Antwoord — van signaal naar actie¶

Machinevertaling van het Franse origineel.

Een detectie die niets oplevert, is nutteloos. Deze pagina beschrijft wat er gebeurt na: wie erover geïnformeerd wordt en via welke route, wat het park zelf doet, hoe er onderzocht wordt tijdens het incident, en hoe een ernstig incident wordt gemeld.

De technische termen verwijzen naar de glossaris.

sequenceDiagram
    autonumber
    participant D as Détecteur
    participant S as SIEM
    participant R as Réponse automatique
    participant H as Répartiteur d'alertes
    participant O as Opérateur
    participant V as Investigation à chaud
    participant I as Registre d'incidents

    D->>S: événement
    S->>S: règle → identifiant → niveau
    alt règle liée à une action
        S->>R: blocage, redémarrage ou isolement
        Note over R: toujours avec une durée :<br/>le blocage se lève seul
    end
    S->>H: alerte filtrée par identifiant de règle
    H->>O: deux messageries, un seul envoi
    O->>V: question posée à toute la flotte
    V-->>O: une réponse par machine
    opt incident important
        O->>I: déclaration datée
        I-->>O: échéances 24 h · 72 h · 1 mois
    end

1. Informeren — één route¶

Iedereen die iets moet melden, doet dit via een unieke router, die het doorstuurt naar twee verschillende communicatiekanalen. Er is een directe terugkoppeling mogelijk voor het geval dat de router zelf niet reageert. De stappen, formaten en valkuilen zijn beschreven in de procedure Een melding verzenden.

Waarom één route: een derde route voor het informeren betekent een derde route om te onderhouden, en dat is altijd de route die we vergeten, en die op het moment dat hij nodig is, stilvalt. Een zender kent de bestemmingen niet; wanneer er een wijziging is, verplaatst alleen de kaart van de router zich.

Drie regels bepalen wat er verstuurd wordt:

Filteren op regel-identificatie. Een filter per groep stuurt regels door en maakt dubbelen. En het niveau van ernst bepaalt ook wat er verstuurd wordt: een detectie die zijn eigen route heeft, moet onder het algemene drempelniveau blijven, anders komt het twee keer binnen.
Meten voordat je activeert. Een nieuwe detector gaat eerst door een periode van alleen meten, met een vooraf bepaalde datum waarop de detectie wordt geactiveerd. Je activeert een alarm waarvan je het volume kent, niet een alarm waarvan je het volume ontdekt.
Een herhaald alarm heeft een hysteresis en de duur van de reeks. "Altijd mis, al 3 dagen" staat er; dezelfde regel die elke uur wordt herhaald, wordt niet meer gelezen.

2. Zelf handelen — automatische reactie¶

Un SIEM qui détecte, corrèle et notifie sans jamais agir laisse ouverte toute la fenêtre entre l'alerte et le moment où un humain la lit — la nuit, cette fenêtre se compte en heures.

La réponse automatique de Wazuh dispose de trois gestes :

Geste	Ce qu'il fait
Blokkeren van een bron	Regel voor de firewall die op de host staat ingesteld, tegen de adres dat de detectie heeft veroorzaakt
Herstarten van een service	Voor detecties die aangeven dat een service in een abnormale staat staat
Isoleren van een container	Het afsluiten van het verkeer door middel van een specifieke regel, en een bericht naar de router om een mens de controle over te geven

En drie belangrijke punten, die belangrijker zijn dan de individuele stappen:

Elke stap is gekoppeld aan specifieke regel-identificaties, nooit aan een groep: een automatische actie moet alleen worden geactiveerd op detecties die één voor één zijn geregistreerd.
Elke blokkade heeft een duur (timeout). Een permanente blokkade op een vals positief is een fout die we onszelf toebrengen, en die wordt nog langer, omdat niemand weet dat deze bestaat.
De blokkades zijn gebaseerd op wat de host daadwerkelijk ziet. Voor webverkeer ziet de host van de container het IP-adres van de rand, niet dat van de client: CrowdSec, op de applicatielaag, handelt hier. De automatische reactie van het SIEM verwerkt de bronnen die de host direct ziet.

