Threat intelligence: hoe organisaties cyberdreigingen leren voorspellen
Stel je een buurtwacht voor, maar dan voor het internet. Buren houden elkaar op de hoogte van verdachte auto's, inbrekers die net zijn gesignaleerd, of een nieuwe truc waarmee oplichters aanbellen. Threat intelligence, ofwel dreigingsinformatie, werkt in de kern hetzelfde: bedrijven, overheden en beveiligingsonderzoekers verzamelen en delen informatie over wie hen digitaal aanvalt, hoe die aanvallers te werk gaan, en welke sporen ze achterlaten.
Het verschil met een simpele virusscanner is dat threat intelligence niet alleen kijkt naar 'is dit bestand kwaadaardig', maar naar het grotere plaatje: welke criminele groepen of statelijke actoren zijn actief, wat is hun motief, welke technieken gebruiken ze, en welke organisaties lopen risico. Die kennis wordt vertaald naar bruikbare waarschuwingen, zodat een bedrijf een aanval kan herkennen en stoppen vóórdat er schade ontstaat, in plaats van pas achteraf op te ruimen.
Wat is het precies?
Threat intelligence begint met het verzamelen van ruwe data. Dat gebeurt op allerlei plekken: logbestanden van aangevallen systemen, verkeer op het zogeheten dark web (delen van het internet die niet via gewone zoekmachines te vinden zijn en vaak gebruikt worden voor illegale handel), openbare bronnen zoals nieuwsartikelen en beveiligingsblogs, en zelfs 'honeypots' — nepsystemen die expres kwetsbaar lijken om aanvallers te lokken en te bestuderen.
Die ruwe data is op zichzelf weinig waard. De volgende stap is analyse: onderzoekers zoeken naar patronen. Gebruikt een aanvaller steeds dezelfde soort e-mailonderwerpen bij phishing? Maakt een groep gebruik van specifieke servers of software-tools? Deze kenmerken worden vastgelegd als zogeheten 'indicators of compromise' (IOC's), concrete sporen zoals een IP-adres, een bestandshandtekening of een domeinnaam die op een aanval wijzen.
Om dreigingen onderling vergelijkbaar te maken, gebruikt de sector gedeelde classificatiesystemen. Het bekendste is MITRE ATT&CK, een uitgebreide, publiek toegankelijke database die aanvalstechnieken indeelt in stappen: hoe krijgt een aanvaller eerste toegang, hoe verplaatst hij zich door een netwerk, hoe steelt hij data. Door aanvallen tegen dit raamwerk af te zetten, kunnen analisten van verschillende organisaties dezelfde taal spreken.
Tot slot wordt de informatie gedeeld en toegepast. Dat gebeurt via geautomatiseerde feeds die rechtstreeks in beveiligingssystemen worden ingeladen, via besloten samenwerkingsverbanden tussen bedrijven in dezelfde sector, of via rapporten die uitleggen wie een aanval waarschijnlijk heeft uitgevoerd en waarom.
Wat wil men ermee bereiken?
Het hoofddoel is simpel: van reactief naar proactief werken. Zonder dreigingsinformatie ontdekt een organisatie een hack vaak pas als de schade al is aangericht — data is gestolen, systemen liggen plat. Met goede threat intelligence kan een securityteam vooraf weten welke groepen hun sector viseren, welke kwetsbaarheden actief worden misbruikt, en dus gericht maatregelen nemen.
Een tweede doel is prioritering. Grote organisaties krijgen dagelijks duizenden waarschuwingen van hun beveiligingssystemen; het menselijk vermogen om die allemaal te onderzoeken is beperkt. Dreigingsinformatie helpt bepalen welke meldingen kritiek zijn omdat ze passen bij een bekende, actieve aanvalscampagne, en welke minder urgent zijn.
Daarnaast speelt attributie een rol: het proces van vaststellen wie er achter een aanval zit. Dat is deels technisch (welke tools en infrastructuur zijn gebruikt) en deels geopolitiek, want overheden gebruiken attributie ook om publiekelijk statelijke actoren aan te wijzen, wat diplomatieke gevolgen kan hebben. Attributie blijft echter notoir onzeker: aanvallers vervalsen bewust sporen om onderzoekers op het verkeerde been te zetten.
