Managed detection and response, meestal afgekort tot MDR, betekent dat er iemand meekijkt op je omgeving en ingrijpt wanneer er iets misgaat. Het is geen extra product naast je virusscanner, het is het antwoord op de vraag wie er reageert op wat die scanner meldt.
Die vraag wordt zelden gesteld en is bijna altijd het echte gat. Organisaties hebben doorgaans meer beveiligingssoftware dan ze denken. Wat ze niet hebben is iemand die om half twee ’s nachts kijkt naar de melding die eruit komt, beoordeelt of het serieus is en dan iets doet. In dit artikel lees je wat MDR precies inhoudt, wanneer je het nodig hebt en wanneer je beter je geld ergens anders aan besteedt.
Kort samengevat
- MDR is geen tool maar een dienst: detectie, beoordeling en ingrijpen, doorlopend.
- Het lost een ander probleem op dan preventie: niet buiten houden, maar merken en stoppen.
- De waarde zit in de tijd tussen inbraak en ontdekking, en die is bij de meeste organisaties in maanden te meten.
- Je hebt het nodig zodra je niet kunt uitleggen wie er buiten kantooruren reageert.
- Je hebt het niet nodig als de basis nog ontbreekt: begin dan bij inzicht en de eenvoudige maatregelen.
- Onder de Cyberbeveiligingswet raakt dit rechtstreeks je zorgplicht en je meldplicht.
Wat is managed detection and response precies?
Een MDR-dienst bestaat uit drie dingen die aan elkaar vastzitten.
Detectie. Er wordt doorlopend gekeken naar signalen uit je systemen: aanmeldingen, apparaten, netwerkverkeer, cloudomgevingen. Niet alleen naar bekende virussen, maar naar gedrag dat afwijkt. Een beheeraccount dat om vier uur ’s nachts vanuit een ander land inlogt, is geen virus en wordt door een scanner niet tegengehouden.
Beoordeling. Dit is het deel dat het vaakst wordt onderschat. Ruwe meldingen zijn vrijwel waardeloos, want het overgrote deel is loos alarm. Iemand moet bepalen welke melding echt iets betekent. Doe je dat niet, dan ontstaat het bekende patroon waarin niemand nog naar het scherm kijkt omdat het toch altijd vals alarm is.
Respons. En dan moet er iets gebeuren: een account blokkeren, een machine isoleren, jou bellen. Zonder dat laatste heb je een dure meldingenstroom en geen beveiliging.
Waar het in de praktijk misgaat, is dat organisaties het eerste kopen en aannemen dat de andere twee er vanzelf bij zitten.
Waarom preventie alleen niet meer volstaat
Een virusscanner en een firewall doen precies wat ze moeten doen: bekende ellende buiten houden. Het probleem is dat de meeste inbraken tegenwoordig niet met malware beginnen, maar met een geldige inlog.
Een medewerker trapt in een phishingmail, of een wachtwoord dat ooit ergens anders lekte blijkt hergebruikt. De aanvaller logt gewoon in. Er wordt niets geïnstalleerd waar een scanner op aanslaat, en er wordt geen firewallregel overtreden. Vanuit het systeem gezien is er een medewerker aan het werk.
Dat is ook waarom die inbraken zo lang onopgemerkt blijven. De aanvaller kijkt eerst rond, zoekt uit waar de back-ups staan en welke accounts meer rechten hebben, en slaat pas weken later toe. In die periode is er van alles te zien, maar alleen als iemand kijkt.
Wat er dan te vinden is over je organisatie hebben we beschreven bij gegevens op het dark web. Dat gaat over dezelfde inloggegevens waarmee zo’n inbraak begint.
Wanneer heb je detectie en respons nodig?
Er is een simpele toets. Stel jezelf de vraag: als er vannacht om twee uur iets gebeurt, wie merkt dat dan en wat doet die persoon? Kun je die vraag niet met een naam en een handeling beantwoorden, dan heb je een gat.
Vier situaties maken dat gat urgent:
- Je hebt geen eigen securityteam. Je IT-beheerder is er overdag, en aanvallers weten dat.
- Je valt onder de Cyberbeveiligingswet. Dan heb je een meldplicht met termijnen in uren, en die klok begint bij ontdekking. Zie de meldtermijnen bij een incident.
- Je werkt met gevoelige gegevens of je bent onderdeel van een keten waarin anderen op jou leunen.
