IP-adres, IPv4 en IPv6

MITRE preciseert dat informatie over toegewezen adressen ook kan opduiken in online gegevenssets of in gegevenssets die voor iedereen toegankelijk zijn¹. Die zichtbaarheid is niet gemakkelijk te verhelpen: MITRE schrijft dat de techniek niet eenvoudig met preventieve maatregelen kan worden beperkt, omdat ze berust op gedrag buiten de grenzen van het bedrijf, en raadt aan de hoeveelheid en de gevoeligheid van de voor derden beschikbare gegevens te verkleinen¹.

De firewall controleert de verkeersstroom tussen netwerken of machines die niet dezelfde beveiligingspositie hebben⁴. NIST beschrijft de soorten, de voordelen en de beperkingen ervan in zijn richtlijnen over firewalls⁴.

Aanvallers gebruiken ook doorgeefluiken, proxy's genoemd. Een proxy fungeert als tussenpersoon tussen systemen, en tegenstanders gebruiken hem om een directe verbinding met hun eigen infrastructuur te vermijden⁶. Ze kunnen meerdere proxy's achter elkaar schakelen om de bron van het kwaadaardige verkeer beter te verbergen⁶. Een adres dat in een logbestand staat, is dus niet altijd dat van de werkelijke dader.

• Geef geen netwerkadressen van het bedrijf (reeksen, serveradressen) door in een bericht, op een forum of in een formulier. MITRE raadt aan de voor derden beschikbare gegevens te beperken¹.
• Meld een ongebruikelijke inlogmelding aan de IT-afdeling, ook als die onschuldig lijkt.
• Gebruik het VPN dat het bedrijf aanbiedt wanneer u op een onbetrouwbaar netwerk moet werken. CISA raadt aan updates op een onbetrouwbaar netwerk te vermijden en, als dat niet kan, een VPN naar een vertrouwd netwerk te gebruiken⁷.
• Installeer updates zodra ze beschikbaar zijn: CISA preciseert dat aanvallers maanden of zelfs jaren na de publicatie van een patch op kwetsbaarheden kunnen mikken⁷.
• Download updates alleen van de website van de leverancier, nooit via een link in een e-mail⁷.

Denken dat een adres bewijst wie een handeling heeft uitgevoerd. Tegenstanders schakelen proxy's achter elkaar om de bron van verkeer te vermommen⁶. Het adres dat het slachtoffer ziet, kan dus dat van een doorgeefluik zijn.

Denken dat een adres waardeloos is. Het kan een aanvaller helpen te achterhalen waar vanaf internet zichtbare diensten worden gehost, en MITRE noemt deze verzameling een van de stappen die tot een eerste toegang kunnen leiden¹.

Denken dat een VPN alles oplost. NIST beschrijft IPsec als een beveiligingsmaatregel op de netwerklaag⁵.

Aanvallen met wipers in Polen, 2025

MITRE meldt dat de tegenstanders bij de wiperaanvallen van 2025 in Polen de tools rsocx.exe en r.exe gebruikten om met een omgekeerde SOCKS-proxy een tunnel naar de interne infrastructuur op te zetten⁶.

Verzamelen van adressen door bekende groepen

MITRE geeft drie voorbeelden zonder eigen datum. De groep Magic Hound legde de IP-adressen vast van bezoekers van haar phishingsites¹. HAFNIUM verkreeg de IP-adressen van openbaar toegankelijke Exchange-servers¹. Andariel beperkte zijn watering-hole-aanvallen tot bepaalde IP-adresreeksen¹.