Wat is dreigingsinformatie en waarom is het belangrijk?

Informatie over dreigingen is belangrijk omdat ondernemingen niet altijd genoeg tijd, budget of personeel hebben om elke waarschuwing, kwetsbaarheid of verdachte gebeurtenis als even belangrijk te behandelen. Beveiligingsteams moeten weten welke dreigingen relevant zijn voor hun sector, regio, technologiestack en blootstellingsprofiel.

Dit is vooral belangrijk omdat de activiteit van dreigingen beter gecoördineerd wordt en moeilijker te scheiden is van geopolitieke, criminele en supply chain-risico's. In het Threat Landscape van ENISA voor 2025 wordt opgemerkt dat dreigingsgroepen tools en technieken hergebruiken, nieuwe aanvalsmodellen introduceren, kwetsbaarheden uitbuiten en samenwerken om de veerkracht van de digitale infrastructuur van de EU aan te pakken.

Voor leiders op het gebied van beveiliging van ondernemingen is de waarde van informatie over dreigingen praktisch. Het helpt bij het beantwoorden van vragen als: Wie zal ons waarschijnlijk targeten? Welke technieken gebruiken ze? Van welke kwetsbaarheden wordt misbruik gemaakt? Welke indicatoren moeten we monitoren? Voor welke incidenten is escalatie vereist? En welke controles moeten we als eerste verbeteren?

Wat is dreigingsinformatie?

Bedreigingsinformatie is geanalyseerde informatie over bestaande of potentiële cyberdreigingen die een organisatie helpt aanvallen te begrijpen, te detecteren, te voorkomen of erop te reageren.

Informatie over dreigingen is meer dan ruwe gegevens over dreigingen. Indicatoren zoals IP-adressen, domeinen, hashes en CVE's worden informatie wanneer ze worden gevalideerd, verrijkt, geprioriteerd en gekoppeld aan beveiligingsbeslissingen.

Een onbewerkte indicator kan bijvoorbeeld aangeven dat een domein is gekoppeld aan phishing-activiteiten. Bedreigingsinformatie legt uit of dat domein deel uitmaakt van een huidige campagne, welke sectoren het doelwit zijn, om welke malware of methoden voor de diefstal van inloggegevens het gaat, of de infrastructuur nog actief is en hoe de activiteit zich kan ontwikkelen, welke systemen of controles mogelijk worden beïnvloed, en waar verdedigers zich mogelijk moeten concentreren op detectie, monitoring of mitigatie.

Goede informatie over dreigingen is relevant, tijdig, nauwkeurig en uitvoerbaar. Het moet beveiligingsteams helpen bij het nemen van beslissingen of het nemen van actie, en niet alleen om meer informatie toe te voegen aan een toch al rumoerige omgeving.

Waarom is informatie over dreigingen belangrijk voor ondernemingen?

Informatie over dreigingen is belangrijk omdat beveiligingsteams van ondernemingen context nodig hebben. Zonder deze informatie kunnen hun teams activiteit detecteren zonder het belang ervan te begrijpen, kwetsbaarheden patchen zonder te weten welke het meest waarschijnlijk zullen worden misbruikt, of waarschuwingen onderzoeken zonder te weten of ze overeenkomen met een bekende campagne.

Moderne ondernemingen werken via cloudservices, identiteitsplatforms, eindpunten, e-mail, operationele technologie, externe providers en gedistribueerde netwerken. Deze diversiteit creëert een breed aanvalsoppervlak en informatie over dreigingen helpt beveiligingsteams te begrijpen welke delen van dat aanvalsoppervlak het aantrekkelijkst zijn voor aanvallers en welke dreigingen nu het meest relevant zijn.

Threat Intelligence ondersteunt ook de planning van governance en veerkracht door leiders in beveiliging te voorzien van bewijs dat ze kunnen gebruiken bij risicodiscussies, de voorbereiding van incidenten en beslissingen over investeringen in beveiliging. Voor organisaties die actief zijn in meerdere regio's, sectoren of leveranciersecosystemen, helpt deze context beveiligingsteams te begrijpen hoe externe dreigingsactiviteit de operationele prioriteiten kan beïnvloeden.

Welk probleem lost dreigingsinformatie op?

Informatie over dreigingen helpt organisaties bij het effectiever prioriteren van beperkte beveiligingsbronnen.

Zonder informatie kunnen beveiligingsteams alleen prioriteiten stellen op basis van de ernstscores, het waarschuwingsvolume of de druk op de naleving. Dit kan ertoe leiden dat er moeite wordt besteed aan problemen die er ernstig uitzien maar waarschijnlijk niet zullen worden uitgebuit, terwijl relevantere risico's over het hoofd worden gezien of onvoldoende worden aangepakt.

Informatie over dreigingen voegt context voor aanvallers toe en helpt teams te begrijpen welke activa, kwetsbaarheden en technieken het meest relevant zijn voor aanvallen in de echte wereld.

Waarom is dit belangrijk? Omdat de technische ernst niet hetzelfde is als het echte risico. Een kritieke kwetsbaarheid op een geïsoleerd intern systeem is mogelijk minder urgent dan een kwetsbaarheid met een lagere score in een op het internet gericht activum dat actief wordt uitgebuit door ransomwaregroepen.

Bedreigingsinformatie maakt activabeheer, het scannen op kwetsbaarheden, detectie-engineering of respons op incidenten niet overbodig. Het maakt die functies gerichter.

Wat zijn de belangrijkste soorten informatie over dreigingen?

De belangrijkste soorten informatie over dreigingen zijn strategische, operationele, tactische en technische informatie. Deze categorieën zijn belangrijk omdat verschillende teams verschillende niveaus van technische en operationele details vereisen. Deze categorieën overlappen elkaar echter vaak. Een strategisch rapport kan technische indicatoren, YARA-regels, Sigma-regels of andere detectie-inhoud bevatten, terwijl technische informatie waardevoller wordt wanneer deze wordt verbonden met een strategische, operationele of tactische context.

