypots, decoy-credentials, canary-tokens — laat de aanvaller zich verraden voordat schade ontstaat.
Evict
Verwijderen van aanwezigheid: account-revocatie, session-termination, host-isolation, herinstallatie.
ATT&CK ↔ D3FEND mapping
D3FEND koppelt elke defensieve techniek expliciet aan de offensieve ATT&CK-techniek(en) die hij kan tegengaan, via "digital artifacts" (logbestanden, processen, netwerkstromen). Daarmee wordt de aanpak tweezijdig: je kunt vanuit een aanvalstechniek zoeken naar bijbehorende verdedigingen, of andersom je bestaande verdedigingen toetsen op dekking.
Verband met ABRO & JSCU Logging
Hoe vertaalt D3FEND zich naar uw werkblad?
- Model ↔ ABRO Hoofdstuk 1 (Bestuur): asset-management, classificatie, autorisatieoverzichten.
- Harden ↔ ABRO Hoofdstuk 4 (Cyber): baseline-configuratie, patchmanagement, encryptie.
- Detect ↔ JSCU Logging-eisen + SIEM: de 194 Event IDs leveren de telemetrie waarop D3FEND-detecties draaien.
- Isolate ↔ ABRO Hoofdstuk 4 + 5: netwerksegmentatie, zone-modellen, cloud-isolatie.
- Deceive ↔ aanvullend op ABRO; nuttig voor TBB 2/1 omgevingen met hoog dreigingsprofiel.
- Evict ↔ Incident Response (zie verderop): containment, eradication, recovery.
Tip: gebruik D3FEND als checklist na de ATT&CK-mapping. Voor elke ATT&CK-techniek waarvoor u risico ziet, zoek de D3FEND-counterparts en toets of die in uw architectuur en in ABRO/JSCU-logging zijn afgedekt.
Supply Chain Security
Supply chain aanvallen richten zich niet direct op het doelwit, maar op een vertrouwde leverancier, dienstverlener of softwarecomponent in de keten. Omdat organisaties hun leveranciers vertrouwen, omzeilen deze aanvallen veel traditionele beveiligingsmaatregelen. Voor ABRO-organisaties is dit bijzonder relevant: Hoofdstuk 1 (onderaannemers en toeleveranciers) en Hoofdstuk 5 (cloud en uitbesteding) stellen specifieke eisen aan het beheersen van supply chain risico's.
Typen supply chain aanvallen
Software Supply Chain
Aanval via gecompromitteerde software, updates, bibliotheken of development tools.
- Gecompromitteerde software-updates (bijv. SolarWinds Orion, 2020)
- Kwaadaardige open-source pakketten (bijv. event-stream npm, 2018)
- Gecompromitteerde build-pipelines (bijv. Codecov, 2021)
- Trojanized development tools of IDE-plugins
Hardware Supply Chain
Aanval via gemanipuleerde hardware-componenten of firmware.
- Gemanipuleerde chips of implants op moederborden
- Gecompromitteerde firmware in netwerkapparatuur
- Nep-componenten met ingebouwde backdoors
- Interceptie van hardware tijdens transport
Service Provider Supply Chain
Aanval via een vertrouwde dienstverlener die toegang heeft tot jouw systemen of data.
- Gecompromitteerde MSP/MSSP (bijv. Kaseya VSA, 2021)
- Cloud provider compromittering
- Misbruik van vertrouwde API-koppelingen
- Insider threat bij een leverancier
Dependency Confusion
Misbruik van hoe package managers afhankelijkheden oplossen.
