Jordy HerberNation-state aanvallers worden vaak neergezet als mysterieuze hackers met zero-days. Soms klopt dat. Maar in veel moderne Microsoft-omgevingen is de realiteit minder filmisch en veel vervelender: ze loggen in, gebruiken tokens, misbruiken OAuth, lezen collaboration-data en blijven lang genoeg onder de radar om waardevolle informatie te verzamelen.
Het MDDR 2025 laat zien dat IT, research, overheid en denktanks zwaar in beeld zijn bij staatsspelers. Dat is logisch. Diplomatie, beleid, onderzoek, defensieprojecten en strategie leven in mailboxen, Teams, SharePoint, OneDrive en SaaS-koppelingen. De aanval op een endpoint is niet altijd het doel. De aanval op context is vaak waardevoller.
Deze blog beschrijft het nation-state verhaal naar praktische Microsoft Security-keuzes: identity hardening, app governance, cloud logging, collaboration-monitoring, threat intelligence en Sentinel-detectie.
| Praktijkopmerking: Ik zie dit vaak bij klanten: de tooling staat deels aan, maar de koppeling tussen identity, cloud, data en SOC-proces ontbreekt. Juist daar vallen moderne aanvallen doorheen. |
Waarom dit onderwerp nu speelt
Microsoft beschrijft in het MDDR dat nation-state activiteit sterk gericht is op traditionele intelligence targets zoals IT, research en academia, overheid en denktanks/NGO’s. Dit zijn precies de omgevingen waar collaboration tooling kritisch is en waar veel externe samenwerking plaatsvindt.
Aanvallers hoeven niet altijd malware te plaatsen. Een OAuth-app met te brede permissions of een gecompromitteerde identity met toegang tot SharePoint kan genoeg zijn voor lange termijn spionage. In de praktijk gaat dit vaak mis bij tenants waar app-consent jarenlang vrij is geweest en niemand eigenaar is van oude enterprise applications.
Mijn advies is om nation-state defense niet te beginnen bij ‘welke actor valt ons aan?’, maar bij ‘welke toegang zou maandenlang misbruikt kunnen worden zonder dat wij het merken?’ Die vraag levert betere controls op.
Wat je moet weten over staatsspelers in Microsoft 365
Het verschil met reguliere cybercrime zit niet alleen in techniek. Het zit in doel en geduld. Cybercrime wil vaak snel geld. Staatsspelers willen informatiepositie, invloed, sabotagevoorbereiding of strategische toegang. Daardoor zijn low-noise acties aantrekkelijker dan luidruchtige malware.
Living-off-the-land in cloudomgevingen betekent dat Graph API, Azure Portal, Exchange Online, SharePoint en Teams de gereedschapskist worden. Logs zien eruit als beheeracties of gebruikersgedrag. Een SOC dat alleen zoekt naar binaries en hashes gaat dit missen.
Daarom moet je detecteren op afwijkend gedrag: nieuwe app credentials, ongebruikelijke consent, toegang tot zelden gebruikte sites, plotselinge mailbox-accesspatronen, adminrollen buiten PIM, en sign-ins vanaf infrastructuur die niet past bij de gebruiker.
Architectuur: identity, app governance en data
De verdedigingsarchitectuur begint bij Entra ID: Conditional Access, phishing-resistant MFA, PIM, access reviews en workload identity governance. Daarna komt app governance: admin consent workflow, review van high-privilege permissions en blokkeren van user consent waar het risico te groot is.
Voor data gebruik je Purview: sensitivity labels, DLP, audit en Activity Explorer. Staatsspelers zoeken vaak data met contextwaarde. Labels helpen je niet alleen beschermen, maar ook onderzoeken wat geraakt kan zijn.
Sentinel en Defender XDR brengen dit samen. Sentinel is vooral nuttig voor langlopende correlatie en tenant-specifieke detecties. Defender XDR geeft incidentcontext over identity, endpoint, email en cloud apps. Dit klinkt klein, maar heeft impact op je SOC proces: nation-state detectie vraagt om langere tijdvensters en minder volumejacht.
Configuratie in een Microsoft 365 E5 demo tenant
Klikpad: Microsoft Entra admin center > Enterprise applications > Consent and permissions. Schakel admin consent workflow in en beperk user consent. Begin met rapportage voordat je productieprocessen breekt.
Klikpad: Microsoft Entra admin center > Identity Governance > Privileged Identity Management. Zorg dat Global Administrator, Privileged Role Administrator, Exchange Administrator, SharePoint Administrator en Application Administrator niet permanent actief zijn.
Klikpad: Microsoft Sentinel > Analytics. Maak regels voor OAuth-consent, service principal credentials, mail access spikes en risky sign-ins bij high-value users. Gebruik watchlists voor VIP’s, admins, diplomatieke mailboxen, onderzoekers en projectteams.
Praktijkvoorbeeld: spionage via collaboration data
Een onderzoeksteam werkt met externe partners in Teams en SharePoint. Een account van een projectmanager wordt gecompromitteerd via AiTM-phishing of token theft. De aanvaller hoeft geen endpoint te raken. Hij leest Teams-kanalen, downloadt projectdocumenten en bekijkt mailboxconversaties over deadlines, financiering en IP.