Een volwassen programma voor dreigingsinformatie heeft doorgaans alle vier de typen nodig, maar niet elk team heeft ze in hetzelfde formaat nodig.

Wat is strategische dreigingsinformatie?

Strategische informatie over dreigingen verklaart cyberrisico's op hoog niveau in termen van het bedrijfsleven, de sector, de regio of geopolitiek. Het helpt leiders te begrijpen waarom bepaalde dreigingen ertoe doen en geeft CISO's en risicoteams de context die ze nodig hebben om mogelijke effecten op de activiteiten, de veerkracht, de veiligheid, de investeringsprioriteiten en de reputatie te beoordelen.

Strategische informatie kan bijvoorbeeld verklaren hoe ransomwaregroepen zich richten op gezondheidszorgsystemen, hoe geopolitieke spanningen kritieke infrastructuur beïnvloeden of hoe cybercriminele diensten de drempel voor minder bekwame aanvallers verlagen.

Dit soort informatie is nuttig voor CISO's, raden van bestuur, risicocomités, juridische teams en leidinggevenden die investerings- en bestuursbeslissingen moeten nemen. Het kan ondersteuning bieden voor beveiligingsstrategie, budgetplanning, crisisvoorbereiding, discussies over cyberverzekeringen of rapportage over de regelgeving.

Strategische intelligentie moet technische overbelasting voorkomen. Het is niet de taak om elke indicator of malwarevariant op te sommen, maar om uit te leggen wat er verandert, waarom het belangrijk is en wat de organisatie zou moeten doen.

In wezen is de zakelijke waarde van dreigingsinformatie dat het technische dreigingsactiviteit koppelt aan bedrijfsrisico's.

Wat is informatie over operationele dreigingen?

Operationele dreigingsinformatie geeft uitleg over specifieke campagnes, doelen van aanvallers en aanvalspatronen. Het bevindt zich tussen strategische rapportage op hoog niveau en praktische technische indicatoren.

Operationele informatie kan bijvoorbeeld een ransomware-campagne beschrijven die is gericht op fabrikanten in Europa, de initiële toegangsmethoden die worden gebruikt, de betrokken malware, de getroffen sectoren, de waarschijnlijke motivatie van de aanvallers en de aanbevolen verdedigingsacties.

Dit type informatie is nuttig voor SOC -leiders, teams voor incidentrespons, dreigingsjagers en beveiligingsarchitecten. Het helpt hen zich voor te bereiden op de dreigingen die hun omgeving het meest zullen aantasten.

Operationele intelligentie kan teams ook helpen beslissen of een incident een geïsoleerd incident is of deel uitmaakt van een bredere campagne. Als een verdacht domein, malwaremonster of phishing-lokmiddel overeenkomt met de infrastructuur van een bekende actor, kan het onderzoek sneller en in een betere context worden uitgevoerd.

Operationele intelligentie is het meest waardevol als het actueel is. Verouderde campagne-informatie kan nog steeds nuttig zijn voor historische analyse, maar verdedigers moeten weten of de infrastructuur, tools en technieken nu nog actief zijn.

Wat is tactische informatie over dreigingen?

Tactische informatie over dreigingen legt uit hoe aanvallers zich gedragen. Het richt zich op tactieken, technieken en procedures (vaak afgekort tot TTP's). Een tactiek is het doel van de aanvaller, zoals de eerste toegang, escalatie van bevoegdheden of zijwaartse beweging. Een techniek is de methode die wordt gebruikt om dat doel te bereiken. Een procedure is de specifieke manier waarop een bepaalde actor of campagne de techniek gebruikt.

MITRE ATT&CK wordt hier veel gebruikt omdat het een wereldwijd toegankelijke kennisbank biedt met tactieken en technieken van tegenstanders die zijn gebaseerd op waarnemingen uit de echte wereld. MITRE beschrijft ATT&CK als een basis voor dreigingsmodellen en methoden die worden gebruikt in de particuliere sector, de overheid en de gemeenschap van cyberbeveiligingsproducten.

Met tactische intelligentie kunnen verdedigers betere detecties maken. In plaats van alleen bekende indicatoren te blokkeren, kunnen teams zoeken naar gedrag van aanvallers dat mogelijk aanhoudt, zelfs wanneer de infrastructuur verandert.

Een phishing-domein kan bijvoorbeeld snel verdwijnen, maar het gedrag van de aanvaller na de inbraak kan duurzaam zijn. Tactical intelligence helpt beveiligingsteams dit eerder te detecteren.

Wat is technische informatie over dreigingen?

Technische informatie over dreigingen bestaat uit door een computer of analisten leesbare indicatoren die helpen bij het identificeren van kwaadaardige of verdachte activiteit. Voorbeelden zijn IP-adressen, domeinen, URL's, bestandshashes, gegevens van afzenders van e-mails, malwarehandtekeningen, SSL-certificaten, registersleutels, command-and-control-infrastructuur en YARA-, Sigma- of detectieregels.

Technische intelligentie kan worden gebruikt voor SIEM, EDR, XDR, cloudbeveiliging, firewalls, e-mailbeveiligingscontroles, sandboxsystemen en platforms voor informatie over dreigingen. TIP's worden vaak gebruikt om informatie te verzamelen, te verrijken, te beheren en te distribueren naar de tools en teams die deze nodig hebben.

Technische intelligentie kent echter grenzen. Indicatoren verouderen in verschillende snelheden en verouderde indicatoren kunnen valse positieven veroorzaken, operationele ruis veroorzaken of zelfs de toegang tot infrastructuur blokkeren die niet langer kwaadaardig is. IP-adressen verlopen vaak het snelst omdat ze vaak veranderen, URL's kunnen langer nuttig blijven, maar kwaadaardige inhoud kan snel worden verplaatst, en bestandshashes kunnen voor onbepaalde tijd geassocieerd blijven met kwaadaardige bestanden, maar hun operationele relevantie neemt af zodra aanvallers stoppen met het gebruik van die bestanden

Wat is kwetsbaarheid intelligentie?

