Lesson 7.pptx

# Disseminatie van cyberdreigingsinformatie Dit onderwerp gaat over de methoden en protocollen voor het effectief verspreiden van voltooide cyberdreigingsinformatie naar de juiste ontvangers. ### 1.1 Belang van disseminatie De effectiviteit van cyberdreigingsinformatie (CTI) hangt sterk af van de juiste disseminatie. Het gaat erom dat de informatie de juiste persoon bereikt op het juiste moment, zodat deze actie kan ondernemen. CTI wordt doorgaans verspreid op verschillende niveaus: * **Strategisch niveau:** Informatie voor het hogere management, gericht op langetermijnrisico's en beleidsbeslissingen. * **Operationeel niveau:** Informatie voor managers en teamleiders, gericht op het plannen van beveiligingsmaatregelen en incidentrespons. * **Tactisch niveau:** Informatie voor beveiligingsanalisten en -ingenieurs, gericht op directe bedreigingen en technische mitigaties. * **Technisch niveau:** Zeer gedetailleerde informatie voor beveiligingsexperts, gericht op de implementatie van specifieke controles. Bij het verspreiden van informatie is het cruciaal om te bepalen of de informatie ook met externe partijen gedeeld mag worden. ### 1.2 Protocollen voor informatie delen Er zijn specifieke protocollen en regels opgesteld om de veilige en effectieve uitwisseling van cyberdreigingsinformatie te faciliteren. #### 1.2.1 Chatham House Rules De Chatham House Rules zijn bedoeld om de openheid van discussies te vergroten. Volgens deze regel is iedereen die deelneemt aan een bijeenkomst vrij om informatie uit de discussie te gebruiken, maar mag niet onthullen wie een specifieke opmerking heeft gemaakt. Het doel is om anonimiteit te garanderen aan de sprekers om betere internationale relaties te bevorderen. #### 1.2.2 Traffic Light Protocol (TLP) Het Traffic Light Protocol (TLP) is een set regels die bepaalt hoe gevoelige informatie mag worden gedeeld. Het kent de volgende niveaus: * **TLP: RED:** Informatie mag niet worden gedeeld buiten de directe deelnemers van de communicatie en mag niet worden opgeslagen. Deze informatie blijft strikt vertrouwelijk binnen de deelnemende partijen. * **TLP: GREEN:** Informatie is vrij te delen binnen de gemeenschap. Het is echter niet toegestaan om deze informatie publiekelijk op het internet te publiceren. * **TLP: AMBER & TLP: AMBER+STRICT:** * **AMBER:** De informatie is deelbaar binnen een organisatie en met haar klanten. * **AMBER+STRICT:** De informatie is beperkt tot de organisatie zelf. Aanvullende beperkingen kunnen worden toegevoegd. * **TLP: CLEAR:** Informatie mag ongelimiteerd worden gedeeld met iedereen. Hierbij moeten echter wel de wetten rond auteursrecht en non-disclosure agreements (NDA's) worden gerespecteerd. #### 1.2.3 Permissible Actions Protocol (PAP) Het Permissible Actions Protocol (PAP) specificeert welke acties ontvangers mogen ondernemen met de ontvangen informatie. Dit protocol is met name relevant voor het delen van informatie over kwetsbaarheden en actieve exploits. * **PAP: RED:** Alleen niet-detecteerbare passieve acties zijn toegestaan. Ontvangers mogen de informatie niet op het netwerk gebruiken voor actieve operaties, maar mogen wel passieve acties uitvoeren op logs die van buitenaf niet detecteerbaar zijn. * **PAP: GREEN:** Actieve acties zijn toegestaan. Ontvangers mogen de informatie gebruiken om bijvoorbeeld de doelwitten te pingen, inkomend/uitgaand verkeer te blokkeren, of honeypots specifiek te configureren om met het doelwit te interageren. * **PAP: AMBER:** Passieve cross-checks zijn toegestaan. Ontvangers mogen de informatie gebruiken voor online checks, zoals VirusTotal, of voor het monitoren van een honeypot. * **PAP: WHITE:** Er zijn geen beperkingen in het gebruik van deze informatie. ### 1.3 Feedback loop en verbetering Het is essentieel om een feedback loop te hebben in het CTI-proces. Dit betekent dat er mechanismen moeten zijn om feedback te verzamelen over de bruikbaarheid en effectiviteit van de verstrekte informatie. #### 1.3.1 Belang van feedback Feedback helpt bij het verfijnen