Wat is Threat Hunting?
Threat hunting is het proactief en hypothesegestuurd zoeken naar sporen van aanvallers die al in uw systemen, netwerken of endpoints actief zijn en die de bestaande beveiliging ongemerkt zijn gepasseerd. Waar een SIEM of EDR wacht tot een regel afgaat, gaat een threat hunter ervan uit dat er al iets mis is en zoekt hij zelf in logdata, netwerkverkeer en endpointgegevens. Het is een menselijke, analytische activiteit die steunt op Threat Intelligence, gedragsanalyse en kennis van de eigen omgeving. In OT-omgevingen krijgt threat hunting extra betekenis, omdat aanvallers daar vaak met legitieme beheertools werken en jaren onopgemerkt kunnen blijven.
🎯 Waarom is threat hunting belangrijk?
De kern van threat hunting is het verkorten van de dwell time: de periode tussen het binnendringen van een aanvaller en de ontdekking ervan. Volgens het M-Trends-rapport 2025 van Mandiant was de mediane dwell time wereldwijd 11 dagen in 2024. Ontdekte een organisatie de aanval zelf, dan was dat 10 dagen; kwam de melding van buitenaf, dan 26 dagen. Een mediaan verbergt de uitschieters: bij statelijke actoren zoals Volt Typhoon stelden Amerikaanse en geallieerde diensten in februari 2024 vast dat de groep in sommige netwerken minstens vijf jaar aanwezig was.
Threat hunting levert daarnaast meer op dan het vinden van een aanvaller:
- Detectie van geavanceerde aanvallen die Antivirus en standaardregels missen, zoals APT-groepen die living off the land werken
- Inzicht in blinde vlekken - ontbrekende logbronnen, sensoren of zichtbaarheid worden concreet
- Betere detectieregels - elke hunt kan eindigen in een nieuwe use case voor SIEM, EDR, XDR of NDR
- Nieuwe dreigingsinformatie - gevonden TTP’s en IOC’s voeden weer het threat-intelligenceproces
- Volwassener SOC - het team leert de eigen omgeving kennen, wat ook incidentrespons versnelt
Threat hunting past bij het assume breach-principe van Zero Trust: u gaat er niet van uit dat de perimeter alles tegenhoudt.
🧠 Hoe werkt threat hunting?
Een hunt volgt meestal een vaste cyclus. Het Nederlandse TaHiTI-model (zie verderop) deelt die in drie fasen in: Initiate, Hunt en Finalize. In de praktijk komt dat neer op vijf stappen:
- Hypothese formuleren - bijvoorbeeld: “Een aanvaller heeft persistence bereikt via nieuwe scheduled tasks” of “Iemand benadert de engineering-werkplek buiten werktijd via RDP”. Hypotheses komen uit threat intelligence, MITRE ATT&CK, eerdere incidenten of een risicoanalyse.
- Data verzamelen - logs uit SIEM, EDR, Firewall, DNS, Windows Event Logs, Active Directory, VPN en toegang op afstand, aangevuld met netwerkdata.
- Analyse uitvoeren - handmatig of met queries en scripts, met Threat Intelligence en MITRE ATT&CK-mapping als leidraad. Context uit intelligence kan de scope verbreden: dit heet pivoting.
- Bevindingen valideren - afwijkingen correleren met andere bronnen en met de eigenaar van het systeem bespreken. Veel afwijkingen blijken legitiem beheer; dat is ook nuttige kennis.
- Detectie verbeteren - bevindingen omzetten in SIEM-regels, SOAR-playbooks of extra logging. Een echte compromittering gaat direct naar Incident Response.
🔍 Welke soorten hunts bestaan er?