Kwetsbaarheidsinformatie helpt organisaties te begrijpen welke softwarefouten het meest relevant zijn voor hun omgeving en welke het meest waarschijnlijk zullen worden misbruikt.

Traditioneel kwetsbaarheidsbeheer begint vaak met het scoren van de ernst. Het CVSS – Common Vulnerability Scoring System – dat wordt onderhouden door FIRST, biedt een manier om de kenmerken van een kwetsbaarheid vast te leggen en een numerieke score te produceren die organisaties kan helpen bij het beoordelen en prioriteren van herstel.

De ernst is nuttig, maar toont niet altijd de kans op misbruik. Dit is waar exploit intelligence en systemen zoals EPSS (Exploit Prediction Scoring System) kunnen helpen. EPSS is een gegevensgestuurd machine learning-model dat de kans schat dat een gepubliceerde CVE – een ID van Common Vulnerabilities Exposure – in de komende 30 dagen in het wild zal worden misbruikt.

Voor enterprise-teams combineert kwetsbaarheidsinformatie de ernst, de exploiteerbaarheid, de blootstelling van activa, de bedrijfskritiek en de actieve dreigingsactiviteit. Dit helpt teams bij het patchen van wat het belangrijkst is.

De praktische vraag is niet alleen: "Is deze kwetsbaarheid kritiek?" maar "Is deze kwetsbaarheid misbruikbaar, blootgesteld, relevant voor onze omgeving en momenteel aantrekkelijk voor aanvallers?"

Wat is branchespecifieke informatie over dreigingen?

Branchespecifieke informatie over dreigingen is gericht op de dreigingen die het meest relevant zijn voor een bepaalde sector, zoals financiën, gezondheidszorg, energie, productie, overheid, telecom en detailhandel.

Aanvallers zijn vaak gespecialiseerd. Een groep ransomware kan zich richten op zorgverleners omdat de downtime voor druk zorgt, een door de staat gesteunde actor kan zich richten op energie, telecommunicatie of het openbaar bestuur voor strategische toegang, terwijl een fraudegroep zich kan richten op banken, betalingsverwerkers of detailhandelaren omdat het pad voor het genereren van inkomsten duidelijker is.

Branchespecifieke informatie helpt teams de mogelijke aanvalsroutes en doelen van aanvallers te begrijpen, en kan ook de samenwerking op sectorniveau, het delen van informatie en de voorbereiding van regelgeving ondersteunen.

Generieke informatie heeft nog steeds waarde, maar de context van de sector maakt het aanzienlijk bruikbaarder.

Wie kan profiteren van informatie over dreigingen?

Threat Intelligence is nuttig voor veel teams in de onderneming, niet alleen voor het SOC

Informatie over dreigingen wordt nog waardevoller wanneer deze wordt gedeeld door deze functies in plaats van binnen één tool of team te worden bewaard.

Hoe helpt dreigingsinformatie CISO's en leiders op het gebied van beveiliging?

Voor CISO's helpt dreigingsinformatie om technische dreigingsactiviteit om te zetten in bedrijfsrisico's. Het ondersteunt duidelijkere beslissingen over budget, risicobereidheid, veerkracht en beveiligingsprioriteiten.

Een CISO heeft niet elke indicatie van een compromis nodig uit elke campagne. Ze moeten weten welke dreigingen het meest relevant zijn voor de organisatie, welke businessunits of regio's worden blootgesteld, welke controles zwak zijn en welke impact een geslaagde aanval kan hebben.

Strategische intelligentie helpt leiders ook om raden van bestuur en leidinggevenden op een verdedigbare manier te informeren. In plaats van te zeggen dat het dreigingslandschap aan het veranderen is, kan een CISO uitleggen welke actoren, sectoren, methoden of kwetsbaarheden er nu toe doen en waarom.

Dit is belangrijk omdat de cyberbeveiliging van ondernemingen vaak wordt beoordeeld na een incident. Informatie over dreigingen laat zien dat beslissingen waren gebaseerd op bewijs en niet op giswerk.

Het kan ook helpen bij het prioriteren van veerkrachtmaatregelen. Als uit informatie blijkt dat een sector het doelwit is van identiteitsfraude, onbeschermde toegang op afstand en toegang van leveranciers, kunnen investeringen worden verlegd naar identiteitsbeveiliging, beheer van externe blootstelling en monitoring door derden.

Hoe helpt dreigingsinformatie SOC teams?

Threat Intelligence helpt SOC teams om ruis te verminderen, waarschuwingen te verrijken en relevant gedrag van aanvallers te detecteren.

Een SOC kan duizenden waarschuwingen ontvangen van eindpunten, cloudplatforms, identiteitssystemen, e-mailgateways, firewalls en SIEM regels. Niet elke waarschuwing verdient dezelfde urgentie. Informatie over dreigingen helpt analisten te begrijpen of een waarschuwing is gekoppeld aan een bekende kwaadaardige infrastructuur, actieve campagnes, misbruikte kwetsbaarheden of het gedrag van actoren.

MITRE ATT&CK helpt SOC teams ook bij het ontwikkelen van detecties rond het gedrag van de tegenstander in plaats van alleen bekende indicatoren. Het biedt analisten een gemeenschappelijke taal voor het structureren, vergelijken en analyseren van informatie over dreigingen, waardoor ze waarschuwingen op een meer herhaalbare manier kunnen koppelen aan het gedrag van aanvallers.

Informatie over dreigingen helpt ook bij het verbeteren van de detectietechniek. In plaats van alleen regels voor bekende indicatoren te schrijven, kunnen teams detecties bouwen rond gedrag zoals verdachte toegang tot inloggegevens, abnormaal PowerShell-gebruik, ongebruikelijke uitvoering van externe services of command-and-control-patronen.

