Belangrijkste punten
- Met één gezamenlijke incident response checklist handelen MSP-technici beveiligingsincidenten (zoals malware, diefstal van referenties en datalekken) snel en consistent af.
- De vijf stappen van het NIST-kader:
- Voorbereiding: zorgt voor gereedheid met auditbeleid, tijdsynchronisatie en basisinstellingen voor beveiliging, ten behoeve van compliance en inzicht
- Detectie en analyse: gebruikt PowerShell, registercontroles en gebeurtenissenlogboeken om indicatoren van compromittering (IoC’s) en afwijkend gedrag te vinden.
- Indamming: endpoints isoleren, gecompromitteerde accounts uitschakelen en schadelijke processen stoppen, handmatig of via RMM-tools als NinjaOne
- Eliminatie en herstel: dreigingen verwijderen, referenties opnieuw instellen en getroffen systemen herstellen, met controle van de integriteit
- Activiteiten na het incident: gebeurtenissen documenteren, een RCA uitvoeren en SOP’s bijwerken om herhaling te voorkomen
- Vereisten: technici moeten beschikken over
- Beheerderstoegang
- PowerShell
- Logboeken
- Audittrails om incidenten te detecteren, in te dammen en op te lossen
Het reageren op beveiligingsincidenten in IT-omgevingen moet snel, consistent en schaalbaar gebeuren. Daarvoor is een gestandaardiseerde incident response checklist onmisbaar, zeker voor MSP’s (managed service providers) die meerdere tenants ondersteunen. Met zo’n checklist volgt elke technicus hetzelfde proces of het nu gaat om malware-infecties, gecompromitteerde referenties of datalekken.
Deze gids neemt u mee door de volledige cyclus van incident response (IR) voor IT-beveiliging, gebaseerd op het kader van NIST (National Institute of Standards and Technology). Die bestaat uit vijf stappen: voorbereiding, detectie en analyse, indamming, eliminatie en herstel, en activiteiten na het incident.
Elk onderdeel bevat concrete stappen met tools als PowerShell, de opdrachtprompt, Groepsbeleid en het Windows-register. Deze checklist is bruikbaar voor alle MSP’s en voor IT-omgevingen van elke omvang.
Wilt u dit onderwerp liever visueel uitgelegd zien? Bekijk dan Een incident response checklist opstellen voor MSP-technici.
Bouw een solide kader voor incident response met NinjaOne.
Zo stelt u een incident response checklist op voor MSP-technici
Voordat u een checklist voor respons op cyberincidenten invoert, moeten technici over de juiste rechten, tools en telemetrie beschikken.
📌 Vereisten:
- Technici hebben beheerderstoegang nodig tot alle betrokken endpoints, servers of domeincontrollers.
- U hebt toegang nodig tot tools als PowerShell 5.1 of hoger, Logboeken, Register-editor en de Windows-beveiligingslogboeken.
- U moet logboeken kunnen aanmaken en controleren. Denk aan de auditlogboeken van Microsoft 365, Windows-beveiliging, firewall en lokale gebeurtenissenlogboeken.
- U hebt toegang nodig tot het Microsoft 365 Security & Compliance Center om notificaties te beoordelen, audits uit te voeren en postvakken te onderzoeken, voor zover van toepassing.
- Een centraal systeem voor notificaties of monitoring, zoals NinjaOne, Microsoft Defender of Azure Sentinel, is ideaal voor betere anomaliemonitoring en soepelere incidentworkflows.
📌 Stappenoverzicht voor het opstellen van een incident response checklist:
Stap 1: voorbereidingsfase – gereedheid en configuratie
In deze fase stemt u uw omgeving af op een mogelijk beveiligingsincident. Daarvoor schakelt u gedetailleerde auditing in, controleert u de tijdsynchronisatie en bevestigt u wat de tools en logboeken kunnen opleveren.
📌 Toepassingen:
- U en uw team leggen hiermee een basisbeveiligingsbeleid vast voor alle klantomgevingen.