Voorbeelden uit de praktijk
Een van de bekendste doorbraken in het vakgebied was het APT1-rapport van beveiligingsbedrijf Mandiant in 2013. Daarin werd voor het eerst met gedetailleerd technisch bewijs een specifieke Chinese militaire eenheid gekoppeld aan jarenlange spionagecampagnes tegen westerse bedrijven. Het rapport zette de norm voor hoe dreigingsrapporten worden opgebouwd.
Het MITRE ATT&CK-framework, gelanceerd in 2013 en sindsdien continu uitgebreid, is uitgegroeid tot een de-facto wereldstandaard. Grote softwareleveranciers als Microsoft en Google verwijzen in hun eigen dreigingsrapporten standaard naar ATT&CK-technieken.
Microsoft publiceert via zijn Microsoft Threat Intelligence Center regelmatig analyses van statelijke hackgroepen; een spraakmakend voorbeeld was de gezamenlijke ontmaskering (met andere partijen) van de SolarWinds-aanval eind 2020, waarbij honderden organisaties wereldwijd via besmette software-updates werden geïnfiltreerd.
In Nederland speelt het Nationaal Cyber Security Centrum (NCSC) een centrale rol in het delen van dreigingsinformatie tussen overheid en vitale sectoren, onder meer via de zogeheten Informatie Analyse Centra per sector, zoals voor de financiële wereld en de energiesector.
Ook commerciële partijen zoals CrowdStrike en Recorded Future bouwen sinds respectievelijk 2011 en 2009 grootschalige platforms die realtime dreigingsdata verzamelen en aan klanten leveren, en publiceren jaarlijks veelgeciteerde rapporten over de stand van de cybercriminaliteit.
Hoe ver is de techniek?
Threat intelligence is inmiddels een volwassen, commercieel vakgebied met eigen beroepsopleidingen, certificeringen en standaarden zoals STIX en TAXII (technische formaten om dreigingsdata automatisch uit te wisselen tussen systemen). Grote ondernemingen en overheden hebben doorgaans toegang tot meerdere betaalde en open feeds.
Toch blijven er stevige beperkingen. Veel kleinere organisaties, zoals mkb-bedrijven en gemeenten, hebben simpelweg niet de middelen of expertise om dreigingsinformatie goed te benutten; het inzicht bestaat vaak wel, maar bereikt niet iedereen die het nodig heeft. Ook is er een chronisch tekort aan ervaren analisten wereldwijd.
Een groeiende trend is het gebruik van kunstmatige intelligentie om de enorme hoeveelheid ruwe data sneller te doorzoeken en patronen te herkennen die mensen zouden missen. Tegelijkertijd gebruiken aanvallers zelf ook AI, bijvoorbeeld om phishingberichten overtuigender te maken, wat een wapenwedloop op gang brengt. Deskundigen zijn het erover eens dat AI het vakgebied verandert, maar niet dat het menselijke analisten op korte termijn overbodig maakt: context, motief en geopolitieke inschatting blijven mensenwerk.
Attributie blijft daarnaast een zwak punt: zelfs gerenommeerde onderzoeksbureaus verschillen soms van mening over wie achter een aanval zit, en foutieve toeschrijving kan reële gevolgen hebben.
Wie werken eraan?
Het veld wordt gedomineerd door een mix van gespecialiseerde beveiligingsbedrijven, grote technologieconcerns en overheidsinstanties. Bekende commerciële spelers zijn Mandiant (onderdeel van Google sinds 2022), CrowdStrike, Recorded Future, Kaspersky en Palo Alto Networks (met zijn onderzoekseenheid Unit 42.
Techreuzen als Microsoft, Google en Amazon hebben eigen interne dreigingsteams die zowel hun eigen platforms beschermen als publieke rapporten uitbrengen. MITRE, een Amerikaanse non-profitorganisatie die met federale overheidssteun werkt, beheert het ATT&CK-framework.
Op overheidsniveau zijn Amerikaanse instanties zoals CISA (Cybersecurity and Infrastructure Security Agency) en de NSA prominent aanwezig, evenals Europese tegenhangers zoals ENISA (het Europees Agentschap voor Cyberbeveiliging) en in Nederland het NCSC. Ook publiek-private samenwerkingsverbanden, zoals sectorale Information Sharing and Analysis Centers (ISAC's), zijn belangrijke knooppunten waar organisaties onderling dreigingsinformatie uitwisselen.