31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Ransomware Readiness Assessment: Meten of Uw Verdediging een Aanval Zou Stoppen, Fase voor Fase
De meeste organisaties die door ransomware worden getroffen, hadden een EDR, een back-upproduct en een incident-responsplan. Wat ontbrak, was bewijs dat die drie samen standhouden tegen een vastberaden tegenstander. Een ransomware readiness assessment levert dat bewijs door elke fase van de aanvalsketen gecontroleerd in uw eigen omgeving te beproeven en te meten waar hij zou zijn gedetecteerd en gestopt.
Wat een ransomware readiness assessment is
Een ransomware readiness assessment is een gecontroleerde, doelgerichte beveiligingstest die uw verdediging beoordeelt tegen de volgorde die een aanvaller zou volgen: de omgeving bereiken, rechten verkrijgen, bewegen naar de systemen die ertoe doen, toetsen of back-ups bereikbaar of uit te schakelen zijn, nagaan of data onopgemerkt kan vertrekken, en bevestigen of detectie en respons de keten zouden onderbreken. Hij verschilt op twee punten van een gewone penetratietest. Hij is gescopet op die specifieke keten in plaats van op één systeem of applicatie, en hij meet de respons van de organisatie evenzeer als haar blootstellingen: de oplevering is niet alleen een lijst met bevindingen, maar een tijdlijn van wat de verdedigers zagen, wanneer, en wat zij deden.
Het assessment werkt doorgaans vanuit een assumed-breach-positie, omdat dat weerspiegelt hoe incidenten in de praktijk beginnen. De initiële blootstelling wordt apart en realistisch beoordeeld (gevoeligheid voor e-mail, blootgestelde externe toegang, hergebruikte inloggegevens), maar de kern van de opdracht gaat ervan uit dat een van die een aanvaller een voet aan de grond gaf, en stelt de vraag die bepaalt of een inbraak een crisis wordt: hoe ver zou een aanvaller, startend vanaf één standaardgebruiker op één werkplek, kunnen reiken richting domeinbeheer, de back-upconsole en de bestandsservers, en zou iemand het op tijd merken? De methode is dezelfde discipline als bij red teaming, toegepast met een nauwer doel en een kortere doorlooptijd, zodat een organisatie hem jaarlijks kan uitvoeren. Elke handeling wordt in de rules of engagement afgesproken, uitgevoerd zonder echte versleuteling of vernietiging van data, en is bedoeld om risico aan te tonen in plaats van te veroorzaken.
Wie het opdraagt: besturen en directies die een helder antwoord willen op 'zouden wij het doorstaan', verzekeraars en makelaars die steeds vaker bewijs achter de vragenlijst vragen, en compliance-verantwoordelijken die onder DORA, NIS2 of de Amerikaanse financiële regelgeving hun bedrijfscontinuïteit en back-upmaatregelen moeten testen. Het assessment is zo opgezet dat één opdracht alle drie beantwoordt.
De zeven fasen die wij beoordelen
Elke fase is gekoppeld aan technieken uit MITRE ATT&CK en aan een maatregel die uw verdediging zou moeten bieden. Het assessment legt per fase vast of het risico bestond, of uw tooling de activiteit detecteerde en of uw team reageerde. Er wordt geen destructieve handeling verricht; het doel is bewijs, veilig aangetoond.
1. Blootstelling bij initiële toegang
Een gecontroleerde phishingcampagne tegen een afgesproken steekproef van medewerkers om gevoeligheid en meldingsgedrag te meten, plus een beoordeling van internet-facing externe diensten als VPN, RDP en gepubliceerde gateways op phishingbestendige multifactorauthenticatie, en een controle op blootgestelde of hergebruikte inloggegevens. De vraag is niet of één medewerker klikt; de vraag is of één klik of één blootgestelde dienst een aanvaller een bruikbare voet aan de grond zou geven, en of die zou worden opgemerkt.
2. Rechtenescalatie
Vanuit een standaardgebruiker beoordelen wij de paden die tot hogere rechten leiden: ongepatchte lokale componenten, zwakke serviceconfiguraties, op endpoints gecachte inloggegevens en te ruime lokale beheerrechten. Wij tonen aan dat een pad bestaat en stoppen bij het bewijs; de bevinding is het pad en de maatregel die het had moeten sluiten.
