Security Awareness & Social Engineering

Minder Trust, Minder Schade

In netwerkbeveiliging wint structuur van improvisatie: duidelijke paden, minder privileges en expliciete trust-grenzen.

Voor Security Awareness & Social Engineering blijft de basis hetzelfde: minder impliciet vertrouwen en meer zicht op afwijkend gedrag.

Zo beperk je niet alleen de kans op incidenten, maar vooral ook de omvang en duur als er iets misgaat.

Directe maatregelen (15 minuten)

• Start met MFA, least privilege en tiering voor beheeraccounts.
• Voer segmentatie en expliciete firewallregels door op kritieke paden.
• Borg logging, detectie en hersteltests als structurele operatie.

Waarom dit telt

De kern van Security Awareness & Social Engineering is risicoreductie in de praktijk. Technische context ondersteunt de maatregelkeuze, maar implementatie en borging staan centraal.

Social Engineering Risicovectoren

Social engineering kent talloze varianten, maar ze delen allemaal hetzelfde principe: misbruik van menselijk vertrouwen.

Phishing Simulaties

Phishing-simulaties zijn de effectiefste manier om de weerbaarheid van een organisatie te meten en te verbeteren. Niet door mensen te straffen die klikken, maar door ze te laten ervaren hoe overtuigend een aanval kan zijn.

GoPhish campaign setup

# GoPhish installeren
wget https://github.com/gophish/gophish/releases/latest/download/gophish-v0.12.1-linux-64bit.zip
unzip gophish-v0.12.1-linux-64bit.zip -d /opt/gophish
chmod +x /opt/gophish/gophish

# Configuratie aanpassen
# /opt/gophish/config.json
{
  "admin_server": {
    "listen_url": "127.0.0.1:3333",
    "use_tls": true,
    "cert_path": "gophish_admin.crt",
    "key_path": "gophish_admin.key"
  },
  "phish_server": {
    "listen_url": "0.0.0.0:443",
    "use_tls": true,
    "cert_path": "/etc/letsencrypt/live/phish.example.com/fullchain.pem",
    "key_path": "/etc/letsencrypt/live/phish.example.com/privkey.pem"
  }
}

# Starten
/opt/gophish/gophish &

Campaign ontwerp

Een effectieve phishing-simulatie simuleert realistische scenario’s:

1. Wachtwoord-reset: “Uw wachtwoord verloopt over 24 uur”
2. Shared document: “Jan heeft een document met u gedeeld”
3. Salarismelding: “Uw salarisstrook van februari staat klaar”
4. IT-melding: “Verplichte beveiligingsupdate vereist”

Escaleer de moeilijkheidsgraad over tijd. Begin met generieke mails, werk naar gepersonaliseerde spear phishing.

Metrics die ertoe doen

De report rate is belangrijker dan de click rate. Een organisatie waarin 3% klikt en 70% meldt is veiliger dan een organisatie waarin 1% klikt en 5% meldt.

Awareness Training Programma

Wat niet werkt

• Jaarlijkse verplichte PowerPoint-presentatie van 90 minuten
• E-learning met doorklikbare slides en een multiple-choice toets op het einde
• Posters in de kantine die na twee weken behang worden
• Eenmalige training bij onboarding die nooit wordt herhaald
• Training die medewerkers beschuldigt en bang maakt

Wat wel werkt

Effectieve onderwerpen

Training moet concreet zijn. “Wees voorzichtig met e-mails” is geen training. Dit wel:

• Hoe herken je een phishing-URL (domein controleren, hover before click)
• Hoe werkt caller ID spoofing (je kunt het nummer niet vertrouwen)
• Wat te doen als je hebt geklikt (melden, niet verbergen)
• MFA-fatigue: waarom je “Goedkeuren” niet moet tikken als je niets hebt aangevraagd
• QR-code phishing (quishing): waarom je geen willekeurige QR-codes scant

Meldcultuur Opbouwen

Het belangrijkste doel van een awareness-programma is niet het voorkomen van elke klik. Het is het creeren van een cultuur waarin mensen melden dat ze iets verdachts hebben gezien of — en dit is cruciaal — dat ze op iets hebben geklikt.