Hoe helpt dreigingsinformatie bij de respons op incidenten?

Informatie over dreigingen helpt teams voor incidentrespons te begrijpen wat er is gebeurd, wat er kan gebeuren en waar ze moeten zoeken.

Tijdens een incident hebben hulpverleners snelle antwoorden nodig. Is deze malware bekend? Is de infrastructuur actief? Welke acteur of campagne is mogelijk betrokken? Op welke systemen wordt meestal het volgende gericht? Zijn er persistentiemethoden bekend? Zijn er verwante indicatoren waarnaar in de omgeving moet worden gezocht?

Informatie over dreigingen kan de scoping en inperking versnellen. Als hulpverleners de waargenomen activiteit kunnen koppelen aan een bekend draaiboek, kunnen ze zoeken naar mogelijke vervolgacties. Bijvoorbeeld het dumpen van inloggegevens, zijwaartse verplaatsing, gegevensstaging of de implementatie van ransomware.

Het ondersteunt ook verbeteringen na een incident. Na de inperking kan informatie teams helpen te identificeren welke controles zijn mislukt, welke detecties ontbraken en welke aanvalstechnieken in toekomstige oefeningen moeten worden behandeld.

De respons op incidenten is zelden alleen een technisch probleem. Juridische, communicatie-, risico- en directieteams moeten mogelijk weten of het incident deel uitmaakt van een bredere campagne of een gerichte activiteit. Informatie over dreigingen geeft die beslissingen een sterkere context.

Hoe helpt dreigingsinformatie bij het beheer van kwetsbaarheden?

Dankzij informatie over dreigingen kunnen teams voor het beheer van kwetsbaarheden prioriteit geven aan herstel op basis van de exploitactiviteit, de interesse van de aanvaller en de blootstelling aan activa.

Veel ondernemingen hebben duizenden bekende kwetsbaarheden. Het is meestal niet realistisch om ze allemaal onmiddellijk te patchen, vooral in complexe omgevingen met oudere systemen, operationele technologie, cloudworkloads en bedrijfskritieke applicaties.

Informatie over dreigingen helpt bij het scheiden van de theoretische ernst van de praktische urgentie. Een kwetsbaarheid met een hoge score voor de ernst heeft mogelijk geen topprioriteit als deze niet wordt blootgesteld, niet wordt gebruikt in actieve campagnes en niet aanwezig is op kritieke activa. Een minder ernstig probleem kan urgent zijn als het op het internet is gericht, gemakkelijk te misbruiken is en wordt gebruikt door ransomware-operators.

Dit is waar kwetsbaarheidsinformatie, exploitinformatie, activacontext en bedrijfskritiek samen moeten werken. EPSS kan helpen bij het inschatten van de kans op misbruik, terwijl CVSS de technische ernst helpt uitdrukken.

De programma's met de sterkste kwetsbaarheid vragen niet alleen "Wat is kwetsbaar?" Ze vragen: "Wat is kwetsbaar, blootgesteld, misbruikt en relevant voor het huidige gedrag van aanvallers?"

Hoe ondersteunt dreigingsinformatie risico's van derden en de toeleveringsketen?

Informatie over dreigingen helpt organisaties bij het bewaken van risico's buiten hun eigen perimeter. Dit omvat leveranciers, providers van beheerde services, cloudproviders, softwareleveranciers, aannemers, blootgestelde inloggegevens, gelekte gegevens, phishing-domeinen en kwetsbare externe infrastructuur.

Het risico van de toeleveringsketen is moeilijk omdat ondernemingen afhankelijk zijn van organisaties die ze niet volledig in de hand hebben. Een leverancier kan gevoelige gegevens bewaren, externe toegang beheren, software-updates leveren of kritieke services uitvoeren.

Informatie over dreigingen kan helpen identificeren of het domein van een leverancier wordt geïmiteerd, of inloggegevens die zijn gekoppeld aan een leverancier zijn verschenen op criminele markten, of een technologieaanbieder is getroffen door een misbruikt beveiligingslek of dat een platform van derden het doelwit is van een campagne.

Dit is geen vervanging voor risicobeheer, contracten of audits van derden. Het voegt de huidige dreigingscontext aan hen toe.

Voor ondernemingen in sectoren die onder NIS2 vallen, zijn leveranciers- en ecosysteemrisico's met name relevant omdat cyberbeveiliging steeds vaker wordt beschouwd als een sectoroverschrijdend probleem met veerkracht en niet alleen als een probleem van interne IT-controle.

Wat is de levenscyclus van informatie over dreigingen?

De levenscyclus van informatie over dreigingen is het proces dat wordt gebruikt om de behoeften van inlichtingen te definiëren, gegevens te verzamelen, te analyseren, bevindingen te verspreiden en toekomstig inlichtingenwerk te verbeteren.

Een algemene levenscyclus omvat zes fasen:

1. Richting 2. Verzameling 3. Verwerking 4. Analyse 5. Verspreiding 6. Feedback

Informatie over dreigingen moet beginnen met een specifieke operationele of zakelijke vereiste. Een leider van een SOC kan bijvoorbeeld vragen: "Welke ransomware-technieken moeten we detecteren in onze productieomgeving?" Een CISO kan vragen: "Welke geopolitieke dreigingen kunnen onze Europese operaties beïnvloeden?" Een kwetsbaarheidsbeheerder kan vragen: "Welke blootgestelde kwetsbaarheden moeten we deze week patchen?"

Elke vraag vereist verschillende bronnen, analyses en outputs. Dankzij de levenscyclus blijft de informatie gericht op beslissingen in plaats van op volume.

Wat gebeurt er tijdens de regiefase?

