Zo bouwt u een tijdlijn van een cybersecurity-incident met Defender en audit logs

In deze gids beschrijven we de verschillende methoden om een tijdlijn van een cybersecurity-incident te reconstrueren met gegevens uit Microsoft Defender for Endpoint, Microsoft 365 Audit Logs en telemetrie op systeemniveau. We behandelen PowerShell-query’s, registry- en GPO-auditing en verificatietechnieken via CMD die u helpen bij de analyse en rapportage van incidenten.

U vraagt zich misschien af waarom dit belangrijk is. Simpel gezegd: bij een beveiligingsincident is opruimen niet uw enige prioriteit (hoe belangrijk dat ook is), u wilt ook begrijpen wat er werkelijk is gebeurd zodat u herhaling kunt voorkomen. Een heldere tijdlijn laat het volgende zien:

• Grondoorzaak en blootstellingsperiode: waar het beveiligingsincident begon en hoelang threat actors toegang hadden
• Bewijs voor compliance: veel regelgeving (zoals GDPR en HIPAA) vereist bewijs van wanneer en hoe een inbreuk plaatsvond.
• Ondersteuning bij verzekering of juridische zaken: goede documentatie versterkt claims of onderzoeken.
• Operationele validatie: u ziet wat wel (of niet) werkte in uw verdediging

💡 Let op: zie het als het opbouwen van een forensisch onderzoek, maar dan met Defender for Endpoint, Microsoft 365 Audit Logs en systeemtelemetrie als uw bewijsmateriaal.

📌 Aanbevolen implementatiestrategieën:

Klik om een methode te kiezen	💻 Het beste voor individuele gebruikers	💻💻💻 Het beste voor grote organisaties
Methode 1: incidenten bekijken in Defender Security Center	✓
Methode 2: Microsoft 365 Audit Logs (Compliance Center/PowerShell)		✓
Methode 3: PowerShell-query’s (Defender API + lokale logs)	✓	✓
Methode 4: gebeurtenissenlogboeken van devices via CMD/Logboeken	✓
Methode 5: registrycontroles op persistentiepogingen	✓
Methode 6: Group Policy voor geavanceerde auditlogging		✓

💡Let op: deze methoden zijn geen losse manieren om hetzelfde te doen. Elke methode belicht een andere gegevensbron of techniek, maar samen vormen ze geen stappenplan. Sommige MSP’s gebruiken afhankelijk van hun omgeving slechts bepaalde bronnen. We raden aan alleen de methoden te implementeren die bij uw omgeving passen.

Een gedetailleerde tijdlijn van een beveiligingsincident opstellen

Methode 1: incidenten bekijken in Defender Security Center

Defender Security Center is het startpunt van elk onderzoek. Het bundelt notificaties tot incidenten die laten zien hoe dreigingen zich ontwikkelden.

📌 Toepassingen: dit is uw eerste detectiepunt en helpt u een incident snel te herkennen.

📌 Vereisten:

• Het device moet zijn onboard in Microsoft Defender for Endpoint.
• Beveiligingsrechten om incidenten in de portal te bekijken.

Stappen:

1. Ga naar Microsoft 365 Security Center. Gebruikt u endpoint management software, dan kunt u het rechtstreeks via het platform openen.
2. Selecteer het betreffende incident.
3. Bekijk het volgende:
   • Tijdstempel van de detectie
   • Naam van het device en gebruikerscontext
   • Classificatie en bron van de dreiging
   • Laterale beweging of getroffen systemen
4. Open het tabblad Advanced Hunting om gecorreleerde activiteit te onderzoeken.
5. Exporteer de bevindingen als CSV of PDF voor uw tijdlijnrapport.

Methode 2: Microsoft 365 Audit Logs (Compliance Center/PowerShell)

Audit logs geven inzicht in wat gebruikers (of aanvallers) deden binnen Microsoft 365-resources.

