Het is midden in de nacht en ergens in een Nederlands ziekenhuis of logistiek bedrijf loopt een aanval die niemand zag aankomen. De servers reageren traag, bestanden zijn onbereikbaar, en een alarmsysteem stuurt automatisch een melding naar de telefoon van één specifieke persoon: de incident responder. Wat die persoon de komende uren precies doet, en waarom dat veel meer is dan “het systeem herstellen”, leggen wij in dit artikel stap voor stap uit.
De telefoon gaat om 03:14 uur
Een incident responder krijgt zijn eerste melding doorgaans niet van een mens maar van een systeem. Een SIEM (een soort centraal alarmsysteem voor netwerken) heeft afwijkend gedrag gedetecteerd en een ticket aangemaakt. De eerste vijf minuten zijn cruciaal: is dit een vals alarm, een testomgeving die zich misdraagt, of iets ernstigs? De responder logt in via een beveiligde verbinding, trekt een eerste logbestand open en kijkt naar de tijdstempel, het betrokken systeem en het type alert. Twee minuten werk, maar genoeg om te beslissen of je de rest van het team wakker belt.
Vals alarm of echte brand: de eerste diagnose
Niet elke alert is een aanval. Soms is het een medewerker die om middernacht vanuit een ongebruikelijk land inlogt, soms is het een legitiem softwareproces dat zich verdacht gedraagt. Een goede incident responder maakt binnen minuten onderscheid tussen drie scenario’s: een vals alarm dat je kunt sluiten, een beperkt incident dat tijdens kantooruren wordt opgepakt, of een actieve breach waarbij elke minuut telt. In het geval van ransomware, een aanval waarbij bestanden worden versleuteld en losgeld wordt gevraagd, is het laatste bijna altijd van toepassing. De responder escaleert meteen en belt zijn teamleider en eventueel de klant.
Het slagveld in kaart brengen
Nu begint het echte detective werk. Via netwerklogs, eindpuntbeveiliging en firewalldata probeert de responder te reconstrueren wat er is gebeurd. Welke systemen zijn geraakt? Hoe laat heeft de aanvaller toegang gekregen? En misschien wel belangrijker: hoe beweegt hij zich op dit moment door het netwerk?
Aanvallers laten altijd sporen achter, de zogenoemde ‘breadcrumbs’. Denk aan ongebruikelijke loginpogingen op vreemde tijdstippen, nieuwe gebruikersaccounts die niemand heeft aangemaakt, of tools die normaal niet op een server thuishoren. Bij een ransomware-aanval is de versleuteling zelf overigens zelden het beginpunt. Gemiddeld zit een aanvaller al weken of zelfs maanden in een netwerk voordat hij zijn payload loslaat.
Isoleren zonder blinde paniek
De verleiding is groot om alles meteen van het internet af te halen. Maar dat is lang niet altijd verstandig. Sommige systemen moeten online blijven om de aanvaller in de gaten te houden. Andere zijn zo kritiek, een ziekenhuis dat de ic-monitoren draait, een logistiek bedrijf met lopende routes, dat afsluiten meer schade aanricht dan de aanval zelf.
De responder bepaalt per systeem: kan dit weg van het netwerk zonder dat we blinde vlekken creëren of kritieke processen platleggen? Dat vraagt om technische kennis én om snel overleg met de eigenaar van het systeem. Afsluiten is een beslissing, geen reflex.
Het gesprek met de directiekamer
Rond zes uur ’s ochtends, als de eerste contouren duidelijk zijn, komt er een moment waarop de responder de directie moet informeren. Dit is een vak apart. Een technisch verhaal over lateral movement en privilege escalation helpt een CFO of CEO niet verder. De responder vertaalt het probleem naar begrijpelijke taal: welke systemen liggen eruit, wat zijn de risico’s voor klantdata, en wat zijn de opties? Geen paniekzaaierij, maar ook geen onterechte geruststelling. Wij van Techguide.nl zien dit regelmatig als een van de moeilijkste onderdelen van het vak: techniek uitleggen aan mensen die beslissingen moeten nemen zonder de techniek te begrijpen.