3. Active Directory-aanvalspaden
In Active Directory wordt het merendeel van de ransomware-incidenten beslist. Wij brengen de relaties in kaart die van een gewoon account naar domeinbrede controle leiden (verkeerde delegatie, te ruim groepslidmaatschap, verouderde bevoorrechte accounts, zwakke tiering) met dezelfde padanalyse die verdedigers kunnen inzetten, en laten zien welke enkele wijzigingen de meeste paden verbreken.
4. Laterale beweging en detectie
Wij beproeven realistische beweging tussen systemen om segmentatie te meten en, even belangrijk, om detectie te meten: slaat de EDR, SIEM of managed detection-dienst alarm, en handelt iemand ernaar? De waarde zit in de tijdlijn. Een pad dat luidruchtig is en wordt opgemerkt, is een heel ander risico dan hetzelfde pad dat in stilte wordt afgelegd.
5. Weerbaarheid van back-ups
Het verschil tussen een storing en een ramp is of back-ups het overleven. Wij beoordelen of de back-upconsole, repositories en inloggegevens bereikbaar zijn vanuit de posities die een aanvaller zou innemen, of back-ups immutable of offline zijn, en of back-upserviceaccounts te veel rechten hebben. Wij verwijderen nooit data; wij documenteren wat bereikbaar had kunnen zijn en wat het beschermt.
6. Detectie van data-exfiltratie
Moderne ransomware steunt op het stelen van data vóór versleuteling om slachtoffers onder druk te zetten. Met onschadelijke markeringsbestanden testen wij of een realistische hoeveelheid data het netwerk kan verlaten zonder data-loss prevention, egressmonitoring of de detectiestack te activeren, zodat u weet of het dubbele-afpersingsmiddel beschikbaar zou zijn geweest.
7. Respons en herstel
Tot slot testen wij de verdedigerskant van begin tot eind: trad het incident-responsplan in werking, waren de juiste mensen bereikbaar, en kunnen in een gecontroleerde hersteltest kritieke systemen daadwerkelijk vanaf back-up worden hersteld binnen de hersteltijd die het bedrijf aanneemt? Een plan waarvan nooit is hersteld, is een aanname, geen maatregel.
De assumed-breach-methode en waarom dat het eerlijke startpunt is
Assumed breach betekent dat het assessment begint door de tester een bescheiden, realistische voet aan de grond te geven: een standaard domeinaccount op een standaard werkplek, de positie die een aanvaller binnen enkele uren na een geslaagde phishingmail of één blootgestelde dienst bereikt. Het is het eerlijke startpunt omdat het perfect verdedigen van de perimeter niet haalbaar is, en elk geloofwaardig dreigingsmodel voor ransomware aanvaardt dat een aanvaller uiteindelijk binnenkomt. De nuttige vraag is wat daarna gebeurt, en assumed breach besteedt de tijd van de opdracht aan die vraag in plaats van opnieuw te bewijzen dat e-mail een risico is.
De aanpak maakt de test ook herhaalbaar en betaalbaar. Een volledig doelgericht red team dat zelf naar binnen moet zien te komen, kan vele weken duren en is het waard om periodiek uit te voeren; een assumed-breach readiness assessment bereikt de beslissende terreinen (rechten, Active Directory, back-ups, detectie) in een voorspelbare tijd, en past daarom bij een jaarlijkse cadans en een bewijscyclus voor verzekering of compliance. Testen van de initiële toegang gebeurt nog steeds, maar als een gemeten, apart onderdeel in plaats van als een poort waarachter de rest van de opdracht wacht.
