Cybersecurity Analist interviewvragen en antwoorden

Voorbeeldantwoord

Ik begin met valideren: is dit waarschijnlijk een false positive of een echte dreiging? Daarna verrijk ik het alert met context zoals user, host, tijdstip, recent gedrag en de gevoeligheid van het systeem. Ik kijk naar impact en blast radius, niet alleen naar het aantal alerts. Vervolgens verzamel ik bewijs uit logs, SIEM en eventuele endpoint-data, documenteer ik mijn bevindingen en escaleer ik alleen als de data dat rechtvaardigt.

Voorbeeldantwoord

Ik volg threat intelligence, vendor advisories en relevante CVE-updates, en ik koppel dat altijd aan wat in onze omgeving echt blootstaat. Ik kijk ook naar tactieken en technieken in MITRE ATT&CK om patronen sneller te herkennen. Daarnaast blijf ik oefenen met labs, detections en incident-scenario's zodat ik niet alleen theorie ken, maar ook weet hoe aanvalsgedrag eruitziet in logs. In een Nederlandse organisatie is het extra belangrijk dat je dit vertaalt naar praktische maatregelen die passen binnen beleid, budget en soms ook CAO-afspraken.

Voorbeeldantwoord

Ik vertaal techniek naar business-impact: wat is de kans, wat is de schade en wat betekent dit voor continu

Voorbeeldantwoord

Ik zie security als randvoorwaarde voor groei, niet als rem. Daarom zoek ik proportionele controls die risico reduceren zonder processen onnodig stroperig te maken. Ik betrek stakeholders vroeg, zodat security is ingebouwd in plaats van achteraf opgelegd. Als iets echt niet kan, kom ik met een veiliger alternatief in plaats van alleen 'nee'. In een Randstad-scale-up of Amsterdam-Utrecht omgeving is dat vaak cruciaal, omdat snelheid en governance tegelijk moeten landen.

Voorbeeldantwoord

Ik zag anomalisch outbound verkeer van een server in de SIEM dat paste bij command-and-control gedrag. Ik heb de host direct geïsoleerd om verdere schade te beperken, daarna onderzocht ik de logs en bevestigde ik dat een gecompromitteerde credential was misbruikt. Vervolgens heb ik de credential geroteerd, de foothold verwijderd en de aanval teruggeleid naar een phishingmail. Tot slot heb ik de lessons learned vastgelegd en geholpen om e-mailfiltering en awareness te verbeteren.

De CIA-triad staat voor Confidentiality, Integrity en Availability. Confidentiality betekent dat data alleen toegankelijk is voor geautoriseerde personen, Integrity betekent dat data juist en onaangetast blijft, en Availability betekent dat systemen en data beschikbaar zijn wanneer dat nodig is. In de praktijk kun je bijna elk security-control of incident hierlangs uitleggen.

Symmetric encryption gebruikt dezelfde sleutel om te versleutelen en te ontsleutelen; dat is snel, maar sleuteluitwisseling moet veilig gebeuren. Asymmetric encryption gebruikt een public key en private key: met de public key kun je versleutelen, met de private key ontsleutelen. In veel systemen worden beide gecombineerd, bijvoorbeeld om eerst veilig een symmetric sessiesleutel uit te wisselen.

Een SIEM verzamelt logs en events uit verschillende bronnen en correleert die tot bruikbare signalen en alerts. Daardoor zie je patronen die in losse systemen onzichtbaar blijven. Voor een analist is het ook belangrijk voor onderzoek, rapportage en audit-trails, zeker in organisaties waar governance en AVG-compliance serieus worden genomen.

Een vulnerability is een zwakte, een threat is iets of iemand die die zwakte kan misbruiken, en risk is de kans maal impact van zo'n misbruik. Risk is dus breder dan alleen de technische finding. Daarom prioriteer je niet op aantallen findings, maar op blootstelling, exploitability en bedrijfsimpact.

Least privilege betekent dat gebruikers en systemen alleen de rechten krijgen die ze echt nodig hebben. Dat verkleint de schade als een account wordt misbruikt en beperkt de blast radius bij een incident. Het is een van de meest effectieve basiscontrols, zeker als je het combineert met periodieke access reviews en strakke roltoewijzing.

Ik analyseer eerst de headers, links en inhoud om te bevestigen of het om phishing gaat. Daarna blokkeer ik de sender, domeinen en URL's bij gateway of mailfilter, en ik check wie geklikt heeft via logs of security tooling. Als er accounts geraakt zijn, reset ik credentials en ik communiceer direct helder naar betrokkenen en de rest van de organisatie. Tot slot gebruik ik het incident als input voor awareness en verbeteringen in detectie.

Ik verifieer de finding gecontroleerd, zodat ik zeker weet dat het geen foutpositief is en ik geen schade veroorzaak. Daarna documenteer ik de risico's concreet: wat staat bloot, wat kan een aanvaller doen en wat is de impact. Ik escaleer het met een duidelijke remediation-optie en volg op totdat de fix is doorgevoerd. In een goed georganiseerde omgeving wil je ook dat dit in je vulnerability management-proces terugkomt, niet als los incident blijft hangen.

Ik kies dan voor containment als de signalen wijzen op mogelijke verdere verspreiding, bijvoorbeeld door een segment of host tijdelijk te isoleren. Ik weeg de business-impact van die maatregel af tegen het risico van afwachten. Vervolgens leg ik vast waarom ik die beslissing heb genomen, zodat die later zorgvuldig geëvalueerd kan worden. Snelheid is dan belangrijk, maar onderbouwde snelheid is beter.

Ik begin met prioriteren op risico in plaats van op losse findings. Daarna zet ik een proces neer voor patching, monitoring en access reviews met heldere SLA's en eigenaarschap. Ik rapporteer voortgang in taal die management begrijpt, zodat security niet alleen technisch maar ook bestuurlijk landt. In veel Nederlandse organisaties helpt het om verbeteringen te koppelen aan compliance, bijvoorbeeld AVG, interne audit of sector-specifieke eisen.