van het gehele CTI-levenscyclus: * **Planning & Direction:** Feedback kan de prioriteiten en focus van de informatieverzameling bijsturen. * **Collection:** Ontvangers kunnen aangeven welke soorten informatie ontbreken of onvoldoende zijn. * **Analysis:** Feedback kan de interpretatie van data verbeteren en de nauwkeurigheid van analyses verhogen. * **Reporting:** De manier van rapporteren kan worden aangepast aan de behoeften van de ontvangers. * **Dissemination:** De methoden en kanalen voor verspreiding kunnen worden geoptimaliseerd. #### 1.3.2 Typische feedbackbronnen Feedback kan afkomstig zijn van: * Beveiligingsteams die de informatie gebruiken voor incidentrespons. * Management die de informatie gebruikt voor strategische besluitvorming. * Samenwerkende organisaties en partners. #### 1.3.3 Hoe feedback het CTI-proces verfijnt Door feedback te integreren, kan CTI relevanter, nauwkeuriger en directer toepasbaar worden. Dit leidt tot een proactievere en effectievere beveiligingshouding. --- ### 1.4 Vulnerability Intelligence in Disseminatie Hoewel dit specifiek gaat over de verspreiding van *voltooide* CTI, is het belangrijk te erkennen dat vulnerability intelligence hierbij een cruciale rol speelt. Kwetsbaarheidsinformatie (vulnerability intelligence) richt zich op specifieke technische tekortkomingen die door aanvallers kunnen worden uitgebuit. * **Context:** Er worden jaarlijks tienduizenden nieuwe CVE's (Common Vulnerabilities and Exposures) gepubliceerd. Het is onmogelijk om alle kwetsbaarheden te patchen. Prioritering is dus essentieel. * **Voorbeeld:** De gemiddelde tijd om een kwetsbaarheid te exploiteren is ongeveer 16.5 dagen, terwijl de tijd om deze te herstellen gemiddeld 39 dagen is. Dit onderstreept de noodzaak voor snelle en gerichte mitigatie. * **Frameworks:** Frameworks zoals CVSS (Common Vulnerability Scoring System), EPSS (Exploit Prediction Scoring System) en de CISA KEV (Known Exploited Vulnerabilities) lijst helpen bij het prioriteren van kwetsbaarheden op basis van ernst, waarschijnlijkheid van exploitatie en actieve uitbuiting. Wanneer vulnerability intelligence is verrijkt en geanalyseerd, wordt het onderdeel van de CTI-output die gedissemineerd moet worden. De disseminatie van deze informatie kan dan plaatsvinden met behulp van de hierboven beschreven protocollen (zoals TLP en PAP), afhankelijk van de gevoeligheid en het beoogde gebruik van de informatie. > **Tip:** Combineer verschillende bronnen en methoden voor het delen van informatie, zoals TLP voor gevoeligheidsniveaus en PAP voor toegestane acties, om een robuust en flexibel disseminatieproces te creëren. --- # Kwetsbaarheidsintelligentie en prioritering Hier is de studiehandleiding voor "Kwetsbaarheidsintelligentie en prioritering". ## 2. Kwetsbaarheidsintelligentie en prioritering Dit onderwerp verkent de noodzaak om kwetsbaarheden te prioriteren op basis van gegevens zoals tijd tot exploitatie en herstelduur, en bespreekt verschillende frameworks en systemen voor het beoordelen en beheren van kwetsbaarheden. ### 2.1 Het belang van kwetsbaarheidsintelligentie De digitale wereld produceert continu nieuwe kwetsbaarheden, met meer dan 40.000 nieuwe CVE's (Common Vulnerabilities and Exposures) alleen al in 2024. De tijd die nodig is om een kwetsbaarheid te 'wapeniseren' (klaar te maken voor exploitatie) is gemiddeld 16,5 dagen, terwijl het oplossen ervan gemiddeld 39 dagen duurt. Gezien de enorme hoeveelheid kwetsbaarheden is het onmogelijk om alles tegelijk te patchen; daarom is effectieve prioritering essentieel. Studies tonen aan dat 88,2% van de kwetsbaarheden wordt aangepakt met behulp van geprioriteerde benaderingen. #### 2.1.1 Wat zijn veelvoorkomende kwetsbaarheden? * **Softwarefouten:** Zwakheden in code die aanvallers kunnen misbruiken. * **Hardwarefouten:** Fysieke componenten met kwetsbaarheden die geëxploiteerd kunnen worden. * **Configuratieproblemen:** Fouten in de configuratie die risico's creëren. * **Zero-days:** Kwetsbaarheden waarvoor nog geen patch beschikbaar