In een ondernemingsprogramma definieert de richtingsfase wat de organisatie moet begrijpen en hoe de informatie zal worden gebruikt. Voor beveiligingsleveranciers wordt het proces ook bepaald door de gegevens die ze kunnen verzamelen, de onderzoekscapaciteiten die ze hebben en de doelgroepen die hun inlichtingenproducten zijn ontworpen om te ondersteunen.

Dit is de belangrijkste fase omdat het bepaalt of inlichtingen nuttig zullen zijn. Een vage vereiste zoals 'stuur ons informatie over bedreigingen' veroorzaakt meestal ruis. Een duidelijke vereiste zoals "identificeer actieve ransomware-groepen die zich richten op Europese fabrikanten met behulp van blootgestelde externe toegang" zorgt voor focus.

Bij de regie moeten de teams betrokken zijn die de informatie gaan gebruiken. Een bord heeft andere informatie nodig dan een SOC analist. Een kwetsbaarheidsteam heeft andere informatie nodig dan een fraudeteam.

Aan beslissingen zijn goede informatievereisten verbonden. Ze kunnen ondersteuning bieden voor het prioriteren van patches, engineering van detectie, gereedheid voor incidenten, monitoring van leveranciers, rapportage door leidinggevenden of sectorspecifieke risicoplanning.

In deze fase kunnen teams het publiek, de beslissing, het tijdsbestek, de geografie, de sector, de technologiestack en het vereiste uitvoerformaat definiëren.

Wat gebeurt er tijdens de verzameling en verwerking?

De verzameling verzamelt relevante informatie uit interne en externe bronnen. Bij de verwerking wordt die informatie omgezet in een bruikbaar formaat.

Externe bronnen zijn onder meer informatie over commerciële dreigingen, open source-rapportage, communities voor het delen van sectoren, CERT- en CSIRT-adviezen, monitoring op het donkere web, opslagplaatsen voor malware, databases voor kwetsbaarheden, phishing-feeds en openbare frameworks.

Interne bronnen kunnen SIEM logboeken, EDR-telemetrie, firewallgebeurtenissen, e-mailbeveiligingsgegevens, incidentrapporten, kwetsbaarheidsscans, activa-inventarissen en cloudlogboeken zijn.

De verwerking kan deduplicatie, normalisatie, verrijking, vertaling, tagging, score en conversie naar standaardindelingen omvatten.

Normen zijn belangrijk omdat informatie over dreigingen vaak moet worden verplaatst tussen tools en organisaties. OASIS ontwikkelt STIX en TAXII in het kader van het Cyber Threat Intelligence Technical Committee ter ondersteuning van de gestructureerde modellering, analyse en het delen van informatie over cyberdreigingen. MISP is een ander veelgebruikt open-sourceplatform voor het verzamelen, opslaan, distribueren en delen van indicatoren voor cyberbeveiliging en informatie over dreigingen.

Zonder verwerking kan informatie versnipperd raken, worden gedupliceerd of onbruikbaar worden.

Wat gebeurt er tijdens de analyse?

Analyse zet verwerkte gegevens om in intelligentie. Hier beoordelen analisten de relevantie, betrouwbaarheid, vertrouwen, impact en aanbevolen actie.

Analyse kan vragen beantwoorden als:

• Is deze indicator nog steeds actief?
• Is deze campagne relevant voor onze sector of regio?
• Op welke actor, malwarefamilie of techniek lijkt deze activiteit?
• Welke items kunnen worden beïnvloed?
• Wat moet het SOC detecteren?
• Wat moet het team voor kwetsbaarheden als eerste patchen?
• Wat moeten leidinggevenden weten?

Een goede analyse omvat betrouwbaarheidsniveaus en niet elke conclusie is zeker. Analisten kunnen oordelen dat een campagne waarschijnlijk verband houdt met een bekende actor, dat de infrastructuur mogelijk is gekoppeld aan een malwarefamilie of dat een sector waarschijnlijk het doelwit is.

Beveiligingsbeslissingen brengen in wezen onzekerheid met zich mee en informatie over dreigingen moet de onzekerheid verminderen en niet doen alsof deze niet bestaat.

Ook bij analyse blijft menselijke expertise belangrijk. Automatisering kan gegevens op grote schaal verrijken en correleren, maar analisten bieden een oordeel, context en operationele interpretatie.

Wat gebeurt er tijdens de verspreiding en feedback?

Verspreiding levert informatie aan de juiste mensen, tools of workflows, en feedback toont aan of het nuttig was.

Uitvoerende teams, SOC analisten, kwetsbaarheidsmanagers en architecten hebben allemaal informatie nodig in verschillende formaten en in verschillende mate van detail.

Informatie over dreigingen moet worden geleverd waar het werk plaatsvindt . U kunt hierbij denken aan SIEM, XDR, EDR, SOAR, ticketingsystemen, tools voor het beheer van kwetsbaarheden, e-mailbeveiligingscontroles, dashboards, rapporten of executive briefings.

Feedback sluit de cirkel. Als analisten informatie verstrekken die te breed, te laat of te moeilijk is om te gebruiken, moet het programma worden aangepast. Als een feed valse positieven genereert, moet deze worden aangepast. Als een melding helpt bij het voorkomen of detecteren van een incident, moet die waarde worden vastgelegd.

Wat is het verschil tussen dreigingsinformatie en het jagen op dreigingen?

Informatie over dreigingen en het zoeken naar dreigingen zijn verwant, maar niet hetzelfde.

Bedreigingsinformatie legt uit wat bekend of vermoed is over dreigingen, actoren, infrastructuur, kwetsbaarheden en aanvalsgedrag. Bedreigingen zoeken is het proactief zoeken naar tekenen van een compromis of activiteit van aanvallers in een omgeving.

Informatie over dreigingen kan de jacht op dreigingen leiden. Informatie kan bijvoorbeeld aantonen dat een ransomwaregroep een specifieke initiële toegangsmethode, persistentietechniek of opdrachtregelpatroon gebruikt. Threat hunters kunnen vervolgens interne telemetrie doorzoeken op tekenen van dat gedrag.

