Een cyberaanval lijkt van buitenaf vaak op een plotselinge inbraak, maar in werkelijkheid is het een zorgvuldig georkestreerd proces. Aanvallers werken stap voor stap, bouwen een aanvalspad op en benutten elke zwakke schakel die ze tegenkomen. Dat aanvalspad, ook wel een attack path of aanvalspad genoemd, is de route die een cybercrimineel aflegt van het eerste contactpunt tot het uiteindelijke doel.
Door te begrijpen hoe zo’n aanvalspad ontstaat, kun je als organisatie veel gerichter nadenken over je verdediging. In dit artikel doorloop je stap voor stap de fases die een aanvaller doorloopt, zodat je precies weet waar de risico’s zitten en waar je als eerste moet ingrijpen.
Hoe aanvallers een doelwit verkennen en in kaart brengen
Verkenning is de eerste en vaak langste fase van een cyberaanval. Voordat een aanvaller ook maar één exploit afvuurt, verzamelt hij informatie. Deze fase heet ook wel reconnaissance en vindt grotendeels passief plaats, zonder dat het doelwit er iets van merkt.
Identificeer wat een aanvaller over jouw organisatie kan vinden via openbare bronnen. Denk aan:
- Vacatures die technologiekeuzes verraden (welke software, cloudomgeving of frameworks jullie gebruiken)
- LinkedIn-profielen van medewerkers die rollen en verantwoordelijkheden blootleggen
- Domeinnamen, subdomeinen en IP-adressen via DNS-lookups
- Certificaten en SSL-informatie die infrastructuur zichtbaar maken
- Gegevens van leveranciers en MSP’s die toegang hebben tot jullie systemen
Na deze stap heeft een aanvaller een gedetailleerd beeld van hoe jouw organisatie is ingericht, welke leveranciers er toegang hebben en waar mogelijk gaten zitten tussen beveiligingsmaatregelen. Controleer periodiek wat er over jouw organisatie vindbaar is via openbare kanalen. Wat jij kunt vinden, kan een aanvaller ook vinden.
Kwetsbaarheden identificeren en rangschikken als aanvaller
Met de verkenningsinformatie op zak gaat een aanvaller op zoek naar concrete kwetsbaarheden. Belangrijk om te begrijpen: een ervaren aanvaller denkt niet in losse kwetsbaarheden, maar in combinaties. Eén misconfiguratie is misschien niet gevaarlijk, maar in combinatie met een zwak wachtwoordbeleid en te ruime cloudpermissies wordt het een werkbaar aanvalspad.
Rangschik kwetsbaarheden daarom niet alleen op ernst (CVSS-score), maar ook op bereikbaarheid en combinatiepotentieel. Een aanvaller kijkt specifiek naar:
- Technische kwetsbaarheden zoals verouderde software of bekende CVE’s
- Misconfiguraties in cloudomgevingen, zoals te open opslagbuckets of onjuiste netwerksegmentatie
- Identiteiten en accounts met meer rechten dan nodig (privilege creep)
- Zwakke punten in de supply chain, zoals leveranciers met directe toegang tot systemen
- Menselijke factoren, zoals medewerkers die vatbaar zijn voor phishing
Verifieer na deze analyse of er combinaties van kwetsbaarheden bestaan die samen een realistisch aanvalspad vormen. Een schoon lijstje met opgeloste CVE’s betekent niet automatisch dat het gevaarlijkste aanvalspad is verdwenen. Zie ook onze uitleg over wat een pentest werkelijk test voor meer context over dit onderscheid.
Initial access verkrijgen via het zwakste punt
Zodra een aanvaller weet waar de zwakste schakels zitten, probeert hij toegang te krijgen. Dit heet initial access en is het moment waarop de aanvaller voor het eerst voet aan de grond krijgt binnen de organisatie. Vaak is dit niet via de meest voor de hand liggende route.
Begrijp welke ingangspunten het meest kwetsbaar zijn. Veelgebruikte methoden voor initial access zijn:
- Phishing-e-mails gericht op specifieke medewerkers (spear phishing)
- Misbruik van publiek toegankelijke applicaties met bekende kwetsbaarheden
- Gestolen of zwakke inloggegevens via credential stuffing
- Compromittering van een leverancier of MSP met toegang tot jouw netwerk
- Misbruik van VPN- of remoteaccessoplossingen zonder meervoudige authenticatie
Controleer of jullie meest kritieke ingangspunten zijn beveiligd met meervoudige authenticatie en actuele patchniveaus. Een aanvaller kiest altijd het pad van de minste weerstand. Als één leverancier toegang heeft tot jouw netwerk zonder strikte toegangscontrole, is dat pad vaak aantrekkelijker dan een directe aanval op de organisatie zelf. Meer over hoe aanvallers via supply chains opereren lees je op onze pagina over red teaming.
Laterale beweging en privilege escalation door het netwerk
Na de initiële toegang stopt een aanvaller zelden. De volgende fase is laterale beweging: het verplaatsen door het netwerk om toegang te krijgen tot meer systemen, data en rechten. Tegelijkertijd probeert de aanvaller zijn privileges te verhogen via privilege escalation, zodat hij steeds meer kan doen.
