Tijd om de grootste voorspelbaarheid te patchen

De aanvaller kent je omgeving beter dan je denkt, niet omdat hij harder werkt, maar omdat die omgeving voorspelbaar is. MFA, zero trust en EDR zijn noodzakelijk, maar ze pakken het fundamentele probleem niet aan: een aanvaller die eenmaal binnen is, beweegt zich in een omgeving die hij herkent.

Het echte probleem: structurele voorspelbaarheid

Incidenten ontstaan steeds vaker vanuit volledig geauthenticeerde sessies. EDR-tools worden omzeild. Kwaadaardige code wordt in-memory uitgevoerd zonder een enkel detecteerbaar artefact op schijf. De vraag is niet of je controls goed zijn geïmplementeerd; de vraag is of ze het juiste probleem adresseren.

Het IT-landschap is gebouwd voor stabiliteit en interoperabiliteit. Dat is ook precies waarom het zo aangenaam is voor aanvallers. Geheugenindelingen, interne control flows en runtime-gedrag van besturingssystemen zijn vrijwel identiek tussen organisaties. Technieken als memory-only payloads, return-oriented programming en polymorfe loaders werken niet ondanks je maatregelen; ze werken naast die maatregelen, omdat de onderliggende runtime overal hetzelfde is. Lateral movement blijft mogelijk zolang microsegmentatie te complex of te langdurig is om volledig door te voeren.

Sun Tzu formuleerde het 2500 jaar geleden al: “Wie de vijand kent én zichzelf, zal in honderd veldslagen niet in gevaar zijn.” Threat Intelligence en detectiesystemen geven je zicht op de vijand. Asset management, vulnerability management en IAM geven je zicht op de eigen omgeving. Maar diezelfde logica werkt ook in omgekeerde richting: de aanvaller die jouw omgeving kent, heeft een structureel voordeel zolang die omgeving voorspelbaar blijft.

Gecontroleerde onvoorspelbaarheid als verdedigingsprincipe

De volwassen respons op dit probleem is niet méér van hetzelfde, maar het doorbreken van de voorspelbaarheid die aanvallers exploiteren. Dit principe, gecontroleerde onvoorspelbaarheid, heeft inmiddels operationeel bewijs.

Op besturingssysteemniveau randomiseren moderne oplossingen geheugenstructuren, verschuiven uitvoeringspaden en passen runtimegedrag dynamisch aan. Op infrastructuurniveau genereert AI-gedreven deceptietechnologie dynamisch het hele spectrum: van nep-SSH-sleutels en valse credentials tot volledig gesimuleerde honey-datacenters die onmogelijk van echt te onderscheiden zijn. Het operationele profijt voor SOC-teams is significant: een sterk gereduceerd alertvolume dat vrijwel uitsluitend bestaat uit true positives, met een hoge signaalkwaliteit per incident.

Adoptiefase en strategisch venster

Gartner schat de huidige adoptie van de voornaamste technologie in deze categorie op 1 tot 5 procent en verwacht pas mainstream adoptie tussen 2029 en 2034. Die lage adoptie verklaart ook waarom early adopters zulke sterke resultaten rapporteren: aanvallers hebben nog geen business case om te investeren in het omzeilen van deze technieken. Dat venster is reëel, maar mogelijk tijdelijk.

De strategische implicatie is helder: de ROI van gecontroleerde onvoorspelbaarheid is nu het grootst. Naarmate adoptie stijgt, zullen aanvallers counter measures ontwikkelen, zoals ze dat altijd hebben gedaan. De historische analogieën geven wel aan dat deze respons blijvend zal zijn: schijnbewegingen in sport, misleiding in oorlogsvoering, onregelmatige geldtransporten. Deception als verdedigingsprincipe verdwijnt niet; het evolueert.

Besluitvorming en implementatiepad

Voor organisaties die dit willen evalueren, zijn de prioriteiten als volgt:

• Scope bepalen: welke systemen herbergen kroonjuwelen, welke systemen hebben daar toegang toe, en wat is de netwerkarchitectuur die deze verbindt?
• Technologieselectie: de keuze tussen OS-level memory randomization, AI-gedreven deception-infrastructuur of een combinatie hangt af van uw specifieke dreigingsprofiel en de installatiemogelijkheden op kritieke systemen.
• Validatie via referenties: na een initiële verkenning en PoC is een gesprek met een organisatie die de oplossing al twee jaar of langer in productie heeft minstens zo waardevol als een demo.
• Kosten-batenanalyse: bij de meeste securityprojecten komen de voordelen te laat. Bij gecontroleerde onvoorspelbaarheid komen de voordelen juist vroeg en uitgebreid en nemen ze mogelijk af naarmate de adoptie stijgt. Dat maakt dit een van de weinige gevallen waarin vroeg handelen structureel loont.

De vraag is niet of gecontroleerde onvoorspelbaarheid bij je organisatie past. De vraag is hoe we dit strategisch venster het best kunnen benutten.