is. * **Proof-of-concept exploits (PoC):** Demonstraties die aantonen dat een kwetsbaarheid geëxploiteerd kan worden. #### 2.1.2 Waarom is kwetsbaarheidsintelligentie belangrijk? Kwetsbaarheidsintelligentie is gericht op de specifieke gebreken die aanvallers kunnen exploiteren. In combinatie met bredere bedreigingsintelligentie (die inzichten biedt in aanvallers, hun methoden en motivaties) vormt het een compleet risicoprofiel voor het ontwikkelen van effectieve mitigerende strategieën. > **Tip:** Kwetsbaarheidsintelligentie en bedreigingsintelligentie vullen elkaar aan om een holistisch beeld te geven van de potentiële risico's. ### 2.2 De rol van CVE's en hun verrijking Een CVE (Common Vulnerabilities and Exposures) is een unieke identifier voor een publiek bekende cyberbeveiligingskwetsbaarheid. CVE's zijn cruciaal voor het volgen en beheren van kwetsbaarheden. #### 2.2.1 Integratie in de intelligentiecyclus Het integreren van CVE's in de CTI-levenscyclus omvat verschillende stappen: * **Planning & Richting:** Identificeren van prioritaire technologieën, risico's en hiaten. * **Verzameling:** Monitoren van adviezen, de CISA KEV-lijst, openbare bronnen (OSINT), leveranciersbulletins en het dark web. * **Verwerking:** Normaliseren en dedupliceren van CVE-gegevens, en het verrijken ervan met informatie zoals EPSS (Exploit Prediction Scoring System) en links naar bedreigingsactoren. #### 2.2.2 Voorbeelden van CVE's en hun context * CVE-2025-10035 (GoAnywhere MFT) * CVE-2021-44228 (Apache Log4j / Log4Shell) * CVE-2020-5902 (F5 BIG-IP TMUI RCE) * CVE-2014-6271 (Bash / Shellshock) * CVE-2016-9335 (Red Lion Sixnet Industrial Switches) * CVE-2019-11061 (ASUS HG100 IoT Authentication Bypass) ### 2.3 Frameworks voor het beoordelen en prioriteren van kwetsbaarheden Verschillende frameworks helpen organisaties om de ernst en waarschijnlijkheid van exploitatie van kwetsbaarheden te beoordelen en te prioriteren. #### 2.3.1 CVSS (Common Vulnerability Scoring System) CVSS is een gestandaardiseerd systeem voor het toekennen van scores aan de ernst van softwarekwetsbaarheden. * **Base Metrics:** Beschrijven de inherente kenmerken van een kwetsbaarheid, zoals aanvalsvector, complexiteit en impact. * **Temporal Metrics:** Evalueren de veranderende aard van een kwetsbaarheid over tijd. * **Exploit Code Maturity:** De beschikbaarheid en volwassenheid van exploitcode. Een hogere score betekent een groter risico. * **Remediation Level:** De beschikbaarheid van patches of workarounds. Een lagere score duidt op een verminderd risico. * **Report Confidence:** Hoe goed een kwetsbaarheid is gevalideerd. Hogere zekerheid leidt tot een hogere score. * **Environmental Metrics:** Stellen organisaties in staat om de Base CVSS-score aan te passen op basis van hun specifieke beveiligingsvereisten en bestaande mitigerende maatregelen. * **Security Requirements:** De kritikaliteit van het getroffen systeem (bv. databases met klantgegevens krijgen hogere scores dan werkstations van niet-geprivilegieerde gebruikers). * **Modified Base Metrics:** Organisaties kunnen Base Metrics aanpassen op basis van bestaande mitigaties, zoals 'air-gapping' van systemen, wat de aanvalsvector verlaagt. > **Tip:** Door zowel Temporal als Environmental Metrics te overwegen, kan een meer nauwkeurige beoordeling van het werkelijke risico voor een specifieke omgeving worden verkregen. #### 2.3.2 EPSS (Exploit Prediction Scoring System) EPSS voorspelt de waarschijnlijkheid dat een kwetsbaarheid binnen 30 dagen wordt geëxploiteerd. Het maakt gebruik van een machine learning-model. * **Input:** CVSS-scores, exploitcode, telemetrie, adviezen, PoC-beschikbaarheid. * **Output:** Een waarschijnlijkheidsscore van 0 tot 1. * **Voorbeeld:** Voor Log4Shell (CVE-2021-44228) was de EPSS-score ongeveer 0,975, wat wijst op een 97,5% kans op exploitatie. * **Voordelen:** Voorspellend, met realtime updates. * **Nadelen:** Een wereldwijd gemiddelde, mist lokale context. > **Example:** Een kwetsbaarheid met een hoge CVSS-score (ernst) en een hoge EPSS-score (waarschijnlijkheid van exploitatie) zou een zeer hoge prioriteit moeten krijgen voor mitigatie. #### 2.3.3 CPE (Common Platform Enumeration) CPE is een gestructureerd naamgevingsschema om hardware, besturingssystemen en applicaties te identificeren. Het wordt gebruikt om kwetsbaarheden (CVE's) te koppelen aan specifieke producten. Dit is essentieel voor asset-kwetsbaarheidscorrelatie en geautomatiseerd kwetsbaarheidsbeheer. * **Voorbeeld:** `cpe:2.3:a:microsoft:edge:129.0.0:*:*:*:*:*:*` #### 2.3.4 CWE (Common Weakness Enumeration) CWE is een classificatie van software-zwakheden die kan leiden tot kwetsbaarheden. Het helpt bij het identificeren van de onderliggende oorzaken van beveiligingsproblemen. #### 2.3.5 SSVC (Stakeholder-Specific Vulnerability Categorization) SSVC biedt een beslissingsboom voor contextgestuurde prioritering, gebaseerd op verschillende beslisfactoren. Het helpt organisaties te bepalen of onmiddellijke actie vereist is. #### 2.3.6 CISA KEV (Known Exploited Vulnerabilities) De CISA KEV-lijst bevat kwetsbaarheden die actief worden geëxploiteerd. Deze lijst wordt regelmatig bijgewerkt door de U.S. Cybersecurity and Infrastructure Security Agency en is een kritieke prioriteit voor snelle mitigatie om tegen lopende aanvallen te beschermen. #### 2.3.7 Vulnerability Enrichment en Integratie Verschillende frameworks voegen lagen van context toe aan kwetsbaarheidsgegevens: * **Ontdekking:** CVSS (technische ernst) * **Context:** SSVC (missierelevantie voor de organisatie) * **Identificatie:** CPE (welk product is kwetsbaar) * **Voorspelling:** EPSS (waarschijnlijkheid van exploitatie) * **Bevestiging:** KEV (wordt het nu geëxploiteerd?) * **Reflectie:** LEV (was het eerder geëxploiteerd?) Een aanbevolen integratie voor risicogebaseerde prioritering is: `CVSS (Ernst) × EPSS (Waarschijnlijkheid) × KEV (Bewijs) → Verfijnen met SSVC (Context) → Valideren met CPE (Blootstelling)` ### 2.4 De kwetsbaarheidsintelligentie levenscyclus Deze cyclus beschrijft het proces van het omzetten van data naar actie: 1. **Planning:** Vaststellen van doelen en objectieven. 2. **Verzameling:** Data verzamelen over kwetsbaarheden en hun impact. 3. **Analyse:** Risico's beoordelen en acties prioriteren. 4. **Rapportage:** Inzichten delen voor gecoördineerde actie. 5. **Feedback:** Voortgang volgen en het proces verfijnen. #### 2.4.1 Sleutelvragen voor organisaties * **Prioritering:** Welke kwetsbaarheden vormen de grootste risico's? Hoe sturen CVSS- en EPSS-scores onze patchinspanningen? * **Bedrijfsbegrip:** Wat zijn de meest geëxploiteerde kwetsbaarheden op de CISA KEV-lijst? Welke leveranciers en producten komen consistent voor in rapporten? * **Actiegerichte inzichten:** Hoe beïnvloedt de waarschijnlijkheid van exploitatie onze patchprioriteiten? Wat zijn de herstelacties voor de meest relevante kwetsbaarheden? * **Bedrijfsimplicaties:** Wat is de potentiële impact van niet-aangepakte kwetsbaarheden op het bedrijf? Hoe prioriteren we kwetsbaarheden op basis van hun locatie (internetgericht versus intern)? * **Gegevensbronnen:** Gebruiken we CISA KEV, EPSS en andere geverifieerde databases effectief? Hoe kunnen deze bronnen onze risicogebaseerde kwetsbaarheidsbeheer aanpak verbeteren? ### 2.5 Betrouwbare bronnen voor kwetsbaarheidsintelligentie * **CISA Known Exploited Vulnerabilities (KEV):** CISA.gov - Een lijst van actief geëxploiteerde kwetsbaarheden. * **EPSS (Exploit Prediction Scoring System):** First.org - Een probabilistisch scoringsmodel voor de waarschijnlijkheid van exploitatie. * **CISA Top Exploited Vulnerabilities Reports:** Jaarlijkse rapporten, mede-auteurs van wereldwijde cybersecurity-agentschappen. * **NVD (National Vulnerability Database):** nvd.nist.gov - Een uitgebreide database met CVE-details. * **Vendor Security Advisories:** Websites van grote leveranciers (bv. Microsoft, VMware, Atlassian). * **Threat Intelligence Platforms:** Tools zoals Metasploit of exploit-db voor aanvullende inzichten. > **Tip:** Combineer meerdere bronnen voor een alomvattend