Ga naar inhoud

Woordenlijst van beveiliging

Machinevertaling van het Franse origineel.

Elke term wordt twee keer gegeven: de algemene definitie, en vervolgens wat het aanduidt binnen dit park. De tweede kolom heeft evenveel kolommen als de eerste — eenzelfde woord kan soms twee verschillende dingen aanduiden (de "SCA" in de analyse van afhankelijkheden is niet hetzelfde als de "SCA" van het SIEM), en dit leidt tot misverstanden.

De termen zijn gerangschikt op basis van hun functie, in de volgorde waarin een aanval ze tegenkomt: voorkomen, zich bewust worden van zwakke punten, detecteren, reageren, overleven, bewijzen.

Voorkomen – het toelaten van toegang voorkomen

Term Definitie Binnen dit park
Gren, rand Het eerste onderdeel dat het verkeer van het internet ontvangt. Een rand-proxy die is gehost op de NAS-opslag, achter de NAT van de router. Dit is geen container-host.
Omgekeerde proxy Een server die de verzoeken ontvangt, TLS afsluit en doorstuurt naar de juiste interne service. Twee niveaus: de rand, en vervolgens een interne proxy (Caddy) die doorstuurt naar de containers.
TLS, certificaat Transportversleuteling; het certificaat bewijst de identiteit van de website. Uitgegeven door ACME; een tool controleert de daadwerkelijk gebruikte certificaten, niet de certificaten die op schijf staan.
DNS-01 Een ACME-uitdaging waarbij men bewijst dat men de controle heeft over een domein door een tijdelijke DNS-record te publiceren. Maakt het mogelijk om een certificaat uit te geven voor een service die niet is blootgesteld aan het internet.
Bouncer Het onderdeel dat een beslissing tot blokkering uit voert die elders is genomen. CrowdSec neemt de beslissing, een module die is geïntegreerd in de interne proxy, voert de actie uit (antwoord 403).
L3 / L7 Netwerklaag (adressen, pakketten) / applicatielaag (HTTP). Een blokkade op L3 onderbreekt de verbinding, een blokkade op L7 weigert de aanvraag. Het blokkeren van web-aanvallen gebeurt op L7: dit is de enige laag waarin het werkelijke IP-adres van de client bekend is.
Fail-open / fail-closed Gedrag van een beveiligingsmaatregel wanneer deze uitvalt: alles toestaan (open) of alles weigeren (closed). Elke laag heeft een uitvalmodus. Deze wordt gekozen en geïmplementeerd – een standaard uitvalmodus is een beslissing die niemand heeft genomen.
SSO Eén enkele authenticatie voor alle diensten. Een enkele identiteitsleverancier.
OIDC Een standaardprotocol voor het delegeren van identiteit: de applicatie ontvangt een getekende token en weet wie verbonden is. De standaard configuratie voor nieuwe diensten.
forward_auth De proxy vraagt de identiteitsleverancier: "Heb je toestemming?". De applicatie weet dit niet. Een laatste redmiddel, voor een dienst zonder concept van accounts. Nooit gecombineerd met OIDC.
MFA Een tweede factor (unieke code, hardware sleutel) naast het wachtwoord. Vereist voor accounts met speciale rechten, en gecontroleerd door een sonde in plaats van aangenomen.
Minste privileges Elk account heeft alleen de rechten die het nodig heeft. Tokens beperkt tot hun gebruik; een applicatie zonder expliciete toegangsbeleid wordt beschouwd als open voor alle geauthenticeerde accounts, dus moet worden gecorrigeerd.
Secrets Vault Centraliseerde en versleutelde opslag van wachtwoorden, tokens en sleutels. Eigen beheer; een waarde wordt uitgelezen via een pipe, nooit via de commandoregel.
SOPS + leeftijd SOPS berekent de waarden van een configuratiebestand; age levert het algoritme en het sleutelpaar. De variabelen in de stacks worden gecodeerd en gedecodeerd in het geheugen tijdens het opstarten.
Supply Chain Alles wat we niet hebben geschreven, maar wel uitvoeren: afbeeldingen, pakketten, afhankelijkheden. Dit wordt gedekt door de veertig verschillende versies, het scannen van afbeeldingen en SBOM's.
Versiebeheer Alle versies van pakketten die ouder zijn dan N dagen, afwijzen. Zeven dagen, voor de drie JavaScript-pakketbeheerders – elk met zijn eigen eenheid (dagen, minuten, seconden).
SBOM Software Bill of Materials: het inventaris van alle componenten van een software. Een SBOM per in gebruik zijnde afbeelding, die wekelijks wordt hersteld.
CycloneDX Standaardformaat (OWASP) voor SBOM. Geproduceerd door Trivy.
Beveiliging Het verkleinen van het aanvalsoppervlak van een systeem: ongebruikte services, permissies, opties. Continu geëvalueerd door het SIEM tegen de CIS-benchmarks.
CIS-benchmarks Een openbaar repository van veilige configuraties, per besturingssysteem. Configuratiebeoordelingsbeleid van het SIEM.

