{"id":503,"date":"2025-11-18T01:09:25","date_gmt":"2025-11-18T01:09:25","guid":{"rendered":"https:\/\/hostcare.nl\/?p=503"},"modified":"2026-10-23T06:23:02","modified_gmt":"2026-10-23T06:23:02","slug":"microsoft-defender-threat-actor-attributie-incidenten","status":"publish","type":"post","link":"https:\/\/hostcare.nl\/?p=503","title":{"rendered":"Microsoft Defender: dreigingsactorinformatie verhuist van alerts naar incidenten"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Microsoft heeft de informatie over toegeschreven dreigingsactoren verplaatst uit de detailpagina van een afzonderlijke alert in Microsoft Defender for Endpoint. Sinds 12 januari 2026 hoort die context niet meer bij \u00e9\u00e9n los signaal, maar bij de bredere incidentweergave en de Threat Intelligence-ervaring in het Microsoft Defender-portaal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Voor een SOC is dat meer dan een cosmetische wijziging. Analisten die een alert als vast startpunt gebruiken, kunnen een bekende actorverwijzing niet meer op dezelfde plek aantreffen. Microsoft heeft echter geen detecties, alertvorming of beveiligingseffectiviteit gewijzigd. De aanpassing gaat uitsluitend over waar de informatie in de onderzoeksstroom beschikbaar is.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Van een los signaal naar de volledige incidentcontext<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Een alert is een afzonderlijk beveiligingssignaal. Een incident bundelt gerelateerde alerts en signalen tot \u00e9\u00e9n onderzoekscontext. Microsoft positioneert de incidentpagina daarom als de plek waar een analist het verloop, de samenhang en de mogelijke impact van een aanval beoordeelt. De verplaatsing van threat-actor-attributie sluit op die werkwijze aan: als de informatie beschikbaar is, hoort zij bij de bredere onderzoekslijn en niet bij \u00e9\u00e9n individuele alert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De wijziging betekent niet dat ieder incident ineens aan een dreigingsactor is gekoppeld. Attributie blijft afhankelijk van de informatie die Microsoft voor de betreffende aanval kan onderbouwen. Gebruik de incidentpagina daarom als onderzoeksingang, niet als garantie dat iedere melding een actorlabel krijgt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wat verandert er voor analisten?<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li>Op de pagina van een afzonderlijke alert is de sectie met toegeschreven dreigingsactoren verwijderd.<\/li><li>Ga vanuit een relevante alert naar het bijbehorende incident om de bredere context te onderzoeken.<\/li><li>Gebruik de Threat Intelligence-ervaring wanneer onderzoek naar dreigingsactoren, indicatoren en gerelateerde analyses nodig is.<\/li><li>Houd er rekening mee dat eigen dashboards, exports, playbooks of automatiseringen mogelijk nog uitgaan van een actorverwijzing op alertniveau.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Controleer uw SOC-werkwijze en automatisering<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">De Message Center-melding beschrijft een wijziging in de portalweergave; Microsoft belooft daarbij niet dat bestaande velden in eigen API-koppelingen of exports ongewijzigd blijven. Behandel dat onderscheid zorgvuldig. Test uw eigen integraties op ontbrekende of lege actorinformatie in plaats van aan te nemen dat er een specifiek API-schema is aangepast.<\/p>\n\n\n\n<ol class=\"wp-block-list\"><li><strong>Pas de eerste onderzoekstap aan.<\/strong> Laat analisten na triage van een alert standaard doorstappen naar het incident wanneer zij aanvalcontext of attributie nodig hebben.<\/li><li><strong>Werk werkinstructies bij.<\/strong> Verwijder screenshots en stappen waarin threat-actorinformatie op de alertdetailpagina wordt gezocht.<\/li><li><strong>Test integraties gericht.<\/strong> Controleer SIEM-, SOAR-, rapportage- en exportprocessen die een actorveld op alertniveau verwachten. Leg vast hoe zij omgaan met een ontbrekende waarde.<\/li><li><strong>Maak Threat Intelligence vindbaar.<\/strong> Zorg dat SOC- en threat-intelligence-teams weten waar zij actoronderzoek voortzetten wanneer de incidentpagina onvoldoende detail geeft.<\/li><li><strong>Communiceer de reden van de wijziging.<\/strong> Zo wordt een ontbrekende sectie niet als productstoring gemeld, maar als een bewuste verschuiving naar incidentcontext.<\/li><\/ol>\n\n\n\n<h3 class=\"wp-block-heading\">Wat blijft hetzelfde?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Microsoft noemt expliciet geen effect op alertgeneratie, detectielogica of de effectiviteit van de beveiliging. De wijziging verlaagt dus niet zelfstandig de detectiedekking van Defender for Endpoint. Het risico zit vooral in menselijke en geautomatiseerde processen die nog op de oude plaats van contextinformatie vertrouwen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Maak daarom onderscheid tussen de beveiligingstechnische werking van Defender en de dagelijkse onderzoekservaring. Een goed afgestemd SOC kan deze wijziging gebruiken om incidentonderzoek consistenter te maken, zonder alle alerttriage opnieuw te ontwerpen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Offici\u00eble documentatie<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"https:\/\/admin.microsoft.com\/AdminPortal\/home#\/MessageCenter\/:\/messages\/MC1187397\" target=\"_blank\" rel=\"noopener\">Microsoft 365 Message Center: threat-actor-attributie verdwijnt van de alertpagina (MC1187397)<\/a> <em>(aanmelden vereist)<\/em><\/li><li><a href=\"https:\/\/learn.microsoft.com\/en-us\/defender-xdr\/investigate-alerts\" target=\"_blank\" rel=\"noopener\">Microsoft Learn: alerts en incidenten onderzoeken in Microsoft Defender<\/a><\/li><li><a href=\"https:\/\/learn.microsoft.com\/en-us\/defender-xdr\/defender-threat-intelligence\" target=\"_blank\" rel=\"noopener\">Microsoft Learn: Microsoft Defender Threat Intelligence<\/a><\/li><\/ul>\n\n","protected":false},"excerpt":{"rendered":"<p>In Microsoft Defender for Endpoint staat threat-actor-attributie niet langer op een losse alert. Werk SOC-playbooks en automatisering bij voor incidentonderzoek.<\/p>\n","protected":false},"author":1,"featured_media":500,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[87],"tags":[69,125,123],"class_list":["post-503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-nieuws","tag-beveiliging","tag-endpointbeveiliging","tag-microsoft-defender-for-endpoint"],"_links":{"self":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts\/503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=503"}],"version-history":[{"count":1,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts\/503\/revisions"}],"predecessor-version":[{"id":508,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts\/503\/revisions\/508"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/media\/500"}],"wp:attachment":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}