Het PEAK-raamwerk (Prepare, Execute, Act with Knowledge), dat Splunk SURGe in april 2023 publiceerde, onderscheidt drie typen hunts:
| Type hunt | Vertrekpunt | Voorbeeld |
|---|---|---|
| Hypothesegestuurd | Een concrete aanname over aanvallersgedrag | ”Volt Typhoon-achtig gebruik van ntdsutil om de AD-database te kopiëren” |
| Baseline (verkennend) | Normaal gedrag in kaart brengen en afwijkingen zoeken | Welke systemen spreken normaal Modbus met deze PLC, en welke nieuw? |
| Modelondersteund | Een statistisch of machine-learningmodel dat uitschieters aanwijst | Anomaliedetectie op DNS-verzoeken om tunneling te vinden |
Typische doelen van een hunt, bruikbaar als startpunt voor hypotheses:
| Hunt-doel | Voorbeeld |
|---|---|
| Onbekende malware | Ongebruikelijke processen of hashes die buiten Antivirus-detectie vallen |
| Laterale beweging | Interne RDP-, SMB- of PsExec-verbindingen tussen systemen die normaal niet praten |
| Misbruik van inloggegevens | Privilege-escalatie, kopieën van NTDS.dit of sessies met gelekte wachtwoorden |
| Persistence | Verborgen scheduled tasks, services of registerwijzigingen |
| C2-communicatie | DNS-tunneling of ongebruikelijk uitgaand verkeer, zie ook DNS Monitoring |
| Wissen van sporen | Gewiste Windows-eventlogs (event-ID 1102) |
De piramide van David Bianco (Pyramid of Pain, 2013) laat zien waarom hunters zich op gedrag richten: een hash of IP-adres verandert een aanvaller in seconden, zijn werkwijze (TTP’s) veel moeilijker.
🏭 Hoe doet u threat hunting in een OT-omgeving?
In de procesomgeving gelden andere spelregels. Actief scannen of agents installeren op een PLC of operatorstation kan het proces verstoren, dus OT-hunting leunt vooral op passieve bronnen:
- Netwerkverkeer - via een SPAN-poort of tap en passieve monitoring met protocolkennis van Modbus, S7 en andere industriële protocollen
- Engineeringactiviteit - programma-downloads, firmwarewijzigingen en verbindingen vanaf een nieuw Engineering Station
- Grensovergangen - logs van de IDMZ, jump hosts en VPN tussen kantoor- en procesnetwerk
- Procesdata - de Historian kan setpointwijzigingen of afwijkende waarden laten zien die bij een aanval horen
Voor hypotheses gebruikt een OT-team MITRE ATT&CK for ICS, dat tactieken als Inhibit Response Function en Impair Process Control beschrijft. Echte aanvallen zoals Industroyer en TRITON laten zien waar u moet zoeken: bij het uitschakelen van beveiligingen en het manipuleren van de veiligheidsinstrumentatie. Het Volt Typhoon-advies van februari 2024 vraagt beheerders van kritieke infrastructuur expliciet om te hunten, de IT-naar-OT-toegang te controleren, het normale ICS-verkeer vast te leggen en te alarmeren op OT-protocolverkeer buiten werktijd.
Een hunt in OT doet u altijd samen met de procesverantwoordelijke en, waar nodig, met een OT SOC. Verifieer een afwijking pas op het systeem zelf als de operatie weet wat er gaat gebeuren.
🛠️ Welke methodes en tools gebruikt u?
| Methode of hulpmiddel | Herkomst | Toepassing |
|---|---|---|
| TaHiTI | Nederlandse financiële sector (FI-ISAC), eerste versie december 2018 | Gestructureerde hunts met threat intelligence als start, context en uitkomst |
| PEAK | Splunk SURGe, 2023 | Drie hunttypen en een vaste cyclus: voorbereiden, uitvoeren en handelen met kennis |
| Hunting Maturity Model | David Bianco (Sqrrl) | Volwassenheid in vijf niveaus, HMM0 tot HMM4 |
| MITRE ATT&CK / MITRE ATT&CK for ICS | MITRE | Hypotheses ordenen en dekking meten, bijvoorbeeld met de ATT&CK Navigator |
| SIEM en EDR | Bijvoorbeeld Splunk, Microsoft Sentinel, QRadar, CrowdStrike, SentinelOne, Defender for Endpoint | Doorzoeken van centrale logs en endpointtelemetrie |
| Opensourcetools | Community | Sysmon, Winlogbeat, Zeek, YARA-regels, Velociraptor, Osquery, Wireshark |
| OT-netwerkmonitoring | Bijvoorbeeld Dragos, Nozomi, Claroty | Passieve analyse van industriële protocollen en assets |
Het Hunting Maturity Model loopt van HMM0 (alleen geautomatiseerde alerts) via HMM1 (zoeken op indicatoren uit intelligence), HMM2 (bestaande procedures volgen) en HMM3 (zelf nieuwe procedures maken) tot HMM4, waarin succesvolle hunts grotendeels geautomatiseerd worden. TaHiTI is in Nederland ontwikkeld door banken die samen in de FI-ISAC informatie delen; het raamwerk is bewust ook buiten de financiële sector bruikbaar.
