Ga naar inhoud

Cybersecurity Intro — Cheatsheet

Basisprincipes, frameworks, GDPR, IAM, PKI en netwerkbeveiliging — 2024–2025

Inhoudstafel

CIA en risicobeheer

Principe Betekenis Typische maatregel
Confidentiality enkel bevoegden lezen data encryptie, toegangscontrole
Integrity data blijft correct/volledig hashes, signatures, logging
Availability dienst/data tijdig bereikbaar redundantie, backups, DoS-bescherming

Aanvullend: authenticiteit, accountability en non-repudiation.

risico = waarschijnlijkheid × impact
Term Definitie
Asset wat waarde heeft
Threat mogelijke oorzaak van schade
Vulnerability zwakte die misbruikt kan worden
Exploit methode/code die zwakte benut
Control maatregel die risico verlaagt
Residual risk risico dat na maatregelen overblijft

Risicobehandeling: vermijden, verminderen, overdragen of accepteren. Defense in depth combineert preventieve, detectieve en correctieve controls.

Cryptografie

Techniek Sleutels Gebruik
Symmetrisch één gedeelde sleutel snelle encryptie van data
Asymmetrisch public/private keypair key exchange, signatures
Hash geen sleutel integriteitsvingerafdruk
HMAC gedeelde sleutel + hash integriteit en authenticiteit
Digitale handtekening private tekent, public verifieert integriteit, authenticiteit

Encryptie biedt vertrouwelijkheid; hashing alleen niet. Wachtwoorden sla je op met een trage password hash en unieke salt (bv. Argon2/bcrypt/scrypt), niet met een snelle algemene hash.

Hybride encryptie

TLS gebruikt asymmetrische technieken voor authenticatie/key agreement en symmetrische sessiesleutels voor bulkdata. Dit combineert veilige sleutelopzet met snelheid.

Encoding ≠ encryption

Base64 verbergt niets en vereist geen sleutel; iedereen kan het terug omzetten.

Frameworks en organisaties

NIST Cybersecurity Framework 2.0

Govern → Identify → Protect → Detect → Respond → Recover
  • Profiles beschrijven current en target posture.
  • Tiers beschrijven volwassenheid/consistentie van risicobeheer.
  • Het framework helpt structureren; het is geen kant-en-klare technische checklist.

ISO/IEC 27001

Standaard voor een Information Security Management System (ISMS): scope, risicoanalyse, controls, Statement of Applicability, interne audit en continue verbetering volgens PDCA.

MITRE ATT&CK

Kennisbank van adversary tactics, techniques en procedures. Tactic is het doel; technique is hoe de aanvaller dat doel bereikt; procedures zijn concrete implementaties. Gebruik ATT&CK om detectiedekking en gaps te mappen.

Belangrijke actoren: nationale CERT/CSIRT's, ENISA, NIST, ISO, sectorale toezichthouders en wetshandhaving.

GDPR en OSINT

GDPR-beginselen

  • rechtmatigheid, behoorlijkheid en transparantie;
  • doelbinding;
  • minimale gegevensverwerking;
  • juistheid;
  • opslagbeperking;
  • integriteit en vertrouwelijkheid;
  • verantwoordingsplicht.

Verwerkingsgronden omvatten toestemming, overeenkomst, wettelijke verplichting, vitaal belang, publieke taak en gerechtvaardigd belang. Toestemming is niet automatisch de beste grondslag.

Rol Functie
Betrokkene persoon op wie data betrekking heeft
Verwerkingsverantwoordelijke bepaalt doel en middelen
Verwerker verwerkt namens verantwoordelijke
DPO/FG onafhankelijk advies en toezicht

Privacy by design/default, DPIA bij waarschijnlijk hoog risico, verwerkersovereenkomsten en passende technische/organisatorische maatregelen zijn kernverplichtingen. Meldplicht voor een persoonsgegevenslek aan de toezichthouder is in beginsel binnen 72 uur wanneer het lek waarschijnlijk een risico oplevert.

OSINT

OSINT verzamelt en verifieert publiek beschikbare informatie. Werk doelgericht, documenteer bron/tijdstip, trianguleer bevindingen en respecteer wet, ethiek en scope. Een publiek vindbaar gegeven is niet automatisch vrij voor elk gebruik.

