Wie de recente cijfers over aanvalssnelheid naast de gemiddelde responstijd van een organisatie legt, ziet een oncomfortabel verschil. Aanvallers hebben hun tempo de afgelopen jaren stelselmatig opgevoerd, terwijl detectie en besluitvorming bij veel organisaties nog steeds in uren of dagen worden gemeten. Dat verschil is geen theoretisch probleem. Het bepaalt of een incident eindigt bij één gecompromitteerde werkplek of uitgroeit tot versleutelde servers, vernietigde back-ups en een meldplichtprocedure onder tijdsdruk.
Aanvallers bewegen tegenwoordig binnen tientallen minuten van eerste toegang naar laterale beweging, en ransomwaregroepen richten zich actief op het vernietigen van herstelmogelijkheden. Traditionele firewalls en antivirus zijn daarmee niet overbodig, maar wel ontoereikend als losstaande verdediging. Dit artikel zet de actuele cijfers over aanvalssnelheid op een rij, verklaart waarom signature-gebaseerde detectie tekortschiet, en beschrijft welke rol continue monitoring, gedragsanalyse en directe isolatie spelen bij het verkorten van de tijd tussen compromittering en beheersing.
Hoe snel verloopt een moderne cyberaanval werkelijk?
De meest bruikbare maatstaf voor aanvalssnelheid is de zogeheten breakout time: de periode tussen de eerste succesvolle toegang en het moment waarop een aanvaller lateraal beweegt naar een tweede systeem. Volgens het Global Threat Report 2026 van CrowdStrike daalde de gemiddelde breakout time bij financieel gemotiveerde aanvallen in 2025 naar 29 minuten, tegenover 48 minuten in 2024. De snelst waargenomen breakout in die dataset bedroeg 27 seconden. In één onderzochte inbraak begon de exfiltratie van gegevens binnen vier minuten na de initiële toegang.
Deze cijfers komen van een leverancier van beveiligingsoplossingen en zijn gebaseerd op de eigen telemetrie en incidentonderzoeken van dat bedrijf. De onderliggende richting wordt echter bevestigd door andere frontliniedata. Mandiant, onderdeel van Google Cloud, rapporteert in M-Trends 2026 dat de mediane tijd tussen een initiële toegangsgebeurtenis en de overdracht aan een tweede dreigingsgroep in 2025 was teruggelopen tot 22 seconden, terwijl dat in 2022 nog ruim acht uur was. Initial access brokers plaatsen de gereedschappen van de vervolgpartij tegenwoordig al tijdens de eerste infectie, waardoor de tweede groep direct kan doorpakken.
Verblijftijd stijgt terwijl aanvallen versnellen
Tegelijkertijd steeg de wereldwijde mediane verblijftijd volgens Mandiant van 11 naar 14 dagen. Dat lijkt in tegenspraak met de toegenomen snelheid, maar het is een samenstellingseffect. Bij spionageoperaties en de aanhoudende problematiek rond Noord-Koreaanse IT-medewerkers lag de mediane verblijftijd op 122 dagen, en enkele in het geheugen residente achterdeuren op netwerkapparatuur bleven bijna een jaar onopgemerkt. Het beeld dat daaruit ontstaat is dus tweeledig: cybercriminelen optimaliseren voor snelheid en directe impact, terwijl spionagegroepen optimaliseren voor langdurige, moeilijk detecteerbare aanwezigheid. Beide profielen vragen om andere detectiestrategieën dan periodieke controles.
Waarom firewalls en antivirus alleen niet meer volstaan tegen geavanceerde indringers
Perimeterbeveiliging en endpointbescherming blijven noodzakelijk, maar ze dekken steeds minder van het aanvalsoppervlak af. Mandiant constateert dat zowel financieel gemotiveerde als statelijke groepen in toenemende mate gebruikmaken van functionaliteit die al in de omgeving aanwezig is, van native beheertools tot legitieme administratieve accounts. Daarmee erodeert de effectiviteit van detectiemodellen die leunen op malwaresignaturen. Statische Indicators of Compromise blijven waardevol, maar volstaan niet wanneer de aanvaller geen bestand achterlaat dat te herkennen valt.
Ook de toegangsroute is verschoven. E-mailphishing daalde volgens M-Trends 2026 naar 6 procent van de onderzochte inbraken, terwijl telefonische social engineering, ook wel vishing genoemd, opklom naar 11 procent en daarmee de tweede plaats innam achter het misbruik van kwetsbaarheden, dat op 32 procent stond. Aanvallers bellen helpdesks, laten multifactorauthenticatie resetten en oogsten langlevende OAuth-tokens en sessiecookies. Een firewall ziet daar niets verdachts aan, omdat er formeel geen aanval plaatsvindt: er wordt ingelogd.
