Wat is threat hunting in cybersecurity?

Threat hunting is het proactieve, hypothesegedreven zoeken naar aanvallers die al in een omgeving aanwezig zijn zonder een geautomatiseerd alert te hebben veroorzaakt. Analisten stellen een hypothese op over aanvallersgedrag, toetsen die aan endpoint-, identiteits-, netwerk- en cloudtelemetrie en bevestigen een incident of zetten de hypothese om in een nieuwe detectie. Het gaat uit van een inbraak in plaats van te wachten op bewijs.

Wat is het verschil tussen threat hunting en threat detection?

Threat detection is geautomatiseerd: een platform vergelijkt telemetrie met vooraf geschreven regels, signatures of modellen en geeft alerts. Threat hunting wordt door mensen geleid en begint met een hypothese in plaats van een regel, op zoek naar activiteit die de regels hebben gemist. Hunting voedt detectie door bevestigde hypothesen om te zetten in nieuwe regels, zodat beide disciplines elkaar versterken.

Wat is managed threat hunting?

Managed threat hunting is threat hunting geleverd door een externe aanbieder, meestal als onderdeel van een managed detection and response (MDR)-dienst die uw EDR en SIEM al beheert. De analisten van de aanbieder voeren geplande en intelligence-gestuurde hunts uit op uw telemetrie, rapporteren elke hunt met hypothese en resultaat en escaleren bevestigde bevindingen voor respons. Losse threat hunting diensten bestaan, maar de meeste organisaties kopen de capaciteit zo in, binnen MDR, omdat hunting dezelfde telemetrie nodig heeft die de MDR-aanbieder al beheert.

Welke data heeft u nodig voor threat hunting?

Minimaal endpoint-telemetrie met proces- en opdrachtregeldetails, identiteits- en authenticatielogs, DNS- en proxylogs en cloud-control-plane-auditlogs, bewaard voor een periode die de verblijftijd dekt waar u zich zorgen over maakt. Een inventaris van systemen en identiteiten is even belangrijk, omdat een hunter een anomalie niet kan beoordelen zonder te weten waar een host of account voor dient.

Waarvoor wordt MITRE ATT&CK gebruikt bij threat hunting?

MITRE ATT&CK levert de catalogus van aanvallerstechnieken die hunters omzetten in hypothesen, de databronnen die nodig zijn om elke techniek waar te nemen en een gemeenschappelijk label, zodat een huntresultaat een detectie met dezelfde naam wordt. Programma's gebruiken het ook om dekking te meten: welke technieken een afgeronde hunt of actieve detectie hebben en welke blinde vlekken blijven.

Hoe verbetert red teaming threat hunting?

Een red-team-opdracht legt vast welke aanvalspaden in uw omgeving werkten en welke detecties stil bleven, en geeft het huntingteam daarmee hypothesen die al bewezen haalbaar zijn. Purple-team-sessies maken die uitwisseling continu, waarbij rood en blauw detecties techniek voor techniek afstemmen. HackersHub gebruikt zijn offensieve bevindingen als directe input voor de hunting en detection engineering binnen zijn managed services.

2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

Wat is threat hunting? Hoe u proactief de aanvallers opspoort die uw detectie heeft gemist

Threat hunting is het proactieve, hypothesegedreven zoeken naar aanvallers die al in uw omgeving aanwezig zijn zonder een alert te veroorzaken. Deze gids behandelt hoe een hunt verloopt, waar hypothesen vandaan komen, welke data u nodig heeft, hoe hunting verschilt van detectie en incident response, hoe u een programma meet en wat managed threat hunting binnen MDR moet opleveren.

Praat met ons over managed detection and response

Wat threat hunting is

Threat hunting is het proactieve, door mensen geleide zoeken naar aanvallersactiviteit die geautomatiseerde detectie niet heeft gesignaleerd. Het begint met een hypothese over hoe een aanvaller in uw omgeving te werk zou kunnen gaan, toetst die hypothese aan uw eigen telemetrie en eindigt met een bevestigd incident dat aan incident response wordt overgedragen, of met een nieuwe, blijvende detectie zodat hetzelfde gedrag de volgende keer automatisch wordt gevangen. De kernaanname is dat de aanvaller al binnen is: hunting wacht niet op een alert, maar gaat op zoek naar de stille activiteit die alerts per definitie missen.