AAA en IAM

Authentication → wie ben je?
Authorization  → wat mag je?
Accounting     → wat deed je?

Factoren: kennis (wachtwoord), bezit (token), inherentie (biometrie). MFA vereist factoren uit verschillende categorieën.

IAM-levenscyclus:

joiner → toegang toekennen
mover  → rechten aanpassen
leaver → toegang tijdig intrekken

Pas least privilege, need-to-know, separation of duties, role-based access en periodieke recertificatie toe. Gebruik geen gedeelde accounts; bescherm privileged accounts extra.

Protocollen/technieken: RADIUS voor netwerk-AAA, TACACS+ voor device administration, Kerberos in AD, LDAP als directoryprotocol, SAML/OIDC voor federatie/SSO.

PKI en certificaten

Een certificaat bindt een identiteit aan een publieke sleutel en wordt ondertekend door een CA.

Root CA → Intermediate CA → server/clientcertificaat

Een client controleert hostname/SAN, geldigheidsperiode, chain naar een vertrouwde root, signature en eventueel revocation via CRL/OCSP.

openssl x509 -in cert.pem -text -noout
openssl s_client -connect example.com:443 -servername example.com

Private keys moeten geheim blijven. Een CSR bevat publieke sleutel en identiteitsgegevens en wordt door de private key ondertekend; de CA geeft daarna het certificaat uit.

Trust store

Een technisch geldig self-signed certificaat is niet automatisch vertrouwd. Vertrouwen ontstaat pas wanneer de juiste root expliciet in de trust store staat.

Firewalls

Type Eigenschap
Stateless packet filter beoordeelt elk pakket apart
Stateful firewall volgt verbindingstoestand
Proxy/application firewall begrijpt applicatieprotocol
WAF beschermt specifiek webapplicaties/HTTP

Regels matchen typisch bron, bestemming, protocol, poort, interface/richting en state. Werk met default deny en expliciete minimale toelating.

Internet → edge firewall → DMZ → interne firewall → LAN

Een firewall herstelt geen kwetsbare applicatie en vervangt geen patching of endpointbeveiliging.

MITM en lokale netwerkaanvallen

Een man-in-the-middle plaatst zich logisch tussen partijen om verkeer te observeren of wijzigen.

ARP spoofing

ARP heeft geen ingebouwde authenticatie. Valse ARP-antwoorden kunnen victim en gateway het MAC-adres van de aanvaller laten cachen. Verdediging: Dynamic ARP Inspection met DHCP snooping, segmentatie, statische bindings waar passend en vooral end-to-end TLS.

DHCP starvation en rogue DHCP

Starvation put de leasepool uit met veel valse clients; een rogue server levert kwaadaardige gateway/DNS-instellingen. Switchcontrols: DHCP snooping, trusted uplinks, rate limiting en port security/802.1X.

DNS-manipulatie

Kwaadaardige DNS-antwoorden sturen gebruikers naar een verkeerde bestemming. Gebruik betrouwbare resolvers, DNSSEC-validatie waar relevant, DoT/DoH volgens beleid en TLS-certificaatvalidatie.

TLS blijft cruciaal

Een aanvaller die verkeer omleidt kan een geldig certificaat voor de echte hostname niet zomaar produceren. Negeer certificaatwaarschuwingen nooit.

Phishing en weerbaarheid

Controleer afzenderdomein, reply-to, linkbestemming, onverwachte urgentie, verzoeken om secrets/betaling en afwijkende aanmeldpagina's. Open verdachte links/bijlagen niet in de productieomgeving.

Technische maatregelen:

  • SPF bepaalt geautoriseerde verzendbronnen;
  • DKIM ondertekent mail met domeinsleutel;
  • DMARC koppelt alignment en beleid/rapportage;
  • MFA, veilige mailgateway en browser/endpointbeveiliging beperken impact.

Incidentrespons — compact

prepare → identify → contain → eradicate → recover → lessons learned

Bewaar bewijs, noteer tijdstippen, isoleer proportioneel en wijzig niet onnodig data vóór forensische veiligstelling.