Je voorkomt dat één gephisht account toegang geeft tot meerdere bedrijfssystemen door het principe van least privilege te combineren met netwerksegmentatie, sterke authenticatie en continue monitoring van accountgedrag. Geen enkele maatregel op zichzelf is voldoende: de kracht zit in de combinatie van lagen. In dit artikel beantwoorden we de meest gestelde vragen over dit onderwerp, van de aanvalstechniek zelf tot de tools en plannen die je nodig hebt om schade te beperken.
Hoe krijgt een aanvaller via één gephisht account toegang tot andere systemen?
Een aanvaller die via phishing inlogt op één account gebruikt die toegang als startpunt om zich lateraal door het netwerk te bewegen. Dit heet lateral movement: de aanvaller zoekt naar gedeelde wachtwoorden, zwakke rechtenstructuren of onbeveiligde verbindingen tussen systemen om stap voor stap meer toegang te krijgen, zonder dat er direct een alarm afgaat.
Veel bedrijfsnetwerken zijn intern relatief open ingericht. Systemen vertrouwen elkaar, gebruikers hebben brede toegangsrechten en er is weinig zichtbaarheid op wat er binnen het netwerk gebeurt. Een aanvaller die eenmaal binnen is, kan dan vrij eenvoudig:
- Andere accounts en wachtwoorden ophalen via gedeelde mappen of slecht beveiligde opslag
- Toegang krijgen tot gedeelde schijven, CRM-systemen of boekhoudpakketten die aan hetzelfde netwerk hangen
- Zich voordoen als een legitieme gebruiker door gebruik te maken van bestaande sessies of tokens
- Rechten ophogen door kwetsbaarheden in slecht geconfigureerde systemen te misbruiken
Het gevaarlijke is dat dit proces soms dagen of weken duurt. De aanvaller haast zich niet. Zolang het gecompromitteerde account actief blijft en niemand verdacht gedrag opmerkt, heeft de aanvaller de tijd om het netwerk in kaart te brengen en gericht toe te slaan, bijvoorbeeld met ransomware of datadiefstal.
Wat is het principe van least privilege en hoe werkt het?
Least privilege is het beveiligingsprincipe waarbij elke gebruiker, elk systeem en elke applicatie alleen de minimale rechten krijgt die nodig zijn om de eigen taak uit te voeren. Heeft een medewerker toegang nodig tot de projectmap? Dan krijgt die persoon toegang tot die map, en niet tot de rest van het netwerk.
In de praktijk betekent dit dat je actief nadenkt over wie toegang nodig heeft tot welk systeem, en waarom. Dat klinkt eenvoudig, maar de meeste MKB-bedrijven werken met rechtenstructuren die organisch zijn gegroeid: iemand had ooit toegang nodig tot een systeem, die toegang werd nooit ingetrokken, en nu heeft het halve bedrijf leesrechten op systemen die ze nooit gebruiken.
Concrete stappen om least privilege toe te passen:
- Breng in kaart welke accounts toegang hebben tot welke systemen
- Verwijder rechten die niet meer nodig zijn of nooit actief gebruikt worden
- Maak onderscheid tussen standaardgebruikers en beheeraccounts, gebruik beheerdersrechten alleen voor beheertaken
- Stel tijdelijke toegang in voor projecten of externe partijen, met een automatische vervaldatum
- Voer periodiek een rechtenaudit uit, minimaal één keer per jaar
Als een aanvaller een account met minimale rechten compromitteert, is de schade direct beperkt. Het account kan simpelweg niet bij de systemen die de aanvaller nodig heeft om verder te komen.
Hoe beschermt netwerksegmentatie bedrijfssystemen na een phishing-aanval?
Netwerksegmentatie verdeelt je netwerk in afzonderlijke zones die niet automatisch met elkaar communiceren. Als een aanvaller via phishing toegang krijgt tot één zone, kan die niet zomaar doorstappen naar andere zones. De schade blijft beperkt tot het segment waar het gecompromitteerde account bij hoort.
Denk aan segmentatie als branddeuren in een gebouw. Een brand in één ruimte verspreidt zich niet automatisch naar de rest van het pand, omdat de deuren de verspreiding tegenhouden. Hetzelfde principe geldt voor je netwerk.
