IBM Qradar SIEM: van beginner tot gevorderd Training Cursus

Module 1: Basisprincipes, architectuur en ecosysteemoverzicht van SIEM

Biedt een uitgebreid begrip van de basisprincipes van SIEM (Security Information and Event Management), de platformarchitectuur van IBM QRadar, de integratie met het ecosysteem en het bredere landschap van beveiligingsanalyse, inclusief XDR, SOAR en platforms voor bedreigingsinlichtingen.

1.1 Beveiligingsanalyse en basisprincipes van SIEM

• Het SIEM-landschap: evolutie van logbeheer naar beveiligingsanalyse
• SIEM vs. SOAR vs. XDR: het begrijpen van de convergentie van beveiligingstools
• Belangrijkste SIEM-componenten: logverzameling, normalisatie, correlatie en meldingen
• De workflow van een SOC-analist: detectie, triage, onderzoek en reactie
• Overzicht van het MITRE ATT&CK-framework en de rol hiervan in SIEM-mapping

1.2 Platformarchitectuur van IBM QRadar

• QRadar on-premises-architectuur: Event Processor, Log Manager, Console en Flow Processor
• QRadar in de cloud: multi-tenant architectuur, inname-modellen en schaalbaarheid
• QRadar Hybrid Cloud-implementatie: combinatie van on-premise- en cloudmogelijkheden
• Implementatieopties: Virtuele apparaten, Hardware-apparaten en SaaS
• High Availability (HA) en Active-Passive vs. Active-Active configuraties

1.3 QRadar-componenten en navigatie in de console

• IBM QRadar Console: overzichtsinterface, werkruimten, dashboards en navigatie
• Complementaire apps, QRadar App Framework en IBM App Exchange
• Context Explorer, Risk Analyzer en integratie van bedreigingsinlichtingen
• Datamodel: Hosts, Devices, Protocols en Categories in QRadar

1.4 Het QRadar-ecosysteem

• IBM QRadar SOAR: integratie van beveiligingsorkestratie en geautomatiseerde reactie
• IBM QRadar EDR: integratie van endpoint-detectie en -reactie
• Integratie van bedreigingsinlichtingen (VTI-feeds, aangepaste bedreigingsfeeds)
• Integratie met SIEM-tools: Splunk, Elastic SIEM, IBM QRadar (beheer van logbronnen)

1.5 Integratie met de IBM Security Suite

• Integratie van IBM QRadar SOAR voor automatisering en playbook-orkestratie
• Integratie van IBM QRadar EDR voor endpoint-telemetrie
• Integratie van IBM QRadar VTI (Vulnerability and Threat Intelligence)
• Apps en add-ons van de IBM QRadar App Exchange
• Integratie van het IBM QRadar Network Integration Platform (NFI)

Vakgebonden competenties: Basisprincipes van SIEM, Security Information and Event Management, IBM QRadar Platformarchitectuur, QRadar On-Prem Implementatie, QRadar Cloud-architectuur, Hybrid Cloud-beveiliging, SOC-bewerkingen en SIEM, Beveiligingsanalyse, XDR-integratie, SOAR-platformintegratie, Threat Intelligence Platform (TIP), MITRE ATT&CK Framework Mapping, Convergentie van beveiligingstools, Enterprise-beveiligingsarchitectuur, Logbeheer en analyse, SIEM-schaalbaarheid en capaciteitsplanning, High-Availability (HA) configuratie, QRadar Console-navigatie en -configuratie

Module 2: Beheer van logbronnen, datanname en normalisatie

Diepgang in de configuratie van logbronnen, strategieën voor dataverzameling, lognormalisatie en protocollen die essentieel zijn voor het vestigen van enterprise-brede beveiligingszichtbaarheid over on-premise-, cloud- en hybridomgevingen.

2.1 Configuratie van logbronnen en protocollen

• Methode van logverzameling: Syslog (RSYSLOG), Netwerkverbindingen (CEF), Common Event Format (CEF) en QRadar Common Event Format (CEF)
• CEF-protocol: kop, extensienamen, aangepaste extensies en CEF-naar-CEF-mapping
• Netwerkgebaseerde logverzameling: NetFlow v5/v9, IPFIX (sFlow)
• Agentgebaseerde verzameling (IBM QRadar Agent) voor endpoint-zichtbaarheid
• Configuratie van logbronnen voor Active Directory, DNS, DHCP, HTTP, SMTP en databases
• Best practices voor implementatie van logbronnen: bronnen met hoge doorvoer, compressie en encryptie

