Bibliotheek
AI verandert cybersecurity, zoveel is wel duidelijk. Aanvallers gebruiken automatisering om sneller te scannen, geloofwaardiger te phishen en bestaande aanvalstechnieken efficiënter uit te voeren. Securityleveranciers gebruiken die ontwikkeling vaak als argument voor een volledig AI-gedreven verdediging. Die boodschap klinkt aantrekkelijk, maar is ons inziens te eenvoudig.
De discussie gaat vaak over snelheid. Aanvallers zouden op machine speed opereren en organisaties zouden alleen kunnen overleven met een even snelle AI-verdediging. Die redenering klinkt logisch, maar mist context. Snelheid is belangrijk. Toch bepaalt snelheid niet alleen of een aanval slaagt.
Onze zienswijze is daarom eenvoudig. AI kan securityprocessen verbeteren, maar AI vervangt geen basismaatregelen. Een organisatie wint niet door alleen sneller te reageren. Een organisatie wint door aanvalspaden vooraf te beperken, detectie te verbinden aan concrete respons en periodiek te toetsen of de maatregelen in samenhang werken.
Machine speed betekent letterlijk dat een aanval of verdedigingsactie op machinesnelheid plaatsvindt. Niet in het tempo van een menselijke operator, maar in het tempo van software. Denk aan geautomatiseerde aanvalstooling die binnen seconden systemen, rechten en kwetsbare diensten inventariseert.
In de huidige discussie wordt machine speed meestal gebruikt voor het idee dat aanvallers met AI veel sneller door een netwerk kunnen bewegen dan een mens. Bijvoorbeeld vanaf een eerste gecompromitteerd werkstation richting hogere rechten, datadiefstal of ransomware-impact. Het begrip gaat dus niet alleen over snelheid aan de internetzijde. Het gaat vooral over de vraag hoe snel een aanvaller na initial access impact kan maken.
Dat onderscheid is belangrijk. Veel internetaanvallen draaien al jaren op machinesnelheid. De echte uitdaging zit in de combinatie van snelheid, context en samenhang. Een script kan snel testen of een poort open staat. Een aanvaller of specialist moet begrijpen welke combinatie van identity, netwerksegmentatie, configuratie en bedrijfscontext daadwerkelijk tot impact leidt.
Machine speed suggereert dat aanvallen plotseling een nieuw tempo hebben gekregen. In werkelijkheid is snelheid al lang onderdeel van het dreigingslandschap. Internet-facing systemen worden continu gescand. Bekende kwetsbaarheden worden snel misbruikt. Gelekte credentials worden automatisch getest. Dat is geen nieuw patroon.
De meest schadelijke aanvallen bestaan meestal uit meerdere fasen. Initial access kan geautomatiseerd zijn. Daarna volgt discovery, privilege escalation, credential access, laterale beweging, dataverzameling en uiteindelijk afpersing, sabotage of verstoring. Sommige stappen zijn goed te automatiseren. Andere stappen vragen begrip van rechtenmodellen, afhankelijkheden, uitzonderingen en operationele impact.
Een aanvaller hoeft geen nieuw model te gebruiken wanneer bestaande technieken voldoende werken. Zwakke identity, gebrekkige segmentatie, te ruime rechten en onvoldoende logging blijven bruikbare aanvalspaden. AI verandert die realiteit niet. Het kan bestaande technieken versnellen, maar het maakt slechte basisbeveiliging vooral sneller zichtbaar.
Een SOC is een belangrijk onderdeel van moderne security. Het detecteert afwijkend gedrag, onderzoekt meldingen en ondersteunt incident response. Toch mag een SOC nooit de eerste en enige verdedigingslaag zijn. Wanneer een organisatie te veel vertrouwt op detectie achteraf, ontstaat een race die moeilijk te winnen is.
Een melding die binnen enkele seconden wordt gegenereerd, stopt geen aanval wanneer credentials actief blijven, endpoints niet geïsoleerd worden en beheerders eerst via meerdere overleglagen moeten beslissen. De totale tijd van detectie tot containment is bepalend, niet de tijd tot alert.
Daarom is een puur reactief model kwetsbaar. Meer alerts, snellere triage en extra dashboards lossen het onderliggende probleem niet op wanneer de omgeving zelf te veel aanvalspaden toestaat. Security moet niet alleen sneller kijken. Security moet aanvallers minder ruimte geven.
AI kan waardevol zijn wanneer het wordt ingezet als ondersteuning. Denk aan het slimmer verwerken van meldingen, logging en incidentinformatie, zodat patronen sneller zichtbaar worden en eerste triage minder tijd kost. In die rol kan AI analisten helpen om sneller tot een beter beeld te komen.