Het jagen op dreigingen kan ook nieuwe informatie opleveren. Als jagers een voorheen onbekend patroon, een verdachte infrastructuur of het gedrag van aanvallers ontdekken, kan die bevinding worden geanalyseerd, gedocumenteerd en gedeeld met detectieteams of bredere inlichtingendiensten.

Het simpele onderscheid is dit: informatie over dreigingen helpt teams te begrijpen waarnaar ze moeten zoeken, terwijl het zoeken naar dreigingen bewijs zoekt dat het gebeurt of is gebeurd in hun omgeving.

Wat is het verschil tussen dreigingsinformatie en dreigingsgegevens?

Dreigingsgegevens zijn onbewerkte informatie, terwijl dreigingsinformatie context, analyse en besluitvormingswaarde toevoegt.

Bedreigingsgegevens kunnen IP-adressen, domeinen, bestandshashes, voorbeelden van malware, identificatiecodes van kwetsbaarheden, e-mailartefacten of logboekgebeurtenissen omvatten. Deze gegevens kunnen nuttig zijn, maar ze vertellen een team niet automatisch wat ze moeten doen.

Informatie over dreigingen voegt een operationele context toe door indicatoren te koppelen aan campagnes, actoren, sectoren, regio's, technieken en aanbevolen acties.

Dit is een belangrijk verschil omdat bedrijven kunnen verdrinken in dreigingsgegevens, en meer feeds betekenen niet altijd een betere beveiliging. In sommige gevallen veroorzaken ze meer ruis, valse positieven en een grotere werkdruk voor analisten.

Hier is een eenvoudige, praktische test: Kan de informatie een beveiligingsbeslissing of workflow verbeteren? Als het iemand niet kan helpen bij het detecteren, voorkomen, onderzoeken, prioriteren of verklaren van een dreiging, zijn het mogelijk gegevens in plaats van inlichtingen.

Wat is het verschil tussen dreigingsinformatie en OSINT?

Open source intelligence, of OSINT, is informatie die is afgeleid van openbaar beschikbare bronnen. Bedreigingsinformatie kan OSINT omvatten, maar het is breder.

OSINT-bronnen kunnen openbare rapporten, blogs, adviezen, codeopslagplaatsen, domeinrecords, malware-analyse, sociale media, forums, bekendmakingen van kwetsbaarheden en openbare datasets zijn. Deze bronnen kunnen waardevol zijn, vooral in combinatie met interne telemetrie en expertanalyse.

Informatie over dreigingen kan ook commerciële gegevens, privéonderzoek, telemetrie van malware, sensornetwerken, delen in besloten gemeenschappen, bevindingen bij incidenten, monitoring van het dark web en klantspecifieke digitale voetafdrukgegevens omvatten.

Het belangrijkste verschil is dat OSINT het brontype beschrijft, terwijl dreigingsinformatie het doel en de output beschrijft. Openbare informatie kan informatie over dreigingen worden wanneer deze wordt geanalyseerd en toegepast op een beveiligingsbeslissing.

Voor veel organisaties is de beste aanpak geen kwestie van openbaar versus privé: het gaat erom meerdere bronnen te combineren, ze te valideren en ze in de juiste workflows te gebruiken.

Wat maakt informatie over dreigingen bruikbaar?

Bedreigingsinformatie is bruikbaar wanneer het een specifieke beslissing of beveiligingsworkflow ondersteunt.

Bruikbare intelligentie heeft gewoonlijk vijf eigenschappen:

1. Relevantie: deze is van toepassing op de sector, de regio, de activa of het risicoprofiel van de organisatie
2. Tijdigheid: de informatie arriveert terwijl de actie nog nuttig is
3. Nauwkeurigheid: deze is gevalideerd en is duidelijk afkomstig
4. Context: het verklaart de betekenis, niet alleen indicatoren
5. Bruikbaarheid: het kan worden toegepast door mensen of tools.

Bijvoorbeeld, “een groep ransomware is actief” is te vaag. "Deze ransomwaregroep richt zich op Europese logistieke bedrijven via blootgestelde VPN-apparaten en er is waargenomen dat ze specifieke CVE's misbruiken" is meer actiegericht. Het vertelt teams wat ze moeten controleren, waar ze moeten zoeken en welke risico's mogelijk dringende aandacht vereisen.

De bruikbaarheid hangt ook af van het formaat. Een CISO heeft andere output nodig dan een SIEM, een SOC analist heeft voldoende context nodig om snel te onderzoeken, een firewall heeft gestructureerde indicatoren nodig en een board heeft implicaties en opties nodig.

Effectieve informatie over dreigingen wordt geoperationaliseerd in workflows en beslissingen.

Hoe moeten ondernemingen bronnen van informatie over dreigingen evalueren?

Ondernemingen moeten bronnen van informatie over dreigingen evalueren op basis van relevantie, dekking, nauwkeurigheid, versheid, transparantie, integratie en operationele geschiktheid.

Veel organisaties gebruiken informatie uit meerdere bronnen, met name voor feeds, omdat geen enkele leverancier volledige dekking heeft voor alle actoren, regio's, sectoren, malwarefamilies, kwetsbaarheden en infrastructuren. Het doel is niet om voor alles op één bron te vertrouwen, maar om bronnen te combineren op een manier die de dekking verbetert zonder analisten te overweldigen. Relevantie staat voorop. Een feed die is gericht op dreigingen die geen invloed hebben op de geografie, sector of technologiestack van de organisatie, heeft een beperkte waarde. De dekking moet de dreigingsgebieden omvatten die de organisatie belangrijk vindt, zoals APT's, ransomware, phishing, ICS, clouddreigingen, malware, kwetsbaarheden of blootstelling aan digitale voetafdrukken.