- Zorg dat alle endpoints en domeincontrollers logboeken kunnen aanmaken en controleren vóórdat er een incident plaatsvindt.
- Help te voldoen aan compliance-eisen en vergroot het forensische inzicht na een incident.
📌 Vereisten:
- U hebt toegang nodig tot de Console voor groepsbeleidsbeheer of de lokale Editor voor lokaal groepsbeleid.
- U hebt verhoogde rechten nodig om PowerShell of de opdrachtprompt als beheerder uit te voeren.
- Alle devices moeten aan het domein zijn toegevoegd om groepsinstellingen te kunnen toepassen.
Volg deze stappen om auditlogging en systeemgereedheid te configureren:
Beveiligingsproblemen
- Schakel eerst het auditbeleid in via Groepsbeleid. Open Groepsbeleid en ga naar: Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van auditbeleid.
- Stel vervolgens de volgende auditcategorieën in volgens de beveiligingsnormen van uw organisatie:
- Aanmeldingsgebeurtenissen
- Accountaanmelding
- Objecttoegang
- Accountbeheer
- Controleer de auditinstellingen via PowerShell met deze opdracht:
AuditPol /get /category:*
- Gebruik deze opdracht om de tijdsynchronisatie op alle endpoints te controleren:
w32tm /query /status
Niet-beveiligingsgerelateerde problemen
Voorbereiding betekent ook plannen voor problemen die niets met beveiliging te maken hebben, zoals hardwarestoringen en serviceonderbrekingen.
Zorg voor het volgende:
- Monitoring en alarmering zijn ingesteld voor de beschikbaarheid van services.
- Leg de escalatiepaden voor storingen definitief vast in de documentatie.
- Controleer of er back-ups of reservehardware beschikbaar zijn als systemen uitvallen.
Stap 2: detectie en analyse
In deze fase brengt u de signalen van een gecompromitteerd systeem in kaart. Daarnaast bekijkt u de systeem- en beveiligingslogboeken en spoort u verdachte activiteit op endpoints of accounts op.
📌 Toepassingen:
- Met deze stap spoort u onbevoegde toegang, beleidsschendingen en de uitvoering van malware op in de beheerde omgevingen.
- U onderzoekt hier anomalieën die door beveiligingstools, SIEM-platforms of helpdesktickets zijn gemeld.
- U toetst ook de compliance-eisen door audittrails en beveiligingsgebeurtenissen door te nemen.
📌 Vereisten:
- U hebt toegang nodig tot tools als Logboeken, de Windows-beveiligingslogboeken of een SIEM-platform om dreigingen effectief te detecteren.
- U hebt beheerderstoegang nodig tot endpoints of tot centrale tools voor logverzameling.
Volg deze stappen voor een effectieve strategie voor detectie en dreigingsanalyse:
Beveiligingsgebeurtenissen
- Bekijk eerst de beveiligingslogboeken op de belangrijkste gebeurtenis-ID’s:
- 4624: geslaagde aanmelding
- 4625: mislukte aanmelding
- 4688: aanmaak van een nieuw proces
- 1102: audittrail gewist
- 4720: nieuwe gebruiker aangemaakt
- 4728–4732: wijzigingen in groepslidmaatschap
- Gebruik deze PowerShell-opdracht om gebeurtenissenlogboeken te verzamelen:
Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4625}
- Ga naar deze registersleutel om te controleren op persistentiemechanismen:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- Gebruik deze PowerShell-opdracht om te controleren op verdachte geplande taken:
Get-ScheduledTask | Where-Object {$_.TaskPath -like '*mal*'}
Niet-beveiligingsgerelateerde gebeurtenissen
Detectie geldt ook voor gebeurtenissen die niets met beveiliging te maken hebben. In plaats van verdachte processen of anomalieën zien technici dan bijvoorbeeld prestatieverlies, servers die de verbinding verbreken of back-uptaken die mislukken. Het doel blijft hetzelfde: bewijs verzamelen uit monitoringtools, notificaties en logboeken om de gebeurtenis te bevestigen en de omvang ervan te bepalen.