2.2 Datanname en capaciteitsplanning

• Verstane dagelijkse logbestandsvolume (GLP) en dagelijkse capaciteit voor datanname van gebeurtenissen
• Beleid voor dataretentie en compliance-gerestteerde retentiebeheersing
• Prioritering van logbronnen en filteren van gebeurtenissen om kosten te beheersen
• Capaciteitsplanning voor enterprise-schaalbare SIEM-implementaties
• Grootteberekeningen en prestatieoptimalisatie voor omvangrijke omgevingen

2.3 Lognormalisatie en classificatie

• De QRadar Normalisatie Engine: het aflezen van inheemse logformaten naar QRadar-protocollen
• Logbron-echteigenschapsbeheerder en protocol-mapping
• Aanmaken van aangepaste logbronnen voor eigentijdse logboeken
• Mapping van gebeurtenissen, flows en logbronnen
• Normalisatierregels en het oplossen van parsingsproblemen

Vakgebonden competenties: Beheer van logbronnen, Syslog-configuratie, CEF-protocol, Netwerkverbindingen (CEF), Implementatie van de QRadar Agent, Logverzameling van Active Directory, Logverzameling van DNS en DHCP, Logverzameling van HTTP/S en SMTP, Logverzameling van databases (CEF) integratie, NetFlow- en IPFIX-verzameling, Agentless SIEM-implementatie, Enterprise-logverzamelstrategie, Lognormalisatie, Protocol-mapping, Configuratie van aangepaste logbronnen, Gebeurtenisparsing en classificatie, Schatting van dagelijkse logvolume (DLV), SIEM-capaciteitsplanning, Prestatiestuning voor grote schaal SIEM, Compliance-gerestteerde dataretentie

Module 3: Detectie, correlatie en regelontwikkeling

Het hart van SIEM-bewerkingen: het bouwen, testen en beheren van detectieregels, van eenvoudige gebeurtenisregels tot complexe samengestelde correlatieregels die aanvallen, afwijkingen en beleidsovertredingen identificeren.

Het hart van SIEM-bewerkingen: het bouwen, testen en beheren van detectieregels, van eenvoudige gebeurtenisregels tot complexe samengestelde correlatieregels die aanvallen, afwijkingen en beleidsovertredingen identificeren.

3.1 Gebeurtenisregels en aggregatieregels

• Gebeurtenisregels: filteren, extraheren van velden en aanmaken van aangepaste attributen uit ruwe gebeurtenissen
• Aggregatieregels: tellen en groeperen van gebeurtenissen per IP, protocol, gebruiker, etc.
• Acties van aggregatieregels: meldingen, teller drempelwaarden en aangepaste eigenschappen
• Activering van regels, regelvolgorde en regeluitvoeringslogica

3.2 Samengestelde correlatieregels

• Bouwen van samengestelde correlatieregels: verbinden van gegevens uit meerdere bronnen
• Regeltypen: Gebeurtenis, Aggregatie en Samengestelde Correlatie
• Componenten van samengestelde regels: triggers, aggregaties, correlaties en acties
• Correlatielogica: tijdelijke correlatie, drempelcorrelatie en contextuele correlatie
• Eigenschappen van voorspellings- en correlatieregels: betrouwbaarheidsniveaus, ernst en escalatie
• Effectieve correlatieregels schrijven: vermijden van meldingsmoeheid en garanderen van signalkwaliteit

3.3 Detectieregels voor MITRE ATT&CK-technieken

• Regels gemap op MITRE ATT&CK-technieken: Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control (C2), Exfiltration
• Aangepaste detecties voor specifieke categorieën van aanvallen:
• Regels voor: Brute Force, Port Scanning, Malware Communication, Insider Threat, Lateral Movement, Privilege Escalation, Data Exfiltration, Command-and-Control (C2)
• Regels voor: Brute-Force Authentication Failures, Port Scanning, SQL Injection, DNS Tunneling, Privilege Escalation, Lateral Movement via Pass-the-Hash

3.4 Bedreigingsjacht met QRadar-regels

• Proactieve bedreigingsjachtmethodologie met behulp van QRadar
• Bouwen van regels voor detectie van onbekende/zero-day-bedreigingen
• Regels voor gedragsanalyse en detectie van afwijkingen ten opzichte van de basislijn