Een derde ontwikkeling raakt het patchproces zelf. Mandiant schat de gemiddelde tijd tot exploitatie inmiddels op ongeveer min zeven dagen, wat betekent dat misbruik routinematig plaatsvindt voordat een patch beschikbaar is. Wie zijn verdediging volledig op tijdig patchen baseert, accepteert daarmee structureel een venster waarin alleen detectie en respons nog verschil kunnen maken.
Ransomware richt zich op back-ups, identiteit en virtualisatie
De meest ingrijpende verschuiving in het ransomwarelandschap is dat groepen niet langer alleen versleutelen, maar het herstelvermogen zelf aanvallen. Mandiant beschrijft hoe operators achter families als REDBIKE, ook bekend als Akira, en AGENDA, bekend als Qilin, in 2025 gericht back-upinfrastructuur, identiteitsdiensten en virtualisatiebeheer aanvielen. Concreet gaat het om het verwijderen van back-upobjecten uit cloudopslag, het misbruiken van verkeerd geconfigureerde Active Directory Certificate Services om beheeraccounts aan te maken die wachtwoordrotatie omzeilen, en het rechtstreeks versleutelen van hypervisor-datastores waardoor alle onderliggende virtuele machines tegelijk onbruikbaar worden.
Voor de Nederlandse situatie is dat beeld herkenbaar. In ons overzicht van de ransomwarecijfers in Nederland over 2025 valt op dat accountovernames als initiële aanvalsvector zijn toegenomen en dat dubbele afpersing, versleuteling gecombineerd met datadiefstal, eerder regel dan uitzondering is geworden. De praktische conclusie is dat een back-upstrategie alleen waarde behoudt wanneer de back-upomgeving losgekoppeld is van het reguliere Active Directory-domein en gebruikmaakt van onveranderlijke opslag. Virtualisatie- en beheerplatformen verdienen daarbij een behandeling als Tier-0-assets, met de strengste toegangsbeperkingen die de organisatie kan realiseren.
Wat AI-gedreven aanvallen betekenen voor detectie en respons
Rond AI in aanvallen is nuchterheid op zijn plaats, omdat de berichtgeving sterk uiteenloopt. Er is inmiddels een gedocumenteerd geval van vergaande automatisering: Anthropic rapporteerde in november 2025 dat een groep die het met hoge mate van zekerheid aan de Chinese staat toeschrijft, aangeduid als GTG-1002, een AI-toolchain inzette die naar schatting 80 tot 90 procent van de tactische handelingen zelfstandig uitvoerde bij pogingen tot inbraak op ongeveer dertig organisaties. Menselijke operators bleven betrokken bij een beperkt aantal beslismomenten. Anthropic tekende daarbij aan dat het model regelmatig onjuiste resultaten produceerde, wat volledige autonomie voorlopig in de weg staat.
Tegenover dat voorbeeld staat een relativering die minstens zo belangrijk is. Mandiant stelt expliciet dat 2025 niet het jaar was waarin inbraken het directe gevolg waren van AI, en dat het overgrote deel van de succesvolle intrusies nog altijd voortkomt uit fundamentele menselijke en systematische tekortkomingen. Wel signaleert de organisatie malwarefamilies zoals PROMPTFLUX en PROMPTSTEAL die tijdens uitvoering taalmodellen bevragen om detectie te ontwijken, en een credential stealer die gericht zoekt naar lokaal geïnstalleerde AI-hulpmiddelen. CrowdStrike meldt over dezelfde periode een stijging van 89 procent in operaties waarbij tegenstanders AI inzetten, en constateert dat AI vooral bestaande technieken versnelt in plaats van geheel nieuwe te creëren.
Voor de verdediging is dat de kern van de zaak. AI verkort de tijd tussen intentie en uitvoering. Dat maakt de reactietijd van de verdediger, niet de nieuwheid van de techniek, tot de bepalende factor.
Continue monitoring met gedragsanalyse en threat hunting
Wanneer de aanvaller binnen een half uur lateraal beweegt, is een detectieproces dat op werkdagen en kantooruren draait per definitie te traag. Onze SOC Essential-dienst richt zich daarom op continue analyse van logmeldingen uit de bestaande logbronnen, waarbij consistentie, normalisatie en de status van die bronnen doorlopend worden bewaakt. Meldingen worden 24 uur per dag, zeven dagen per week getoetst aan beveiligingsdatabases en Indicators of Compromise. Daarnaast voeren onze SOC-medewerkers periodiek een aanvalsvlakanalyse uit en wordt threat hunting zowel machinaal als handmatig uitgevoerd, gericht op combinaties van handelingen die afzonderlijk toegestaan lijken maar samen een kwaadaardig patroon vormen.