Met deze PowerShell-code controleert u bijvoorbeeld of een server beschikbaar is:
Test-Connection server01 -Count 1 -QuietGet-Service -ComputerName server01 | Where-Object Status -ne 'Running'
Test-NetConnection server01 -Port 3389
Stap 3: indammingsprocedures
Zodra u en uw team een dreiging hebben bevestigd, is de volgende stap in deze incident response checklist voor IT-beveiliging het isoleren van getroffen systemen en het voorkomen van verdere schade. Dat betekent accounts uitschakelen, endpoints isoleren en schadelijke processen stoppen.
📌 Toepassingen:
- Met deze stappen voorkomt u dat malware, ransomware en onbevoegde activiteit zich over het netwerk verspreiden.
- Isoleer gecompromitteerde systemen van de kritieke infrastructuur en voorkom zo dat een mogelijke besmetting zich verspreidt.
- Zo blokkeert u gebruikerstoegang tijdens het onderzoek naar een gecompromitteerd account.
📌 Vereisten:
- U hebt toegang nodig tot de getroffen devices via een RMM-tool, PowerShell Remoting of een directe aanmelding.
- Beheerdersrechten zijn nodig op de endpoints of via Active Directory.
- Er moet beleid zijn vastgelegd voor incidentescalatie en de reikwijdte van de indamming.
Volg deze stappen om dreigingen te isoleren of in te dammen:
Indammingsstappen bij beveiligingsincidenten
- Isoleer het device van het netwerk. Gebruikt u NinjaOne of andere RMM-software niet, dan kunt u deze PowerShell-opdracht gebruiken:
Disable-NetAdapter -Name "Ethernet" -Confirm:$false
- Gebruik deze PowerShell-opdracht om de aanmelding van gebruikers of gecompromitteerde accounts te blokkeren (voor Microsoft 365-gebruikers):
Set-MsolUser -UserPrincipalName [email protected] -BlockCredential $true
- Plaats gecompromitteerde endpoints in quarantaine of markeer ze.
- U kunt uw RMM-tool (zoals NinjaOne) gebruiken om getroffen systemen naar een indammingsgroep te verplaatsen en ze zo te isoleren.
- Een andere optie is het device te verplaatsen naar een beperkte organisatie-eenheid in Active Directory die netwerkisolatie toepast via GPO.
- Vervolgens kunt u schadelijke processen beëindigen met deze PowerShell-opdracht:
Stop-Process -Name "suspiciousprocess" -Force
Vervang “suspiciousprocess” door de naam van het schadelijke proces dat u in stap 2 hebt gedetecteerd (gebeurtenis-ID 4688). U herkent schadelijke processen aan hun mappen. Staat een bestand bijvoorbeeld in Temp (bijv. C:\Users\Public\Temp\svchost.exe), dan is dat reden voor argwaan en beëindiging.
- Daarna kunt u de schadelijke dreigingen in het register opsporen. Dat doet u met deze PowerShell-opdracht:
Get-ItemProperty -Path "HKLM:\Software\
Microsoft\Windows\CurrentVersion\Run"
Bekijk de uitvoer van PowerShell. Let op dubieuze of verkeerd gespelde namen, items die er niet thuishoren en bestanden op ongebruikelijke locaties. Staan er bijvoorbeeld .exe-bestanden met onbekende namen die er niet horen te staan, dan is dat reden voor argwaan.
- Rond het proces af door schadelijke opstartvermeldingen uit het Windows-register te verwijderen. Gebruik deze opdracht:
Remove-ItemProperty -Path "HKLM:\Software\Microsoft\
Windows\CurrentVersion\Run" -Name "BadApp"
Vervang “Badapp” door de naam van de gedetecteerde schadelijke opstartvermelding.
- Voer een reboot uit of start Verkenner opnieuw op zodat de wijzigingen van kracht worden. Gebruik deze PowerShell-code:
Stop-Process -Name explorer -Force
Start-Process explorer
⚠️ Waarschuwing: verwijder schadelijke vermeldingen pas nadat u hebt vastgesteld dat ze daadwerkelijk schadelijk zijn.