AI is minder geschikt als vervanging voor securityarchitectuur, risicobeoordeling en technische besluitvorming. Een model kan een waarschuwing interpreteren, maar moet kunnen steunen op betrouwbare data, duidelijke playbooks en vooraf bepaalde bevoegdheden. Zonder die randvoorwaarden versnelt AI vooral bestaande onduidelijkheid.
De juiste vraag is daarom niet of AI wel of niet gebruikt moet worden. De juiste vraag is waar AI aantoonbaar waarde toevoegt. AI moet analisten versterken, niet een gebrek aan hardening maskeren. Het moet besluitvorming ondersteunen, niet verantwoordelijkheid vervangen.
De snelste reactie is een aanval die technisch niet kan plaatsvinden. Maatregelen zoals Credential Guard, LAPS, netwerksegmentatie en sterke identity governance beperken wat een aanvaller na een eerste compromise kan bereiken.
Dit soort maatregelen zijn niet nieuw. Ze zijn ook niet spectaculair. Toch bepalen ze in veel omgevingen het verschil tussen een geïsoleerd incident en een organisatiebrede crisis. Een EDR-melding na credential dumping is waardevol. Een situatie waarin de aanvaller geen bruikbare credentials kan buitmaken is waardevoller.
Preventie hoeft niet te betekenen dat iedere bedrijfsfunctie wordt beperkt. Het vraagt wel om technische keuzes over interactieve logins, netwerktoegang, MFA-uitzonderingen, beheerinterfaces en het intrekken van credentials. Die keuzes bepalen de werkelijke weerbaarheid.
Automatische respons hoort onderdeel te zijn van een volwassen detectie- en responsstrategie. Niet iedere melding vraagt om dezelfde behandeling. Sommige signalen hebben een lage kans op false positives en een hoge potentiële impact, vooral wanneer ze wijzen op credentialmisbruik, persistence of laterale beweging.
Voor dat type signalen kan een organisatie vooraf besluiten welke acties direct mogen plaatsvinden. Denk aan het direct isoleren van systemen, intrekken van sessies of credentials en tijdelijk beperken van toegang. Dit vraagt geen generatieve AI. Het vraagt heldere afspraken, technische integratie en mandaat.
Automatisering werkt alleen goed wanneer de randvoorwaarden kloppen. Er moet duidelijk zijn wie eigenaar is van een systeem, welke impact isolatie heeft en hoe herstel wordt uitgevoerd. Zonder die afspraken blijft respons afhankelijk van overleg. Dan verliest de organisatie kostbare tijd, ook wanneer de detectie snel is.
De basis blijft bepalend. Organisaties moeten weten welke systemen zij hebben, welke toegang vanaf internet mogelijk is, waar hoge rechten bestaan en welke onderdelen kritiek zijn voor de bedrijfsvoering. Zonder dat inzicht is het onmogelijk om aanvalspaden gericht te beperken.
Daarna volgt technische hardening. MFA moet niet alleen geregistreerd zijn, maar ook worden afgedwongen op relevante toegangspaden. Administratorrechten moeten worden beperkt. Service accounts moeten minimale rechten hebben. Logging moet voldoende detail bevatten om laterale beweging en credential access te herkennen. Back-ups moeten gescheiden, getest en herstelbaar zijn.
Segmentatie verdient aparte aandacht. Veel ransomware-impact ontstaat doordat interne netwerken te veel onderlinge communicatie toestaan. Segmentatie gaat niet alleen over VLANs. Het gaat om effectieve toegangscontrole tussen zones, beheerinterfaces, identity-systemen en IT-, cloud- en OT-omgevingen.
Een organisatie moet er rekening mee houden dat een aanvaller ooit binnenkomt. Dat kan via bekende toegangsroutes zoals phishing, kwetsbare software, gelekte credentials, leveranciersrisico of een cloudconfiguratiefout. De vraag is dan niet meer alleen of de perimeter standhoudt. De vraag is wat een aanvaller daarna kan doen.
Assumed breach testen geven hier inzicht in. Bij zo’n onderzoek krijgt een tester gecontroleerde toegang tot een representatief startpunt in de omgeving. Daarna wordt onderzocht welke aanvalspaden bestaan richting hogere rechten, kritieke systemen, gevoelige data of verstoring van bedrijfsprocessen.
Het doel is niet om zoveel mogelijk kwetsbaarheden te vinden. Het doel is om de keten te begrijpen. Welke combinatie van configuraties, rechten, netwerkpaden en credentials maakt impact mogelijk? Welke detectie ontstaat onderweg? Welke preventieve maatregel stopt de keten het vroegst?
Het testen van geavanceerde aanvalspaden vraagt meer dan tooling. Scanners, scripts en AI kunnen losse signalen verzamelen, zoals open poorten, kwetsbare versies en bekende misconfiguraties. Dat is nuttig, maar niet genoeg om werkelijke impact te beoordelen.