begrip van het dreigingslandschap. --- # Geavanceerde persistente dreigingsgroepen (APT's) Dit onderwerp identificeert en beschrijft verschillende geavanceerde persistente dreigingsgroepen (APT's) die worden geassocieerd met specifieke landen, hun affiliaties, doelwitten, tactieken en opmerkelijke incidenten, evenals conventies voor het benoemen van deze actoren. ## 3. Geavanceerde persistente dreigingsgroepen (APT's) Geavanceerde persistente dreigingsgroepen (APT's) zijn georganiseerde entiteiten, vaak staatsgesteund, die zich richten op het verkrijgen van langdurige toegang tot specifieke netwerken om gevoelige informatie te stelen of systemen te ontwrichten. Ze onderscheiden zich door hun geavanceerde technieken, stealth, volharding en gerichte aard. ### 3.1 Russische APT's Rusland is geassocieerd met verschillende prominente APT's, die opereren onder verschillende affiliaties en met uiteenlopende doelwitten. #### 3.1.1 APT28 / Fancy Bear * **Affiliatie:** Russische GRU (militaire inlichtingendienst). * **Doelwitten:** Overheden, militaire organisaties, NAVO, media en politieke organisaties. * **Tactieken:** Spear-phishing, diefstal van inloggegevens, zero-days en supply-chain aanvallen. * **Opmerkelijk incident:** In de periode 2021-2024 schreef de Franse cybersecurity-agentschap ANSSI een reeks cyberaanvallen toe aan APT28, gericht op Franse ministeries, lokale overheden, de luchtvaart- en financiële sectoren en organisaties die betrokken waren bij de planning van de Olympische Spelen van 2024. De campagne omvatte infiltratiepogingen voor inlichtingenvergaring en operaties met de kenmerken van verkiezingsbemoeienis, gekoppeld aan Russische belangen. #### 3.1.2 APT29 / Cozy Bear * **Affiliatie:** SVR (Russische buitenlandse inlichtingendienst). * **Doelwitten:** Overheden, diplomatieke instanties, technologie- en onderzoeksinstellingen. * **Tactieken:** "Living-off-the-land" technieken (gebruik van legitieme tools), supply-chain aanvallen en stealthy persistentie. * **Opmerkelijk incident:** De supply-chain compromis van SolarWinds (SUNBURST backdoor) in 2020. Ongeveer 18.000 klanten van het Orion-platform installeerden de kwaadaardige update. Hoogwaardige slachtoffers, waaronder Amerikaanse overheidsinstanties, werden later geselecteerd voor volledige toegang. APT29 injecteerde een backdoor in een legitieme update, vestigde heimelijk persistente toegang en verplaatste zich naar doelnetwerken. #### 3.1.3 Turla / Snake / Uroburos * **Affiliatie:** FSB (Federale Veiligheidsdienst). * **Doelwitten:** Overheden, defensie, energie en ambassades in Europa en het Midden-Oosten. * **Tactieken:** Custom implants, modulaire backdoors en het kapen van satellietverbindingen. * **Opmerkelijk incident:** In 2016 compromitteerde Turla de Zwitserse defensieaannemer RUAG, waarbij gevoelige informatie werd geëxfiltreerd, waaronder de identiteiten van leden van een elite Zwitserse eenheid. Turla infiltreerde ook Tsjechische overheidsnetwerken in 2016-2017. De groep gebruikte zijn "Snake" malware en kaapte satelliet- en cybercriminele infrastructuur voor heimelijke spionagecampagnes. #### 3.1.4 Sandworm / BlackEnergy Group * **Affiliatie:** GRU Unit 74455. * **Doelwitten:** Kritieke infrastructuur, energiesector en militaire sectoren. * **Tactieken:** Destructieve malware (zoals Industroyer en NotPetya), wipers en verstoring van Industriële Controle Systemen (ICS). * **Opmerkelijk incident:** Op 23 december 2015 orkestreerde Sandworm een aanval op het Oekraïense elektriciteitsnet, waarbij de BlackEnergy3 malware en de KillDisk wiper werden gebruikt om onderstations in twee westelijke oblasten te ontregelen, waardoor ongeveer 225.000 klanten zonder stroom kwamen te zitten. Deze campagne was de eerste publiekelijk erkende succesvolle cyberaanval op een nationaal elektriciteitsnet. Latere aanvallen in 2016/2022 maakten gebruik van Industroyer2, CaddyWiper, en andere tools. ### 3.2 Noord-Koreaanse APT's Noord-Korea is geassocieerd met APT's die zich richten op financiële winst en technologische