Praktische voorbeelden van netwerksegmentatie voor het MKB:
- Scheid het kantoornetwerk van het netwerk waarop servers en bedrijfskritische systemen draaien
- Zet gasten en bezoekers op een apart wifi-netwerk zonder toegang tot interne systemen
- Isoleer productieomgevingen van testomgevingen
- Beperk toegang tussen afdelingen: de financiële administratie hoeft niet bereikbaar te zijn vanuit het magazijn
Segmentatie maakt lateral movement aanzienlijk moeilijker. Een aanvaller die een account van een medewerker op de marketingafdeling compromitteert, kan daarmee niet automatisch bij de financiële systemen. Elke overstap naar een ander segment vereist extra authenticatie of stuit op een technische blokkade.
Waarom is multi-factor authenticatie niet genoeg om verspreiding te stoppen?
Multi-factor authenticatie (MFA) voorkomt dat een aanvaller met alleen een gestolen wachtwoord kan inloggen, maar het stopt de verspreiding niet als de aanvaller eenmaal een actieve sessie heeft. MFA beschermt de inlogpoort, niet wat er daarna gebeurt binnen het netwerk.
Zodra een gebruiker succesvol inlogt met MFA, is de sessie geauthenticeerd. Een aanvaller die toegang krijgt tot die actieve sessie, bijvoorbeeld via malware die op de achtergrond draait, kan die sessie overnemen zonder zich opnieuw te hoeven authenticeren. Dit heet session hijacking en omzeilt MFA volledig.
Daarnaast zijn er aanvalstechnieken die MFA direct aanvallen:
- MFA-vermoeidheid: de aanvaller stuurt herhaaldelijk pushnotificaties totdat de gebruiker er per ongeluk één goedkeurt
- Adversary-in-the-middle: de aanvaller onderschept zowel het wachtwoord als de MFA-code via een nep-inlogpagina
- SIM-swapping: de aanvaller neemt het telefoonnummer van het slachtoffer over om sms-codes te onderscheppen
Wij adviseren MFA altijd te gebruiken, bij NTNT werken we daarvoor met Cisco Duo, maar beschouw het als één laag in een breder beveiligingsmodel. MFA verlaagt de kans op een succesvolle inlog aanzienlijk, maar het vervangt niet de noodzaak van least privilege, segmentatie en monitoring.
Wat is zero trust en wanneer is het de juiste aanpak voor het MKB?
Zero trust is een beveiligingsmodel waarbij geen enkele gebruiker, apparaat of verbinding automatisch wordt vertrouwd, ook niet als die al binnen het netwerk zit. Elke toegangspoging wordt geverifieerd op basis van identiteit, apparaatstatus en context, ongeacht waar de verbinding vandaan komt.
Het traditionele beveiligingsmodel werkt als een kasteel met een slotgracht: wie eenmaal binnen is, wordt vertrouwd. Zero trust gaat ervan uit dat er altijd aanvallers binnen kunnen zijn en controleert daarom elke stap opnieuw. Dit sluit direct aan op de dreiging van lateral movement na een phishing-aanval.
Voor MKB-bedrijven is zero trust niet altijd een alles-of-nietsbeslissing. Je kunt beginnen met de kernprincipes:
- Verifieer altijd de identiteit, ook voor interne systemen
- Controleer of het apparaat voldoet aan beveiligingseisen voordat toegang wordt verleend
- Beperk toegang op basis van context: locatie, tijdstip, apparaattype
- Log alle toegangspogingen en analyseer afwijkingen
Zero trust is de juiste aanpak voor het MKB zodra je medewerkers hybride werken, cloudapplicaties gebruiken of externe partijen toegang geven tot interne systemen. Op dat moment is de traditionele netwerkgrens niet meer zinvol en heb je een model nodig dat toegang beheert op basis van identiteit en context, niet op basis van locatie.
Welke tools helpen bij het detecteren van verdachte accountactiviteit?