Breng in kaart hoe accounts en systemen binnen jullie netwerk met elkaar verbonden zijn. Aanvallers maken in deze fase gebruik van:
- Gestolen sessietokens of hashes van het eerste gecompromitteerde account
- Misconfiguraties in Active Directory of cloudidentiteiten om hogere rechten te verkrijgen
- Interne tools en legitieme software (ook wel living off the land genoemd) om detectie te vermijden
- Zwak gesegmenteerde netwerken waarbij systemen onbeperkt met elkaar kunnen communiceren
Verifieer of jullie netwerk voldoende gesegmenteerd is en of het principe van least privilege consequent wordt toegepast. Een aanvaller die eenmaal binnen is en onbeperkt lateraal kan bewegen, heeft feitelijk toegang tot alles. Detectie in deze fase is moeilijk omdat de aanvaller legitieme tools gebruikt en zich gedraagt als een normale gebruiker.
Het einddoel bereiken: data-exfiltratie of sabotage
Na succesvolle laterale beweging en privilege escalation bereikt de aanvaller zijn einddoel. Afhankelijk van de motivatie kan dit data-exfiltratie zijn, waarbij gevoelige informatie wordt gestolen, of sabotage, waarbij systemen worden verstoord of versleuteld met ransomware.
Identificeer welke data en systemen het meest aantrekkelijk zijn als einddoel voor een aanvaller. Typische einddoelen zijn:
- Klantgegevens, financiële informatie of intellectueel eigendom
- Toegang tot back-upsystemen om herstel te bemoeilijken
- Kritieke bedrijfsprocessen die bij uitval directe schade veroorzaken
- Inloggegevens van andere organisaties (bij aanvallen via MSP’s)
Controleer of jullie meest kritieke data extra beveiligd is en of er detectiemechanismen zijn die ongebruikelijke datatoegang of -overdracht signaleren. Het is in deze fase dat de schade zichtbaar wordt, maar het aanvalspad begon al veel eerder. Wie alleen op dit eindpunt focust, mist de echte oorzaak.
Attack paths doorbreken met continue testing
Nu je begrijpt hoe een aanvalspad ontstaat, is de logische vraag: hoe doorbreek je het? Het antwoord ligt niet in het oplossen van een lijst met losse kwetsbaarheden, maar in het continu testen of er werkbare aanvalspaden bestaan binnen jouw omgeving. Want jouw omgeving verandert elke dag: nieuwe accounts worden aangemaakt, applicaties worden aangepast, cloudresources komen en gaan.
Een jaarlijkse pentest is in dat opzicht een momentopname. Op de testdag weet je wat er kwetsbaar is, maar de 364 dagen daarna verandert de omgeving verder terwijl de testresultaten verouderen. Aanvallers ontwikkelen ondertussen nieuwe technieken en zoeken actief naar nieuwe ingangspunten.
Neem de volgende stappen om aanvalspaden structureel te doorbreken:
- Voer eerst een grondige pentest uit als baseline om bestaande aanvalspaden in kaart te brengen
- Los niet alleen losse kwetsbaarheden op, maar analyseer welke combinaties een werkbaar aanvalspad vormen
- Implementeer netwerksegmentatie en least-privilegebeleid om laterale beweging te beperken
- Zorg voor continue monitoring van identiteiten, permissies en cloudconfiguraties
- Test regelmatig opnieuw, zodat wijzigingen in de omgeving niet ongemerkt nieuwe aanvalspaden openen
Verifieer na elke significante wijziging in jullie IT-omgeving of er nieuwe aanvalspaden zijn ontstaan. Nieuwe cloudresources, gewijzigde permissies of een nieuwe leverancier kunnen een bestaand aanvalspad opnieuw openen. Meer over hoe continue testing werkt lees je op onze pagina over Continuous-Q.
Hoe Q-Cyber helpt bij het blootleggen van aanvalspaden
Bij Q-Cyber helpen we organisaties om hun aanvalspaden te identificeren voordat een echte aanvaller dat doet. We denken daarbij niet in losse kwetsbaarheden, maar in de combinaties van zwaktes die samen een werkbaar aanvalspad vormen, precies zoals een echte aanvaller dat zou doen.
Wat we daarvoor bieden:
- Handmatige pentesten waarbij onze ethical hackers denken als aanvallers en zoeken naar realistische aanvalspaden, niet alleen bekende CVE’s
- Red teaming waarbij een gesimuleerde aanvaller jouw volledige verdediging test, inclusief detectie en respons
- Continuous-Q, ons programma voor continue testing waarbij experts jouw omgeving blijven volgen na de initiële pentest, zodat nieuwe aanvalspaden direct worden gesignaleerd
- Onafhankelijk advies zonder afhankelijkheid van softwarepartijen, zodat onze aanbevelingen altijd in jouw belang zijn
Wil je weten welke aanvalspaden er op dit moment in jouw organisatie bestaan? Neem contact met ons op en we bespreken hoe we jouw beveiliging kunnen testen en versterken.
Gerelateerde artikelen
- BYOD-beleid opstellen: waar let je op?
- Wat is endpoint security?
- Wat is NIS2 en wat betekent het voor jouw bedrijf?
- Sterk wachtwoordbeleid: wat moet erin staan?
- Phishing herkennen: 7 tips voor medewerkers
- Is pentesten verplicht in Nederland?
- Hoe automatiseer je pentesten?
- Wat is black box pentesten?
- Wat zijn de juridische aspecten van pentesten?