Niet-beveiligingsgerelateerde problemen: indammingsstappen
Bij incidenten die niets met beveiliging te maken hebben, betekent indamming dat u defecte hardware offline haalt, een eerdere update terugzet of herstelt na mislukte back-ups. Met de monitoringtool van uw RMM markeert u deze anomalieën en pakt u de verstoringen aan.
Stap 4: eliminatie en herstel
Nadat u de dreiging hebt ingedamd, verwijdert u de dreiging uit de omgeving en herstelt u de getroffen systemen.
📌 Toepassingen:
- Met deze stap en de onderstaande methoden verwijdert u samen met uw team malware, achterdeurtoegang en onbevoegde tools uit gecompromitteerde systemen.
- Stel gebruikersreferenties opnieuw in en pas het beveiligingsbeleid na de inbreuk opnieuw toe.
- Met deze methode herstelt u getroffen computers tot ze weer operationeel zijn.
- Zo controleert u de integriteit van het systeem voordat u devices weer in productie opneemt.
📌 Vereisten:
- U hebt toegang nodig tot antivirus- of endpointbeveiligingstools zoals Microsoft Defender.
- U hebt ruimere systeemrechten nodig om scans uit te voeren, schadelijke software te verwijderen en beleid opnieuw in te stellen.
- U hebt toegang nodig tot Active Directory of tools voor identiteitsbeheer om uw referenties opnieuw in te stellen.
Dit doet u om de dreiging te elimineren en uw systeem te herstellen:
Beveiligingsproblemen
- Open PowerShell en voer met deze opdracht een volledige malware-/antivirusscan uit:
Start-MpScan -ScanType FullScan
- Voer dit uit in PowerShell om referenties opnieuw in te stellen:
Set-ADAccountPassword -Identity "compromisedUser" -Reset
-NewPassword (ConvertTo-SecureString -AsPlainText "NewP@ssw0rd123" -Force)
Vervang “compromisedUser” door de gebruikersnaam en “NewP@ssw0rd123” door het veilige wachtwoord van uw keuze.
- Voer deze opdracht uit om het register te controleren op gewijzigde of verdachte devices:
Get-ItemProperty -Path
"HKLM:\SYSTEM\CurrentControlSet\Services"
Zoek hier naar afwijkende namen, gewijzigde paden en vermeldingen die onbekende EXE-bestanden tonen.
- Gebruik deze opdracht om inkomende firewallregels te beoordelen en te controleren of ze aansluiten op uw beleid:
Get-NetFirewallRule | Where-Object
{$_.Direction -eq "Inbound" -and $_.Action -eq "Allow"}
- Gebruik deze PowerShell-opdracht voor GPO-baselines en om het lokale beleid te vernieuwen:
gpupdate /force
- Optioneel: met deze opdracht zet u het systeem terug naar een herstelpunt:
Restore-Computer -RestorePoint 1
Niet-beveiligingsgerelateerde of operationele problemen
Bij dit soort incidenten bestaat herstel uit het terugzetten van systemen vanaf back-ups, het terugdraaien van problematische patches of het vervangen van defecte devices.
Stap 5: activiteiten na het incident
Is de dreiging ingedamd en het systeem hersteld, dan volgt de laatste stap: documentatie, analyse en verbetering. Zo voorkomt u herhaling en laat u aan stakeholders en klanten zien dat u zorgvuldig te werk gaat.
📌 Toepassingen:
- In deze stap legt u samen met uw team de tijdlijn van gebeurtenissen vast, vat u de ondernomen acties samen en documenteert u de resultaten van het herstel. Dat is waardevol bij toekomstige dreigingen.
Zo kunnen IT-teams de oorzaak van het incident en de verspreiding ervan aanwijzen en herhaling voorkomen. - U en uw team kunnen hiaten in beleid of configuratie opsporen en de checklists en procedures voor respons op cyberincidenten bijwerken.
