Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Welke beschrijving van de IoC (indicator of compromise) en de IoA (indicator of attack) die bij dreigingsdetectie worden gebruikt, is juist?

  1. AIoC's richten zich op het gedrag en de bedoeling van de aanvaller, terwijl IoA's concrete sporen zijn, zoals hashwaarden van malware en de IP-adressen van C2-servers
  2. BIoC's zijn concrete sporen van een compromittering, zoals hashwaarden van malware en de IP-adressen van C2-servers, terwijl IoA's zich richten op het gedrag van de aanvaller, zoals pogingen om inloggegevens te stelen
  3. CZowel IoC's als IoA's drukken de ernst van een kwetsbaarheid uit als een getal van 0,0 tot 10,0 en dienen om de volgorde te bepalen waarin patches worden toegepast
Antwoord en toelichting tonen

Antwoord: B. IoC's zijn concrete sporen van een compromittering, zoals hashwaarden van malware en de IP-adressen van C2-servers, terwijl IoA's zich richten op het gedrag van de aanvaller, zoals pogingen om inloggegevens te stelen

Een IoC (indicator of compromise) is een concreet spoor dat aantoont dat er een compromittering heeft plaatsgevonden, zoals de hashwaarde van een malwarebestand, het IP-adres of de domeinnaam van een C2-server, of een kenmerkende bestandsnaam. IoC's worden gedeeld met andere organisaties en leveranciers van dreigingsinformatie en vergeleken met de eigen logs en eindpunten om na te gaan of de organisatie door dezelfde aanval is getroffen. Aanvallers kunnen hashwaarden en IP-adressen echter gemakkelijk veranderen, dus IoC's worden gecombineerd met IoA's (indicators of attack), die zich richten op gedrag dat aanvallers moeilijker kunnen veranderen, zoals pogingen om inloggegevens te stelen of beweging binnen het netwerk met legitieme hulpmiddelen.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. Welke beschrijving van het verschil in rol tussen een CSIRT en een PSIRT binnen een organisatie is juist?
  2. Bij een onderzoek naar een inbraak worden de logs van twee servers met elkaar vergeleken. De webserver logt in gecoördineerde wereldtijd (UTC), en zijn klok was via NTP correct gelijkgezet. De bestandsserver logt in Japanse tijd (UTC+9 uur), en zijn klok liep 4 minuten vóór op de juiste tijd. Het log van de webserver vermeldt een verdachte aanmelding om 01:52 (UTC), en het log van de bestandsserver vermeldt het massaal lezen van bestanden om 10:58 (Japanse tijd). Hoeveel minuten na de verdachte aanmelding werden de bestanden in werkelijkheid gelezen?
  3. In dezelfde week zijn patches uitgebracht voor drie kwetsbaarheden. Het beheerpersoneel kan maar één patch per dag toepassen. Welke combinatie van de patch die als eerste moet worden toegepast en de reden is het meest passend?
  4. Welke beschrijving van de verschillen tussen kwetsbaarheidsscans, penetratietests en red-teamoefeningen als manieren om de verdediging van een organisatie te controleren, is juist?
  5. Een externe beveiligingsonderzoeker heeft een nog niet openbaar gemaakte kwetsbaarheid in een product van een bedrijf gevonden. Welke werkwijze is het meest passend volgens het idee van gecoördineerde openbaarmaking van kwetsbaarheden (Coordinated Vulnerability Disclosure)?