Tools voor het detecteren van verdachte accountactiviteit werken door normaal gedrag van gebruikers in kaart te brengen en afwijkend gedrag te signaleren. Denk aan een medewerker die normaal vanuit Rotterdam inlogt en plotseling een inlogpoging doet vanuit een ander land, of een account dat buiten werktijden grote hoeveelheden bestanden opent.
De meest effectieve categorieën tools voor het MKB:
- SIEM-systemen (Security Information and Event Management): verzamelen loggegevens van meerdere systemen en correleren die om verdachte patronen te herkennen
- EDR-oplossingen (Endpoint Detection and Response): monitoren activiteit op individuele apparaten en slaan alarm bij afwijkend gedrag
- Identity threat detection: specifiek gericht op het detecteren van misbruik van gebruikersaccounts en inlogpogingen
- UEBA (User and Entity Behavior Analytics): bouwt gedragsprofielen op en detecteert afwijkingen die kunnen wijzen op een gecompromitteerd account
Bij NTNT gebruiken we Huntress als beveiligingsoplossing, die continu endpoint-activiteit monitort en verdacht gedrag detecteert voordat het uitgroeit tot een groter incident. Naast de juiste tools is het minstens zo belangrijk dat er iemand is die de meldingen opvolgt. Tools die meldingen genereren die niemand leest, bieden geen bescherming.
Hoe stel je een incidentresponseplan op voor een gecompromitteerd account?
Een incidentresponseplan voor een gecompromitteerd account beschrijft stap voor stap wat je doet vanaf het moment dat je een verdacht account ontdekt tot het moment dat het incident is afgehandeld en de oorzaak is weggenomen. Het doel is snel handelen, verdere verspreiding stoppen en leren van het incident.
Een effectief plan bevat minimaal de volgende stappen:
- Detectie en bevestiging: stel vast dat het account daadwerkelijk gecompromitteerd is en niet dat het om een valse melding gaat
- Isolatie: deactiveer het account direct en blokkeer actieve sessies, zodat de aanvaller geen verdere toegang heeft
- Inventarisatie: breng in kaart welke systemen het account kon bereiken en welke activiteiten er zijn uitgevoerd
- Beheersing: blokkeer de aanvalsvector, verwijder malware indien aanwezig en herstel getroffen systemen vanuit een schone back-up
- Communicatie: informeer de betrokken medewerker, het management en indien nodig externe partijen of toezichthouders
- Herstel: activeer het account opnieuw na een wachtwoordreset en verificatie van het apparaat
- Evaluatie: analyseer hoe het incident kon plaatsvinden en pas beveiligingsmaatregelen aan om herhaling te voorkomen
Het plan werkt alleen als het van tevoren is opgesteld en getest. Een incident is niet het moment om voor het eerst na te denken over wie wat doet. Zorg dat rollen en verantwoordelijkheden duidelijk zijn, dat contactgegevens actueel zijn en dat het plan minimaal één keer per jaar wordt doorgelopen.
Hoe NTNT helpt bij het beveiligen van jouw bedrijfssystemen tegen phishing
Phishing is één van de meest voorkomende oorzaken van beveiligingsincidenten bij MKB-bedrijven. De schade blijft vaak niet beperkt tot één account, omdat de juiste maatregelen ontbreken om verspreiding te stoppen. NTNT helpt je om die maatregelen op de juiste manier in te richten, afgestemd op de grootte en structuur van jouw organisatie.
Wat we voor je doen:
- We brengen jouw huidige rechtenstructuur in kaart en passen least privilege toe op bestaande accounts en systemen
- We richten netwerksegmentatie in die past bij jouw infrastructuur, zonder dat dit jouw dagelijkse werkprocessen verstoort
- We implementeren MFA via Cisco Duo en bewaken actief op pogingen om die te omzeilen
- We monitoren accountactiviteit continu met Huntress en grijpen in zodra er afwijkend gedrag wordt gedetecteerd
- We helpen je een incidentresponseplan op te stellen dat werkt voor jouw organisatie en dat je team begrijpt
Wil je weten hoe jouw organisatie er nu voor staat? Neem een kijkje bij onze cybersecuritydiensten en ontdek welke stappen het meest relevant zijn voor jouw situatie.