Tabletop, penetratietest en ransomware readiness assessment
Deze drie zijn aanvullend, niet onderling verwisselbaar. De juiste kiezen voor de vraag die u heeft, bespaart geld en levert bewijs dat die vraag echt beantwoordt.
| Dimensie | Tabletop-oefening | Penetratietest | Ransomware readiness assessment |
|---|---|---|---|
| Centrale vraag | Weten onze mensen en ons plan wat te doen? | Waar zitten de uitbuitbare zwakheden in dit systeem? | Zou onze verdediging een ransomwareketen van begin tot eind detecteren en stoppen? |
| Vorm | Begeleide discussie tegen een scenario | Praktische technische test van een afgebakende scope | Praktische, gecontroleerde beproeving van de hele keten plus meting van de respons |
| Technische diepte | Geen; gericht op beslissing en communicatie | Diep, binnen de gescopete systemen | Diep over de keten, gescopet op het ransomware-doel |
| Meet de respons | Ja, op beslisniveau | Zelden; bevindingen zijn meestal kwetsbaarheden | Ja; de detectie- en responstijdlijn is een kernoplevering |
| Raakt back-ups en herstel | Besproken | Alleen indien expliciet gescopet | Ja; bereikbaarheid van back-ups beoordeeld en een gecontroleerd herstel getest |
| Gebruikelijke cadans | Kwartaal tot jaarlijks | Jaarlijks en na grote wijzigingen | Jaarlijks, en rond een verzekeringsverlenging |
| Beste combinatie met | Een readiness assessment om de aannames van het plan te toetsen | Readiness assessment om te bevestigen dat fixes standhouden tegen een echte keten | Een tabletop voor de menselijke kant en een pentest voor diepte op sleutelsystemen |
De kaders achter het assessment
De technische methode is georganiseerd rond MITRE ATT&CK, dat een gedeeld vocabulaire voor elke fase geeft en het rapport in staat stelt precies te benoemen welke technieken uw verdediging wel en niet detecteerde, zodat uw securityteam bevindingen kan omzetten in detection-engineeringwerk. Voor de readiness- en governancekant steunt het assessment op de Cross-Sector Cybersecurity Performance Goals van CISA, een geprioriteerde basis van de maatregelen die ransomware-risico het sterkst verlagen, en verwijst het naar de methodiek van CISA's Cyber Security Evaluation Tool en haar ransomware-readinessmodule, die als downloadbare tool is ingetrokken maar waarvan de vragenset een nuttige structuur blijft voor een zelfbeoordeling naast de technische test.
Voor incident response is het assessment geschreven tegen NIST Special Publication 800-61 Revision 3 (2025), die de incident-responscyclus herordent rond de functies Govern, Identify, Protect, Detect, Respond en Recover van het NIST Cybersecurity Framework 2.0, zodat de responsbevindingen aansluiten op het kader waarover uw risicoteam al rapporteert. Waar de organisatie onder DORA of NIS2 valt, sluiten de bevindingen over back-ups, continuïteit en incidentafhandeling rechtstreeks aan op de eisen voor weerbaarheidstesten en ICT-continuïteit van DORA (artikel 11 en 24 tot 25) en op de plichten voor bedrijfscontinuïteit en incidentafhandeling onder NIS2-artikel 21, zodat één assessment zowel het beveiligingsprogramma als het toezichtdossier voedt.
De maatregelen die een assessment telkens beslissend vindt
Over ransomware readiness assessments heen delen de organisaties die de keten zouden hebben gestopt of overleefd een herkenbare set maatregelen. Dit zijn de maatregelen die u maar beter kunt bevestigen te hebben, en die u maar beter kunt testen dan aannemen.