- Publiek pakket met dezelfde naam als intern pakket
- Typosquatting op populaire pakketnamen
- Overname van verlaten pakketten (orphan packages)
- Gecompromitteerde maintainer-accounts
Bekende voorbeelden
SolarWinds Orion (december 2020)
- Aanvaller: APT29 / Cozy Bear (Russische SVR-gerelateerde groep)
- Methode: Backdoor (SUNBURST) geinjected in de build-pipeline van SolarWinds Orion software-updates
- Impact: ~18.000 organisaties installeerden de gecompromitteerde update, waaronder Amerikaanse overheidsinstanties (Treasury, DHS, DoE)
- Duur: 9+ maanden ongedetecteerd (maart-december 2020)
- Les: Zelfs vertrouwde, ondertekende software kan gecompromitteerd zijn als de build-pipeline niet beveiligd is
Kaseya VSA (juli 2021)
- Aanvaller: REvil ransomware-groep
- Methode: Zero-day kwetsbaarheid in Kaseya VSA (remote management tool voor MSPs) misbruikt om ransomware te pushen naar alle klanten van getroffen MSPs
- Impact: ~1.500 bedrijven getroffen via ~60 MSPs — cascade-effect door de toeleveringsketen
- Les: Een kwetsbaarheid in MSP-tooling vermenigvuldigt het bereik van een aanval exponentieel
ABRO-eisen voor supply chain beveiliging
Best practices supply chain risicomanagement
- Leveranciersbeoordeling: Voer security-assessments uit bij alle leveranciers met toegang tot gevoelige informatie of systemen
- Software Bill of Materials (SBOM): Eis een SBOM van leveranciers zodat je weet welke componenten in hun software zitten
- Integriteitscontrole: Verifieer checksums en digitale handtekeningen van alle software en updates
- Least privilege: Geef leveranciers alleen de minimaal noodzakelijke toegangsrechten
- Monitoring: Monitor het gedrag van systemen en diensten van leveranciers op anomalieen
- Contractuele afspraken: Leg beveiligingseisen, meldplicht bij incidenten en auditrecht contractueel vast
- Segmentatie: Isoleer systemen van leveranciers van kritieke interne systemen
- Incident response: Neem supply chain scenario's op in je incident response plannen en oefen deze
- Continue evaluatie: Herbeoordeel leveranciers periodiek — een eenmalige check volstaat niet
Incident Response Proces
Het incident response (IR) proces beschrijft hoe een organisatie reageert op beveiligingsincidenten. Het meest gebruikte model is het NIST SP 800-61 4-fasenmodel. Voor ABRO-organisaties stelt Hoofdstuk 4 specifieke eisen aan incident management, waaronder meldplicht, escalatieprocedures en samenwerking met het NCSC.
NIST SP 800-61 — 4 fasen
1. Preparation (Voorbereiding)
De basis leggen zodat je effectief kunt reageren op incidenten voordat ze plaatsvinden.
- Activiteiten: IR-plan opstellen, team samenstellen (CSIRT), tools aanschaffen, logging inrichten, contactlijsten bijhouden
- Betrokkenen: CISO, IT-beheer, management, juridisch, communicatie
- Documentatie: IR-beleid, IR-procedures, escalatiematrix, communicatieplan, contactlijsten
- ABRO H4: Eist een formeel incident management proces met duidelijke rollen en verantwoordelijkheden
2. Detection & Analysis (Detectie & Analyse)
Het incident detecteren, de omvang en impact bepalen, en bewijsmateriaal veiligstellen.
- Activiteiten: Alerting triageren, indicators of compromise (IoC) analyseren, scope bepalen, forensisch onderzoek starten
- Betrokkenen: SOC-analisten, incident responders, forensisch onderzoekers
- Documentatie: Incidentrapport, tijdlijn van events, IoC-lijst, forensische images
- ABRO H4: Logging-eisen (zie JSCU) zorgen dat detectie mogelijk is; classificatie bepaalt de meldplicht
3. Containment, Eradication & Recovery
De aanval stoppen, de oorzaak verwijderen en systemen herstellen naar een betrouwbare staat.
- Containment: Getroffen systemen isoleren, accounts blokkeren, netwerksegmenten afsluiten (korte en lange termijn)
- Eradication: Malware verwijderen, backdoors opschonen, kwetsbaarheden patchen, wachtwoorden resetten
- Recovery: Systemen herstellen vanuit schone backups, monitoring intensiveren, gefaseerd terugzetten in productie
- ABRO H4: Bij incidenten met TBB-informatie gelden aanvullende eisen voor containment en melding aan opdrachtgever
4. Post-Incident (Nazorg)
Leren van het incident en de organisatie versterken om herhaling te voorkomen.
- Activiteiten: Lessons learned sessie, IR-rapport afronden, procedures bijwerken, verbetermaatregelen implementeren
- Betrokkenen: Alle betrokkenen van het incident, plus management voor goedkeuring verbeterplannen
- Documentatie: Definitief incidentrapport, lessons learned, verbeterplan, aangepaste procedures
- ABRO H4: Eist een evaluatie na elk significant incident en implementatie van verbetermaatregelen
Escalatieniveaus
Communicatieplan template
Wie wordt wanneer geinformeerd?
- Intern — direct: CISO, IT-manager, SOC-teamleider
- Intern — binnen 1 uur: Directie/bestuur (bij niveau 2+), juridische afdeling, communicatie-afdeling
- Extern — binnen 4 uur: Opdrachtgever (bij ABRO-incidenten), NCSC (bij significante incidenten)
- Extern — binnen 24 uur: Autoriteit Persoonsgegevens (bij datalek met persoonsgegevens), getroffen partners/leveranciers
- Extern — indien nodig: Politie (bij strafbare feiten), media (via communicatie-afdeling), betrokken medewerkers/klanten
Belangrijk: Communiceer via vooraf afgesproken out-of-band kanalen (telefoon, Signal) — de reguliere communicatiekanalen kunnen gecompromitteerd zijn.