Principes

1. Geen straf voor klikken — nooit. Het moment dat iemand gestraft wordt voor het melden van een klik, stopt de hele organisatie met melden
2. Beloon meldingen — publieke erkenning, kleine beloningen, gamification
3. Snelle feedback — binnen een uur bevestigen dat de melding is ontvangen en wordt onderzocht
4. Transparantie — deel de resultaten van phishing-simulaties organisatiebreed

Phishing Report Button (Outlook)

<!-- Outlook Add-in manifest voor phishing-rapportageknop -->
<!-- Dit configureert een "Meld Phishing" knop in de Outlook toolbar -->

<!-- Mail flow rule: forward gemelde mails naar SOC -->
<!-- Exchange Online PowerShell: -->

# Maak een transport rule die gemelde phishing doorstuurt naar het SOC
New-TransportRule -Name "Phishing Reports naar SOC" `
    -SentTo "phishing@example.com" `
    -BlindCopyTo "soc@example.com" `
    -SetHeaderName "X-Phishing-Report" `
    -SetHeaderValue "user-reported"

# Maak een shared mailbox voor phishing-meldingen
New-Mailbox -Name "Phishing Meldingen" `
    -Alias "phishing" `
    -Shared `
    -PrimarySmtpAddress "phishing@example.com"

# Geef het SOC-team toegang
Add-MailboxPermission -Identity "phishing@example.com" `
    -User "soc-team@example.com" `
    -AccessRights FullAccess

Automatische analyse van gemelde mails

# Simpele triage: controleer afzender-domein, links en bijlagen
# Script voor het SOC om gemelde phishing-mails te analyseren

#!/bin/bash
MAIL_FILE="$1"

echo "=== Phishing Mail Analyse ==="
echo ""

# Afzender headers
echo "[*] Afzender informatie:"
grep -i "^from:\|^reply-to:\|^return-path:" "$MAIL_FILE"

# SPF/DKIM/DMARC resultaten
echo ""
echo "[*] Authenticatie resultaten:"
grep -i "authentication-results\|dkim-signature\|received-spf" "$MAIL_FILE"

# URLs extraheren
echo ""
echo "[*] Gevonden URLs:"
grep -oP 'https?://[^\s"<>]+' "$MAIL_FILE" | sort -u

# Bijlagen
echo ""
echo "[*] Bijlagen:"
grep -i "content-disposition: attachment" "$MAIL_FILE"

Vishing & Pretexting

Vishing — voice phishing — is lastiger te detecteren dan e-mail phishing. Er is geen URL om te analyseren, geen header om te controleren. Er is alleen een stem die klinkt als iemand die je kent, of zou moeten kennen.

Veelgebruikte pretexts

Caller ID spoofing

Caller ID is geen authenticatiemechanisme. Het is triviaal te spoofen met VoIP-diensten en SIP-trunks. Een telefoonnummer dat op het scherm verschijnt, bewijst niets over de identiteit van de beller.

Verdediging tegen vishing

• Callback-procedure: bij gevoelige verzoeken altijd terugbellen op een bekend nummer (niet het nummer dat de beller geeft)
• Verificatievragen: stel vragen die alleen een interne medewerker kan beantwoorden
• Geen wachtwoorden via telefoon: nooit, onder geen enkele omstandigheid, ook niet “om te verifieren”
• Twee-persoons-principe: gevoelige acties (IBAN-wijzigingen, grote overboekingen) vereisen goedkeuring van twee personen via twee kanalen
• Training: laat medewerkers vishing ervaren via gesimuleerde aanvallen

Fysieke Social Engineering

De meest onderschatte aanvalsvector. Een badge, een reflecterend vest en een klembord openen meer deuren dan welke exploit dan ook.

Risicoscenario’s

Bezoekersbeleid

Een fatsoenlijk bezoekersbeleid bevat minimaal:

1. Vooraanmelding: bezoekers worden vooraf aangemeld door de gastheer
2. Identificatie: legitimatie controleren bij de receptie
3. Bezoekersbadge: zichtbaar gedragen, visueel anders dan medewerkersbadge
4. Escortplicht: bezoekers worden altijd begeleid, geen onbegeleide toegang
5. Registratie: wie, wanneer, bij wie, hoe laat vertrokken
6. Badge inleveren: bij vertrek, met registratie van inlevertijd

Security Champions & Cultuurverandering

Het uiteindelijke doel van security awareness is niet compliance — het is cultuurverandering. Het verschil: compliance betekent dat mensen het juiste doen omdat het moet. Cultuur betekent dat mensen het juiste doen omdat ze het snappen.