ontwikkeling. #### 3.2.1 APT38 / Lazarus Group * **Affiliatie:** Door de staat gesponsorde cyberunits van de Democratische Volksrepubliek Korea (DPRK). * **Doelwitten:** Financiële instellingen, cryptocurrency, defensie en media. * **Tactieken:** Social engineering, ransomware en crypto-diefstalmalware. * **Opmerkelijk incident:** In juni 2022 stalen door Noord-Korea gelieerde actoren (APT38) ongeveer $100 miljoen aan cryptocurrency van de Horizons-brug. De groep gebruikte cryptografische layering en laundering via het Railgun-systeem om de gestolen fondsen te verplaatsen. ### 3.3 Chinese APT's China is geassocieerd met APT's die opereren onder de paraplu van staatsinlichtingen. #### 3.3.1 APT10 / Cloud Hopper * **Affiliatie:** Ministerie van Staatsveiligheid (MSS). * **Doelwitten:** Managed Service Providers (MSPs), telecombedrijven, luchtvaart, productie en R&D. * **Tactieken:** Supply-chain compromis, backdoors en diefstal van inloggegevens. * **Opmerkelijk incident:** Van ongeveer 2014 tot 2018 compromitteerde Operatie Cloud Hopper wereldwijd grote Managed Service Providers (MSPs) om toegang te krijgen tot klantnetwerken, wat werd toegeschreven aan APT10. De aanvallers maakten gebruik van gecompromitteerde MSP-inloggegevens, laterale bewegingen via het MSP-klant-ecosysteem en bereikten honderden bedrijfs- en overheidsdoelen in veel landen. ### 3.4 Iraanse APT's Iran heeft APT's die zich richten op strategische sectoren en politieke tegenstanders. #### 3.4.1 APT33 / Elfin * **Affiliatie:** Islamitische Revolutionaire Garde Corps (IRGC). * **Doelwitten:** Luchtvaart, energie, overheid en industriële controlesystemen. * **Tactieken:** Spear-phishing, diefstal van inloggegevens en destructieve malware (zoals Shamoon-varianten). * **Opmerkelijk incident:** APT33 richtte zich op luchtvaart- en petroleumbedrijven via spear-phishing, valse vacatures en HTA-malware tussen ongeveer 2016-2017. De groep is waargenomen bij het voorbereiden van disruptieve ICS-operaties en heeft zich gericht op de Iraanse petrochemische/luchtvaart strategische sectoren. ### 3.5 Pakistaanse APT's Pakistan is geassocieerd met APT's die zich richten op specifieke geopolitieke rivalen. #### 3.5.1 APT36 / Transparent Tribe * **Affiliatie:** Pakistanse militaire inlichtingendienst. * **Doelwitten:** Indiase overheid, militair en onderwijsinstellingen. * **Tactieken:** Spear-phishing, remote-access trojans (Crimson RAT) en Android spyware. * **Opmerkelijk incident:** APT36 maakte gebruik van spear-phishing campagnes (Operatie Transparent Tribe) gericht op Indiase militaire personeel en overheidsfunctionarissen vanaf ongeveer 2016. Meer recentelijk, in 2022, gebruikte de groep de nieuwe "Limepad" malware gericht op Indiase overheidsmedewerkers. Campagnes omvatten Android spyware (CapraRAT) en phishing via getrojaniseerde apps (MeetsApp / MeetUp) gericht op Indiase overheids- en defensiesectoren. ### 3.6 Amerikaanse APT's De Verenigde Staten zijn, via hun inlichtingendiensten, ook betrokken bij geavanceerde cyberoperaties. #### 3.6.1 Equation Group * **Affiliatie:** Tailored Access Operations (TAO) van de NSA. * **Doelwitten:** Wereldwijde telecommunicatie, overheden en technologieaanbieders. * **Tactieken:** Firmware-implants, custom malware frameworks en netwerkexploitatie tools. * **Opmerkelijk incident:** In 2016 lekte de groep bekend als Shadow Brokers hacktools en exploits die naar verluidt toebehoorden aan Equation Group (gelieerd aan de NSA). Kaspersky bevestigde code-overeenkomsten met de malware van Equation. De lekken omvatten firewall exploits, scripts en tools daterend uit 2010, wat leidde tot de publieke verspreiding van wapengebruikte cybertools (zoals die hergebruikt in WannaCry) en een verhoogd bewustzijn van offensieve cybercapaciteiten. ### 3.7 Conventies voor naamgeving van APT's Verschillende cybersecuritybedrijven hanteren hun eigen conventies voor het benoemen van bedreigingsactoren, vaak gebaseerd op hun motivatie, landaffiliatie of tactieken. #### 3.7.1 Microsoft Actor Naming Conventions