Een goed ingericht SOC: in-house of uitbesteed aan een externe security partner. Alle dashboards zijn groen. SLA’s zijn gehaald, en rapportages tonen geen directe incidenten. Alles wijst op controle en grip, maar toch knaagt er bij velen die security serieus nemen iets.
Het is namelijk steeds lastiger te beoordelen wat dat beeld precies dekt. Hoeveel inzicht is er? De vraag is allang niet meer of er incidenten zijn. De vraag is hoe volledig het zicht is op wat er binnen uw omgeving gebeurt tussen detecties en rapportages in.
Het detectiemodel en het threatlandschap bewegen minder synchroon dan ooit. Aanvallers hebben geen last van overdrachtsmomenten. Of interpretatielagen tussen tooling en actie. Met de inzet van AI groeit dat structurele verschil alleen maar meer.
Van menselijke snelheid naar machinesnelheid
De oude traditionele cyberaanvallen zijn, ook bij geavanceerde dreigingsactoren, grotendeels mensenwerk. En dat is mooi. Want beslissingen kosten tijd, coördinatie ook. En: mensen maken fouten, dus lang niet alles loopt perfect. Wat dat alles bij elkaar creëert? Frictie en vertraging.
En die zijn allebei voor de verdediger goud waard: het geeft tijd om te detecteren en daarna direct de schade te beperken.
Maar: dit was vroeger. Die frictie verdwijnt nu langzaam uit beeld. Niemand kijkt er nog van op dat AI de reden is dat het threatlandschap drastisch aan het veranderen is.
Aanvallers zijn efficiënter. Ze zetten AI en automatisering steeds vaker in voor specifieke stappen binnen hun aanvalsketen. Volledig autonoom zijn ze nog niet, zo ver is het nog niet. Maar bepaalde fases draaien ze inmiddels op machinesnelheid, en ze itereren sneller dan een menselijk team ooit bij kan houden.
De kernvraag voor u is daarom niet: “gaan AI-aanvallers ons overnemen?” De vraag is: “welke aannames in ons verdedigingsmodel moeten we herzien?”
De aanvalsketen verandert van script naar zoekproces
Hoe de aanvalsketen er precies uit ziet met AI? De klassieke aanvalsketen bestaat nog steeds: reconnaissance, initial access, persistence, lateral movement, exfiltration. Maar de uitvoering is dynamischer.
Met AI-ondersteuning loopt reconnaissance tegelijk over meerdere databronnen. Phishingcontent en payloads variëren razendsnel op basis van wat werkt. Exploit-varianten gaat de aanvaller iteratief na: het beste te vergelijken met zoekmachine die steeds verfijndere queries uitvoert. En dus doelgerichter is.
Een duidelijk verschil met vroeger, hè? Een aanval is geen vooraf gepland script meer dat afgewerkt moet zijn. Het is een adaptief zoekproces. De aanvaller stelt een doel, en het systeem zoekt snel en breed naar de beste weg ernaartoe.
De mens blijft de strategie bepalen
Eén misverstand willen we wel graag rechtzetten: AI vervangt de aanvaller voorlopig niet. Want doelselectie, strategische planning, het begrijpen van organisatorische context, dat blijft mensenwerk. Nieuwe aanvalstechnieken ontwikkelen en sociale engineering op maat vereist menselijke expertise die voorlopig niet door een model is over te nemen.
We blijven dus met mensen te maken hebben.
Wat AI wél doet: de productiviteit van de aanvaller verhogen. Repetitieve stappen automatiseren. Bestaande technieken opschalen op een manier die handmatig ondoenlijk is. En de drempel verlagen, waardoor meer aanvallers op grotere schaal kunnen opereren.
U heeft dus te maken met een aanvaller die effectiever en schaalbaarder is, en die sneller opereert dan uw traditionele detectiemechanismen zijn ingericht om bij te houden.