Van compliance naar cultuur

Security Champions programma

Security Champions zijn medewerkers uit niet-IT-afdelingen die als aanspreekpunt fungeren voor beveiliging binnen hun team.

• Selectie: vrijwilligers, niet aangewezen (intrinsieke motivatie)
• Training: maandelijkse sessie met het security-team, actuele dreigingen
• Rol: eerste aanspreekpunt bij vragen, signaleert risico’s, verspreidt kennis
• Erkenning: zichtbare rol, management-support, kleine incentives
• Netwerk: Champions kennen elkaar, delen ervaringen

Gamification en CTF’s

• Interne CTF’s: Capture The Flag-evenementen voor alle medewerkers, niet alleen IT
• Phishing leaderboard: welke afdeling heeft de hoogste report rate
• Bug bounty intern: beloon medewerkers die beveiligingsproblemen melden (onvergrendeld scherm, open deur serverruimte, gevoelige documenten in printer)
• Security quiz: maandelijkse quiz met kleine prijzen
• Badges/punten: digitale badges voor afgeronde trainingen en gemelde incidenten

Metrics voor cultuurverandering

Kevin Mitnick overleed in juli 2023 op 59-jarige leeftijd. In de laatste decennia van zijn leven was hij een gerespecteerd beveiligingsadviseur die bedrijven hielp zich te beschermen tegen precies de technieken die hij ooit had gebruikt. Zijn favoriete demonstratie: hij belde de IT-helpdesk van het bedrijf dat hem had ingehuurd, deed alsof hij een medewerker was, en had binnen vijf minuten een wachtwoord-reset. Live, op het podium, terwijl het publiek ongemakkelijk lachte.

De ongemakkelijke waarheid is dat social engineering niet beter wordt verdedigd naarmate de technologie verbetert. Integendeel. Hoe complexer de IT-omgeving, hoe makkelijker het is om een geloofwaardig pretext te verzinnen. “Ik bel van het cloud-migratieteam, we moeten uw Azure-credentials verifieren voor de tenant-switch.” Probeer dat maar eens te onderscheiden van een legitiem verzoek als je organisatie daadwerkelijk bezig is met een cloudmigratie.

Het enige dat schaalt tegen social engineering is cultuur. Niet een cultuur van wantrouwen — dat maakt een organisatie onwerkbaar. Maar een cultuur van gezonde scepsis. Een cultuur waarin het normaal is om terug te bellen. Waarin het normaal is om te zeggen: “Ik moet dit even verifieren.” Waarin het normaal is om een phishing-mail te melden, zelfs — juist — als je erop hebt geklikt.

Die cultuur bouw je niet met een jaarlijkse PowerPoint. Die bouw je door het elke dag een beetje beter te doen. Door te oefenen. Door te simuleren. Door te belonen. Door niet te straffen. Het is niet glamoureus. Het levert geen mooie dashboards op. Maar het is het verschil tussen een organisatie die veerkrachtig is en een organisatie die wacht tot het misgaat.

En het gaat mis. Vroeg of laat gaat het altijd mis. De vraag is alleen: meldt iemand het binnen vijf minuten, of ontdek je het na achttien maanden?

Samenvatting

Security awareness en bescherming tegen social engineering zijn niet technisch op te lossen — ze vereisen een menselijke verdediging. Phishing-simulaties met tools als GoPhish zijn de effectiefste manier om weerbaarheid te meten, waarbij de report rate (streefdoel >70%) belangrijker is dan de click rate. Training moet continu zijn: maandelijkse micro-learning, kwartaal lunch-and-learns, live red team demonstraties en incident-debriefings na echte voorvallen. Een meldcultuur bouw je door meldingen te belonen en nooit te straffen, met een laagdrempelige phishing-rapportageknop en snelle feedback vanuit het SOC. Verdediging tegen vishing vereist callback-procedures op bekende nummers en het twee-persoons-principe voor gevoelige acties. Fysieke social engineering — tailgating, impersonation, dumpster diving — vraagt om een bezoekersbeleid met escortplicht en medewerkers die getraind zijn om bezoekers aan te spreken. Security Champions uit niet-IT-afdelingen fungeren als aanspreekpunt en verankeren beveiligingsbewustzijn in de dagelijkse praktijk. Gamification via interne CTFs, phishing leaderboards en bug bounties maakt beveiliging zichtbaar en belonend. Het doel is geen compliance maar cultuurverandering: een organisatie waarin iedereen snapt wat er op het spel staat en handelt naar dat begrip.