Aanvallers kiezen hun doelwit niet willekeurig. Voordat een hacker ook maar één exploit afvuurt, heeft hij al een duidelijk beeld van hoe jouw organisatie in elkaar zit, waar de zwakke plekken zitten en welk pad hem het snelst naar zijn doel brengt. Dat proces is methodisch, geduldig en veel strategischer dan veel mensen denken.
In dit artikel lees je hoe een aanvaller een aanvalspad opbouwt, van de eerste verkenning tot het moment waarop hij toegang heeft. Door te begrijpen hoe een hacker denkt, kun je gerichte maatregelen nemen die er werkelijk toe doen, in plaats van alleen oppervlakkige kwetsbaarheden te dichten.
Zo bepaalt een hacker waar hij begint
De eerste fase van elke cyberaanval is verkenning. Een aanvaller begint niet met aanvallen, maar met observeren. Hij probeert te begrijpen hoe jouw organisatie is ingericht: welke systemen publiek bereikbaar zijn, welke leveranciers toegang hebben, welke medewerkers welke rechten bezitten en waar de grenzen van je beveiliging liggen.
Daarvoor gebruikt een hacker vaak openbare bronnen die je zelf ook kunt raadplegen. Denk aan LinkedIn-profielen om te achterhalen welke functies en rollen mensen hebben, vacatureteksten die hints geven over gebruikte technologie, publiek toegankelijke cloudomgevingen en domeininformatie via DNS-records. Dit heet ook wel OSINT, oftewel Open Source Intelligence. Het verrassende is dat een aanvaller soms al een goed beeld heeft van waar de organisatie kwetsbaar is, nog voordat hij ook maar één technisch hulpmiddel heeft ingezet.
Wat je hieruit kunt leren: beperk de hoeveelheid informatie die je onbedoeld publiek maakt. Controleer wat er via zoekmachines vindbaar is over jouw infrastructuur, en wees bewust van wat medewerkers delen op sociale media over interne systemen en processen.
Kwetsbaarheden rangschikken op aanvalspotentieel
Nadat een aanvaller een eerste beeld heeft, gaat hij systematisch kwetsbaarheden in kaart brengen. Hierbij is het belangrijk te begrijpen dat niet elke kwetsbaarheid even interessant is voor een hacker. Een aanvaller kijkt niet naar de ernst van een bevinding op zichzelf, maar naar het aanvalspotentieel: wat kan ik hiermee bereiken?
Er zijn globaal drie niveaus waarop een aanvaller kwetsbaarheden beoordeelt:
- Bekende kwetsbaarheden (CVE’s): Dit zijn gepubliceerde beveiligingslekken in software waarvoor vaak al exploits beschikbaar zijn. Een aanvaller controleert als eerste of patches goed zijn doorgevoerd en of bekende exploits nog werken.
- Configuratiefouten en identity weaknesses: Denk aan verkeerde Azure-instellingen, te ruime permissies op accounts, onveilige applicatie-instellingen of identities met meer rechten dan nodig. Deze zijn moeilijker automatisch te detecteren, maar bieden een aanvaller vaak meer speelruimte.
- Gecombineerde aanvalspaden: Dit is waar het echt gevaarlijk wordt. Een aanvaller bekijkt hoe meerdere kleine zwaktes samen een werkend aanvalspad vormen. Een bevinding die op zichzelf weinig lijkt, kan in combinatie met een andere zwakte leiden tot volledige toegang tot kritieke systemen.
Een concreet voorbeeld: een SSRF-kwetsbaarheid (Server-Side Request Forgery) lijkt misschien beperkt in impact. Maar als die kwetsbaarheid toegang geeft tot een managed identity, die vervolgens Azure RBAC-rechten heeft, en daarmee toegang tot een Key Vault, dan kan een aanvaller uitgroeien tot subscription owner. Geen enkele afzonderlijke bevinding was kritiek, maar samen vormen ze een volledig aanvalspad. Dit is precies waarom het aantal gevonden kwetsbaarheden weinig zegt over hoe veilig je werkelijk bent. Meer over hoe dit soort aanvalspaden in kaart worden gebracht lees je op de pentestpagina.
Het aanvalspad samenstellen stap voor stap
Met de verzamelde informatie begint een aanvaller het eigenlijke aanvalspad te bouwen. Hij zoekt de route van de minste weerstand: de combinatie van kwetsbaarheden, misconfiguraties en rechten die hem het snelst naar zijn doel brengt, met het minste risico op detectie.
Zo bouwt een aanvaller een aanvalspad op:
- Identificeer het einddoel: Wat wil de aanvaller bereiken? Toegang tot klantdata, financiële systemen, intellectueel eigendom of beheerdersrechten over de hele omgeving? Het einddoel bepaalt welke paden interessant zijn.
- Breng de route in kaart: Welke systemen, accounts en rechten liggen tussen de buitenkant en het doel? Een aanvaller tekent mentaal een kaart van de organisatie en markeert waar overstapmomenten mogelijk zijn.
- Zoek de zwakste schakel: Dat is niet altijd een technisch lek. Het kan een medewerker zijn met te veel rechten, een externe leverancier met directe netwerktoegang, of een cloudresource met een verkeerde instelling.
- Test de route stap voor stap: Een goede aanvaller werkt methodisch en langzaam, om detectie te vermijden. Hij test elke stap in het aanvalspad voordat hij verdergaat.