Voor een klassiek SOC ziet dit eruit als een gebruiker die werkt. Geen malware. Geen exploit. Geen vreemde executable. De afwijking zit in tijdstip, locatie, device, datavolume, toegang tot oude sites en combinatie met risky sign-in. Dat vraagt om gedrag en context, niet om IOC-jacht.
Voor nation-state scenario’s moet je high-value assets definiëren. Welke teams, mailboxen, SharePoint-sites, applicaties en data zijn geopolitiek, strategisch of contractueel gevoelig? Zonder die lijst behandel je een projectsite voor een lunchmenu hetzelfde als een site met export-controlled onderzoek.
Gebruik watchlists in Sentinel voor high-value users, privileged roles, projectteams en gevoelige sites. Combineer die met Purview labels en Entra risk. Als een high-value user vanaf onbekende infrastructuur veel bestanden leest of mailboxitems benadert, is dat een ander incident dan normaal kantoorgedrag.
Attributie is niet je eerste prioriteit. Of het Rusland, China, Iran, Noord-Korea of een criminele actor is, verandert de eerste response meestal niet. Eerst containment, scope, data-impact en hardening. Attributie komt later, met threat intelligence en eventueel externe ondersteuning.
Niveau 400: cloud-native stealth en detectie
Graph API-activiteit is lastig omdat veel legitieme apps Graph gebruiken. Daarom moet je niet alleen naar Graph als geheel kijken, maar naar ongebruikelijke combinatie van app, permission, resource en gebruiker. Een nieuwe enterprise app met Files.Read.All die plotseling veel sites benadert, is belangrijker dan algemeen Graph-verkeer.
AuditLogs zijn cruciaal voor app governance. Let op consent, app role assignments, credential additions en owner changes. Deze events moeten niet alleen naar een logarchief, maar naar detections met eigenaar. Application Administrator-activiteiten verdienen extra aandacht.
MailItemsAccessed is waardevol, maar licentie- en auditconfiguratie kunnen verschillen. Controleer in je tenant welke auditdata beschikbaar is en welke retentie geldt. Voor high-value mailboxes wil je weten of toegang via delegate, application of user context plaatsvond.
Voor lange termijn spionage zijn tijdvensters langer. Een aanvaller die elke dag twintig documenten leest valt niet op in volumeregels. Gebruik baselining: wat is normaal voor deze gebruiker, deze site en dit project? Sentinel UEBA kan helpen, maar je eigen watchlists en businesscontext blijven nodig.
Tenant-to-tenant samenwerking is een blinde vlek als niemand governance doet op guests en external sharing. Gebruik access reviews, cross-tenant access settings en externe sharing-rapportages. Purview en SharePoint audit helpen om te zien wat er werkelijk gedeeld wordt.
Incident response bij nation-state verdachten moet voorzichtig zijn. Te snelle zichtbare containment kan een actor waarschuwen. Werk met een klein team, leg bewijsmateriaal vast, stem af met juridische en managementlagen en gebruik gecontroleerde containment wanneer mogelijk.
Implementatieplan in drie sprints
Sprint 1 is scope bepalen. Maak een lijst van high-value users, projectteams, gevoelige SharePoint-sites, kritieke mailboxen en privileged roles. Dit is geen puur technische oefening. Je hebt businessinput nodig om te weten welke data of teams strategisch relevant zijn.
Sprint 2 is identity en app governance. Beperk user consent, activeer admin consent workflow en review alle enterprise applications met hoge permissions. Zet PIM aan voor rollen die toegang geven tot mail, SharePoint, security, identity of applicatiebeheer. Oude permanente adminrollen zijn een uitnodiging voor langdurige toegang.
Sprint 3 is lange termijn detectie. Bouw Sentinel-detecties met langere tijdvensters voor high-value users en gevoelige sites. Combineer AuditLogs, SigninLogs en OfficeActivity. Voeg threat intelligence toe, maar vertrouw er niet blind op. Gedrag binnen je tenant is vaak waardevoller dan generieke IOC’s.
Praktische keuzes voor productie
In productie wil je nation-state detectie niet bouwen op één grote query. Splits het op in use-cases: OAuth persistence, high-value user anomalieën, collaboration exfiltration, privileged role drift en guest/external sharing. Elke use-case krijgt eigen severity en response-instructie.
Zorg dat management begrijpt dat niet elke nation-state waarschuwing publiek of juridisch hetzelfde betekent. Soms is het een high-risk poging, soms een confirmed compromise, soms alleen exposure. Gebruik een intern classificatiemodel zodat technische bevindingen niet direct tot paniek leiden.
Voor high-value teams is preventie vaak effectiever dan detectie. Beperk externe sharing, gebruik sensitivity labels, forceer phishing-resistant MFA en voer access reviews uit. Staatsspelers profiteren van oude toegang. Periodieke opruiming is dus een verdedigingsmaatregel, niet alleen governance.