De discipline bestaat omdat preventieve en detectieve maatregelen een structurele blinde vlek hebben. Endpoint detection and response (EDR), een SIEM en netwerkmonitoring reageren allemaal op patronen die iemand eerder heeft beschreven. Een aanvaller die legitieme inloggegevens, ingebouwde beheertools en gewone protocollen gebruikt, produceert activiteit die eruitziet als een normale werkdag. Brancherapporten over datalekken zetten de mediane verblijftijd (dwell time) van aanvallers al jaren op dagen tot weken. Hunting verkort dat venster door te vragen hoe de data eruit zou zien als de aanvaller er was.

Drie uitkomsten maken een hunt de analistentijd waard. De eerste is bevestigde kwaadaardige activiteit, die een incident wordt. De tweede is een nieuwe detectieregel, analyse of playbook, zodat de hypothese nooit meer handmatig hoeft te worden onderzocht. De derde is een gedocumenteerd zichtbaarheidsgat: een logbron die niet werd verzameld, een systeem dat niet was aangesloten, een bewaartermijn die te kort was. Een huntingprogramma dat alleen de eerste uitkomst oplevert, is een traag incident-responseteam; een programma dat alle drie oplevert, verbetert de detectiestack elke maand.

Threat hunting vs threat detection vs incident response

De drie disciplines delen tools en vaak ook mensen, en daarom halen inkopers ze door elkaar. Ze beantwoorden verschillende vragen en worden anders gemeten.

Aspect	Threat detection	Threat hunting	Incident response
Startpunt	Een vooraf geschreven regel, signature of model	Een hypothese over aanvallersgedrag, opgesteld door een analist	Een bevestigd of vermoed incident
Kernaanname	Bekende kwaadaardige patronen keren terug en zijn te matchen	De aanvaller is al binnen en heeft de regels omzeild	Er is iets gebeurd en de schade moet worden beperkt
Wie stuurt	Het platform; analisten triageren de uitvoer	Analisten; het platform levert de data	Een incidentcoördinator en een responsteam
Belangrijkste input	Realtime telemetrie, threat feeds, detectiecontent	Historische en actuele telemetrie, MITRE ATT&CK, intelligence, offensieve bevindingen	Forensische artefacten, logs, hunt- en detectieresultaten
Uitkomst	Alerts, geprioriteerd voor triage	Bevestigde incidenten, nieuwe detecties, gedocumenteerde zichtbaarheidsgaten	Insluiting, verwijdering, herstel, geleerde lessen
Gemeten aan	Dekking, precisie, false positives, tijd tot alert	Afgeronde hunts, gedekte technieken, gemaakte detecties, gevonden verblijftijd	Tijd tot insluiting, tijd tot herstel, voorkomen impact

De threat-hunting-cyclus

Volwassen programma's laten elke hunt dezelfde cyclus doorlopen, zodat resultaten vergelijkbaar zijn en niets in het notitieboek van een analist eindigt.

1. Hypothese

Schrijf één toetsbare zin: 'een aanvaller die een gebruiker heeft gephisht, gebruikt een ingebouwde beheertool om tussen werkstations te bewegen'. Een goede hypothese benoemt een techniek, een databron en het bewijs dat haar zou bevestigen of weerleggen.

2. Data

Bepaal welke telemetrie de vraag kan beantwoorden en controleer of die daadwerkelijk wordt verzameld, geparsed en bewaard voor de periode die de hypothese bestrijkt. Een zichtbaarheidsgat dat hier opduikt, is een legitiem resultaat voor de backlog van detection engineering.

3. Analyseren

Bevragen, stapelen, baselinen en vergelijken. Hunters zoeken naar zeldzame waarden, voor het eerst geziene gebeurtenissen, uitschieters ten opzichte van vergelijkbare groepen en reeksen gebeurtenissen die bij de techniek passen. De vaardigheid zit in weten hoe normaal eruitziet in deze specifieke omgeving.

4. Verrijken en valideren

Elke kandidaat-bevinding wordt verrijkt met de kriticiteit van het systeem, de rol van de gebruiker, wijzigingsregistraties en threat intelligence voordat iemand haar kwaadaardig noemt. Validatie scheidt de geplande taak van een systeembeheerder van de persistentie van een aanvaller.