Hoogwaardige pentesten vragen om specialisten die samenhang en context beoordelen. Een senior pentester kijkt naar de combinatie van identity, technische configuratie, segmentatie, beheerprocessen, logging en bedrijfsimpact. Juist die samenhang bepaalt of een technische zwakte een beperkte bevinding is of een realistisch pad naar domeinovername, datadiefstal of verstoring.
AI mist die context vaak. Een model kan patronen herkennen, maar begrijpt niet vanzelf waarom een service account kritiek is, waarom een tijdelijk beheerpad structureel risico oplevert of waarom een segmentatieregel in een OT-omgeving operationeel gevoelig ligt. Daarom blijft menselijke expertise essentieel bij validatie, prioritering en advies. Zeker wanneer kwaliteit, onafhankelijkheid en aantoonbare impact belangrijker zijn dan het aantal gevonden signalen.
Voor bestuurders is AI in cybersecurity vooral een governancevraag. AI kan efficiëntie verhogen, maar mag geen excuus worden om noodzakelijke basismaatregelen uit te stellen. De belangrijkste investering blijft het verkleinen van het aanvalsoppervlak en het verbeteren van containment.
De vraag is niet alleen of de organisatie een SOC heeft. De juiste vraag is of de organisatie binnen minuten kan detecteren, besluiten en containen. Dat vraagt om mandaat, vooraf goedgekeurde responsacties, technische integratie en periodieke oefeningen.
Ook compliance verandert deze realiteit niet. NIS2, DORA en andere kaders vragen om aantoonbare beheersing van risico’s, incidentrespons en continuïteit. Een AI-oplossing kan daarbij ondersteunen, maar levert geen aantoonbare weerbaarheid wanneer de onderliggende maatregelen ontbreken.
Een volwassen aanpak combineert preventie, detectie, automatische respons en periodieke validatie. Preventie verkleint het aanvalsvlak. Detectie maakt misbruik zichtbaar. Automatische respons beperkt de schade. Validatie toont aan of de maatregelen werken tegen realistische aanvalspaden.
Dit vraagt om samenhang. Losse maatregelen verliezen waarde wanneer playbooks, logging, uitzonderingscontrole of mandaat ontbreken. Een organisatie kan dan wel snel signaleren, maar niet snel genoeg containen.
DeepBlue kijkt daarom naar aanvalspaden en aantoonbare impact. Niet naar losse maatregelen op papier. Een organisatie moet weten welke stappen een aanvaller realistisch kan zetten en waar die keten wordt gestopt. Dat inzicht vraagt technische diepgang, onafhankelijke beoordeling en ervaring met IT- en OT-omgevingen.
Wanneer een incident toch plaatsvindt, wordt dezelfde samenhang belangrijk. Containment, bewijsbehoud en herstel moeten elkaar niet in de weg zitten. Onze specialisten voor Incident Response & Forensics helpen organisaties om snel te handelen zonder het technische onderzoek of de juridische bewijspositie onnodig te verzwakken.
AI verandert onderdelen van cybersecurity, maar het verandert niet wat goede beveiliging is. Aanvallen worden sneller, maar veel technieken zijn bekend. De organisaties die beter bestand zijn tegen snelle aanvallen, zijn niet de organisaties die alleen sneller alerts verwerken, maar de organisaties die aanvalspaden technisch beperken.
Een SOC blijft cruciaal, maar hoort de laatste verdedigingslaag te zijn. Niet de vervanging voor preventieve hardening, segmentatie, identity security en automatische respons. AI kan helpen om signalen sneller te verwerken, maar mag nooit het fundament worden waarop de volledige weerbaarheid rust.
De kern blijft hetzelfde. Doe de basis goed, toets of de basis werkt en richt security zo in dat een eerste compromis niet automatisch leidt tot organisatiebrede impact. Dat is technische weerbaarheid.
CrowdStrike, 2026 Global Threat Report | AI Security Institute, Our evaluation of Claude Mythos Preview’s cyber capabilities | Microsoft Learn, Credential Guard overview | Microsoft Learn, Windows LAPS overview
Laatst inhoudelijk gecontroleerd: 4 september 2026.
Bespreek een securityvraagstuk, actueel risico of complexe IT- of OT-omgeving met een van onze senior specialisten. Het eerste gesprek richt zich op de technische context, operationele randvoorwaarden en de meest passende vervolgstappen.
Geen mailinglijsten of geautomatiseerde salesopvolgingInformatie wordt vertrouwelijk behandeldKan het niet wachten?
Bel ons op +31 (0) 70 290 6 290
of stuur een email naar info@deepbluesecurity.nl