- U kunt toegangscontroles, wachtwoordbeleid of auditinstellingen aanscherpen op basis van uw bevindingen.
📌 Vereisten:
- U hebt toegang nodig tot beveiligingsrapporten, gebeurtenissenlogboeken en RMM-gegevens uit de eerdere fasen van het incidentrapport.
- Hiervoor moet u logboeken kunnen exporteren uit de getroffen systemen.
Volg deze stappen om het incident af te ronden en materiaal voor later te maken:
- Documenteer de tijdlijn van de gebeurtenissen en de acties van uw team. Noteer in elk geval het tijdstip van detectie, de indammingsmaatregelen, de getroffen systemen en wanneer en hoe het incident is opgelost.
- Verzamel en bewaar bewijsmateriaal, zoals beveiligingslogboeken. U exporteert ze met deze regel in de opdrachtprompt:
wevtutil epl Security "C:\IR\SecurityLog.evtx"
- Elke checklist voor beveiligingsrespons heeft een RCA (Root Cause Analysis) nodig. Ga na hoe het incident is ontstaan, hoe het is gedetecteerd en wat de verspreiding mogelijk maakte. Zo pakt u samen met uw team eventuele hiaten aan en beperkt u de verspreiding van toekomstige dreigingen.
- U kunt de lokale rechten controleren. Let op onverwachte gebruikersaccounts of serviceaccounts met verhoogde rechten:
Get-LocalGroupMember -Group "Administrators"
- Het is ook nodig om het wachtwoordbeleid voor alle gebruikers aan te scherpen en de toegangscontroles te versterken. Dat kunt u doen door MFA (Multi-Factor Authentication) verplicht te stellen. Soms volstaat een wachtwoord niet; een authenticator-app en andere extra lagen van IT-beveiliging helpen dan.
- Werk tot slot uw incident response checklist voor MSP’s en uw standaardwerkwijzen bij. Noteer wat werkte, wat misging en wat beter moet. Vermeld zeker problemen die voortkwamen uit gemiste notificaties of acties die zijn mislukt.
⚠️ Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Oplossingen |
| Logboeken niet exporteren vóór een reboot of opschoning | U verliest mogelijk cruciaal bewijs, waardoor de RCA onvolledig blijft | Exporteer logboeken direct na de indamming. |
| Accounts met verhoogde rechten over het hoofd zien | Frauduleuze beheerdersaccounts kunnen blijven bestaan en aanvallers kunnen ze opnieuw gebruiken. | Voer de opdracht Get-LocalGroupMember -Group "Administrators" uit en schakel onbekende gebruikers uit of verwijder ze. |
| De RCA (Root Cause Analysis) overslaan | Uw systeem kan opnieuw door hetzelfde type aanval worden misbruikt. | Voer de RCA uit en documenteer die. Beoordeel beschermingsmaatregelen als uw firewall en antivirus en neem de omstandigheden weg die dezelfde aanval mogelijk maken. |
| Uw incident response checklist niet bijwerken | Teams kunnen bij toekomstige incidenten fouten maken en de procedure niet volgen, met herstelproblemen tot gevolg. | Pas uw checklist aan en herzie uw SOP’s om incidentrapporten af te ronden. |
Template voor een incident response checklist voor IT-technici
Pas deze template aan op de behoeften van uw klant of organisatie.