5. Reageren

Bevestigde activiteit wordt overgedragen aan incident response met het bewijs, de tijdlijn en de scope die de hunt al heeft verzameld. Moet het responsteam de analyse opnieuw doen, dan was de hunt niet goed genoeg gedocumenteerd.

6. Automatiseren

Zet de hypothese om in een detectieregel, een geplande analyse of een verrijking zodat het platform haar de volgende keer zelf vangt, en leg de hunt vast met zijn dekking van MITRE ATT&CK en zijn uitkomst. De cyclus sluit wanneer de handmatige hunt niet meer nodig is.

Waar hunting-hypothesen vandaan komen

Een hunt zonder bron voor zijn hypothesen verwordt tot willekeurig zoeken. Programma's putten uit vier bronnen.

MITRE ATT&CK

De ATT&CK Enterprise-matrix catalogiseert tactieken, technieken en subtechnieken van aanvallers zoals waargenomen in echte inbraken, met de databronnen die elke techniek zichtbaar maken. Hunters gebruiken haar om technieken te kiezen die voor hun omgeving tellen (credential access, lateral movement, persistentie, defence evasion), om te controleren welke daarvan bestaande detecties al dekken en om de dekking in de tijd te volgen. ATT&CK geeft hunters en detection engineers bovendien een gedeelde woordenschat, zodat een huntbevinding een detectie met hetzelfde label wordt.

Threat intelligence

Strategische en operationele intelligence vertelt een hunter welke groepen zijn sector en regio als doelwit hebben en welke technieken die groepen dit kwartaal verkiezen. Tactische indicatoren (hashes, domeinen, IP-adressen) zijn de minst duurzame input, omdat aanvallers ze met weinig moeite vervangen; intelligence op gedragsniveau (hoe een groep data verzamelt voor exfiltratie, welke legitieme tools zij misbruikt) blijft veel langer geldig, een punt dat de veel geciteerde Pyramid of Pain samenvat.

Offensieve bevindingen uit penetratietesten en red teams

De meest omgevingsspecifieke bron. Een red-team-rapport laat precies zien welk pad door uw identiteits-, netwerk- en cloudmaatregelen werkte, welke detecties afgingen en welke stil bleven. Elke stille stap is een hunting-hypothese met het bewijs dat zij hier haalbaar is. Ook bevindingen uit een penetratietest die al zijn verholpen, vertellen hunters wat een aanvaller zou hebben geprobeerd en of iemand het zou hebben opgemerkt.

Uw eigen omgeving

Kroonjuwelen, bevoorrechte accounts, externe blootstelling en recente wijzigingen zijn op zichzelf hypothesegeneratoren. Een nieuwe SaaS-koppeling, een fusie, een migratie naar een nieuwe identity provider of een leverancier met permanente toegang op afstand roept telkens dezelfde vraag op: als dit zou worden misbruikt, wat zou de data dan laten zien?

De data die een hunt nodig heeft

De kwaliteit van hunting wordt begrensd door de kwaliteit van de telemetrie. Dit zijn de bronnen die een programma moet kunnen bevragen, en de vragen die u over elke bron stelt vóór de eerste hunt.

Endpoint-telemetrie uit een EDR of gelijkwaardig: procescreatie met opdrachtregels, parent-child-relaties, netwerkverbindingen, bestands- en registerwijzigingen en scriptuitvoering, op servers én werkstations, niet alleen op de systemen die als gevoelig gelden
Identiteits- en authenticatielogs: aanmeldingen op domeincontrollers en de cloud identity provider, Kerberos- en NTLM-gebeurtenissen, wijzigingen van rechten, MFA-uitkomsten, gebruik van serviceaccounts en conditional-access-beslissingen
Netwerkmetadata: DNS-verzoeken, proxy- en firewalllogs, flowgegevens, VPN- en remote-access-sessies, met zicht op intern oost-westverkeer en niet alleen op de perimeter
Cloud-control-plane-logs: AWS CloudTrail, Azure Activity Log, Google Cloud Audit Logs, plus SaaS-auditlogs voor e-mail, samenwerkings- en codeplatformen
E-mailtelemetrie: afleverings-, bijlage- en URL-oordelen, wijzigingen van mailboxregels, doorsturen en OAuth-toestemmingen
Applicatie- en databaselogs van kroonjuweelsystemen, inclusief beheerhandelingen en bulktoegang tot data
Een inventaris van systemen en identiteiten die een hunter vertelt waar een host of account voor dient; zonder die inventaris is elke anomalie dubbelzinnig
Een bewaartermijn die de verblijftijd dekt waar u zich zorgen over maakt: een hunt naar een techniek van zes maanden geleden vraagt zes maanden doorzoekbare data, geen dertig dagen

Gestructureerde, ongestructureerde en situationele hunting

Praktijkmensen onderscheiden drie huntingstijlen. De meeste programma's gebruiken alle drie, in wisselende verhoudingen naarmate zij volwassener worden.