Microsoft hanteert vijf hoofdcategorieën, gebaseerd op motivatie: * **Nation-state actors:** Geassocieerd met statelijke actoren. * **Financially motivated actors (Tempest):** Gericht op financieel gewin. * **Private sector offensive actors (Tsunami):** Particuliere entiteiten die offensieve cybercapaciteiten aanbieden. * **Influence operations (Flood):** Gerelateerd aan desinformatie en beïnvloedingscampagnes. * **Groups in development (Storm):** Opkomende groepen. Voorbeelden: Volt Typhoon, Storm-0288, Midnight Blizzard. Voorheen gebruikte Microsoft element-gebaseerde namen zoals "NOBELIUM". #### 3.7.2 Crowdstrike Actor Naming Conventions Crowdstrike deelt bedreigingsactoren in drie categorieën in: * **Nation-state actors performing espionage:** Benoemd naar het nationale dier van het betreffende land. * **Financially motivated (Spider):** Gerelateerd aan financieel gewin. * **Hacktivists (Jackal):** Hackers die politieke of sociale doelen nastreven. Voorbeelden: Scattered Spiders, Mustang Panda. #### 3.7.3 Recorded Future Actor Naming Conventions Recorded Future gebruikt verschillende methoden: * **State-Sponsored APTs:** Benoemd met een kleur of kleurmengsel van de nationale vlag van het toegewezen land, of een uniek codewoord uit het NAVO-fonetische alfabet (bv. "RedDelta"). * **Threat activity groups:** Aangeduid met "TAG-" gevolgd door een nummer (bv. "TAG-22"), waarbij TAG's landaffiliatie-agnostisch zijn. * **Advanced Cybercriminal Gangs:** Groepen zonder namen krijgen een "Gray" + kardinaal getal (bv. "Grey2"), terwijl groepen die zichzelf benoemen hun eigen namen behouden (bv. "Conti Ransomware Gang"). * **Hacktivists:** Zelfbenoemde groepen (bv. "KillNet"). #### 3.7.4 Palo Alto's Unit 42 Actor Naming Conventions Unit 42 hanteert een naam bestaande uit twee delen: de naam van een sterrenbeeld en een modificerend woord. De vijf categorieën zijn: Cybercrime (General), Business Email Compromise, Ransomware, Hacktivism, en Nation-State focused on Espionage. Voorbeelden: Pensive Ursa (Turla), Howling Scorpius (Akira) en Ignoble Scorpius (BlackSuit). #### 3.7.5 Mandiant (GTI) Actor Naming Conventions Mandiant categoriseert groepen als volgt: * **APT##:** Staatsgesponsorde dreigingsgroepen met langdurige, persistente operaties. * **FIN##:** Financieel gemotiveerde groepen geïdentificeerd door Mandiant. * **TEMP.:** Tijdelijke cluster-designators gebruikt wanneer Mandiant een activiteitcluster ziet, maar het nog niet zelfverzekerd kan toewijzen aan een bestaande groep of een nieuwe APT/FIN-groep kan creëren. * **UNC (Unknown/Unclassified):** Gebruikt wanneer Mandiant een distinct activiteitcluster heeft geïdentificeerd, maar het nog niet kan toewijzen aan een bekende APT/FIN-groep, bevestigen dat het een coherente groep is (in plaats van overlappende operators), of voldoen aan de bewijsdrempel voor formele promotie. Voorbeelden: APT41, FIN7, TEMP. Armageddon, UNC484. #### 3.7.6 MITRE Actor Naming Conventions MITRE gebruikt een prefix "G" gevolgd door een sequentieel nummer (bv. G0016). Dit is niet-semantisch en er is één ID per MITRE-gedefinieerde groep. Aliassen worden apart behandeld en er zijn geen gereserveerde bereiken. Voorbeelden: G0016 (APT29), G0032 (FIN7), G0096 (Lazarus Group). --- ## Veelgemaakte fouten om te vermijden - Bestudeer alle onderwerpen grondig voor examens - Let op formules en belangrijke definities - Oefen met de voorbeelden in elke sectie - Memoriseer niet zonder de onderliggende concepten te begrijpen

| Term | Definition | |------|------------| | Cyberdreigingsinlichtingen (CTI) | Het proces van het verzamelen, verwerken en analyseren van informatie over cyberdreigingen om een beter begrip te krijgen van de bedreigingen, hun motivaties, capaciteiten en intenties, met als doel proactieve verdedigingen en reacties te verbeteren. | | Strategisch niveau | Inlichtingen die bedoeld zijn voor leiderschap en besluitvormers op hoog niveau, gericht op langetermijnrisico's, trends en de algemene cyberbeveiligingshouding van een organisatie. | | Operationeel