Onzichtbaar voor scanners. Moeilijker aan te vallen.
Hoe cybercriminelen potentiële doelwitten vinden en hoe dreigingsinformatie helpt om je infrastructuur buiten hun vizier te houden.
Voordat ze een aanval uitvoeren, onderzoeken cybercriminelen vaak welke systemen en diensten via het internet bereikbaar zijn. Dit proces, ook wel verkenning genoemd, helpt hen om mogelijke toegangspunten te vinden.
Tools zoals Shodan scannen voortdurend publiek toegankelijke systemen en verzamelen informatie over verbonden apparaten, blootgestelde diensten en software. Deze technologieën worden ook voor legitieme beveiligingsdoeleinden gebruikt. Cybersecurityprofessionals en CERT-organisaties zetten ze in om blootgestelde infrastructuur en mogelijke kwetsbaarheden in kaart te brengen.
Helaas kunnen aanvallers diezelfde informatie misbruiken. In plaats van willekeurig naar kwetsbare organisaties te zoeken, kunnen cybercriminelen systemen opsporen die specifieke technologieën gebruiken en onderzoeken of bekende kwetsbaarheden kunnen worden uitgebuit.
Hoe makkelijker je infrastructuur te vinden en te onderzoeken is, hoe meer informatie potentiële aanvallers erover kunnen verzamelen.
Verbonden voor het gemak. Blootgesteld aan risico’s
Bij de recente cyberaanvallen op koelsystemen van supermarkten leidde digitale toegang op afstand tot bedorven voorraden en lege rekken. De aanvallen maken ook een cruciale cybersecurity-uitdaging zichtbaar: systemen die online te vinden zijn, kunnen potentiële doelwitten worden.
In een reportage van 3 november 2026 onderzocht VRT NWS waarom zoveel operationele apparatuur met het internet verbonden is. Geert Baudewijns, CEO van Secutec, gaf een eenvoudige verklaring: gebruiksgemak.
Dankzij toegang op afstand kunnen leveranciers apparatuur bijwerken zonder naar elke locatie een technicus te sturen. Verbonden systemen kunnen de verantwoordelijken ook waarschuwen wanneer er iets misloopt. Een onmiddellijke waarschuwing over een diepvriezer waarin de temperatuur stijgt, kan medewerkers helpen om in te grijpen voordat de schade zichtbaar wordt.
Die voordelen hangen af van de manier waarop de toegang beveiligd is. Met een onderhoudsinterface die rechtstreeks via het internet bereikbaar is, kunnen ook buitenstaanders verbinding maken. Een leverancier die verouderde software of een slecht beveiligd account gebruikt, kan een bijkomende toegangsweg creëren naar systemen die een bedrijf draaiende houden.
Hoe cybercriminelen scangegevens gebruiken om doelwitten te vinden
n het artikel haalde Baudewijns Shodan aan als voorbeeld van hoe verbonden apparatuur kan worden gevonden. Internetscanners bevragen publiek bereikbare diensten en registreren informatie uit hun antwoorden, zoals productnamen, softwareversies en beheerinterfaces. Zoekmachines kunnen die informatie vervolgens doorzoekbaar maken, net zoals klassieke zoekmachines webinhoud indexeren.
Voor cybercriminelen kan die informatie de zoektocht naar potentiële doelwitten aanzienlijk gerichter maken. Wanneer een nieuwe kwetsbaarheid bekend wordt, kunnen aanvallers naar de betrokken technologie zoeken in plaats van elke organisatie afzonderlijk te onderzoeken. Dat is bijzonder urgent wanneer een zero-daykwetsbaarheid openbaar wordt voordat er een beveiligingsupdate beschikbaar is.
Een zoekresultaat bewijst niet dat een systeem kwetsbaar is, maar biedt wel een vertrekpunt voor verder onderzoek. Bovendien kan AI het scannen en het zoeken naar mogelijke zwakke plekken versnellen. Voor beveiligingsteams onderstreept dat het belang van het beperken van onnodige blootstelling voordat een aanvaller systemen begint te onderzoeken.