- Je hebt al een incident gehad. Dat is geen schande, maar het maakt de vraag concreet in plaats van theoretisch.
Wanneer je het beter nog niet kunt doen
Hier zijn we liever eerlijk dan volledig, want detectie en respons is niet de eerste stap voor iedereen.
Heb je geen overzicht van je eigen systemen, staat meervoudige verificatie nog niet aan, en zijn er beheeraccounts waarvan niemand weet van wie ze zijn, dan levert monitoring vooral meldingen op over problemen die je met eenvoudiger maatregelen had kunnen voorkomen. Je betaalt dan iemand om te kijken naar een deur die openstaat.
Begin in dat geval bij inzicht. Een GAP-analyse laat zien wat er ontbreekt en in welke volgorde je het aanpakt. Vaak blijkt dan dat de eerste winst in eenvoudige dingen zit en niet in een dienst.
Ook belangrijk: detectie vervangt geen test. Een pentest laten uitvoeren beantwoordt de vraag of iemand binnen kan komen, monitoring beantwoordt de vraag of je het merkt als het gebeurt. Dat zijn twee verschillende vragen en de een dekt de ander niet af.
Hoe dit past bij wat je al hebt
Detectie en respons staat niet los van je andere maatregelen; het is de laag die eronder ligt en die aangaat wanneer de rest faalt.
Ten opzichte van je normkader: een ISO 27001-traject of de zorgplicht onder de Cyberbeveiligingswet vraagt dat je incidenten kunt opmerken en afhandelen. Welke maatregelen dat precies zijn staat bij welke maatregelen de zorgplicht vraagt, en wat je per incident vastlegt bij incidentregistratie.
Ten opzichte van je organisatie: iemand moet eigenaar zijn van wat er uit die dienst komt. Een leverancier die belt met een bevinding heeft iemand nodig die een besluit neemt. Is die rol niet belegd, dan is dat het eerste dat je regelt, bijvoorbeeld via een security partner of CISO-as-a-Service.
En ten opzichte van je keten: valt een leverancier uit of wordt die geraakt, dan zie je dat vaak eerder in je eigen omgeving dan in het nieuws. Hoe je je daarop voorbereidt staat bij ketenincidenten oefenen.
Veelgestelde vragen over managed detection and response
Wat is het verschil tussen MDR en een virusscanner?
Een virusscanner houdt bekende dreigingen tegen en werkt zonder dat iemand kijkt. MDR gaat over de gevallen waarin niets wordt tegengehouden, bijvoorbeeld omdat een aanvaller met een geldige inlog binnenkomt. Dan moet iemand het gedrag opmerken, beoordelen en ingrijpen.
Vervangt detectie en respons een pentest?
Nee. Een pentest beantwoordt of iemand binnen kan komen, monitoring of je het merkt wanneer dat gebeurt. Je hebt beide antwoorden nodig en het ene zegt niets over het andere.
Is dit verplicht onder de Cyberbeveiligingswet?
De wet schrijft geen specifieke dienst voor. Wel moet je incidenten kunnen opmerken en afhandelen en binnen strakke termijnen melden. Zonder enige vorm van detectie is die meldplicht in de praktijk niet na te komen, omdat de klok begint bij ontdekking.
Kan ik dit zelf doen?
Dat kan, maar doorlopende dekking betekent in de praktijk meerdere mensen die elkaar afwisselen. Voor de meeste organisaties onder een paar honderd medewerkers is dat niet rond te rekenen, en dan is uitbesteden de realistische route.
Waar begin ik als ik nog niets heb?
Bij inzicht en niet bij een dienst. Breng eerst in kaart welke systemen je hebt en welke basismaatregelen ontbreken. Monitoring bovenop een omgeving zonder fundament levert vooral meldingen op over problemen die je goedkoper had kunnen voorkomen.
Verdieping in deze reeks
- Eigen SOC, MDR of alleen een SIEM: wat past bij jouw organisatie?
- 24/7 monitoring: wat gebeurt er als er om drie uur ’s nachts iets afgaat?
- Van melding naar actie: wat mag je verwachten van incidentrespons?
- Kwetsbaarheden zien is iets anders dan ze oplossen
- Wat kost detectie en respons, en waar zitten de verborgen kosten?
- Detectie en respons onder NIS2: hoe dit in je zorgplicht past