📌 Toepassingen: met deze methode volgt u verdachte aanmeldingen, bestandstoegang of mailboxactiviteit. U kunt er ook rechtenescalaties mee traceren (zoals rolwijzigingen of beheerdersactiviteit).

📌 Vereisten:

• Unified Audit Logging is ingeschakeld in Microsoft 365
• Rolrechten voor toegang tot Microsoft Purview Audit.

Stappen:

1. Ga naar de portal voor het zoeken in auditlogboeken. Meestal bereikt u die via uw endpoint manager, als u er al een gebruikt.
2. Zoek op:
   • E-mailadres of object-ID van de gebruiker
   • Tijdvak van het incident
   • Activiteiten: FileAccessed, MailboxLogin, RoleAssignmentChange, enzovoort
3. Equivalent in PowerShell:

Connect-IPPSSession

Search-UnifiedAuditLog -StartDate "2025-07-01T00:00" -
EndDate "2025-07-01T23:59" -UserIds "[email protected]"

4. Exporteer de resultaten en sorteer ze chronologisch.

Methode 3: PowerShell-query’s (Defender API + lokale logs)

Met PowerShell combineert u cloud-based Defender-telemetrie met lokale endpoint-logs voor diepere correlatie.

📌 Toepassingen: met deze methode haalt u beveiligingsgebeurtenissen uit de Defender API op voor automatisering.

📌 Vereisten:

• PowerShell 5.1+ en de Graph-module geïnstalleerd
• Rechten om de Defender API te bevragen (SecurityEvents.Real.All)
• Lokale beheerdersrechten op het endpoint
• Even opfrissen? Schrijf u in voor de gratis spoedcursus PowerShell voor IT-ninja’s.

Stappen:

1. Open PowerShell.
2. Voer de volgende commando’s uit, voor zover nodig:

• Defender hunting via de Graph API:

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/security/alerts" |

ConvertFrom-Json | Select-Object id, createdDateTime, title, severity, status

• Lokale Defender-logs:

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |

Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-24) } |

Select TimeCreated, Message

💡 Tip: gebruik dit om endpoint-telemetrie te correleren met dreigingen die in de cloud zijn gedetecteerd.

Methode 4: gebeurtenissenlogboeken van devices via CMD/Logboeken

Lokale gebeurtenissenlogboeken helpen u dieper te graven in aanmeldingen, systeemactiviteit en scriptuitvoering die mogelijk niet in Defender of M365 zichtbaar zijn.

📌 Toepassingen: met deze methode ziet u systeemcrashes, herstarts of afsluitingen tijdens het aanvalsvenster. U kunt er ook de uitvoering van PowerShell-scripts mee controleren als mogelijke aanvalsvector.

📌 Vereisten:

• Lokale beheerdersrechten op de getroffen machines
• Beveiligings- en PowerShell-logging ingeschakeld

Stappen:

1. Open een opdrachtprompt met verhoogde rechten.
2. Voer de volgende commando’s op volgorde uit.

• Aanmeldingsgebeurtenissen (gebeurtenis-ID’s 4624 (een account is aangemeld), 4625 (een account kon niet worden aangemeld), 4648 (er is een aanmelding geprobeerd met expliciete referenties)):

wevtutil qe Security "/q:*[System[(EventID=4624 or EventID=4625 or EventID=4648)]]" /c:10 /f:text

• Systeemgebeurtenissen (opstarten/afsluiten/fouten):

wevtutil qe System /c:10 /f:text

• PowerShell-activiteit:

wevtutil qe "Microsoft-Windows-PowerShell/Operational" /c:20 /f:text

Methode 5: registrycontroles op persistentiepogingen

Aanvallers wijzigen vaak registersleutels zodat hun tools automatisch starten na een reboot.

📌 Toepassingen: deze methode spoort ongeautoriseerde opstartprogramma’s op en signaleert manipulatie van het register.

📌 Vereisten:

• Registerauditing ingeschakeld (via GPO of beveiligingsbeleid)
• Gebeurtenislogging is geconfigureerd voor registerwijzigingen.

