Ga naar inhoud

Cybersecurity S1 — Cheatsheet

DDoS, TLS/SSH, IDS/NDR, WAF, SIEM, IAM, VPN, DNS en Metasploit — 2025–2026

Inhoudstafel

Denial of Service

DoS tast availability aan; DDoS gebruikt vele gedistribueerde bronnen.

Type Voorbeeld Doelresource
Volumetric UDP flood, amplification bandbreedte
Protocol/state exhaustion SYN flood firewalls/load balancers/TCP-state
Application-layer HTTP request flood threads, CPU, database

Reflectie misbruikt een derde server; amplification levert een groter antwoord dan verzoek. Source-IP-spoofing maakt reflectie mogelijk.

Maatregelen: anti-spoofing (BCP 38), rate limiting, SYN cookies, connection limits, caching/CDN/Anycast, upstream scrubbing, autoscaling en applicatiespecifieke detectie.

Alleen IP blokkeren

Bij DDoS zijn bronnen talrijk of gespoofd. Handmatig losse IP's blokkeren schaalt niet en kan legitieme gebruikers raken.

Captureanalyse

Zoek afwijkingen in packets/second, bytes/second, protocolverdeling, sources, TCP flags, incomplete handshakes en response/request-ratio. Een piek is pas verdacht in vergelijking met baseline en context.

SSH, TLS en port forwarding

SSH key authentication

ssh-keygen -t ed25519
ssh-copy-id user@server
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 user@server

Private key beschermen met permissions en passphrase. Verifieer host key; zomaar known_hosts wissen om een mismatch te omzeilen kan een MITM-aanval verbergen.

SSH-tunnels

ssh -L 8080:internal:80 user@gateway     # local forwarding
ssh -R 2222:localhost:22 user@gateway    # remote forwarding
ssh -D 1080 user@gateway                 # SOCKS proxy

-L: lokale luisterpoort bereikt een bestemming via server. -R: remote luisterpoort komt via SSH terug naar lokale zijde. Beperk bind addresses en serverinstellingen om ongewenste pivots te voorkomen.

TLS

TLS biedt vertrouwelijkheid, integriteit en authenticatie. De handshake onderhandelt versie/cipher, valideert certificaat en leidt sessiesleutels af. TLS 1.3 gebruikt moderne AEAD-ciphers en (EC)DHE voor forward secrecy.

openssl s_client -connect host:443 -servername host
openssl x509 -in cert.pem -text -noout

Controleer SAN/hostname, chain, vervaldatum, signaturealgoritme, protocolversie en revocationbeleid.

IDS, IPS, GeoIP en NDR

Systeem Positie/functie
IDS detecteert en alarmeert, vaak out-of-band
IPS inline; kan blokkeren
NDR analyseert netwerkgedrag en metadata
EDR endpointtelemetrie en response

Detectiemethoden:

  • signatures: precies voor bekende patronen, mist varianten;
  • anomaly/behavior: vindt afwijkingen, vereist baseline en tuning;
  • protocol analysis: valideert protocolgedrag.

True/false positive en true/false negative bepalen bruikbaarheid. Meer alerts betekent niet automatisch betere detectie.

GeoIP is indicatief: VPN, cloud, mobiele providers en databases maken geolocatie onzeker. Gebruik locatie als risicosignaal, niet als sluitend bewijs.

SQL injection, XSS en WAF

SQL injection

Ontstaat wanneer onbetrouwbare input deel wordt van querysyntax.

# veilig concept: parameterized query
cursor.execute("SELECT * FROM users WHERE name = ?", (name,))

Maatregelen: prepared statements, server-side validatie, least-privileged DB-account, veilige foutmeldingen en logging. Escaping of een WAF alleen is geen fundamentele fix.

XSS

Type Waar payload leeft
Reflected request en directe response
Stored persistent in applicatie/data
DOM-based client-side DOM/JavaScript

Maatregelen: contextafhankelijke output encoding, veilige templating, sanitization voor toegestane HTML, CSP, HttpOnly/Secure/SameSite cookies en vermijden van gevaarlijke DOM sinks.

WAF

Een WAF inspecteert HTTP(S), gebruikt signatures/anomaly rules en kan blokkeren, loggen of rate-limiten. Plaatsing vóór de applicatie biedt virtual patching en zichtbaarheid, maar tuning en TLS-terminatie zijn nodig.

WAF ≠ codefix

De kwetsbaarheid blijft bestaan. Herstel de applicatie en gebruik WAF als aanvullende laag.

SIEM, XDR en Wazuh

sources → collection → parsing/normalization → enrichment → correlation → alert/case → response
Begrip Functie
SIEM centrale logs, zoeken, correlatie, compliance
SOAR workflows en geautomatiseerde response
XDR correlatie/response over endpoint, identity, mail, cloud, netwerk
Wazuh open securityplatform met agents, rules en dashboards

Een detectieregel bevat databron, logica, tijdsvenster, severity, mapping, uitzonderingen en responseplaybook. Start met use cases en noodzakelijke logs, niet met "alles verzamelen".

Wazuh

Kerncomponenten: agents, manager, indexer en dashboard. Decoders herkennen structuur; rules evalueren events. Controleer agent enrollment/connectiviteit, tijdsynchronisatie, ingest, decoder/rule match en index/dashboard.

