---
notetype: reference
standard: ISO 27002
version: 2022
language: NL
type: control
id: "8.16"
title: "Monitoren van activiteiten"
theme: Technological
control_type:
  - Detective
  - Corrective
information_security_properties:
  - Confidentiality
  - Integrity
  - Availability
cybersecurity_concepts:
  - Detect
  - Respond
operational_capabilities: [Information_security_event_management]
security_domains: [Defence]
tags:
- iso27002/2022/NL
- sourcetext
status: active
---
## 8.16 Monitoren van activiteiten
### Beheersmaatregel

Netwerken, systemen en toepassingen behoren te worden gemonitord op afwijkend gedrag en er behoren passende maatregelen te worden genomen om potentiële informatiebeveiligingsincidenten te evalueren.

### Doel

Afwijkend gedrag en potentiële informatiebeveiligingsincidenten detecteren.

### Richtlijn

De reikwijdte en het niveau van de monitoring behoren te worden bepaald overeenkomstig de bedrijfs- en informatiebeveiligingseisen en met inachtneming van de relevante wet- en regelgevingr behoren registraties van de monitoring te worden bijgehouden gedurende gedefinieerde bewaartermijnen.



Het behoort te worden overwogen het volgende in het monitoringsysteem op te nemen:

a) uitgaand en inkomend netwerk-, systeem- en toepassingsverkeer;

b) toegang tot systemen, servers, netwerkapparatuur, monitoringsysteem, essentiële toepassingen

enz.;

c) systeem- en netwerkconfiguratiebestanden op essentieel of beheerdersniveau;

d) logbestanden van beveiligingsinstrumenten [bijvntivirus, IDS, inbraakpreventiesysteem (IPS),

webfilters, firewalls, voorkoming van gegevenslekken];

e) logbestanden van gebeurtenissen met betrekking tot systeem- en netwerkactiviteit;

f) controle of de code die wordt uitgevoerd, in het systeem mag worden uitgevoerd en of deze niet is

gemanipuleerd (bijvoor hercompileren om extra ongewenste code toe te voegen);

g) gebruik van de middelen (bijvoorbeeld CPU, vaste schijven, geheugen, bandbreedte) en de

prestaties daarvan.

De organisatie behoort een nullijn voor normaal gedrag vast te stellen en aan de hand van deze nullijn op afwijkingen te monitorenij het vaststellen van de nullijn behoort het volgende te worden overwogen:

a) het gebruik van de systemen in normale en piekperiodes beoordelen;

b) het gebruikelijke tijdstip van toegang, de gebruikelijke plaats van toegang en de gebruikelijke

frequentie van toegang voor elke gebruiker of gebruikersgroep.

Het monitoringsysteem behoort te worden geconfigureerd aan de hand van de vastgestelde nullijn om afwijkend gedrag te identificeren, zoals:

a) ongeplande beëindiging van processen of toepassingen;

b) activiteiten die meestal verband houden met malware of verkeer dat afkomstig is van bekende kwaadaardige IP-adressen of netwerkdomeinen (bijvie verband houden met command-and- controlservers van botnets);

c) bekende aanvalskenmerken (bijvdenial of service' en bufferoverflows);

d) ongebruikelijk systeemgedrag (bijvet registreren van toetsaanslagen, procesinjectie en

afwijkingen in het gebruik van standaardprotocollen);

e) knelpunten en overbelasting (bijvetwerkwachtrijen, latentieniveaus en netwerkjitter);

f) (daadwerkelijke of pogingen tot) toegang door onbevoegden tot systemen of informatie;

g) het ongeoorloofd scannen van bedrijfstoepassingen, -systemen en -netwerken;

h) geslaagde en mislukte pogingen om toegang te krijgen tot beschermde bronnen (bijvNS-servers,

webportals en bestandssystemen);

i) ongebruikelijk gebruikers- en systeemgedrag in vergelijking met het verwachte gedrag.




Er behoort gebruik te worden gemaakt van continue monitoring via een monitoringinstrumentonitoring behoort realtime of met regelmatige tussenpozen te gebeuren, afhankelijk van de behoefte en mogelijkheden van de organisatieonitoringinstrumenten behoren geschikt te zijn voor grote hoeveelheden gegevens, zich aan te passen aan een voortdurend veranderend landschap van dreigingen en realtimemeldingen mogelijk te makene instrumenten behoren ook specifieke handtekeningen en gegevens of netwerk- of toepassingsgedragspatronen te kunnen herkennen.

Geautomatiseerde monitoringsoftware behoort dusdanig te worden geconfigureerd dat deze meldingen geeft (bijvia beheerconsoles, e-mails of instantmessagingsystemen) op basis van vooraf gedefinieerde drempelset waarschuwingssysteem behoort op basis van de nullijn van de organisatie te worden afgestemd en getraind om valspositieven tot een minimum te beperken.

Personeel behoort erop gericht te zijn om op waarschuwingen te reageren en naar behoren getraind te

zijn om potentiële incidenten accuraat te interpreterenr behoren redundante systemen en processen aanwezig te zijn om waarschuwingsmeldingen te ontvangen en erop te reageren.

Abnormale gebeurtenissen behoren aan relevante partijen te worden meegedeeld, zodat de volgende activiteiten kunnen worden verbeterd: auditen, evaluatie van de beveiliging, scannen op kwetsbaarheden en monitoren (zie 5.36). Er behoren procedures te zijn ingevoerd om tijdig te reageren op positieve indicatoren van het monitoringsysteem teneinde het effect van nadelige gebeurtenissen op informatiebeveiliging tot het minimum te beperken (zie 5.26). Er behoren ook procedures te worden vastgesteld om valspositieven te identificeren en aan te pakken, waaronder het afstemmen van de monitoringsoftware om het toekomstige aantal valspositieven te beperken.

### Overige informatie

Beveiligingsmonitoring kan worden verbeterd door:

a) gebruik te maken van systemen voor informatie en analyses over dreigingen (zie 5.7)

b) gebruik te maken van de mogelijkheden van machinelearning en kunstmatige intelligentie;

c) blokkeringslijsten of toestemmingslijsten te gebruiken;

d) allerlei technische beveiligingsbeoordelingen (bijveoordelen op kwetsbaarheden, penetratietests, simulaties van cyberaanvallen en cyberresponsoefeningen) uit te voeren, en de resultaten van deze beoordelingen te gebruiken om de nullijnen of aanvaardbaar gedrag te helpen vaststellen;

e) gebruik te maken van systemen voor het monitoren van prestaties om afwijkend gedrag te helpen

vaststellen en detecteren;

f) gebruik te maken van logbestanden in combinatie met monitoringsystemen.

Monitoringactiviteiten worden vaak uitgevoerd met behulp van gespecialiseerde software, zoals inbraakdetectiesystemeneze kunnen worden geconfigureerd aan de hand van een nullijn van normale, aanvaardbare en verwachte systeem- en netwerkactiviteiten.

Op afwijkende communicatie monitoren helpt bij het identificeren van botnets (dzen verzameling apparaten onder de kwaadwillige controle van de botneteigenaar, die meestal wordt gebruikt voor het uitvoeren van gedistribueerde denial-of-serviceaanvallen op andere computers van andere organisaties)ndien de computer door een extern apparaat wordt bestuurd, is er communicatie