🔄 Wat is het verschil tussen threat hunting en incidentrespons?
| Aspect | Threat hunting | Incident Response |
|---|---|---|
| Aanleiding | Een hypothese of verdenking, zonder alert | Een alert, melding of bevestigd incident |
| Houding | Proactief: aanname dat er al iemand binnen is | Reactief: inperken en herstellen |
| Doel | Verborgen activiteit en detectiegaten vinden | Schade beperken en de normale werking herstellen |
| Uitkomst | Nieuwe detecties, intelligence of een incident | Herstel, forensisch onderzoek en lessen |
Threat hunting verschilt ook van een purple-team-oefening: daar simuleert een red team een aanval om detectie te testen, terwijl een hunter in de echte omgeving naar echte aanvallers zoekt.
🔐 Is threat hunting verplicht onder NIS2 en de Cyberbeveiligingswet?
NIS2 en de Nederlandse Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, noemen threat hunting niet letterlijk. Het Cyberbeveiligingsbesluit vraagt wel om detectie, logging en het gebruik van dreigingsinformatie, en threat hunting is een gangbare manier om aan te tonen dat u aanvallen tijdig opmerkt. In IEC 62443-3-3 sluit het aan op systeemeis SR 6.2 (continue monitoring). NIST SP 800-53 Rev. 5 is explicieter: maatregel RA-10 vraagt organisaties een threat-huntingcapaciteit in te richten die zoekt naar indicatoren van compromittering en dreigingen die bestaande maatregelen ontwijken, met een vastgestelde frequentie.
❓ Veelgestelde vragen
Heeft een kleine organisatie threat hunting nodig?
Een kleine organisatie heeft zelden een eigen threat-huntingteam, maar kan wel eenvoudige hunts doen op basis van actuele adviezen, bijvoorbeeld van het NCSC. Wie basisdetectie en logging nog niet op orde heeft, investeert daar eerst in. Threat hunting kan ook als dienst worden ingekocht bij een SOC-leverancier.
Hoe vaak voert u threat hunting uit?
Threat hunting werkt het best als vast, terugkerend proces, bijvoorbeeld een of meer hunts per maand, aangevuld met een extra hunt bij elk relevant dreigingsadvies. NIST SP 800-53 laat de frequentie bewust aan de organisatie over. Belangrijker dan de frequentie is dat elke hunt wordt vastgelegd en tot verbeterde detectie leidt.
Wat is het verschil tussen threat hunting en threat intelligence?
Threat intelligence verzamelt en duidt informatie over aanvallers en hun werkwijze buiten de organisatie. Threat hunting gebruikt die kennis om binnen de eigen omgeving te zoeken. Wat een hunt oplevert, zoals nieuwe TTP’s, voedt op zijn beurt weer de threat intelligence.
Kan threat hunting worden geautomatiseerd?
Threat hunting zelf blijft mensenwerk, omdat het draait om creatieve hypotheses en het beoordelen van context. Succesvolle hunts worden wel geautomatiseerd door ze om te zetten in detectieregels voor SIEM of XDR. Dat is precies het hoogste niveau (HMM4) van het Hunting Maturity Model.
Welke vaardigheden heeft een threat hunter nodig?
Een threat hunter kent besturingssystemen, netwerken en aanvalstechnieken, kan queries schrijven en weet hoe normaal gedrag in de eigen omgeving eruitziet. Voor OT komt daar kennis van industriële protocollen, PLC’s en procesveiligheid bij. Nieuwsgierigheid en goede documentatie zijn minstens zo belangrijk als tools.
Is threat hunting in OT veilig voor het proces?
Threat hunting in OT is veilig zolang u passief werkt: verkeer meelezen via een SPAN-poort en bestaande logs analyseren raakt het proces niet. Actief scannen, queries op controllers of het installeren van agents gebeurt alleen na overleg met de procesverantwoordelijke en bij voorkeur tijdens onderhoud.
📌 Samengevat
Threat hunting is het proactief zoeken naar aanvallers die uw beveiliging al zijn gepasseerd, op basis van hypotheses, threat intelligence en kennis van de eigen omgeving.
Een goede hunt verkort de dwell time, legt blinde vlekken bloot en eindigt in betere detectie. Methodes als TaHiTI, PEAK en MITRE ATT&CK for ICS geven structuur, en in OT werkt u passief en samen met de operatie. Zo wordt threat hunting een vast onderdeel van een volwassen SOC en van uw cybersecuritystrategie.