Zich bewust zijn van de zwakke punten – kwetsbaarheden

Term Definitie In dit park
CVE Publieke identificatie van een bekende kwetsbaarheid. Zoeken in afbeeldingen (Trivy), op hosts (SIEM) en in het inventaris van geïnstalleerde versies (OpenCVE).
CVSS, ernst Theoretische ernstscore van een CVE. Startpunt voor de rangschikking, maar niet het eindpunt.
EPSS De kans dat een CVE binnen 30 dagen wordt uitgebuit (vermeld door FIRST). Wordt gebruikt in de risicoberekening.
KEV Catalogus van de CISA van CVE's die daadwerkelijk worden uitgebuit. Een CVE uit de KEV kan een lage EPSS hebben: de twee zijn niet wederzijds.
Expositie Toegankelijkheid van een service: publiek met alleen applicatieauthenticatie, publiek via een identiteitsleverancier, of intern. Derde dimensie van de score, samen met ernst en uitbuiting.
SAST Statische analyse van de broncode op zoek naar fouten. Semgrep, op repositories.
SCA (afhankelijkheden) Software Composition Analysis: CVE's van de bibliotheken die een project gebruikt. Trivy in bestandsysteemmodus. Geen verband met de SCA van het SIEM hieronder.
Slechte IaC-configuratie Fout in een infrastructuurbestand (configuratiebestand, YAML). Trivy, met dezelfde scan als de afhankelijkheden.
Triage Beslissen over het lot van een gevonden probleem: open, negeren, herstellen, vals positief. Elke beslissing wordt vastgelegd, samen met de auteur, in een auditlog.