Stappen:

1. Druk op Win + R, typ regedit en druk op Enter.
2. Controleer de gebruikelijke persistentiepaden:

1. 1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Dit geldt voor alle gebruikers op het systeem. Malware hier start voor elk account dat zich aanmeldt.

1. 2. HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Dit geldt alleen voor de huidige gebruiker. De persistentie is gekoppeld aan één gecompromitteerd gebruikersprofiel.

💡 Threat actors kiezen soms voor HKCU omdat het onopvallender is en geen beheerdersrechten vereist. Het is daarom goed om beide paden te controleren.

3. Zoek naar gebeurtenis-ID 4657 in de beveiligingslogboeken (wijziging van een registerwaarde).
4. Leg verdachte vermeldingen naast activiteit uit Defender of de M365 audit logs.

Methode 6: Group Policy voor geavanceerde auditlogging

📌 Toepassingen: zo weet u zeker dat er cruciale logs zijn voor toekomstige incidenten. U kunt deze methode ook gebruiken om de dekking op belangrijke servers en werkstations te versterken (ideaal voor compliance-rapportage!).

📌 Vereisten:

• Rechten om GPO’s te beheren
• Domeinomgeving (aanbevolen, hoewel lokaal beleid ook werkt)

Stappen:

1. Druk op Win + R, typ gpedit.msc en druk op Enter.
2. Ga naar: Computerconfiguratie → Windows-instellingen → Beveiligingsinstellingen → Geavanceerde configuratie van auditbeleid → Auditbeleid
3. Schakel het volgende in:
   • Aanmeldingsgebeurtenissen controleren
   • Objecttoegang controleren
   • Procesopvolging controleren
   • Beleidswijziging controleren
4. Pas het beleid toe op belangrijke servers en werkstations.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Oplossingen
Gaten in de bewaartermijn van logs (Defender, M365 of lokale logs)	Ontbrekende activiteit uit het aanvalsvenster; onvolledige tijdlijn	Verleng het bewaarbeleid (bijv. Purview audit log E5 = 1 jaar); centraliseer logs in een SIEM.
Overschrijven van gebeurtenissenlogboeken (beveiligings-/systeemlogboeken)	Ouder bewijsmateriaal wordt overschreven door nieuwe gebeurtenissen	Vergroot de logomvang via GPO; verplaats logs naar een collector.
Uitgeschakelde of verkeerd geconfigureerde auditing	Geen vastgelegde gebeurtenissen voor register, bestanden of rechten	Controleer de GPO-instellingen voor auditing; schakel Geavanceerde configuratie van auditbeleid in.
Vals-positieven (legitieme apps in Run-sleutels, ongebruikelijke aanmeldingen)	Verspilde onderzoekstijd of onbedoelde verstoring	Leg vermeldingen naast de software-inventaris en bekend gebruikersgedrag.
Te veel verzamelde gegevens	Lastig om de werkelijke kwaadaardige activiteit te vinden	Gebruik filters in PowerShell/Advanced Hunting om query’s te verfijnen.

Aanvullende overwegingen bij het opstellen van een Office 365 audit log

• Bewaartermijn van logs: zorg dat logs minstens 90 tot 180 dagen bewaard blijven (afhankelijk van uw compliance-eisen).
• SIEM-integratie: overweeg alle logs te centraliseren in een SIEM voor correlatie.
• Tijdsynchronisatie: zorg dat alle systemen via NTP zijn gesynchroniseerd (w32tm /query /status) om inconsistenties in de tijdlijn te voorkomen.
• Documentatie: houd een standaard tijdlijntemplate aan voor incidenten.