Verkenning stoppen met dreigingsinformatie
Een systeem dat onderhoud op afstand nodig heeft, hoeft daarom nog geen publieke beheerinterface te hebben. In zijn beveiligingswaarschuwing voor koelsystemen beveelt CERT-FR aan om rechtstreekse blootstelling aan het internet weg te nemen en toegang op afstand opnieuw mogelijk te maken via een veilige VPN-verbinding of een afgeschermd netwerk.
Maar wat met systemen en diensten die bereikbaar moeten blijven? Daar kan Cyber Threat Intelligence (CTI), oftewel dreigingsinformatie, een extra beschermingslaag bieden.
Door IP-adressen te identificeren die verband houden met bekende internetscanners en kwaadaardige infrastructuur, stellen CTI Feeds ondersteunde firewalls in staat om verbindingen vanuit die bronnen te blokkeren voordat ze beschermde systemen kunnen onderzoeken. De dreigingsinformatie identificeert de bedreigingen; de firewall past de blokkeerregels toe.
Secutec CTI Feeds passen dit principe toe om beschermde infrastructuur in de praktijk onzichtbaar te maken voor de bekende scanners waarop die regels van toepassing zijn. Door te voorkomen dat deze scanners nieuwe informatie verzamelen, kunnen organisaties de kans verkleinen dat hun systemen worden geïndexeerd en vervolgens als potentiële doelwitten worden onderzocht.
Secutec CTI Feeds worden aangestuurd door SIAM, het eigen raamwerk van Secutec voor dreigingsinformatie. Het combineert informatie van internationale aanbieders, eigen onderzoek van Secutec en Belgische CERT-bronnen. De dreigingsinformatie wordt om de vier uur gepubliceerd.
In de praktijk biedt deze aanpak drie belangrijke voordelen:
-
Verminder je externe zichtbaarheid
Voorkom dat geïdentificeerde internetscanners informatie over beschermde systemen verzamelen en verminder zo hun zichtbaarheid voor bekende scaninfrastructuur.
-
Verstoor de verkenning vóór een aanval
Blokkeer verbindingen vanuit bekende scaninfrastructuur en kwaadaardige infrastructuur voordat ze je omgeving kunnen onderzoeken. Zo help je de eerste fasen van de aanvalsvoorbereiding te verstoren.
-
Versterk de bescherming van je bestaande firewall
Pas voortdurend bijgewerkte dreigingsinformatie, die om de vier uur wordt vernieuwd, toe via ondersteunde firewallplatformen. Zo hoef je je bestaande beveiligingsarchitectuur niet te vervangen of uitgebreide blokkeerlijsten handmatig te onderhouden.
De meerwaarde zit in het aanpakken van een eerdere fase van het aanvalsproces. Veel beveiligingsmaatregelen richten zich op het detecteren of stoppen van kwaadaardige activiteiten. Het blokkeren van scanners helpt om de mogelijkheden voor aanvallers om informatie te verzamelen al bij de bron te beperken.
Het blokkeren van scanners is een extra beschermingslaag die een sterke cybersecuritybasis aanvult. Essentiële beveiligingsmaatregelen zoals sterke authenticatie, inclusief multifactorauthenticatie, veilige toegang voor leveranciers, regelmatige beveiligingsupdates en netwerksegmentatie blijven cruciaal om kwetsbaarheden te verminderen en de impact van een mogelijke inbreuk te beperken.
Beveiliging begint vóór de eerste aanvalspoging
De aanvallen op koelsystemen tonen aan waarom operationele apparatuur dezelfde aandacht voor beveiliging verdient als andere bedrijfssystemen.
Die les reikt veel verder dan koelsystemen. Van industriële apparatuur tot beheerinterfaces op afstand en clouddiensten: elke infrastructuur die via het internet bereikbaar is, kan ongewenste aandacht trekken.
Cybersecurity gaat niet alleen over voorkomen dat aanvallers kwetsbaarheden uitbuiten. Het gaat ook over het beperken van hun mogelijkheden om potentiële doelwitten te vinden.
Door een sterke beveiligingsbasis te combineren met voortdurend bijgewerkte dreigingsinformatie kunnen organisaties verkenning bemoeilijken, onnodige blootstelling beperken en hun verdediging versterken voordat een aanval begint.