Aspect	Gestructureerde hunting	Ongestructureerde hunting	Situationele (entiteitgedreven) hunting
Startpunt	Een hypothese op basis van een bekende techniek of een draaiboek van een aanvaller, meestal in ATT&CK-termen	Een indicator, anomalie of intuïtie van de analist, gevolgd waar de data ook heen leidt	Een specifieke waardevolle entiteit of situatie: een kroonjuweel, een bevoorrechte groep, een bestuurder, een leverancierskoppeling
Gebruikelijke trigger	Gepland dekkingsplan, nieuwe intelligence over de technieken van een groep, een red-team-bevinding	Een verdachte indicator uit een feed, een vreemd logpatroon, een onverklaarde piek	Een risicobeoordeling, een fusie, een nieuwe blootstelling, een sectorspecifieke campagne
Scope	Smal en herhaalbaar; één techniek over het hele landschap	Open; één draad gevolgd door veel databronnen	Diep op enkele entiteiten; veel technieken tegen één doelwit
Kracht	Meetbare dekking; vertaalt zich direct naar detecties	Vindt de onbekende onbekenden die geen draaiboek voorzag	Concentreert inspanning waar de impact het grootst is
Zwakte	Vindt alleen wat de catalogus beschrijft	Moeilijk te meten; sterk afhankelijk van de ervaring van de analist	Laat de rest van het landschap onbekeken
Gebruikelijke uitkomst	Detectieregels gekoppeld aan ATT&CK, een dekkingskaart	Nieuwe hypothesen voor gestructureerde hunts, verrijkte intelligence	Een hardenings- en monitoringplan voor de entiteit, maatwerkdetecties

Hoe u een threat-huntingprogramma meet

Hunting is eenvoudig te financieren voor één kwartaal en moeilijk te verdedigen bij de begroting, omdat een geslaagde hunt die niets vindt er precies zo uitziet als een verspilde. De oplossing is het programma te meten, niet de individuele hunt. Bruikbare maatstaven zijn het aantal afgeronde hunts per maand ten opzichte van het plan, het aandeel relevante MITRE ATT&CK-technieken dat door minstens één afgeronde hunt of actieve detectie wordt gedekt, het aantal detecties en analyses dat uit hunts is voortgekomen, de geïdentificeerde en gesloten zichtbaarheidsgaten, en het aantal echte incidenten dat het huntingteam vond voordat enig alert afging. Definieer elk daarvan voor uw eigen omgeving in plaats van een leveranciersbenchmark over te nemen.

Verblijftijd is de uitkomstmaatstaf. Vindt een hunt een inbraak, leg dan vast hoe lang de aanvaller al aanwezig was en hoe lang het had geduurd voordat een geautomatiseerde maatregel hem had gevangen, als dat ooit was gebeurd. Het Hunting Maturity Model, dat vijf niveaus beschrijft van geen routinematige hunting tot een programma dat de meeste geslaagde hunts automatiseert, is een praktische manier om te beschrijven waar u staat. Geen van deze cijfers mag een aanbieder vooraf beloven; een aanbieder die een gegarandeerde verkorting van de verblijftijd noemt voordat hij uw telemetrie heeft gezien, verkoopt, maar hunt niet.