Nauwkeurigheid en versheid zijn van cruciaal belang, omdat verouderde of slecht gevalideerde indicatoren valse positieven en verspilde analistentijd kunnen opleveren. Transparante sourcing en betrouwbaarheidsniveaus helpen teams te begrijpen hoeveel gewicht ze moeten geven aan de informatie.

Integratie is ook van cruciaal belang. Informatie die niet kan worden gebruikt in SIEM, XDR-, EDR-, SOAR-, kwetsbaarheidsbeheer- of incidentresponsworkflows blijft mogelijk inactief.

Ten slotte moeten teams de menselijke expertise evalueren. Geautomatiseerde feeds zijn handig, maar complexe vragen vereisen vaak de interpretatie van analisten, met name voor gerichte aanvallen, geopolitieke risico's, industriële omgevingen en ondersteuning bij incidenten.

Welke veelvoorkomende fouten verzwakken programma's voor informatie over dreigingen?

Programma's voor informatie over dreigingen mislukken vaak wanneer ze zich richten op het volume in plaats van op beslissingen.

• De eerste fout is het toevoegen van feeds zonder de informatievereisten, validatieprocessen of operationele workflows te definiëren. Organisaties hebben mogelijk meerdere feeds nodig, maar elke bron moet een duidelijk doel, meetbare waarde en een gedefinieerde route naar detectie, onderzoek of prioritering hebben.
• De tweede fout is de behandeling van indicatoren als het hele programma . Indicatoren zijn nuttig, maar ze vormen slechts één informatielaag. Teams hebben ook campagnecontext, TTP's, informatie over kwetsbaarheden, strategische rapportage en sectorspecifiek inzicht nodig.
• De derde fout is het niet integreren van intelligentie in workflows . Een pdf-rapport kan handig zijn voor leiders, maar SOC teams hebben informatie over tools en processen nodig.
• De vierde fout is het niet meten van de waarde . Teams moeten bijhouden of intelligentie de detectie verbetert, de onderzoekstijd verkort, de prioritering van patches verbetert, de respons op incidenten ondersteunt of beslissingen van leidinggevenden ondersteunt.
• De vijfde fout is het negeren van feedback . Informatie over dreigingen moet evolueren naarmate de risico's, activa en prioriteiten van de organisatie veranderen.

Wat moet een volwassen programma voor dreigingsinformatie bevatten?

Een volwassen programma voor dreigingsinformatie moet duidelijke vereisten, betrouwbare bronnen, deskundige analyse, workflowintegratie en meetbare resultaten bevatten.

Ondernemingen moeten ten minste definiëren wie informatie over dreigingen gebruikt en met welk doel. Veelvoorkomende gebruikers zijn CISO's, SOC teams, incidentresponders, kwetsbaarheidsteams, threat hunters, beveiligingsarchitecten, fraudeteams en risicoleiders.

Volwassen programma's combineren interne telemetrie met zichtbaarheid van externe dreigingen. Interne telemetrie biedt inzicht in de omgeving, terwijl externe intelligentie de context van de aanvaller biedt. De combinatie is sterker dan beide bronnen op zich.

Volwassen programma's gebruiken waar nodig ook gestructureerde kaders en standaarden. MITRE ATT&CK kan helpen bij het organiseren van het gedrag van tegenstanders, STIX en TAXII kunnen gestructureerde uitwisseling ondersteunen en MISP kan delen en communityworkflows ondersteunen.

Het doel is niet om alles te verzamelen, maar om de juiste informatie op het juiste moment aan de juiste workflow te leveren.

Welke invloed heeft AI op informatie over dreigingen?

AI is op twee manieren van invloed op informatie over dreigingen: het helpt verdedigers meer gegevens te verwerken en het helpt aanvallers om kwaadaardige activiteit op te schalen.

• Voor verdedigers kan AI de verrijking, correlatie, samenvatting en grootschalige dreigingsanalyse versnellen. Het kan analisten helpen bij het identificeren van patronen in grote datasets die moeilijk handmatig te beoordelen zijn. AI is echter geen vervanging voor dreigingsanalisten of menselijk oordeel.

• Voor aanvallers kan AI ondersteuning bieden voor phishing, vertalingen, verkenningen, imitatie van identiteit en automatisering. Europol heeft gewaarschuwd dat AI criminele groepen kan helpen bij het creëren van meertalige berichten, realistische nabootsing van identiteit en geautomatiseerde processen die de detectie bemoeilijken.

AI neemt de noodzaak van menselijke analyse en operationele beoordeling niet weg. Informatie over dreigingen hangt nog steeds af van de evaluatie van de bron, de beoordeling van het vertrouwen, de context en het oordeel. AI kan de analyse versnellen, maar menselijke expertise blijft nodig om te beslissen wat intelligentie betekent en hoe deze moet worden gebruikt.

De praktische waarde van AI bij dreigingsinformatie is snelheid en schaal. Het risico is een te groot vertrouwen in geautomatiseerde conclusies zonder voldoende validatie.

Wat moeten bedrijven als eerste doen met informatie over dreigingen?

Ondernemingen moeten beginnen met informatievereisten, niet met tools. Een praktisch uitgangspunt is het definiëren van vijf vragen:

1. Welke dreigingsactoren of campagnes zijn relevant voor onze sector en regio?
2. Welke kwetsbaarheden in onze omgeving worden in het wild uitgebuit?
3. Welke technieken van aanvallers moet onze SOC kunnen detecteren?
4. Welke externe blootstellingen verhogen ons risico?
5. Welke dreigingstrends moeten leiders begrijpen?

Zodra deze vragen duidelijk zijn, kunnen teams de vereiste bronnen, workflows en outputs in kaart brengen. Hiermee voorkomt u dat het programma een verzameling losgekoppelde feeds en rapporten wordt.

Organisaties moeten ook aangeven waar informatie zal worden gebruikt. Bijvoorbeeld de verrijking van waarschuwingen in SIEM, detectie-engineering in XDR, prioritering van patches in kwetsbaarheidsbeheer, rapportage door leidinggevenden voor de CISO of monitoring van leveranciers voor risicoteams.