niveau | Inlichtingen die gericht zijn op managers en beveiligingsteams, met details over de tactieken, technieken en procedures (TTP's) van bedreigingsactoren en hun lopende campagnes. | | Tactisch niveau | Inlichtingen die gedetailleerde technische informatie bevatten over specifieke bedreigingen, zoals malware-indicatoren, IP-adressen en domeinnamen, bedoeld voor directe beveiligingsmaatregelen. | | Chatham House Rules | Een regel die van toepassing is op discussies waarbij deelnemers informatie uit de discussie vrij mogen gebruiken, maar de identiteit van de sprekers niet mogen onthullen, om openheid en eerlijkheid te bevorderen. | | Traffic Light Protocol (TLP) | Een protocol dat wordt gebruikt om de verspreiding van gevoelige informatie te reguleren, met verschillende kleurbenamingen (RED, AMBER, GREEN, CLEAR) die aangeven aan wie de informatie mag worden gedeeld. | | Kwetsbaarheidsintelligentie | Een specifiek type cyberdreigingsinlichtingen dat zich richt op het identificeren en analyseren van zwakheden (kwetsbaarheden) in software, hardware of configuraties die door aanvallers kunnen worden uitgebuit. | | CVE (Common Vulnerabilities and Exposures) | Een gestandaardiseerde lijst van publiekelijk bekende informatiebeveiligingskwetsbaarheden en -blootstellingen, die een unieke identificatiecode bevat voor elke geregistreerde kwetsbaarheid. | | CVSS (Common Vulnerability Scoring System) | Een open industriestandaard voor het beoordelen van de ernst van beveiligingskwetsbaarheden, die numerieke scores toekent op basis van verschillende metrische groepen om de potentiële impact te kwantificeren. | | EPSS (Exploit Prediction Scoring System) | Een systeem dat de waarschijnlijkheid voorspelt dat een kwetsbaarheid binnen 30 dagen zal worden geëxploiteerd, gebruikmakend van machine learning op basis van diverse databronnen. | | KEV (Known Exploited Vulnerabilities) | Een lijst van kwetsbaarheden die actief door bedreigingsactoren worden uitgebuit, samengesteld en bijgehouden door CISA (Cybersecurity and Infrastructure Security Agency) om de focus op de meest urgente bedreigingen te vergemakkelijken. | | APT (Advanced Persistent Threat) | Een geavanceerde, aanhoudende dreiging, meestal een groep die door een staat wordt gesteund of gefinancierd, die zich richt op specifieke organisaties of landen met als doel langdurige infiltratie, spionage of verstoring. | | TTP's (Tactics, Techniques, and Procedures) | De methoden en werkwijzen die door bedreigingsactoren worden gebruikt om hun doelen te bereiken, zoals gedefinieerd door frameworks zoals MITRE ATT&CK. | | Zero-day | Een kwetsbaarheid die nog niet publiekelijk bekend is of waarvoor nog geen patch beschikbaar is, waardoor deze zeer waardevol is voor aanvallers. | | Proof-of-Concept (PoC) | Een demonstratie of code die de exploitatie van een kwetsbaarheid aantoont, vaak gebruikt om de ernst van de kwetsbaarheid te bewijzen of om een aanval te reproduceren. | | MITRE ATT&CK | Een wereldwijd toegankelijke kennisbasis van de tactieken en technieken van vijanden, gebaseerd op echte observaties, die dient als een gemeenschappelijke taal voor cyberbeveiligingskaders. | | CPE (Common Platform Enumeration) | Een gestandaardiseerd naamgevingsschema voor het identificeren van hardware-, besturingssysteem- en softwareproducten, gebruikt om kwetsbaarheden te correleren met specifieke activa. | | CWE (Common Weakness Enumeration) | Een lijst met veelvoorkomende software- en hardwarezwakheden die kunnen leiden tot kwetsbaarheden, nuttig voor het identificeren en aanpakken van programmeerfouten. | | SSVC (Stakeholder-Specific Vulnerability Categorization) | Een beslissingsboomkader dat contextafhankelijke prioritering van kwetsbaarheden mogelijk maakt op basis van gedefinieerde beslissingsfactoren en de missie van een organisatie. | | Indicatoren van Compromis (IoC's) | Digitale artefacten die wijzen op een mogelijke inbraak op een netwerk, zoals verdachte IP-adressen, domeinnamen, bestands-hashes en afwijkende netwerkactiviteit. |