Vakgebonden competenties: Ontwikkeling van gebeurtenisregels, Aanmaken van aggregatieregels, Ontwikkeling van samengestelde correlatieregels, Ontwerp van aangepaste correlatieregels, MITRE ATT&CK-mapping, Ingenieursonderzoek van bedreigingsdetectie, Mapping van aanvalstechnieken (Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration), Detectie van malwarecommunicatie, SQL-injectiedetectie, DNS-tunnelingdetectie, Privilege Escalation-regel, Brute Force-detectie, Lateral Movement-detectie, Insider Threat-detectie, Data Exfiltration-detectie, Command-and-Control (C2)-detectie, Beheer van meldingsmoeheid, Regelstuning en optimalisatie, SOC-detectieregelontwikkeling, Proactieve bedreigingsjacht

Module 4: QRadar Offense Engine en incidentonderzoek

Besteedt aandacht aan de QRadar offense engine: aanmaken van offenses, workflow voor onderzoek, contextanalyse, beheer van valse positieven, triage en incidentafhandeling.

4.1 De Offense Engine

• Aanmaken, aggregeren en levenscyclusbeheer van offenses
• Eigenschappen van offenses: ernst, betrouwbaarheid, status en toewijzing
• Aggregatielogica van offenses: groeperen van gerelateerde gebeurtenissen in betekenisvolle incidenten
• Escalatie, toewijzing en workflowbeheer van offenses

4.2 Incidentonderzoek en contextanalyse

• Context Explorer voor diepgaande gebeurtenisanalyse en tijdlijnreconstructie
• Analyse van de gebeurtenistijdlijn: chronologische reconstructie van beveiligingsincidenten
• Analyse en reputatie van IP-adressen (Threat Intel)-verrijking
• Context van gebruikers en assets: gebruikersactiviteit, hostinventaris en assetrisicoanalyse
• Correlatiegebeurtenissen in de offense- en gedetailleerde gebeurtenisweergaven
• Gebeurteniscorrelatie, gebeurtenisgroepering en bewijsinzameling

4.3 Integratie van bedreigingsinlichtingen

• Integratie van Vulnerability and Threat Intelligence (VTI)-feeds
• Geautomatiseerde verrijking van bedreigingsinlichtingen met IBM QRadar VTI
• Uploaden van aangepaste bedreigingsfeeds en profielen van bedreigingsactoren
• Context van bedreigingsinlichtingen in offenses en risicoanalyse

4.4 Beheer van valse positieven en regelstuning

• Identificeren en classificeren van valse positieven in de Offense Engine
• Regels voor het onderdrukken van valse positieven en onderdrukkingsworkflows
• Regelstuning: ruis verminderen terwijl detectiegevoeligheid wordt behouden
• Documentatie van incidenten met valse positieven voor continue verbetering

Vakgebonden competenties: Beheer van de QRadar Offense Engine, Incidentonderzoek en -analyse, Bedreigingsonderzoek, Gebruik van de Context Explorer, Analyse van de gebeurtenistijdlijn, IP-reputatieanalyse, Assetrisicoanalyse, Verrijking van bedreigingsinlichtingen, Integratie van VTI-feeds, Beheer van valse positieven, Meldingstuning en ruisreductie, SOC-incidentreactieworkflow, Levenscyclus van beveiligingsincidenten, Analyse van compromissatie-indicatoren, Cyberdreigingsattributie

Module 5: QRadar Vulnerability Management (QVM) en Risk Manager (QRM)

Diepgang in IBM QVM: integratie van kwetsbaarheidsscanning, risicobaseerde prioritering van kwetsbaarheden, configuraties voor risicobeheer en risicodeveilige beveiligingshoudingsevaluatie.

5.1 IBM QRadar Vulnerability Manager (QVM)

• QVM-architectuur: integratie met Nessus, Qualys en Rapid7-scanners
• Workflow voor kwetsbaarheidsscanning en inplanning van scans
• Parseren van resultaten van kwetsbaarheidsevaluatie en QRadar-integratie
• CVSS-scorecorrelatie en classificatie van de ernst van kwetsbaarheden
• Trendanalyse van kwetsbaarheden en prioritering van herstelacties

5.2 IBM QRadar Risk Manager (QRM)

• QRM-architectuur: risicoberekeningsengine en methodologie voor risicobepaling
• Configuratie van risicoregels: asset-kriticaliteit, waarschijnlijkheid van kwetsbaarheidsexploitatie, assetrisicoprofielen
• Berekening van risicoregels: combineren van kwetsbaarheidsgegevens, bedreigingsinlichtingen, offense-gegevens en assetwaarde
• Risicobaseerde rangschikking van assets en configuratie van het risicodashboard
• Risicodeveilige prioritering van assets en risicodeveilige prioritering van herstelacties