Klein beginnen is oké. Een gerichte intelligence-workflow die één beslissing verbetert, is waardevoller dan een groot programma dat niemand gebruikt.

Belangrijke informatie

Informatie over dreigingen helpt ondernemingen te begrijpen welke dreigingen ertoe doen, waarom ze ertoe doen en wat ze eraan kunnen doen. De waarde ervan ligt niet in het verzamelen van meer gegevens, maar in het omzetten van dreigingsgegevens in beslissingen.

Voor CISO's ondersteunt het op risico gebaseerde planning en communicatie met leidinggevenden. Voor SOC teams verbetert het de triage, detectie en respons van waarschuwingen. Voor kwetsbaarheidsteams helpt het bij het prioriteren van herstel. Voor hulpverleners versnelt het onderzoek en inperking. Voor risicoteams voegt het de huidige dreigingscontext toe aan de zorgen van leveranciers, sectoren en regelgevende instanties.

De meest effectieve programma's zijn gericht, actueel en geoperationaliseerd. Ze definiëren informatievereisten, combineren interne en externe bronnen, gebruiken waar nodig gestructureerde kaders en leveren informatie aan de workflows waar beslissingen worden genomen.

Bedreigingsinformatie is geen op zichzelf staand besturingselement: het is een beslissingsondersteunende mogelijkheid die andere beveiligingsfuncties nauwkeuriger maakt.

CTA Ontdek Kaspersky Threat Intelligence voor ondersteuning bij het detecteren en onderzoeken van dreigingen, het prioriteren van kwetsbaarheden en het nemen van beslissingen over bedrijfsrisico's.

Ondersteunende bronnen en meer informatie over

• ENISA Threat Landscape 2025: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
• Europese Commissie: NIS2-richtlijn: https://digital-strategy.ec.europa.eu/en/policies/ nis2-richtlijn
• MITRE ATT&CK, incl. use cases voor detectie en informatie over dreigingen: https://attack.mitre.org/
• Technische commissie van OASIS Cyber Threat Intelligence: STIX en TAXII. ( OASIS Open )
• MISP Open Source Threat Intelligence Platform: https://www.misp-project.org/
• FIRST Exploit Prediction Scoring System: https://www.first.org/epss/
• Kaspersky Threat Intelligence: kaspersky.com

Bedreigingsinformatie Veelgestelde vragen

Wat is informatie over dreigingen in eenvoudige bewoordingen?

Bedreigingsinformatie is informatie over cyberdreigingen die is geanalyseerd en nuttig is gemaakt voor beveiligingsbeslissingen. Het helpt organisaties te begrijpen wie ze mogen aanvallen, hoe aanvallen werken, welke indicatoren ze moeten monitoren en welke risico's ze moeten prioriteren.

Wat zijn de vier soorten informatie over dreigingen?

De vier hoofdtypen zijn strategische, operationele, tactische en technische informatie over dreigingen, elk ontworpen voor verschillende beveiligings- en zakelijke functies.

Is informatie over dreigingen alleen nuttig voor grote ondernemingen?

Nee. Kleinere organisaties kunnen ook gebruikmaken van informatie over dreigingen, met name via beheerde services, groepen voor het delen van informatie in de branche, beveiligingstools en vertrouwde adviezen. De sleutel is relevantie. Een kleine hoeveelheid gerichte informatie is aanzienlijk nuttiger dan een grote hoeveelheid generieke gegevens.

Is een dreigingsfeed hetzelfde als informatie over dreigingen?

Nee. Bedreigingsfeeds bieden onbewerkte indicatoren of dreigingsgegevens, terwijl dreigingsinformatie context, analyse en relevantie toevoegt.

Hoe helpt dreigingsinformatie bij de bescherming tegen ransomware?

Bedreigingsinformatie kan groepen van ransomware, methoden voor initiële toegang, misbruikte kwetsbaarheden, sectoren van het slachtoffer, malware-infrastructuur en veelvoorkomend gedrag na een compromis identificeren, waardoor teams de detectie kunnen verbeteren, prioriteit kunnen geven aan patches en acties voor reactie op incidenten kunnen voorbereiden.

Hoe helpt dreigingsinformatie bij het prioriteren van kwetsbaarheden?

Informatie over dreigingen helpt teams bij het prioriteren van kwetsbaarheden op basis van actief misbruik, blootstelling en interesse van de aanvaller, en niet alleen op basis van de ernst ervan.

Wat is MITRE ATT&CK? En wat is de relatie tussen dreigingsinformatie en MITRE ATT&CK?

MITRE ATT&CK biedt een gestructureerde kennisbank met tactieken en technieken van de tegenstander. Threat Intelligence-teams gebruiken het om het gedrag van aanvallers consistent te beschrijven, campagnes in kaart te brengen en detectie-engineering te ondersteunen.

Wat is het verschil tussen dreigingsinformatie en het jagen op dreigingen?

Informatie over dreigingen verklaart relevante dreigingen en het gedrag van aanvallers, terwijl de opsporing van dreigingen proactief zoekt naar tekenen van besmetting in de omgeving.

Wie is de eigenaar van informatie over dreigingen binnen een onderneming?

Het eigendom varieert. In sommige organisaties bevindt het zich in de SOC; in andere gevallen is het ondergebracht bij een speciaal team voor informatie over dreigingen, de respons op incidenten, de beveiligingsoperaties of het CISO-kantoor. Het gaat erom dat intelligentie verbonden is met de teams die ze gebruiken.

Hoe moet informatie over dreigingen worden gemeten?

Nuttige maatregelen zijn onder meer een kortere onderzoekstijd, een betere detectiedekking, een betere prioritering van kwetsbaarheden, een snellere scoping van incidenten, minder valse positieven, verbeterde rapportage door het management en bewijs dat informatie de beveiligingsbeslissingen heeft gewijzigd.