Wat is Incidentrespons?

De reeks activiteiten die wordt uitgevoerd als zich een beveiligingsincident zoals een cyberaanval voordoet: de schade vinden en de uitbreiding ervan stoppen, de oorzaak wegnemen en de bedrijfsvoering herstellen, en de geleerde lessen toepassen. De tweede revisie van NIST SP 800-61 (2012) presenteert haar in vier fasen (voorbereiding; detectie en analyse; inperking, uitroeiing en herstel; en activiteiten na het incident), en de derde revisie (2025) heeft haar opnieuw ingedeeld in lijn met het Cybersecurity Framework (CSF) 2.0. Binnen een organisatie leidt het CSIRT haar, in samenwerking met het SOC, de systeemverantwoordelijken, de juridische afdeling, de afdeling communicatie en het management.

Japanse benaming: インシデントレスポンス

“Incidentrespons” komt voor in 1 oefenvragen uit 1 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk.

Vakgebied: Cyberaanvallen en verdediging in de praktijk

De voorbereiding bepaalt de uitkomst

Hoe snel een organisatie kan reageren, hangt sterk af van de voorbereiding vóór een incident. Contactlijsten en beslissingsbevoegdheden, procedures (playbooks), het verzamelen en bewaren van logs, back-ups, onderzoekshulpmiddelen en de contactgegevens van externe specialisten en de politie worden vooraf vastgelegd en getoetst met oefeningen zoals tabletopoefeningen.

Inperking en het veiligstellen van bewijs

Bij inperking, die de uitbreiding van de schade stopt, worden maatregelen genomen zoals apparaten van het netwerk loskoppelen, accounts uitschakelen en verkeer blokkeren. Wordt er echter meteen gewist of de stroom uitgeschakeld, dan gaat het bewijs verloren dat nodig is om de route van de inbraak te achterhalen (geheugeninhoud en logs), en kan de aanvaller opnieuw binnenkomen omdat de oorzaak nooit is weggenomen. De volgorde van onderzoek en inperking wordt naar de situatie bepaald.

Activiteiten na het incident

Na de reactie bekijkt het team wat er is gebeurd, wat goed ging en wat ontbrak, met als doel het systeem te verbeteren in plaats van personen de schuld te geven. De resultaten worden verwerkt in herzieningen van detectieregels, playbooks en systeemconfiguraties, en de verbetering wordt gecontroleerd met maatstaven zoals de gemiddelde tijd tot detectie.

Nu oefenen: vragen over Incidentrespons

De tweede revisie (Rev. 2) van SP 800-61, de richtlijn voor incidentrespons die het Amerikaanse NIST in 2012 publiceerde, presenteert incidentrespons als een cyclus van vier fasen. Welke volgorde van de fasen is juist?

ADetectie en analyse → voorbereiding → activiteiten na het incident → inperking, uitroeiing en herstel
BVoorbereiding → detectie en analyse → inperking, uitroeiing en herstel → activiteiten na het incident
CInperking, uitroeiing en herstel → voorbereiding → detectie en analyse → activiteiten na het incident

Antwoord en toelichting tonen

Antwoord: B. Voorbereiding → detectie en analyse → inperking, uitroeiing en herstel → activiteiten na het incident

SP 800-61 Rev. 2 presenteert vier fasen: „voorbereiding”, die de organisatie, procedures en hulpmiddelen inricht; „detectie en analyse”, die aan de hand van alerts en logs beoordeelt of iets een incident is en de gevolgen inschat; „inperking, uitroeiing en herstel”, die de uitbreiding van de schade stopt, de oorzaak wegneemt en de bedrijfsvoering herstelt; en „activiteiten na het incident”, die de geleerde lessen voor de volgende keer ordent. Tussen detectie en analyse en inperking, uitroeiing en herstel wordt heen en weer gegaan, en de lessen uit de activiteiten na het incident worden teruggevoerd naar de voorbereiding om detectieregels en procedures te verbeteren. De derde revisie (Rev. 3), gepubliceerd in april 2025, heeft de richtlijn opnieuw ingedeeld rond de functies van het Cybersecurity Framework (CSF) 2.0 van NIST, maar het model met vier fasen wordt nog steeds veel gebruikt.

Veelgestelde vragen

Is incidentrespons hetzelfde als incidentbeheer in IT-servicemanagement?

Ze overlappen, maar zijn niet hetzelfde. Incidentbeheer in ITIL en vergelijkbare raamwerken wil na elke onderbreking, ook storingen, zo snel mogelijk de normale dienstverlening herstellen. Bij incidentrespons voor beveiliging komen daar het verwijderen van de aanvaller, het veiligstellen van bewijs en meldingen op grond van wet- en regelgeving bij, dus leidt het CSIRT haar met eigen procedures.

Als we door ransomware worden getroffen, gaat het herstel dan sneller als we het losgeld betalen?

Betalen garandeert niet dat de gegevens kunnen worden ontsleuteld, en ook niet dat de belofte wordt nagekomen om gestolen gegevens niet te publiceren. Betalingen financieren verdere aanvallen en kunnen, afhankelijk van de ontvanger, tot juridische problemen leiden. Veel overheidsinstanties raden af te betalen, en de voorbereiding gaat uit van herstel uit back-ups die los van het netwerk worden bewaard.

Vragen met “Incidentrespons” (1)

De tweede revisie (Rev. 2) van SP 800-61, de richtlijn voor incidentrespons die het Amerikaanse NIST in 2012 publiceerde, presenteert incidentrespons als een cyclus van vier fasen. Welke volgorde van de fasen is juist?

Verwante termen

Aanval op de toeleveringsketen (supply-chainaanval) Cyber Kill Chain Digitaal forensisch onderzoek EDR (endpoint detection and response) Inbraakdetectiesysteem (IDS) Indicator of compromise (IoC) Laterale beweging (lateral movement) MITRE ATT&CK Penetratietest SBOM (software bill of materials)

Naar de woordenlijst