Vakgebonden competenties: Evaluatie en beheer van kwetsbaarheden, IBM QRadar Vulnerability Manager (QVM), CVE-scorecorrelatie, Integratie van kwetsbaarheidsscanning, Qualys/Nessus-integratie, Risicobaseerde prioritering van kwetsbaarheden, IBM QRadar Risk Manager (QRM), Berekening van risicoregels, Evaluatie van asset-kriticaliteit, Risicodeveilig herstel, Configuratie van het risicodashboard, Trendanalyse van kwetsbaarheden, Enterprise-kwetsbaarhedenbeheer, Enterprise-risicoevaluatie en -beheer

Module 6: QRadar SOAR, automatisering en incidentreactie

Besteedt aandacht aan IBM QRadar SOAR (Security Orchestration, Automation, and Response), playbook-orkestratie, runbook-automatisering en automatisering van incidentreactie, essentieel voor moderne SOC-bewerkingen.

6.1 Overzicht van IBM QRadar SOAR

• Beveiligingsorkestratie en geautomatiseerde reactie: definitie en waarde
• Architectuur en componenten van QRadar SOAR: playbooks, incidenten, automatiseringsacties en dataacties
• QRadar SOAR-integratie: verbinden van SIEM, EDR, bedreigingsinlichtingen en ticketingsystemen (ServiceNow, Jira)
• SOAR vs. traditionele automatisering: playbookgedreven workflow-orkestratie

6.2 Playbook-ontwerp en uitvoering

• Aanmaken van playbooks: bouwen van geautomatiseerde onderzoeks- en reactieworkflows
• Playbook-triggers: aanmaken van offenses, regeltriggers en handmatige activering
• Playbook-acties: IP-adressen verrijken, IP-adressen blokkeren, tickets aanmaken, dreigingsfeeds raadplegen
• Playbook-vastlegging en vertakkinglogica

6.3 Automatisering van incidentreactie

• Geautomatiseerde incidentreactie: van melding tot containement in minuten
• Geautomatiseerde bedreigingsjacht: playbookgedreven bedrogsonderzoek
• Geautomatiseerde incidentcontainement: IP-blokkering, endpointisolatie en accountopgeschorting
• Geautomatiseerde incidentreactieworkflows voor ransomware, phishing, brute-force-aanvallen en insiderbedreigingen

6.4 Integratie met externe systemen

• QRadar SOAR-integraties met ServiceNow, Jira, Slack, e-mail en webhook-gebaseerde systemen
• Aangepaste API-integratie met Threat Intelligence-platforms
• EDR-integratie voor geautomatiseerde endpointacties
• Automatisering van payloadanalyse (bestand, URL, domein)

Vakgebonden competenties: Beveiligingsorkestratie, AI-automatisering en reactie (SOAR), IBM QRadar SOAR, Playbook-automatisering, Runbook-ontwerp, Orkestratie van geautomatiseerde incidentreactieworkflows, API-gedreven beveiligingsautomatisering, Integratie van bedreigingsinlichtingen, Automatisering van incidentcontainement, Geautomatiseerde bedreigingsanalyse, ServiceNow-integratie voor beveiliging, Automatisering van ticketingsystemen, Endpointreactie-automatisering, Geautomatiseerde IP-blacklisting, Phishingreactie-automatisering, Ransomware-reactie-automatisering

Module 7: QRadar Forensics, netwerkforensics en dataanalyse

Besteedt aandacht aan QRadar Incident Forensics (QRIF) en forensische onderzoeksfunctionaliteiten, netwerkforensics (NFI) voor packet capture-analyse en forensische analysetechnieken die worden gebruikt bij incidentonderzoek.

7.1 IBM QRadar Forensics (QRIF)

• QRIF: forensische dataverzameling en opslag voor onderzoeken
• Forensische databronnen: packet captures, logboeken van gebeurtenissen en endpointforensics
• Forensische analyse: tijdlijnreconstructie, bestandsanalyse en netwerkforensische analyse
• Bewaring van forensisch bewijs en keten van bewijs
• Forensische analysetools en technieken binnen QRIF

7.2 Netwerkforensics en inspectie (NFI)

• Netwerkforensics: packet capture-analyse en inspectie van netwerkverkeer
• Analyse van flowdata: NetFlow, sFlow en IPFIX in QRadar netwerkforensics
• Protocolanalyse: HTTP, DNS, SMTP, SSH, FTP en inspectie van aangepaste protocollen
• Bedreigingsdetectie via netwerkforensics: C2-beaconing, data-exfiltratie en detectie van lateral movement
• Identificatie van verdachte verkeerspatronen