Veelvoorkomende problemen oplossen

1. Ontbrekende logs: logging stond niet aan of logs zijn overschreven.
   • Oplossing: controleer de auditing in GPO, vergroot de logomvang of centraliseer logs in een SIEM.
2. Geen Defender-gegevens: device niet onboard of uitgesloten van bescherming
   • Oplossing: controleer de onboarding in Security Center en bekijk het uitsluitingsbeleid.
3. Fouten in audit logs (M365): Unified Audit Log niet ingeschakeld of licentie beperkt de bewaartermijn
   • Oplossing: schakel auditlogging in Purview in en controleer uw licentie (E5 = 1 jaar bewaren, niet-E5 = 180 dagen).
4. Tijdsverschillen: systemen niet gesynchroniseerd, waardoor er gaten in de tijdlijn ontstaan
   • Oplossing: voer w32tm /query /status uit en configureer NTP-synchronisatie op alle systemen.
5. Problemen met exporteren/importeren: CSV-exports worden niet goed gesorteerd.
   • Oplossing: exporteer opnieuw via PowerShell en sorteer op TimeCreated of CreationDate.
6. Te veel ruis: door het hoge aantal gebeurtenissen vallen de echte indicatoren niet op.
   • Oplossing: filter op gebeurtenis-ID’s, gebruikers of met KQL-query’s om de resultaten te beperken.

Diensten van NinjaOne

NinjaOne, het geautomatiseerde platform voor endpoint management, helpt u een gedetailleerdere tijdlijn van een cybersecurity-incident op te bouwen. Zo werkt dat:

• Gecentraliseerde logverzameling: met NinjaOne verzamelt u op schaal en volgens een schema Windows-gebeurtenissen, Defender Operational-logs en PowerShell-logs, zodat bewijsmateriaal niet verloren gaat.
• One-to-many PowerShell-orkestratie: u kunt geparametriseerde scripts uitvoeren op geselecteerde devices of tenants en de resultaten vastleggen als JSON, CSV of tekst. Die output kunt u aan tickets koppelen, archiveren of via webhooks doorsturen voor directe analyse.
• Geautomatiseerde bewijsbundels: start playbooks die in één keer belangrijke gebeurtenis-ID’s, Defender-detecties, autoruns in het register en de status van de tijdsynchronisatie ophalen.
• Detectie en notificaties met hoge signaalwaarde: ontvang notificaties bij herhaalde 4625-gebeurtenissen, Defender-detecties, ScriptBlock-treffers of registerwijzigingen die scripts hebben verzameld.
• Veilige geautomatiseerde respons: scripts kunnen kwaadaardige autoruns verwijderen, processen beëindigen, een host isoleren of lokale referenties roteren, met controles vooraf.
• Betere logging via beleid: rol via scripts grotere logbestanden, ScriptBlock- en Transcription-logging en geavanceerde auditcategorieën uit.
• Schaal over meerdere tenants voor MSP’s: hergebruik dezelfde verzamelingen, notificaties en playbooks bij al uw klanten met tags en afgebakende devicegroepen.
• Context over assets en blootstelling: schakel vanuit een notificatie door naar inventarisgegevens zoals OS-versie, ouderdom van patches en aanwezige software.
• Incidenten taggen, rapporteren en exporteren: voorzie devices, tickets en artefacten van een incident-ID en exporteer bewijsbundels (CSV/JSON/ZIP).
• Integraties en governance: gebruik webhooks en API’s om gegevens uit te wisselen met SIEM’s, ITSM en chattools; verrijk tijdlijnen via scripts met Graph- en Defender-query’s.

Bescherm uw omgeving met een gedetailleerde Microsoft 365 audit log

Het reconstrueren van de tijdlijn van een cybersecurity-incident is niet één enkele handeling. U moet bewijs uit Defender-incidenten, auditactiviteit in Microsoft 365 en endpoint-telemetrie combineren.

We hebben zes methoden op een rij gezet, maar nogmaals: deze strategieën staan niet volledig los van elkaar. Kies de methode die bij uw situatie past en raadpleeg onze tabel met aanbevolen implementatiestrategieën voor meer informatie.

Gerelateerde onderwerpen:

• Wat is incident response?
• Wat is cybersecurity?
• Windows Defender Application Control (WDAC) uitgelegd
• De 12 meest voorkomende soorten cyberaanvallen: zo herkent en voorkomt u ze