.Adv - Een aanvaller ziet geen losse consoles. Waarom zou een SOC dat wel doen?

In dit artikel:

KPN werkt aan een beveiligingsaanpak die meldingen uit cloudomgevingen, bedrijfsnetwerken, eindapparaten en industriële systemen samenbrengt. Volgens Koen van Daalen, Business Lead Security bij KPN, hebben SOC-analisten daardoor beter zicht op de manier waarop een aanvaller zich door verschillende onderdelen van een organisatie verplaatst.

Van Daalen is verantwoordelijk voor het Security Monitoring Portfolio, met daarin het 24/7-Security Operations Center en het team voor Digital Forensics & Incident Response. Dat laatste team wordt ingeschakeld wanneer een incident de reguliere monitoring overstijgt. De aanpak begint volgens KPN niet met een bepaald beveiligingsproduct, maar met inzicht in de klantomgeving. Organisaties moeten eerst vaststellen welke systemen cruciaal zijn, hoe die met elkaar verbonden zijn en welke processen niet mogen uitvallen. Op basis daarvan kunnen beveiligingsmaatregelen gericht op de grootste risico’s worden ingezet.

Een actuele Configuration Management Database (CMDB) is daarbij belangrijk. Daarin staan de aanwezige apparaten, servers, applicaties en industriële systemen, inclusief hun functie. Zonder een betrouwbaar overzicht is het voor een analist lastig om de betekenis van een melding of de gevolgen van een ingreep te bepalen. Dat geldt vooral in omgevingen waarin cloud- en SaaS-diensten samengaan met lokale infrastructuur, identiteitsvoorzieningen en operationele technologie.

Beveiligingsproducten werken vaak met afzonderlijke consoles en eigen gegevensstructuren, terwijl een aanval zich niet aan die grenzen houdt. Een phishingbericht kan leiden tot misbruik van een account, laterale beweging binnen het netwerk en uiteindelijk toegang tot een cloudapplicatie of database. Losse signalen, zoals een afwijkende aanmelding, aangepaste rechten of ongewoon netwerkverkeer, krijgen pas betekenis wanneer ze in samenhang en in de juiste volgorde worden bekeken.

Een SIEM-platform kan loggegevens uit meerdere bronnen verzamelen, normaliseren en met elkaar in verband brengen. Detectieregels en kennis uit het MITRE ATT&CK-raamwerk helpen om bekende aanvalstechnieken te herkennen. KPN wil daarbij niet alleen meer gegevens verzamelen, maar vooral context tonen: welk systeem is geraakt, hoe belangrijk is het voor de klant en welke andere gebeurtenissen houden ermee verband? Een gezamenlijke werkomgeving kan onderzoek versnellen en dubbele meldingen beperken.

Platformonafhankelijk werken vraagt wel om technische en organisatorische afspraken. Leveranciers gebruiken uiteenlopende API’s, formaten en logstructuren, en niet elke koppeling maakt actieve respons mogelijk. Gegevens uitlezen is iets anders dan veilig een systeem kunnen isoleren of een andere maatregel uitvoeren. Daarom is een schaalbare basis nodig die per klant kan worden uitgebreid.

Bij oudere OT-omgevingen is voorzichtigheid extra belangrijk. Besturingssystemen van bijvoorbeeld sluizen, bruggen en productielijnen kunnen tientallen jaren oud zijn en zijn niet ontworpen voor voortdurende onlineverbindingen. Automatische acties kunnen daar een groter probleem veroorzaken dan de oorspronkelijke melding. Analisten moeten daarom snel kunnen beoordelen wat er gebeurt, maar ook vaststellen of ingrijpen verantwoord is.

Kunstmatige intelligentie vergroot volgens KPN zowel de dreiging als de mogelijkheden voor verdediging. Aanvallers kunnen er sneller en grootschaliger phishingcampagnes mee maken, terwijl beveiligingsteams AI kunnen gebruiken om kwetsbaarheden en meldingen te analyseren. Menselijke expertise blijft nodig om verbanden, bedrijfscontext en mogelijke gevolgen te beoordelen. Vooral bij kritieke systemen kan AI het oordeel van een analist niet vervangen. Threat intelligence over onder meer kwaadaardige infrastructuur, gelekte gegevens en kwetsbaarheden kan meldingen verder verrijken. KPN wil die informatie ook meer per sector uitwisselen.

Tijdens de inrichting van de dienstverlening spreken KPN en de klant af welke acties automatisch mogen plaatsvinden en wanneer toestemming nodig is. In sommige OT-omgevingen houdt de klant de controle over ingrepen, terwijl het SOC bewaakt en adviseert. Maandelijkse evaluaties moeten veranderingen in systemen, processen en dreigingen zichtbaar maken. De klant blijft eindverantwoordelijk voor de beveiliging; monitoring uitbesteden verandert daar niets aan.

Organisaties kiezen daarbij steeds vaker voor een combinatie van zelf doen, samenwerken en uitbesteden. Zo kan een klant het SIEM beheren en de continue bewaking aan KPN overlaten, of juist ondersteuning inkopen voor compliance en incidentrespons. Duidelijke afspraken over detectieregels, onderzoek en toestemming zijn noodzakelijk om te voorkomen dat integraties nieuwe overdrachtsproblemen veroorzaken. De Nederlandse SOC- en DFIR-teams en datacenters bieden klanten bovendien de mogelijkheid om tijdens een escalatie in het Nederlands samen te werken met medewerkers die hun omgeving en procedures kennen.