Hunting levert ook bewijs voor kaders die om monitoring en analyse vragen in plaats van alleen om logging. NIST CSF 2.0 plaatst het onder de functie Detect (continuous monitoring, DE.CM, en adverse event analysis, DE.AE), en NIST SP 800-61 Rev. 3 koppelt detectie en analyse aan datzelfde profiel. Leveranciers onder CMMC 2.0 Level 2 moeten systemen monitoren om aanvallen te detecteren en onbevoegd gebruik te herkennen (NIST SP 800-171 3.14.6 en 3.14.7). HIPAA vereist beoordeling van systeemactiviteit (45 CFR 164.308(a)(1)(ii)(D)), PCI DSS v4.0.1 vereist dat auditlogs worden beoordeeld (eis 10.4), en in de EU verwachten NIS2 artikel 21(2)(b) en DORA artikel 10 mechanismen die afwijkende activiteit snel detecteren. Gedocumenteerde hunts met datum, hypothese, databronnen en uitkomst zijn precies het bewijs waar die maatregelen om vragen.

Managed threat hunting als onderdeel van MDR

Weinig middelgrote organisaties kunnen hunting intern bemensen. Het vraagt analisten die het vakmanschap van aanvallers begrijpen, tijd die niet opgaat aan alerttriage, en telemetrie over endpoint, identiteit, netwerk en cloud heen. Threat hunting diensten worden daarom meestal ingekocht als managed threat hunting binnen een managed detection and response (MDR)-dienst: de aanbieder beheert uw EDR en SIEM, triageert alerts rond de klok en draait een huntingprogramma op dezelfde telemetrie. Onze MDR-dienstpagina beschrijft de managed detection and response van HackersHub volledig; het zusterartikel over MDR vs EDR vs XDR legt uit waarom juist de huntinglaag een dienst onderscheidt van een tool.

Wat u een aanbieder vraagt: hoeveel hunts per maand op úw data worden uitgevoerd, niet over het hele klantenbestand; of hypothesen zijn afgestemd op uw sector en uw eigen offensieve bevindingen; of afgeronde hunts worden gerapporteerd met hypothese, databronnen, resultaat en de gemaakte detectie; hoe een bevestigde bevinding wordt geëscaleerd en wie bevoegd is om in te sluiten; en welke telemetrie de aanbieder van u nodig heeft voordat hunting betekenis krijgt. Een aanbieder die u geen afgerond huntrapport kan laten zien, biedt alerttriage onder een andere naam.

Bij HackersHub worden detection engineering en hunting binnen onze managed services gevoed door ons offensieve werk. De technieken die onze red teams tegen enterprise-omgevingen inzetten en de gaten die onze pentesters vinden, worden de hypothesen waar onze analisten in klanttelemetrie naar zoeken. De monitoring draait 24/7, wij beheren de SIEM- en EDR-platformen, wij ondersteunen incident response wanneer een hunt activiteit bevestigt, en de rapportage sluit aan op de hierboven genoemde compliancekaders. De levering gebeurt op afstand vanuit Amsterdam, Nederland, met werk op locatie in de EU en de VS waar nodig.

Hoe red-team-kennis hunting verbetert

De beste hunters denken als de mensen op wie zij jagen, en de snelste manier om dat te leren is naast hen te werken. Een red-team-opdracht is de rijkste afzonderlijke input van een huntingprogramma: zij levert een gedateerd, stapsgewijs verslag van een inbraak in uw eigen omgeving, met elke techniek gekoppeld aan ATT&CK en elke detectie-uitkomst vastgelegd. Waar het red team ongezien bewoog, heeft het huntingteam een hypothese die al bewezen haalbaar is. Ons artikel over wat red teaming is beschrijft hoe een opdracht verloopt tot en met de replay-sessie, waarin hunters en red teamers hun aantekeningen vergelijken.

Purple teaming maakt die uitwisseling continu. In plaats van één rapport per jaar zitten rood en blauw samen, voeren zij technieken één voor één uit en stemmen zij detecties ter plekke af, waarbij de huntingbacklog wordt bijgewerkt met elke techniek die nog doorglipt. Een jaarlijks red team gecombineerd met kwartaalsgewijze purple-team-sessies en een maandelijks huntingritme levert een detectiestack op die weerspiegelt hoe aanvallers zich daadwerkelijk tegen uw omgeving gedragen. Dat is het model dat HackersHub toepast over zijn offensieve en managed diensten heen.

Veelgestelde vragen

Gerelateerde diensten en gidsen

Wilt u hunters die denken als de aanvallers die zij zoeken?

De managed detection and response van HackersHub combineert 24/7 monitoring met hunting en detection engineering gevoed door 10+ jaar offensieve security. Praat met een expert over wat uw telemetrie mogelijk maakt.

Ontdek managed detection and response Praat met een expert