Detecteren - wat er gebeurt

Term Definitie In dit park
SIEM Platform dat logbestanden van het hele park verzamelt, correlate en waarschuwt. Wazuh: een manager en een agent op elke machine.
EDR / XDR Detectie en reactie op endpoints, met de focus op meerdere bronnen. Wazuh-agents en automatische reactie.
FIM File Integrity Monitoring: melding wanneer een gemonitord bestand verandert. Wazuh-module voor integriteitscontrole.
SCA (SIEM) Security Configuration Assessment: evaluatie van de configuratie ten opzichte van een referentie. CIS-benchmarks die door Wazuh worden gebruikt.
Rootcheck Zoeken naar rootkits, verborgen bestanden en poorten. Wazuh-module – waardoor gespecialiseerde tools van hetzelfde type overbodig worden.
osquery Het ophalen van de status van een machine met SQL: processen, services, geplande taken. Geïntegreerd in het SIEM, niet los: één inventaris om te synchroniseren.
Persistentie Een mechanisme waarmee een aanvaller kan overleven na een herstart: geplande taak, service, SSH-sleutel. Wordt door osquery op Linux en KnockKnock op de macOS-desktop gemeld.
IDS / NDR Detectie van netwerkinbraken: patronen die worden toegepast op het verkeer. Suricata, geplaatst op het punt waar het verkeer convergeert.
Patroon Een bekende aanvalspatroon, in een stroom of in een bestand. Openbare regels, die automatisch worden bijgewerkt.
Systeemoproep Een verzoek van een programma aan de kernel: een bestand openen, een proces starten, een verbinding maken. Dit wordt gemonitord door de runtime-detectie.
eBPF Een mechanisme van de Linux-kernel dat het mogelijk maakt om systeemoproepen te observeren zonder een module te laden. De "modern eBPF" sonde van Falco: geen compileerwerk nodig, geen hercompilatie na een kernelupdate.
Veiligheid tijdens uitvoering Een abnormaal gedrag detecteren terwijl een programma draait. Falco: een open shell binnen een container, het lezen van een gevoelige bestandsinhoud, het uitvoeren van een geplande taak.
YARA Een taal voor regels om schadelijke bestanden te herkennen op basis van hun inhoud. Duizenden openbare regels, plus een eigen testregel.
Antivirus met signatuur Een schadelijk bestand herkent dat bekend is. Een centrale ClamAV-motor, die door het netwerk wordt aangevraagd.
Diepgaande statische analyse Een bestand (archief binnen een archief, document, ingebed object) uitpakken en elk onderdeel analyseren, zonder het ooit uit te voeren. Strelka.
Sandbox Een verdacht bestand uitvoeren in een veilige omgeving om te observeren wat het doet. Afgevoerd door beslissing: het volume aan bestanden rechtvaardigt dit niet. Het zal terugkomen op het moment dat een echt voorbeeld beide motoren doorstaat.
IOC Indicator of Compromise: bekende adressen, domeinen of sporen die als schadelijk worden beschouwd. Drie lijsten (adressen, domeinen, sporen) die in real-time door het SIEM worden geraadpleegd.
Informatie over dreigingen Een stroom van IOC's en contextinformatie over de aanvallers. Consumed, niet geproduceerd: openbare lijsten en de CrowdSec-community.
Wazuh-lijst Sleutel → waarde, die door de Wazuh-regels wordt geraadpleegd op het moment dat het gebeurtenis zich voordoet. Wordt bijgewerkt door een geplande taak, en wordt gecontroleerd op actualiteit.
Vals positief Een waarschuwing voor legitiem gedrag. Wordt behandeld door een specifieke uitzondering, nooit door het uitschakelen van een hele regel.
Ruis Het aantal waarschuwingen dat een detector genereert voor een gezond systeem. Wordt gemeten voordat een notificatie wordt geactiveerd.
Functionele test, Canari Bekend element, specifiek ingezet om te controleren of een detector nog werkt. YARA-regel voor Canari, EICAR-bestand, shell in een tijdelijke container, onderzoeksvraag naar de gehele vloot.
EICAR Veilige test, gestandaardiseerde, die elk antivirusprogramma moet herkennen. Dagelijks bewijs van de werking van het antivirusprogramma.

Reageren – Handelen

Term Definitie In dit park
Alerten-distributeur Een centraal punt waar alle signalen worden verzonden, en die deze doorstuurt naar de bestemmingen. Een specifiek systeem; twee uitgaande berichten, en een directe terugkoppeling als de distributeur stilstaat.
Hysteresis Verschillende drempels om een waarschuwing te activeren en te deactiver, zodat deze niet constant knippert. Verplicht voor alle herhaalde notificaties.
Automatische reactie Een actie die wordt geactiveerd door een detectie regel: een bron blokkeren, een service herstarten, isoleren. Actieve reactie van Wazuh, gekoppeld aan specifieke regel-identificatoren.
Timeout (van een blokkade) De duur waarin een automatische blokkade vanzelf verdwijnt. Standaard: een permanente blokkade op een vals positief is een fout die we onszelf toebrengen.
SOAR Orchestratie en automatisering van de reactie. De distributeur en de bestaande workflow-engine; geen derde orchestrator.
DFIR Digital Forensics and Incident Response: onderzoeken tijdens en na een incident. Velociraptor.
Warm onderzoek Het vragen van machines tijdens het incident, over een vraag die niet van tevoren was voorzien. Velociraptor, client op elke machine.
VQL Taal voor het stellen van vragen in Velociraptor. Vragen worden vastgelegd in een runbook.
Hunt Het stellen van dezelfde vraag op een hele vloot tegelijk. Wordt ook gebruikt als bewijs: zoveel antwoorden als er signalen zijn, anders stilt er iets.
Belangrijk incident (NIS2) Een incident dat een ernstige verstoring of aanzienlijke schade veroorzaakt (artikel 23 §3). Wordt vastgelegd in een specifiek register, met de bijbehorende deadlines.