De indicator. Een sensor leest de blokkades en de opgeloste blokkades één week lang, en vereist dat er geen enkele orphan blokkade meer is — een blokkade die is geplaatst, maar nooit is opgeheven. Een defect mechanisme om een blokkade op te heffen, wordt anders niet gezien: de blokkades stapelen zich op.

3. Onderzoeken tijdens het incident — Velociraptor¶

Het SIEM verzamelt gegevens volgens vooraf bepaalde regels. Het beantwoordt niet op de vraag die men zich tijdens het incident stelt, en die men niet van tevoren had voorzien: "Welke binaries zijn op deze drie machines uitgevoerd sinds gisteren? Welke verbindingen zijn nu open, en via welke processen?". Zonder een tool, onderzoekt elke machine zelf, één voor één — en dit kost veel tijd.

Velociraptor is het hulpmiddel van DFIR in het park: een server en een client op elke machine — hypervisor, container hosts, GPU host, server buiten het netwerk en een macOS-station. Een vraag wordt geschreven in VQL en wordt naar de hele vloot gestuurd (hunt).

Keuze	Waarom
Verificatie van de ondertekening vóór de installatie	Een tool die controle heeft over alle machines is het meest kosteneffectieve doel in het park
Netwerk- en privémesh-interface alleen, zonder publieke naam	Er is geen reden waarom het internet dit zou kennen
Connectie via OIDC, alleen voor het beheerdersaccount	Eén autoriteit voor identiteit, zelfs hier
Client met beperkte CPU- en geheugenbronnen op de hypervisor	Een onderzoek mag geen al het virtuele verkeer vertragen
Opslag van de servercertificaat op twee locaties	Het verliezen ervan zou betekenen dat elke client opnieuw moet worden geregistreerd

De getuige. Een inventarisopdracht die op de hele vloot wordt gestart, moet evenveel antwoorden opleveren als er clients zijn. De tool onderscheidt twee soorten storingen: een client die afwezig is (nooit geregistreerd, of verwijderd) en een client die stil is (geregistreerd, maar reageert niet meer). De eerste kan worden opgelost door het opnieuw registreren, de tweede door een onderzoek.

De nuttige stappen bij een incident worden gedocumenteerd in een handleiding, die vooraf wordt opgesteld.

4. Rapporter – het incidentregister¶

NIS2 stelt de betrokken partijen, voor elk belangrijk incident, aan drie deadlines: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Het park is niet onderworpen aan deze richtlijn; het past de mechaniek toe, omdat dit ervoor zorgt dat een incident wordt gekwalificeerd in plaats van dat het in een discussie verdwijnt.

Het register bevat de beschrijving, de datum van detectie en de kwalificatie. Voor een belangrijk incident berekent het de deadlines en markeert het elke overschrijding. Een tool controleert dit.

Wat de tool niet bewijst

Het bewijst dat de deadlines voor gerapporteerde incidenten worden nageleefd. Het bewijst niet dat een daadwerkelijk incident is gerapporteerd: een leeg register is voldoende. Deze limiet staat vermeld in de kop van de tool zelf – zie Naleving.

Er zijn drie verschillende objecten, die niet verward mogen worden:

Object	Wat het bevat
Het incidentrapport	De beschrijving: wat we hebben gezien, gedacht, gemeten en gecorrigeerd
Het ticket	De status: open, opgelost, en de manier om de oplossing te controleren
Het register	De wettelijke deadlines voor een belangrijk geïdentificeerd incident

Geen van de drie vervangt de andere.

Om verder te lezen¶

Detectie – waar de signalen vandaan komen.
Continuïteit – wanneer het incident iets heeft beschadigd.
Het sturen van een melding – de handeling.

Dernière vérification de cette page : 2026-09-11