Een compromisindicator is een technisch spoor dat kan wijzen op een aanval of ongewenste toegang tot een systeem.
Definitiebron: NIST: Indicator of Compromise. Gelezen op 24 oktober 2026. De praktische vragen op deze pagina helpen je de melding met je beheerder af te bakenen.
Wat zegt een indicator wel?
NIST beschrijft technische waarnemingen die kunnen wijzen op een dreigende, lopende of eerdere aanval. Een indicator is dus een aanknopingspunt voor onderzoek. Denk aan een onverwacht bestand of een verbinding die in een onderzoek wordt genoemd.
De betekenis hangt af van de bron en de situatie waarin je de waarneming doet.
Een bevestigde webshellEen webshell is een script op een webserver waarmee een aanvaller op afstand toegang tot die server kan houden. is een andere bevinding dan een overeenkomst met een losse bestandsnaam. Vraag daarom altijd wat werkelijk is vergeleken. Een tekstregel met het woord verdacht is zonder die uitleg onvoldoende om te besluiten dat je site gehackt is of dat je een melding kunt negeren.
Hoe leg je een bruikbare waarneming vast?
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Bewaar de oorspronkelijke melding met tijdstip, betrokken site en de bron van de controle. Staat het spoor in een logbestandEen foutlog is een bestand waarin de server opschrijft welke fouten er op je website zijn voorgekomen, met tijd en plek., laat de beheerder de relevante context behouden. Een losse regel kan gebeurtenissen weglaten die nodig zijn om haar te begrijpen.
Deel geen volledig log met persoonsgegevens via een openbaar forum.
Vraag of de waarneming bij de huidige installatie hoort. Een oude melding over een verwijderde testomgevingEen stagingomgeving is een afgeschermde kopie van je website waarop je updates uitprobeert voordat ze live gaan. kan een andere betekenis hebben dan hetzelfde signaal op je live betaalpagina. Ook de periode waarop de bron betrekking heeft hoort bij de beoordeling.
Houd die informatie bij elkaar wanneer je de melding overdraagt.
Hoe gebruik je een gepubliceerde indicator?
Een maker kan in een beveiligingsadviesEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. indicatoren noemen voor een concreet incident. Laat een beheerder beoordelen of het advies past bij jouw software en omgeving. Kopieer niet zonder uitleg een lijst met blokkeringen uit een bericht.
Een verkeerde toepassing kan ook legitiem verkeer of beheer hinderen.
Geen overeenkomst vinden betekent alleen dat de gebruikte controle binnen haar bereik geen overeenkomst vond. Het bewijst niet dat alle mogelijke aanvallen zijn uitgesloten. Vraag welke bronnen zijn gebruikt, wat is onderzocht en welke delen buiten beeld bleven.
Daarmee wordt een negatieve uitkomst bruikbaar zonder haar groter te maken dan zij is.
Wanneer is hulp verstandig?
Vraag hulp bij een concrete waarschuwing die je niet kunt duiden, bij meerdere onverklaarde wijzigingen of bij twijfel over de betrouwbaarheid van een afzender. Laat de onderzoeker aangeven welke waarneming bevestigd is en welke verklaring nog moet worden getoetst.
Gebruik in je eigen verslag geen stellige woorden als alleen een vermoeden is vastgesteld. Schrijf bijvoorbeeld welke melding je op welk moment ontving en wie haar onderzoekt. Dat geeft de volgende beheerder een controleerbaar beginpunt, zonder een onbewezen conclusie te verspreiden.
Bereid je hulpvraag voor
Maak voor je beheerder een korte notitie met de betrokken pagina, het moment van de waarneming en wat je team daarvoor veranderde. Voeg de oorspronkelijke melding toe als die beschikbaar is. Houd feiten en vermoedens apart.
Een beschrijving als ‘dit zag ik op deze pagina’ is bruikbaarder dan een conclusie waarvoor nog geen onderzoek is gedaan.
Voor regulier onderhoud aan een PHP-site kun je de bestaande diensten van een PHP-specialist bekijken. Bespreek eerst welke vraag binnen die dienst past. Deze begrippenpagina biedt uitleg, geen onderzoek van jouw installatie of toezegging over herstel.
Laat bij een mogelijk incident vooraf vastleggen welke deskundigheid nodig is en welke onderdelen iemand daadwerkelijk kan beoordelen.
Spreek af wie de bevindingen ontvangt en wie een open vraag opvolgt. Vraag om een verslag met de gecontroleerde onderdelen, de datum en de beperkingen. Dat helpt je beslissen over een volgende stap zonder een algemene geruststelling als bewijs te gebruiken.
Je eerste eigen stap is de waarneming vastleggen en aan de verantwoordelijke beheerder doorgeven.
Veelgestelde vragen
Betekent geen gevonden IoC dat mijn site veilig is?
Nee. Die uitkomst geldt voor de onderzochte indicatoren en gegevens. Vraag naar de omvang en beperkingen van de controle voordat je de uitkomst gebruikt voor een besluit.
Wat geef ik door aan mijn beheerder?
De betrokken pagina, het tijdstip en de oorspronkelijke melding. Beschrijf wat je zelf zag en wat nog een vermoeden is. Deel geen wachtwoorden, sleutels of persoonsgegevens van klanten in een gewoon formulier.
Kan de PHP Exposure Check dit vaststellen?
Nee. Die check laat alleen zien wat je server publiek over onder meer de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. prijsgeeft. Hij onderzoekt geen malware, toegangsrechten of onderschepping van formuliergegevens.
Laat je concrete melding apart beoordelen.