Overleven - Continuïteit

Term Definitie In dit park
RPO Recovery Point Objective : het maximale verlies van gegevens dat acceptabel is, namelijk de leeftijd van de laatste bruikbare back-up. Gemeten tijdens een oefening, niet afgeleid van de planning.
RTO Recovery Time Objective : de tijd die nodig is om het systeem weer operationeel te maken. Gemeten vanaf het moment dat de applicatie weer reageert.
Immuabiliteit, append-only Een back-up die niet meer gewijzigd of verwijderd kan worden vanaf de bron. Geverifieerd door daadwerkelijk te proberen de back-up te verwijderen met de toegang van de bron, en te wachten op een afwijzing.
Object locking Immuabiliteit die wordt opgelegd door de objectopslag zelf, voor een bepaalde periode. Een van de mogelijke vormen van immuabiliteit buiten het netwerk.
Ransomware Software die gegevens versleutelt en back-ups maakt als het succesvol is. Het maakt verse back-ups – van versleutelde inhoud.
Hersteltest Echte herstel, met tijdregistratie, op een nieuwe machine. Gecategoriseerd in een register; een test faalt als deze ouder is dan 90 dagen.
Master key De sleutel waarop alle andere sleutels afhankelijk zijn. De oudste sleutel die alle geheimen van de stacks decodeert.
Offline kopie Een kopie die geen netwerk gebruikt: papier, losgekoppeld medium. Voor de master key, kan worden geverifieerd zonder deze te tonen.

Bewijzen – conformiteit

Term Definitie In dit park
NIS2 Richtlijn (EU) 2022/2555: verplichte cyberbeveiligingsmaatregelen voor essentiële en belangrijke entiteiten. Vrijwillig toegepast, als een meetinstrument: een privépark is geen NIS2-entiteit.
Artikel 21 §2 De tien minimale eisen van NIS2, genummerd van a) tot j). Elke controle in de catalogus is hieraan gekoppeld.
Artikel 23 Melding van belangrijke incidenten: vroege waarschuwing binnen 24 uur, melding binnen 72 uur, definitief rapport binnen een maand. De deadlines worden bepaald door het incidentregister.
SOC 2 Rapport van een geaccrediteerde auditor (CPA) over de controles van een organisatie. Type I: op een bepaalde datum; Type II: over een periode. Er is geen "gecertificeerd SOC 2" hulpmiddel. Een hulpmiddel kan een dossier van bewijzen produceren dat een auditor zou vragen.
TSC Trust Services Criteria: de criteria van SOC 2 – beveiliging, beschikbaarheid, vertrouwelijkheid… Elke controle is hieraan gekoppeld, net als bij NIS2.
Controle Een beveiligingsmaatregel waarvan je kunt aantonen dat deze werkt. Er zijn er ongeveer dertig, geïdentificeerd en versies in een catalogus.
Referentiekatalogus van gemeenschappelijke controles Een controle die één keer wordt ingesteld, gekoppeld aan meerdere catalogussen tegelijk. Er is één catalogus die zowel NIS2 als SOC 2 gebruikt.
Bewijs Een datum-gegeven maatregel die aantoont dat een controle werkt. Het resultaat van een test, of een verklaring.
Test Een script dat een feit meet en pass, fail of indeterminate produceert. Eén per gemeten feit, gestart elke zes uur.
Onbekend Het resultaat van een test die niet kon worden gemeten. Een onbereikbare doelwit produceert indeterminate, nooit pass.
Verklaring Een datum-gegeven verklaring, voor wat geen test kan meten: governance, training, leveranciers. Alleen beschikbaar tijdens een geauthenticeerde sessie, en vervalt.
Afgeleide status Een status die wordt berekend op basis van bewijzen, nooit vastgelegd. "In gebruik", "in falen" of "niet geverifieerd", opnieuw berekend bij elke lezing.
Chained register Een register waarin elke vermelding de stempel van de vorige vermelding bevat: elke wijziging breekt de ketting. Alle bewijsstukken worden hier toegevoegd, alleen.
Stempel De kop van het register, gepubliceerd buiten de machine die het beheert. Elke dag wordt deze versie in Git opgeslagen, op twee afstandsrepositories: deze onthult een truncatie die de ketting alleen niet ziet.
Omgekeerde verificatie Een controle bewust mislukken om aan te tonen dat deze wel mislukt kan. Vereist voor elke sensor voor de acceptatie.
Auditrapport Een compleet export: catalogus, statuten, bewijsstukken, incidenten, methode. Op aanvraag, in één bestand.

Lees verder

Dernière vérification de cette page : 2026-09-11