Retentie

Meer logs verhogen opslag, kosten en privacyrisico. Bepaal per bron doel, bewaartermijn en toegangscontrole.

Windows IAM-hardening

Belangrijke AD-aanvalspaden ontstaan door te brede privileges, zwakke serviceaccounts, slechte ACLs, legacy-authenticatie en credential exposure.

  • aparte adminaccounts en tiering;
  • minimale leden in privileged groups;
  • Windows LAPS;
  • gMSA voor services;
  • beperk/monitor NTLM en unconstrained delegation;
  • bescherm beheerhosts en remote admin;
  • audit group/ACL/GPO changes;
  • patch DC's en maak geteste System State-backups.

Tools en interpretatie

PingCastle beoordeelt AD-risico's en maturity; BloodHound modelleert relaties en aanvalspaden. Een pad is geen bewijs van exploitatie, maar toont combinaties van rechten die tot controle kunnen leiden. Gebruik dergelijke tools alleen binnen expliciete scope en behandel output als gevoelige data.

Evilginx demonstreert adversary-in-the-middle phishing die sessietokens kan stelen. Phishing-resistant MFA zoals FIDO2/passkeys biedt sterkere bescherming dan alleen OTP/push.

VPN

Type Gebruik
Site-to-site netwerken permanent koppelen
Remote access/client-to-site individuele client naar organisatie
Full tunnel al het clientverkeer via VPN
Split tunnel alleen geselecteerde routes via VPN

IPsec gebruikt IKE voor authenticatie/key management en ESP voor beschermde data. Tunnel mode beschermt volledig origineel IP-packet; transport mode vooral payload.

Configuratie moet overeenkomen in proposals, DH-groep, authenticatie, traffic selectors, lifetimes en routes. NAT-T verpakt ESP in UDP/4500 bij NAT.

Diagnose

  1. Is peer bereikbaar en UDP 500/4500 toegestaan?
  2. Slaagt IKE/security association?
  3. Matchen lokale/remote subnets?
  4. Bestaan heen- en terugroutes?
  5. Staan firewall/NAT exemptions correct?
  6. Verhoogt encrypt/decrypt counter bij testverkeer?

DNS-beveiliging

Bedreigingen: spoofing/cache poisoning, tunneling, amplification, malicious domains, hijacking en privacytracking.

Techniek Beschermt
DNSSEC authenticiteit/integriteit van DNS-data
DoT DNS-transport versleuteld via TLS/853
DoH DNS via HTTPS/443
Filtering/RPZ kwaadaardige/ongewenste domeinen blokkeren
QNAME minimization minder query-informatie delen

DNSSEC versleutelt queries niet en garandeert niet dat een domein veilig is. DoH/DoT beschermen transport maar kunnen lokale filtering en zichtbaarheid omzeilen als endpoints eigen resolvers kiezen.

Split-horizon DNS geeft intern en extern verschillende antwoorden. Beveilig dynamic updates, zone transfers en registraraccounts; monitor nieuwe/rare domeinen en ongebruikelijke querypatronen.

Information Security in M365

Microsoft Purview Information Protection gebruikt sensitivity labels voor classificatie en optionele content marking, encryptie en toegangsbeperking. Data Loss Prevention detecteert gevoelige informatietypes en past policies toe op Exchange, SharePoint, OneDrive, Teams en endpoints.

Onderdeel Doel
Sensitivity labels classificeren en beschermen
Retention labels/policies bewaren of verwijderen volgens lifecycle
DLP ongewenst delen/lekken voorkomen
eDiscovery/Audit onderzoek en bewijs
Insider Risk risicovolle gebruikerssignalen correleren

Gebruik eerst audit/testmode, meet false positives, informeer gebruikers en ontwerp uitzonderings-/overrideprocessen. Labeling en retention zijn verschillende concepten.

SASE en SSE

SASE combineert WAN-connectiviteit met cloud-delivered security. SSE is de securitysubset zonder SD-WAN.

SASE = SD-WAN + SSE
SSE  = SWG + CASB + ZTNA + FWaaS (afhankelijk van leverancier)
  • SWG beveiligt webverkeer.
  • CASB geeft zichtbaarheid/control over SaaS en cloudapps.
  • ZTNA geeft applicatiegerichte toegang op basis van identity/device/context.
  • Defender for Cloud Apps is een CASB-component voor discovery, app governance, session controls en policy enforcement.

Zero Trust: expliciet verifiëren, least privilege en uitgaan van breach; het is een architectuurprincipe, geen enkel product.

Metasploit

Gebruik alleen in een geautoriseerd lab en binnen scope.

Module Functie
exploit misbruikt kwetsbaarheid
payload code na succesvolle exploitatie
auxiliary scan, fuzz, brute-force, serviceactie
post post-exploitation
encoder/nop payloadondersteuning, geen magische antivirus-bypass 
msfconsole
search <product/cve>
info <module>
use <module>
show options
set RHOSTS <lab-target>
set LHOST <lab-interface>
check
run
sessions

Werkflow: scope bevestigen → target/service/version valideren → moduledocumentatie lezen → veilige opties/payload kiezen → check → uitvoeren → bewijs en impact documenteren → cleanup/herstel.

Exploitatie kan verstoren

Zelfs een check of scanner kan een kwetsbare dienst doen crashen. Gebruik snapshots/backups, minimale intensiteit en expliciete toestemming.