Lessons Learned proces
Na elk significant incident
- Tijdlijn: Binnen 2 weken na afsluiting van het incident een lessons learned sessie organiseren
- Deelnemers: Alle direct betrokkenen bij de respons, plus vertegenwoordigers van management en getroffen afdelingen
- Vragen: Wat ging goed? Wat ging fout? Wat was verrassend? Welke informatie ontbrak? Waar waren vertragingen?
- Output: Concrete verbeteracties met eigenaar en deadline, bijgewerkt IR-plan, gedeelde kennis met het team
- Cultuur: Blamefree — het doel is verbeteren, niet beschuldigen. Fouten zijn leermomenten.
Zero Trust Model
Zero Trust is een beveiligingsmodel gebaseerd op het principe "never trust, always verify" — vertrouw geen enkel verzoek automatisch, ongeacht of het van binnen of buiten het netwerk komt. In tegenstelling tot traditionele perimeterbeveiliging (de "kasteelgracht"-benadering) gaat Zero Trust ervan uit dat het netwerk al gecompromitteerd kan zijn en verifieert elk verzoek alsof het van een onvertrouwd netwerk komt.
De 5 pijlers van Zero Trust
1. Identity (Identiteit)
Verifieer altijd de identiteit van gebruikers en diensten voordat toegang wordt verleend.
- Multi-factor authenticatie (MFA) voor alle gebruikers
- Risico-gebaseerde authenticatie (extra verificatie bij afwijkend gedrag)
- Just-in-time en just-enough-access (JIT/JEA)
- Continue validatie van de sessie, niet alleen bij het inloggen
2. Devices (Apparaten)
Controleer de gezondheid en compliance van apparaten voordat ze toegang krijgen.
- Device health checks (patch-niveau, antivirus, encryptie)
- MDM/MAM voor beheerde en onbeheerde apparaten
- Conditional access policies op basis van device-status
- Endpoint Detection and Response (EDR) op alle endpoints
3. Network (Netwerk)
Ga ervan uit dat het netwerk vijandig is — segmenteer en versleutel al het verkeer.
- Micro-segmentatie: elk systeem is een eigen beveiligingszone
- Alle verkeer versleuteld, ook intern (TLS everywhere)
- Software-defined perimeters (SDP) in plaats van VPN
- Netwerk-monitoring en anomalie-detectie op alle segmenten
4. Applications (Applicaties)
Beveilig applicaties en APIs alsof ze direct aan het internet gekoppeld zijn.
- Applicatie-level authenticatie en autorisatie
- API-beveiliging met tokens en rate limiting
- Runtime application self-protection (RASP)
- Secure software development lifecycle (SSDLC)
5. Data
Bescherm data ongeacht waar het zich bevindt — in transit, at rest en in gebruik.
- Dataclassificatie: weet welke data gevoelig is (essentieel voor ABRO TBB-informatie)
- Encryptie in rust en in transit
- Data Loss Prevention (DLP) om ongeautoriseerde exfiltratie te voorkomen
- Rechten-gebaseerde toegang tot data (RBAC/ABAC)
- Audit logging van alle data-access
Verschil met traditionele perimeterbeveiliging
Traditioneel: "Kasteelgracht"
- Vertrouw alles binnen het netwerk
- Sterke firewall aan de rand
- VPN = volledige netwerktoegang
- Plat intern netwerk
- Eenmalige authenticatie
- Probleem: Eenmaal binnen kan een aanvaller vrij bewegen
Zero Trust: "Verifieer alles"
- Vertrouw niets automatisch, intern of extern
- Beveiliging op elk niveau en bij elke resource
- Toegang per applicatie, niet per netwerk
- Micro-segmentatie overal
- Continue verificatie
- Voordeel: Blast radius van een compromittering is minimaal
Relatie met ABRO
ABRO-eisen die aansluiten bij Zero Trust
- H4 — Toegangscontrole: Need-to-know en least privilege principes, MFA-vereisten
- H4 — Netwerksegmentatie: Scheiding van netwerksegmenten met verschillende vertrouwensniveaus
- H4 — Logging & Monitoring: Continue monitoring en audit trails (zie ook JSCU-eisen)
- H4 — Encryptie: Versleuteling van data in transit en at rest
- H1 — Personeel: Screening en autorisatie van medewerkers alvorens toegang (identity-pijler)