Forensisch bewijsveilig werken terwijl de klok tikt
Tegelijkertijd moet de responder bewijsmateriaal veiligstellen. Logfiles worden gekopieerd en gehashed (zodat later aantoonbaar is dat ze niet zijn gewijzigd). Van getroffen servers worden geheugenimages gemaakt, letterlijk een momentopname van het RAM-geheugen, want zodra een machine herstart is die informatie weg. Het is een constante afweging: snel handelen om schade te beperken, of grondig documenteren voor juridisch gebruik later. Beide zijn noodzakelijk, en beide tegelijk doen vergt ervaring.
Ransomware: betalen, onderhandelen of zelf herstellen?
Bij een ransomware-aanval komt onvermijdelijk de vraag: betalen of niet? De responder heeft hier een adviesrol, maar de beslissing ligt bij de klant en diens juridisch team. Wat de responder wél doet, is de opties in kaart brengen. Zijn er bruikbare back-ups? Hoe recent zijn die? Hoe lang duurt herstel? Is de aanvaller geïdentificeerd en zijn er decryptietools beschikbaar? Sommige ransomwaregroepen zijn bekend en van hun tools bestaan soms gratis sleutels via initiatieven als No More Ransom.
Betalen is zelden een garantie op herstel, en het financiert criminelen. Maar in sommige gevallen, als alternatief herstel weken duurt en een bedrijf dan failliet gaat, is het een reële overweging. De responder legt dit helder voor zonder morele oordelen te vellen.
Communicatie naar buiten: wanneer moet je melden?
Als er persoonsgegevens bij betrokken zijn, wat bij een netwerkinbraak bijna altijd het geval is, geldt in Nederland een meldplicht bij de Autoriteit Persoonsgegevens. Die melding moet binnen 72 uur na ontdekking van het datalek. De responder signaleert dit risico, maar de formele beslissing en melding liggen bij de functionaris gegevensbescherming of directie van de getroffen organisatie. Afhankelijk van de sector kunnen er ook andere meldplichten gelden, bij de Rijksinspectie Digitale Infrastructuur bijvoorbeeld, of bij toezichthouders in de financiële of zorgsector.
Herstel is geen knop
Als de aanvaller is tegengehouden en de acute crisis voorbij is, begint de herstelFase. Dit is geen kwestie van een server rebooten en verder gaan. De responder werkt een gecontroleerde volgorde af:
- Schone back-ups identificeren en verifiëren op integriteit.
- Systemen terugzetten in een geïsoleerde omgeving en controleren op resterende malware.
- Toegangspunten van de aanvaller afsluiten, inclusief gestolen inloggegevens intrekken.
- Systemen stap voor stap terugbrengen naar productie, met monitoring op nieuwe afwijkingen.
Pas als de responder redelijke zekerheid heeft dat de aanvaller echt weg is, en dat betekent nooit honderd procent zekerheid, worden systemen volledig vrijgegeven. Haast hier leidt tot herinfectie, iets wat helaas regelmatig voorkomt bij organisaties die te snel willen herstellen.
Het slotrapport: het werk nadat het vuur uit is
Dagen of weken later levert de incident responder een eindrapport op. Daarin staat de tijdlijn van de aanval, de initiële toegangsvector (hoe de aanvaller binnenkwam), welke data mogelijk is buitgemaakt, en welke maatregelen zijn genomen. Maar minstens zo belangrijk is de lessons-learned sessie met de klant: welke beveiligingsgaten zijn misbruikt, wat had eerder opgemerkt kunnen worden, en wat moet er structureel veranderen? Een goede incident responder in cybersecurity laat een organisatie na zijn werk beter achter dan hij hem aantrof. Dat is uiteindelijk het doel, niet alleen het blussen, maar ook voorkomen dat de brand terugkomt.
Een incident responder is geen held uit een actiefilm, maar iemand met een combinatie van technische kennis, rust onder druk en het vermogen om snel te schakelen tussen analyse en communicatie. Wij van Techguide.nl zien dit vakgebied groeien nu cyberaanvallen steeds vaker ook kleinere bedrijven, gemeenten en zorginstellingen treffen. De praktische les voor elke organisatie is simpel: goede back-ups, duidelijke noodprocedures en weten wie je belt als het misgaat. Dat is geen garantie dat een aanval niets kost, maar wel dat de schade beheersbaar blijft.