SOC Advanced voegt daar User and Entity Behavior Analytics aan toe, ondersteund door machine learning. Het systeem stelt een basislijn vast van normaal gedrag per gebruiker en entiteit, en signaleert afwijkingen daarvan. Die aanpak sluit aan bij wat Mandiant als aanbeveling formuleert: de overgang van statische indicatoren naar gedragsgebaseerde detectie, met specifieke aandacht voor ongeautoriseerde toegang tot edge devices, afwijkende bulk-API-operaties en verdacht gebruik van SaaS-integratietokens. Een aanvaller die zich met geldige inloggegevens beweegt, valt niet op door wat hij is, maar door wat hij doet.
Een tweede praktische maatregel die uit dezelfde data volgt, is het verlengen van logbewaartermijnen. Wanneer intrusies honderden dagen kunnen duren, laat een standaard bewaarperiode van negentig dagen een organisatie blind voor de initiële toegangsvector en de werkelijke omvang van het incident.
Managed Detection & Response: gecompromitteerde systemen direct isoleren
Detectie zonder mandaat om in te grijpen levert alleen een sneller alarm op. Het verschil wordt gemaakt op het moment dat een gecompromitteerde werkplek of server daadwerkelijk van het netwerk kan worden losgekoppeld, voordat laterale beweging plaatsvindt. Binnen bestaande beheerovereenkomsten kunnen wij wijzigingen doorvoeren in de beveiligingsinfrastructuur om een incident direct te mitigeren, en binnen onze SOC-dienstverlening maken oplossingen van onder meer Fortinet onderdeel uit van de detectie- en responsketen. Op endpointniveau werken wij met platformen zoals FortiEDR, die geautomatiseerde isolatie en respons op werkstations en servers ondersteunen.
De meldplicht maakt detectiesnelheid ook een wettelijke kwestie
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse implementatie van de NIS2-richtlijn. Organisaties die eronder vallen, moeten significante incidenten zo snel mogelijk en in ieder geval binnen 24 uur melden via het centrale meldpunt op MijnNCSC, gevolgd door een volledige melding binnen 72 uur en een eindverslag binnen een maand. De klok begint te lopen zodra de organisatie kennis heeft van het incident, niet zodra de oorzaak duidelijk is. In ons nieuwsbericht over de inwerkingtreding van de Cyberbeveiligingswet en de aansprakelijkheid van bestuurders staan de registratieplicht, zorgplicht en meldplicht uitgebreider beschreven.
De consequentie is dat detectievermogen niet langer alleen een operationele afweging is. Een organisatie die pas na een week ontdekt dat er iets speelde, kan de wettelijke termijnen feitelijk niet halen. Wie zonder vooraf ingerichte escalatieroutes en gemandateerde besluitvorming een incident ingaat, verliest de eerste dag aan overleg. Dat is precies de dag waarin het verschil wordt gemaakt.
Waar begint u met het verkorten van uw responstijd?
De optelsom is duidelijk. Aanvallers bewegen binnen tientallen minuten, dragen toegang in seconden over, gebruiken legitieme accounts en tooling, richten zich actief op het vernietigen van herstelmogelijkheden en zetten AI in om bestaande technieken te versnellen. Preventie blijft daarbij de eerste laag, met tijdig patchen, phishingbestendige multifactorauthenticatie, netwerksegmentatie en strak beheer van rechten als basis. Maar preventie alleen sluit het venster niet waarin uitsluitend detectie en respons nog effect hebben.
Praktisch betekent dat: zorgen voor continue zichtbaarheid over netwerk, endpoints en cloudidentiteiten, detectie baseren op gedrag in plaats van uitsluitend op bekende indicatoren, logbewaring afstemmen op realistische verblijftijden, back-up- en virtualisatieomgevingen als kroonjuwelen behandelen, en vooraf vastleggen wie op welk moment mag isoleren. Deze maatregelen sluiten geen enkel risico volledig uit, maar ze verkleinen de kans dat een enkele gecompromitteerde werkplek uitgroeit tot een organisatiebrede uitval.
Wilt u weten hoe uw huidige detectie- en responstijden zich verhouden tot de snelheid waarmee aanvallers vandaag opereren, en welke stappen in uw omgeving het meeste effect hebben? De specialisten van SolidBE denken graag met u mee over een opzet die past bij uw architectuur, uw risicoprofiel en de verplichtingen die inmiddels op uw organisatie rusten.