| Fase | Actiepunt | Tool |
| Voorbereiding | ☐ Controleer of bewerken is ingeschakeld ☐ Controleer de tijdsynchronisatie ☐ Bevestig de dekking van de logging | GPO, PowerShell |
| Detectie | ☐ Bevraag de aanmeldings- en proceslogboeken ☐ Bekijk de gebeurtenis-ID’s uit stap 2 (4624, 4625, 4688) ☐ Controleer op malware die een reboot overleeft (persistentiemechanismen) | Logboeken, PowerShell |
| Onderzoek | ☐ Leg verbanden tussen notificaties uit verschillende systemen ☐ Bepaal de omvang van de getroffen accounts of devices ☐ Bevestig de signalen van een gecompromitteerd systeem | SIEM (zoals Microsoft Sentinel), RMM, PowerShell |
| Indamming | ☐ Blokkeer gecompromitteerde accounts ☐ Isoleer getroffen endpoints ☐ Beëindig schadelijke processen | PowerShell, NinjaOne |
| Eliminatie | ☐ Voer een volledige antivirusscan uit ☐ Verwijder schadelijke opstartvermeldingen ☐ Stel de referenties van gecompromitteerde accounts opnieuw in | Windows Defender, register |
| Herstel | ☐ Zet het device zo nodig opnieuw op ☐ Vernieuw het GPO-beleid ☐ Zet terug vanaf back-ups | PowerShell, RMM-tools |
| Communicatie | ☐ Informeer interne stakeholders (medewerkers, leidinggevenden) ☐ Escaleer zo nodig naar klanten ☐ Geef statusupdates en een samenvatting van de oplossing | E-mail, RMM, berichtentools |
| Na het incident | ☐ Exporteer en bewaar de logboeken ☐ Documenteer de tijdlijn ☐ Voer een RCA (Root Cause Analysis) uit ☐ Werk zo nodig de SOP’s en de checklists voor incidentrapporten bij | CMD, PowerShell |
Zo ondersteunt NinjaOne snelle en geautomatiseerde IT-incidentrespons
NinjaOne geeft MSP’s de tools die ze nodig hebben om IT-incidentrespons te automatiseren, te versnellen en uniform te maken in alle beheerde omgevingen. Dat doet het platform door monitoring, scripting en documentatie samen te brengen. Technici kunnen zo snel en consistent reageren op beveiligingsgebeurtenissen.
Enkele functies die u helpen bij de stappen uit uw incident response checklist:
- NinjaOne beschikt over geïntegreerde tools voor monitoring op afstand, waarmee u anomalieën in realtime opspoort en er notificaties van ontvangt.
- U kunt netwerkadapters uitschakelen en geïnfecteerde devices markeren voor isolatie met indamming op afstand.
- Automatisering van cruciale taken zoals het opnieuw instellen van referenties, het scannen op malware en het beëindigen van schadelijke processen met aangepaste scripts en kant-en-klare acties.
- NinjaOne heeft een uitgebreide scriptbibliotheek waarmee u PowerShell-scripts kunt gebruiken om gecompromitteerde registervermeldingen te herstellen.
- U kunt auditdocumentatie genereren, inclusief incidentlogboeken en acties van technici, voor de evaluatie na het incident.
- NinjaOne biedt centrale documentatie en de uitrol van standaardwerkwijzen, zodat checklists voor incidentrapporten en taakstromen met teams van technici kunnen worden gedeeld.
NinjaOne helpt MSP’s om responstijden te verkorten en incidenten uniform af te handelen, met volledig inzicht in en controle over alle klantomgevingen.
Bouw een snellere en betrouwbaardere workflow voor incident response met NinjaOne.
Stel een incident response checklist op en verbeter de beveiliging van uw IT-omgeving
Met een incident response checklist reageert elke technicus in uw team effectief en consistent op cyberincidenten. U kunt detectietools, beleidshandhaving, automatisering en documentatie na het incident combineren om klanten te beschermen en tegelijk vertrouwen en operationele topkwaliteit te behouden.
Bereid u voor, spoor dreigingen op, dam ze in en elimineer ze, herstel uw systeem en leg alles vast om uw SOP’s te verbeteren.
Gerelateerde onderwerpen:
- IT-beveiligingschecklist om uw bedrijf te beschermen
- Cybersecurity-checklist voor MSP’s 2026: bescherming tegen ransomware en dreigingen
- Checklist voor endpointverharding
- Alles over systeemverharding [Checklist]
- Compliance-checklist voor de Digital Operational Resilience Act (DORA)
- MSP’s: 6 sleutels om een ransomware-uitbraak bij uw klanten te doorstaan
