Threat Intelligence

Wat is Threat Intelligence?

Threat Intelligence (dreigingsinformatie, ook Cyber Threat Intelligence of CTI) is het systematisch verzamelen, analyseren en toepassen van informatie over bestaande en opkomende cyberdreigingen, zodat een organisatie beter kan beschermen, detecteren, voorbereiden en reageren. Het gaat niet om ruwe data, maar om geduide kennis: wie valt aan, met welk doel, met welke technieken en wat betekent dat voor uw eigen installaties. In OT-netwerken helpt threat intelligence om relevante dreigingen te herkennen en de verdediging te richten op technieken die echt tegen industriële systemen worden gebruikt.

🧠 Hoe werkt de threat-intelligencecyclus?

Threat intelligence volgt een vaste cyclus, ontleend aan de klassieke inlichtingenwereld. Elke stap voedt de volgende, en de feedback aan het eind stuurt de volgende ronde bij.

De belangrijkste bronnen zijn:

• Open bronnen (OSINT) - publicaties van onderzoekers, leveranciersadviezen, kwetsbaarheidsdatabases zoals CVE
• Commerciële feeds - betaalde diensten van gespecialiseerde partijen, voor OT onder meer Dragos en Claroty
• Overheid en community’s - het NCSC, CERT-teams, het Amerikaanse CISA en sectorale ISAC’s
• Interne bronnen - SIEM-meldingen, incidentlogs, bevindingen uit Threat Hunting en een eigen Honeypot, een lokaassysteem dat dreigingsinformatie oplevert die specifiek is voor uw omgeving

Threat intelligence is pas waardevol als het actiegericht en contextspecifiek wordt toegepast.

🔍 Welke soorten threat intelligence zijn er?

Threat intelligence wordt meestal ingedeeld naar doelgroep en tijdshorizon. ISO/IEC 27002:2022 noemt drie lagen (strategisch, operationeel en tactisch); in de praktijk wordt de technische laag met losse indicatoren vaak apart benoemd.

🎯 Waarom zijn TTP’s waardevoller dan losse IOC’s?

David Bianco publiceerde in 2013 de Pyramid of Pain. Die laat zien hoeveel “pijn” het een aanvaller kost als u een bepaald type indicator detecteert en blokkeert.

Daarom is een detectie op gedrag, bijvoorbeeld “een engineeringwerkstation dat buiten een onderhoudsvenster een nieuwe PLC-logica downloadt”, duurzamer dan een lijst IP-adressen. MITRE ATT&CK en MITRE ATT&CK for ICS geven die TTP’s een gemeenschappelijke taal. De ICS-matrix telt twaalf tactieken, waaronder twee die specifiek zijn voor OT: Inhibit Response Function (bijvoorbeeld het uitschakelen van alarmen of veiligheidsfuncties) en Impair Process Control (het manipuleren van de procesbesturing). Ook de Cyber Kill Chain helpt om waarnemingen in de juiste fase van een aanval te plaatsen.

🏭 Hoe verschilt OT-threat intelligence van IT?

OT-dreigingen zijn minder frequent, maar vaak veel impactvoller dan IT-dreigingen. Een handvol statelijke en criminele groepen heeft aantoonbaar kennis van industriële processen, en het aantal ICS-specifieke malwarefamilies is klein en goed gedocumenteerd: van Stuxnet (ontdekt in 2010) via Industroyer en TRITON tot PIPEDREAM en FrostyGoop, dat in januari 2024 via Modbus TCP ruim 600 flatgebouwen in Lviv zonder verwarming zette.

Bekende dreigingsactoren voor ICS zijn onder meer:

• XENOTIME - de naam die Dragos gebruikt voor de groep achter TRITON, die zich op veiligheidssystemen (SIS) richtte
• Sandworm - Russische militaire groep achter aanvallen op het Oekraïense elektriciteitsnet; Dragos volgt het verwante OT-cluster ELECTRUM
• APT33 - vermoedelijk Iraanse groep, actief sinds ten minste 2013, met bijzondere belangstelling voor luchtvaart en energie
• Volt Typhoon - Chinese groep die toegang tot kritieke infrastructuur voorbereidt voor latere verstoring

Dragos volgt (stand 2026) 26 OT-gerichte dreigingsgroepen, waaronder VOLTZITE, de groep die overlapt met Volt Typhoon. Belangrijker dan die aantallen is de vraag welke groep zich op uw sector en uw technologie richt. Ook context telt: een IOC blind blokkeren op een OT-firewall kan legitiem procesverkeer verstoren, dus test en beoordeel eerst. In OT wordt threat intelligence onder meer gebruikt voor:

• verrijken van SIEM- en OT SOC-data met OT-specifieke dreigingsfeeds
• updaten van firewallregels en IDS-signaturen op basis van actuele dreigingen
• prioriteren van patchmanagement en kwetsbaarhedenbeheer, bijvoorbeeld met de catalogus van Known Exploited Vulnerabilities
• realistische scenario’s voor een tabletop-oefening en Threat Simulations
• voorbereiden van Incident Response-draaiboeken op bekende werkwijzen

🔧 Hoe wordt dreigingsinformatie gedeeld?

Delen werkt alleen als iedereen dezelfde taal en dezelfde afspraken gebruikt. Drie standaarden domineren:

Het open-sourceplatform MISP wordt veel gebruikt door CERT’s en ISAC’s om indicatoren op te slaan en te delen, met export naar onder meer STIX en naar IDS- en SIEM-formaten. In Nederland deelt het NCSC dreigingsinformatie met aangesloten organisaties en binnen sectorale ISAC’s zoals de Water-ISAC. Voor de waterschappen vervult CERT-WM die rol.