7.3 Gebruikers- en entiteitsgedragsanalyse (UEBA)

• UEBA: het begrijpen van de gebruikersgedragsbasislijn en afwijkingsdetectie
• UEBA-databronnen: Active Directory, proxylogboeken, endpointlogboeken, DLP-logboeken, authenticatielogboeken, cloudlogboeken
• UEBA-bepaling: gebruikersrisicoregels en entiteitsrisicoregels
• UEBA-gedreven bedreigingsdetectie: gecompromitteerde accounts, insiderbedreigingen en data-exfiltratie

Vakgebonden competenties: QRadar Incident Forensics (QRIF), Forensische dataverzameling, Forensisch onderzoek en analyse, Netwerkforensics, Packet Capture-analyse, Flowdata-analyse, Bedreigingsdetectie via netwerkforensics, Gebruikers- en entiteitsgedragsanalyse (UEBA), Gebruikersafwijkingsdetectie, Insiderbedreigingsdetectie, Gecompromitteerde accountdetectie, Data-exfiltratie via gebruikersgedrag, C2-beaconing-detectie, Lateral movement via netwerkforensics, Digitale forensics en incidentreactie (DFIR), Bewijsbewaring en keten van bewijs, Protocolanalyse, Beveiligingslogboekforensics, Bedreigingsjacht via netwerkanalyse

Module 8: Cloud SIEM, SIEM-as-Code, compliance en SIEM-bewerkingen

Evalueert IBM QRadar-bewerkingen, schaalbaarheid, compliance-rapportage, cloud SIEM-integratie, detection-as-code-praktijken en SOC-governance die essentieel zijn voor enterprise-schaalbare SIEM-implementatie.

8.1 QRadar-bewerkingen en beheer

• Beheer van QRadar: gebruikersrollen, machtigingen en beveiligingsbeleid
• Auditeren van QRadar-configuraties en toegangslogboeken
• Ingeplande rapporten en ontwerp van aangepaste rapporten voor management en compliance
• Ingeplande taken: backup/restore, database-opruimen en onderhoud
• Configuratie van de Syslog-server voor SIEM-logdoorstuur
• Software-updates en patchbeheer voor QRadar-apparaten

8.2 Compliance-rapportage en reguleringsmapping

• PCI DSS SIEM-eisen en QRadar compliance-rapportage
• HIPAA, GDPR, SOX, NIST CSF en ISO 27001 compliance-mapping met QRadar-rapporten
• Reguleringsauditrappoortage: aangepaste sjablonen voor PCI DSS- en HIPAA-auditoren
• Real-time compliance-monitoring en continue compliance-dashboards

8.3 SIEM-as-Code en Infrastructure as Code

• Versiebeheerde SIEM-regelbeheer: Git-gebaseerde regelimplementatie
• Terraform en Ansible voor QRadar-apparaatprovisioning en configuratie
• CI/CD-pipeline voor SIEM-regels en playbooks
• QRadar API-gedreven automatisering voor regelimplementatie en beheer

8.4 Cloud SIEM en Hybrid Cloud-beveiliging

• Cloud-logbronintegratie: AWS CloudTrail, Microsoft Sentinel, GCP Audit Logs, Azure Monitor
• Cloud-native SIEM-strategieën: SIEM voor SaaS-omgevingen (AWS, Azure, GCP, Office 365, AWS)
• Microsoft Sentinel, Azure Sentinel, AWS CloudWatch Logs, Google Cloud Logging SIEM-integraties
• Cloud-identiteit en toegangsmonitoring: IAM, Active Directory, Entra ID
• Cloud-werkbelastingbeveiliging en SIEM-integratie

8.5 Identiteitsbedreigingsdetectie

• Identiteit als de nieuwe bedreigingsgrens: detectie van accountcompromissatie
• Active Directory-bedreigingsdetectie: Kerberoasting, AS-REP roasting, Golden/Sid ticket-aanvallen
• Detectie van multi-factor authenticatie (MFA)-omzeil
• Monitorering van Privileged Identity Management (PIM)

8.6 Zero Trust-monitoring

• Zero Trust-architectuurmonitoring: identiteit, apparaat- en netwerkregelementen
• Microsegmentatiemonitoring en validatie van beleidshandhaving
• Zero Trust compliance-rapportage via SIEM-integratie