Extra SOC-tuning voor high-value targets
Gebruik voor high-value users strengere drempels dan voor de rest van de tenant. Een downloadpiek van vijftig documenten kan normaal zijn voor een projectmedewerker, maar afwijkend voor een beleidsadviseur die zelden bulkdownloadt. Maak daarom niet één universele drempel, maar combineer volume met rol, datagevoeligheid en baseline.
Laat threat intelligence vooral verrijken. Een IOC kan helpen, maar nation-state actors wisselen infrastructuur. Gedrag binnen je tenant blijft de kern: nieuwe consent, afwijkende locatie, toegang buiten werkpatroon en data-acties op gevoelige locaties.
Technisch voorbeeld
De voorbeelden hieronder zijn bedoeld als startpunt. Test altijd met je eigen logging, tijdzones, naming conventions en false-positive patroon. Maak van een hunt-query pas een analytics rule als je eigenaar, severity, response en uitzonderingen hebt vastgelegd.
KQL
// Sentinel: OAuth consent of app-credential wijziging met hoge impact
AuditLogs
| where TimeGenerated > ago(14d)
| where OperationName in (“Consent to application”, “Add service principal credentials”, “Update application”, “Add app role assignment to service principal”)
| extend Actor = tostring(InitiatedBy.user.userPrincipalName)
| extend AppName = tostring(TargetResources[0].displayName)
| extend TargetId = tostring(TargetResources[0].id)
| extend ModifiedProperties = tostring(TargetResources[0].modifiedProperties)
| where ModifiedProperties has_any (“Directory.ReadWrite.All”, “RoleManagement.ReadWrite.Directory”, “Mail.Read”, “Files.Read.All”, “Sites.FullControl.All”, “offline_access”)
| project TimeGenerated, OperationName, Actor, AppName, TargetId, ModifiedProperties, Result
| order by TimeGenerated desc
KQL
// Collaboration exfiltratie: ongebruikelijke mailbox/sharepoint activiteit door risicogebruikers
let risky =
SigninLogs
| where TimeGenerated > ago(7d)
| where RiskLevelAggregated in (“medium”,”high”) or RiskState in (“atRisk”,”confirmedCompromised”)
| summarize by UserPrincipalName;
OfficeActivity
| where TimeGenerated > ago(7d)
| where Operation in (“MailItemsAccessed”, “FileDownloaded”, “AddedToGroup”, “SharingSet”)
| summarize Events=count(), Operations=make_set(Operation), IPs=make_set(ClientIP, 20) by UserId, bin(TimeGenerated, 1h)
| join kind=innerunique risky on $left.UserId == $right.UserPrincipalName
| where Events > 50
| project TimeGenerated, UserId, Events, Operations, IPs
Mapping: nation-state TTP naar Microsoft-control
| TTP | Waarom relevant | Control |
| OAuth persistence | Langdurige toegang zonder wachtwoord | Admin consent workflow + app governance |
| Cloud recon | Graph/API-enumeratie lijkt legitiem | Sentinel UEBA + AuditLogs |
| Collaboration exfiltration | Data zit in Teams, SharePoint en mailboxen | Purview labels + DLP + Audit |
| Supply-chain toegang | Partner of app wordt springplank | Access reviews + tenant restrictions |
| Credential/token abuse | Login lijkt normaal | CA, token protection waar beschikbaar, risk-based response |
Veelgemaakte fouten
- Nation-state verdediging reduceren tot threat intel feeds.
- User consent toestaan zonder proces of review.
- Geen eigenaar hebben voor enterprise applications.
- Alle data hetzelfde behandelen en geen labels gebruiken.
- PIM wel aanzetten, maar permanente uitzonderingen laten bestaan.
Advies vanuit de praktijk
Mijn advies is om dit onderwerp niet als los project te behandelen. Koppel het aan je SOC-proces, je identity governance, je cloud governance en waar relevant je Purview data security-aanpak. De techniek is belangrijk, maar ownership bepaalt of het blijft werken.
Begin klein en meetbaar. Kies één high-value scenario, bouw één goede detectie, test één responsepad en leg vast wie eigenaar is. Daarna schaal je uit. Dat werkt beter dan tien half afgemaakte policies die niemand durft aan te zetten.
Conclusie
Nation-State Threat Actors: waarom cloud en identity de nieuwe frontlinie zijn is geen onderwerp voor alleen awareness of alleen tooling. De kern is dat moderne aanvallen misbruik maken van normale processen: aanmelden, toestemming geven, data openen, scripts uitvoeren, cloudrechten gebruiken en incidenten te laat correleren. Microsoft Security helpt hier sterk bij, maar alleen als je de signalen over identity, endpoint, cloud en data samenbrengt. Maak logging betrouwbaar, maak detections herhaalbaar, automatiseer de eerste response waar de zekerheid hoog genoeg is en gebruik Purview-context om data-impact te begrijpen.
Volg ITCowboys voor de volgende technische deep dive. In de komende blogs pak ik meer Microsoft Security, XDR, Sentinel, Identity en Purview onderwerpen op vanuit de praktijk.
Bronnenlijst
De hyperlinks hieronder zijn gebruikt voor broncontrole en release-status.