🔐 Welke normen en wetten vragen om threat intelligence?

• ISO 27001:2022 - maatregel 5.7 Threat intelligence is nieuw in de versie van 2022: organisaties moeten informatie over dreigingen verzamelen en analyseren
• NIS2 - artikel 29 regelt vrijwillige uitwisseling van informatie over dreigingen, kwetsbaarheden, TTP’s, indicatoren en detectieconfiguraties tussen organisaties
• Cyberbeveiligingswet - de Nederlandse invulling van NIS2, van kracht sinds 15 augustus 2026, met zorgplicht en meldplicht waarbij actuele dreigingskennis helpt om risico’s te beoordelen
• IEC 62443 - het risicogebaseerde zones-en-conduitsmodel vraagt om een onderbouwd beeld van dreigingen per zone
• MITRE D3FEND - vertaalt aanvalstechnieken naar passende verdedigingsmaatregelen

Threat intelligence verhoogt zo de Situational Awareness binnen OT en maakt een volwassen Cybersecurity-programma aantoonbaar risicogestuurd.

🛠️ Hoe begint u met threat intelligence in OT?

1. Ken uw installatie - zonder asset-inventaris (merken, typen, firmware, protocollen) kunt u dreigingsinformatie niet op relevantie beoordelen.
2. Formuleer uw vragen - welke sector, welke leveranciers, welke kroonjuwelen? Houd het bij drie tot vijf concrete vragen.
3. Kies een beperkt aantal bronnen - begin met NCSC-adviezen, CISA ICS-advisories, uw ISAC en leveranciersadviezen voordat u betaalde feeds aanschaft.
4. Vertaal naar ATT&CK for ICS - map relevante groepen op technieken en controleer welke u al kunt detecteren.
5. Automatiseer de technische laag - laat IOC’s via SOAR of het SIEM automatisch verrijken, maar blokkeer in OT pas na beoordeling.
6. Rapporteer per doelgroep - kwartaalrapport voor het bestuur, wekelijkse briefing voor het SOC, concrete acties voor onderhoud.
7. Meet en stuur bij - hoeveel detecties, patchbesluiten of oefeningen kwamen voort uit threat intelligence?

Relevantie is cruciaal: te veel ruis leidt tot blindheid; te weinig intel tot verrassing.

❓ Veelgestelde vragen

Wat is het verschil tussen threat intelligence en threat hunting?

Threat intelligence levert kennis over dreigers en hun werkwijze. Threat hunting gebruikt die kennis om proactief in de eigen omgeving te zoeken naar sporen van een aanvaller die nog niet is gedetecteerd. Threat intelligence is daarmee de input, threat hunting een van de toepassingen.

Heeft een kleine OT-organisatie een betaalde threat-intelligencefeed nodig?

Meestal niet als eerste stap. Gratis bronnen zoals NCSC-adviezen, CISA ICS-advisories, sectorale ISAC’s en leveranciersadviezen dekken veel relevante OT-dreigingen af. Een betaalde feed wordt pas zinvol als u de informatie ook kunt verwerken en toepassen.

Wat is een IOC in threat intelligence?

Een indicator of compromise (IOC) is een technisch spoor van een aanval, zoals een IP-adres, domeinnaam of hashwaarde van malware. IOC’s zijn makkelijk te automatiseren, maar verouderen snel omdat aanvallers ze eenvoudig wijzigen. Gedragsgerichte detectie op TTP’s houdt daarom langer stand.

Wat betekent TLP:AMBER bij gedeelde dreigingsinformatie?

TLP:AMBER betekent dat de ontvanger de informatie alleen binnen de eigen organisatie en met klanten mag delen die deze nodig hebben om zich te beschermen. Bij TLP:AMBER+STRICT blijft de informatie strikt binnen de eigen organisatie. Deze labels komen uit het Traffic Light Protocol 2.0 van FIRST.

Verplicht NIS2 tot threat intelligence?

NIS2 verplicht niet tot een specifiek threat-intelligenceprogramma, maar vraagt wel om risicobeheer op basis van actuele dreigingen en stimuleert in artikel 29 het delen van dreigingsinformatie. ISO 27001:2022 bevat met maatregel 5.7 wel een expliciete beheersmaatregel voor threat intelligence. In de praktijk is threat intelligence nodig om de zorgplicht onderbouwd in te vullen.

Welk framework gebruik ik om OT-dreigingen te beschrijven?

MITRE ATT&CK for ICS is het gangbare, vrij beschikbare framework om aanvalstechnieken tegen industriële systemen te beschrijven. Het telt twaalf tactieken, waaronder Inhibit Response Function en Impair Process Control. Voor de uitwisseling van die informatie tussen organisaties wordt STIX 2.1 gebruikt.

📌 Samengevat

Threat intelligence stelt OT-organisaties in staat om gerichte beveiligingsmaatregelen te nemen op basis van actuele dreigingen en bekende aanvallers, in plaats van op aannames.

Begin klein met een asset-inventaris, een paar concrete vragen en gratis bronnen zoals het NCSC en uw ISAC. Richt de analyse op TTP’s via ATT&CK for ICS, deel informatie volgens STIX en TLP, en meet of de inzichten echt tot betere detectie, patchkeuzes en oefeningen leiden. Zo wordt threat intelligence een onmisbare bouwsteen binnen een volwassen Cybersecurity-strategie.