Waarom uw signatures dit niet vangen
Traditionele detectie leunt sterk op stabiliteit. Het is vaak gebouwd rondom bekende tooling, herkenbare payloads, etc. Dat werkte voorheen prima. Het was tenslotte een wereld waar aanvallers dezelfde tools steeds opnieuw inzetten.
Maar dat was toen. Die AI-ondersteunde variatie ondermijnt die stabiliteit juist. Het patroon in uw logs versnippert over events die los van elkaar onschuldig lijken. Tooling en payloads wisselt de aanvaller frequenter en tijdspatronen tussen acties zijn minder voorspelbaar.
Betekent dat dat de aanvallen onzichtbaar zijn? Nee. De implementatie varieert, maar de onderliggende structuur blijft. Die infrastructuurpatronen blijven gewoon herkenbaar, en TTP’s binnen MITRE ATT&CK blijven bestaan. Identity- en access-anomalieën zijn over systemen heen zichtbaar. Er zijn signalen, maar individuele events verliezen wel steeds meer betekenis zonder correlatie en context over tijd en ketenverbanden.
Wat dit vraagt van uw SOC
Moet alles wat u heeft opgebouwd nu meteen compleet op de schop? Nee. Dit is vooral een versnelling van een ontwikkeling die al langer gaande is. De meeste SOC’s bewegen zich al richting meer gedragsmatige en contextgedreven detectie.
Tegelijkertijd zet AI extra druk op een aanpak die sterk leunt op bekende signatures en detectieregels. Aanvallers kunnen met AI bestaande methoden simpelweg sneller en vaker variëren. Door die variaties is het steeds moeilijker om aanvallen vroegtijdig te herkennen op basis van afzonderlijke signalen alleen.
Dat verschuift de aandacht naar de samenhang tussen gebeurtenissen. Dat moesten goede analisten al. Maar nu ligt de druk er meer dan ooit op. Analisten moeten steeds vaker redeneren vanuit waarschijnlijke aanvalspaden binnen onvolledige data, in plaats van te vertrouwen op herkenbare patronen. Detectie draait daardoor minder om losse alerts en meer om gedrag, relaties en aanvalsketens die zich over langere tijd ontwikkelen.
Dat zien we terug in de groeiende nadruk op gedragsanalyse, graph-based en identity-centric onderzoeksmethoden, en threat hunting die vertrekt vanuit hypothesen over hoe een aanvaller zich door een omgeving zou kunnen bewegen. Het doel is niet langer alleen om verdachte activiteiten te identificeren, maar vooral om de context eromheen te begrijpen.
Cognitieve switch
De grootste verandering zit dus niet in de technologie, want de verschuiving is vooral cognitief. Klassieke detectie blijft waardevol, maar is steeds minder voldoende als primaire verdedigingslaag in een omgeving waarin aanvallers AI inzetten om hun werkwijze voortdurend aan te passen.
De vraag is daarom niet of deze ontwikkeling gevolgen heeft voor uw SOC, maar of uw huidige werkwijze al is ingericht om ermee om te gaan. Want uiteindelijk draait het niet om het verwerken van meer alerts of het toevoegen van meer tooling. Het gaat om het vermogen om gedrag, verbanden en aanvalsketens tijdig te herkennen en daar actie op te ondernemen voordat losse signalen hun betekenis verliezen.
Daar zit de meerwaarde van moderne SOC-capaciteit: het herkennen van aanvallen terwijl ze zich nog ontwikkelen, voordat ze zichtbaar worden als een incident.
Klaar voor wat er daadwerkelijk verandert?
Cyberlab SOC is ingericht op precies de verschuiving die dit artikel beschrijft. Continue analyse van gedrag, ketens en variatiepatronen over tijd. 24/7, door analisten die denken in aanvalspaden in plaats van handtekeningen.
Benieuwd of uw huidige SOC-model daar al op is ingericht? Maak een afspraak en we kijken het samen na.