- Phishingbestendige multifactorauthenticatie op elke externe dienst en elke bevoorrechte aanmelding, zonder legacy protocol of uitzondering die haar omzeilt
- Endpoint detection and response overal uitgerold, inclusief servers en de back-upinfrastructuur, afgesteld om te alerteren en met iemand die de alert opvolgt, de klok rond
- Immutable of offline back-ups van kritieke systemen, met de back-upconsole en -inloggegevens onbereikbaar vanuit gewone gebruikers- en servercontexten
- Een herstel dat in het afgelopen jaar daadwerkelijk is uitgevoerd, getimed tegen de hersteltijd die het bedrijf aanneemt, en niet louter een back-up die succes meldt
- Active Directory-tiering die werkplekbeheer scheidt van server- en domeinbeheer, zodat één gecompromitteerde werkplek niet tot het domein leidt
- Netwerksegmentatie tussen gebruikers-, server-, back-up- en OT-omgevingen die wordt afgedwongen en gemonitord, niet alleen gedocumenteerd
- Egressmonitoring of data-loss prevention die een grote, ongebruikelijke uitgaande overdracht kan opmerken
- Een incident-responsplan met actuele contacten, vastgelegde rollen, een out-of-band communicatiemethode en bewijs dat het in het afgelopen jaar is beoefend
- Logging gecentraliseerd en lang genoeg bewaard om een inbraak te reconstrueren, met de logpijplijn zelf beschermd tegen manipulatie
Cyberverzekering en waarom verzekeraars nu testen verwachten
De acceptatie van cyberverzekeringen is strenger geworden rond precies de maatregelen die een readiness assessment meet. Verlengingsvragenlijsten vragen nu, als voorwaarde in plaats van voorkeur, om multifactorauthenticatie op externe toegang en bevoorrechte accounts, dekking met endpoint detection and response, immutable of offline back-ups met geteste herstellen, privileged access management, en e-mailfiltering met gebruikerstraining. Verzekeraars vragen ernaar omdat dit de maatregelen zijn die de uitkomst en de schadeomvang het sterkst veranderen, en omdat zij hebben geleerd dat een ondertekende vragenlijst niet hetzelfde is als een werkende maatregel. Een readiness assessment maakt van de vragenlijstantwoorden bewijs: het toont aan dat de MFA geen omweg kent, dat de EDR werkelijk alarm slaat, en dat de back-ups die een formulier immutable noemt, niet bereikbaar zijn vanuit de posities die een aanvaller zou innemen.
Het commerciële effect werkt twee kanten op. Organisaties gebruiken het assessmentrapport steeds vaker als onderdeel van hun aanvraag, ter ondersteuning van dekking, premie of een hogere sublimiet, en acceptanten beschouwen onafhankelijk testen steeds vaker als een positief signaal. Vindt een assessment een gat tegen een voorwaarde die de polis aanneemt, dan is het veel beter dat in een gecontroleerde test te ontdekken dan bij een claim te merken dat aan een garantie niet was voldaan. Het rapport is zo geschreven dat een makelaar en een acceptant de status van de maatregelen rechtstreeks kunnen lezen.
Hoe HackersHub het assessment uitvoert
Wij spreken eerst het doel en de rules of engagement af: het assumed-breach-startpunt, de systemen binnen de scope, de waarborgen (geen echte versleuteling, geen destructieve handeling, onschadelijke markeringen voor elke datatransporttest, benoemde escalatiecontacten voor alles wat tijdkritisch is), en de meetdoelen voor detectie en respons. Vervolgens beproeven wij de keten fase voor fase, in afstemming met uw securityteam over wat zij mogen zien, zodat de detectietijdlijn eerlijk is, en wij voeren een gecontroleerde hersteltest uit met uw infrastructuurteam. De oplevering is tweeledig: een geprioriteerd, naar risico gerangschikt bevindingenrapport waar uw engineers mee aan de slag kunnen, gekoppeld aan MITRE ATT&CK en aan de relevante NIST- en toezichtverwijzingen, en een responsverhaal dat uw bestuur en uw verzekeraar in begrijpelijke taal vertelt waar de keten zou zijn verbroken en waar niet.
Testers zijn OSCP-gecertificeerd en worden in het rapport bij naam genoemd. HackersHub is gevestigd in Amsterdam, Nederland, met 10+ jaar offensive-security-expertise en een beoordeling van 4,9/5 over 127 reviews, en wij werken met organisaties in heel Europa en de Verenigde Staten. Het assessment vult onze red teaming aan voor organisaties die de volledige adversary simulation willen, onze netwerkpenetratietesten voor diepte op de interne omgeving, en ons managed detection and response-werk voor organisaties die de detectiegaten die het assessment vindt, gesloten en bewaakt willen zien.
Veelgestelde vragen
Wilt u bewijs, geen aanname, over ransomware?
Wij beproeven de aanvalsketen veilig in uw eigen omgeving en vertellen uw bestuur en uw verzekeraar precies waar hij zou zijn gestopt en waar niet. Praat met een expert over de scoping van een assessment.