- Pas het pad aan als een stap mislukt: Als één route geblokkeerd is, zoekt hij een alternatief. Een aanvaller geeft niet op bij de eerste hindernis, maar verkent zijpaden.
Dit is ook waarom een traditionele vulnerability scan tekortschiet: die vindt losse bevindingen, maar ziet de verbindingen daartussen niet. Een echte aanvaller denkt in paden, niet in lijsten.
Herken de signalen van een verkenningsaanval
Verkenning laat sporen achter, als je weet waar je moet kijken. Veel organisaties missen deze vroege signalen omdat ze pas alarmeren bij daadwerkelijke inbraakpogingen. Maar juist in de verkenningsfase heb je de meeste kans om een aanvaller te stoppen.
Let op de volgende signalen die kunnen wijzen op actieve verkenning:
- Ongebruikelijk veel mislukte inlogpogingen op accounts, vooral buiten kantooruren
- Scans op poorten of services die normaal geen verkeer ontvangen
- Onbekende IP-adressen die DNS-informatie opvragen over jouw domein
- Medewerkers die phishingmails ontvangen die specifieke interne informatie bevatten
- Onverwachte API-aanroepen naar cloudresources vanuit onbekende locaties
- Accounts die rechten of configuraties opvragen die buiten hun normale gebruik vallen
Stel je logging en monitoring zo in dat deze activiteiten zichtbaar worden. Zonder zichtbaarheid op je eigen omgeving kun je een aanvaller niet herkennen voordat hij zijn aanvalspad heeft voltooid. Een redteamoefening kan helpen om te testen of jouw detectiemechanismen daadwerkelijk werken onder realistische aanvalsomstandigheden.
Sluit de makkelijkste aanvalspaden structureel af
Nu je begrijpt hoe een aanvaller denkt en handelt, kun je gericht de makkelijkste aanvalspaden afsluiten. Het gaat er niet om alles tegelijk op te lossen, maar om de routes die een aanvaller het minste moeite kosten zo snel mogelijk te blokkeren.
Werk de volgende stappen af in volgorde van prioriteit:
- Patch bekende kwetsbaarheden consequent: Zorg dat patches snel en volledig worden doorgevoerd. Controleer of updates ook daadwerkelijk zijn toegepast en niet alleen zijn ingepland.
- Beperk permissies op basis van het principe van minimale rechten: Geef accounts alleen toegang tot wat ze echt nodig hebben. Controleer regelmatig of rechten nog kloppen, zeker na functiewijzigingen of vertrek van medewerkers.
- Controleer cloudconfiguraties actief: Veel aanvalspaden lopen via verkeerd geconfigureerde cloudresources. Voer periodiek een configuratiereview uit op Azure, AWS of andere cloudplatformen die je gebruikt.
- Beveilig externe toegangspunten: Leveranciers, MSP’s en andere partijen met toegang tot jouw omgeving zijn een favoriet aanvalspad. Controleer welke toegang zij hebben en of die toegang nog noodzakelijk en veilig is.
- Test combinaties, niet alleen losse bevindingen: Laat periodiek testen of kwetsbaarheden samen een aanvalspad vormen, ook als ze afzonderlijk laag scoren op ernst.
Controleer na elke maatregel of het aanvalspad daadwerkelijk is afgesloten, niet alleen of de maatregel technisch is doorgevoerd. Een bevinding oplossen betekent niet automatisch dat het aanvalspad verdwenen is. Soms bestaat er nog een alternatieve route die je over het hoofd ziet.
Hoe Q-Cyber helpt bij het blootleggen van aanvalspaden
Bij Q-Cyber denken we precies zoals een aanvaller dat doet: niet in losse kwetsbaarheden, maar in aanvalspaden. We helpen organisaties inzicht te krijgen in hoe een echte hacker hun omgeving zou benaderen en welke combinatie van zwaktes het grootste risico vormt.
Wat we concreet voor je doen:
- We voeren handmatige pentests uit waarbij onze ethical hackers actief zoeken naar gecombineerde aanvalspaden, niet alleen naar bekende CVE’s
- We analyseren identities, permissies, cloudconfiguraties en externe toegangspunten als onderdeel van een volledige aanvalsketen
- We leveren een helder rapport met concrete prioriteiten, zodat je weet welke aanvalspaden het meest urgent zijn om af te sluiten
- Via Continuous-Q® blijven we je omgeving continu monitoren, zodat nieuwe aanvalspaden snel worden gesignaleerd
- We adviseren onafhankelijk, zonder afhankelijkheid van softwarepartijen of andere toeleveranciers
Wil je weten welke aanvalspaden er nu in jouw organisatie openstaan? Neem contact met ons op en we kijken samen hoe we jouw beveiliging structureel kunnen versterken.
Gerelateerde artikelen
- Hoe start je met cybersecurity als klein bedrijf?
- Wat is digitale weerbaarheid?
- Wat zijn de cyberbeveiligingseisen van NIS2 in de praktijk?
- Hoeveel bedrijven hebben te maken met cybercriminaliteit?
- Hoe weet ik of onze IT-beveiliging goed genoeg is?
- Welke bedrijven hebben pentesten nodig?
- Hoeveel kost een pentest gemiddeld?
- Wat is re-testing na een pentest?