8.7 SOC-bewerkingen en SIEM-governance

• SOC-metrieken en KPI's: MTTR (Mean Time to Respond), MTTD voor SIEM-monitoring
• Evaluatie van SOC-maturiteit en SIEM-gedreven SOC-verbetering
• SIEM-governance: regelbeheer, tracking van valse positieven en continue verbetering
• SIEM operationele best practices: monitoring, meldingen en escalatieprocedures

Vakgebonden competenties: QRadar-beheer, SIEM-bewerkingen en -beheer, SIEM-compliancebeheer, PCI D SS SIEM-compliance-rapportage, HIPAA- en GDPR-SIEM-compliance, SOX- en ISO 27001 SIEM-compliance, NIST CSF SIEM-mapping, Continue compliance-monitoring, Aangepaste compliance-rapportage, SIEM-as-Code en Infrastructure as Code, Terraform voor SIEM, Ansible voor SIEM-implementatie, CI/CD voor SIEM-regels, QRadar API-automatisering, Cloud SIEM-integratie, AWS CloudTrail SIEM, Microsoft Sentinel-integratie, GCP Cloud Logging SIEM, Azure Monitor SIEM, Office 365 SIEM-integratie, Cloud-Native SIEM, Zero Trust-monitoring, IAM-bedreigingsdetectie, Identiteitsbedreigingsdetectie, Active Directory-bedreigingsdetectie, Kerberos-aanvaldetectie, Bevoegde identiteitsmonitoring, Multi-Factor Authenticatie (MFA) beveiliging, SOC KPI- en metriekbeheer, SOC-maturiteitsevaluatie, SIEM operationele best practices, Incidentreactiegovernance, SIEM-regellevenscyclusbeheer, Enterprise SIEM-governance

Module 9: Capstone-project en werkelijke bedreigingsscenario's

Een uitgebreid hands-on capstone-project dat enterprisebeveiligingsscenarios simuleert, inclusief bedreigingsdetectie, onderzoek en incidentreactie met gebruikmaking van IBM QRadar.

9.1 Capstone-project: Enterprisebeveiligingsscenario

• Inrichting van een gesimuleerde enterpriseomgeving met realistische logbronnen en aanvalsscenario's
• Implementatie van logbronnen en configuratie van logverzamelbeleid
• Bouwen van detectieregels gemap op MITRE ATT&CK
• Onderzoek van echte offense-gegevens in QRadar en uitvoeren van forensische analyse
• Ontwerpen en implementeren van SOAR-playbooks voor geautomatiseerde reactie
• Genereren van compliance-rapporten voor PCI DSS, HIPAA en GDPR
• Uitvoeren van capaciteitsplanning en schalen van de SIEM-implementatie

9.2 Werkelijke bedreigingsscenario's

• Gesimuleerde aanvallen: ransomware-implementatie, insiderbedreiging, lateral movement, brute-force-aanvallen, supply chain-aanvallen en phishing
• Detectie van ransomware: lateral movement, data staging en detectie van lateral movement
• Insiderbedreiging: pogingen tot data-exfiltratie en afwijkingsdetectie
• Detectie van supply chain-aanvallen: detectie van gecompromitteerde vendor-toegang
• Phishingreactie: geautomatiseerde URL-blokkering en e-mailonderzoekworkflow
• Zero-day-bedreigingsjacht: detectie van onbekende bedreigingen met behulp van regel-loze jachttechnieken
• Detectie van Advanced Persistent Threats (APT) met behulp van UEBA en forensische analyse

Vakgebonden competenties: Levering van capstone-beveiligingsprojecten, Enterprise SIEM-simulatie, Ontwerp van werkelijke bedreigingsscenario's, Implementatie van MITRE ATT&CK-detectieregels, SOC-incidentonderzoek, QRadar SOAR-playbook-ontwerp, Ransomware-reactiesimulatie, Insiderbedreigingsdetectie, Phishingreactie-automatisering, Supply chain-aanvaldetectie, Zero-day-bedreigingsjacht, Advanced Persistent Threat (APT)-detectie, SIEM-capaciteitsplanning en schaalvergroting, Multi-compliance-rapportage (PCI DSS, HIPAA, GDPR), Enterprise-bedreigingsreactie, Forensisch bedreigingsonderzoek, Verrijking van bedreigingsinlichtingen, Geautomatiseerde incidentcontainement, SOC-bewerkingssimulatie, Volledige SIEM-engineeringspraktijk