Hoe helpt anomaliedetectie in back-ups MSP's om ransomware op te sporen?

Waarom bewijst een geslaagde back-uptaak niet dat de back-up schoon is?

Omdat de taak controleert of data is gekopieerd, niet wat die data bevat. Heeft ransomware om 01.00 uur een fileserver versleuteld, dan maakt de taak van 02.00 uur trouw een back-up van duizenden onleesbare bestanden en meldt hij toch succes.

Stel je een MSP-technicus voor op maandagochtend. Het dashboard staat groen bij veertig klanttenants. Bij één klant is de fileserver 's nachts begonnen met versleutelen. Elke nieuwe back-up schuift het laatste schone herstelpunt stilletjes verder terug, richting het einde van de bewaartermijn. Als de losgeldbrief verschijnt, zijn de schone kopieën misschien bijna verlopen.

Daar richt anomaliedetectie zich op. Het staat naast endpointtools zoals een EDR-platform en vervangt die niet: EDR bewaakt gedrag op het endpoint, terwijl detectie op de back-uplaag kijkt hoe de data eruitziet als die binnenkomt.

Waar let anomaliedetectie in back-ups precies op?

Het leert hoe de back-ups van elk systeem er normaal uitzien en meldt afwijkingen die passen bij de manier waarop versleuteling data verandert. Het hoeft geen specifieke ransomwarefamilie te herkennen.

Signalen die ransomware in back-updata verraden

• Pieken in het aantal wijzigingen. Veel meer bestanden gewijzigd sinds de vorige back-up dan de dagelijkse baseline.
• Entropie en compressie. Versleutelde data ziet er willekeurig uit (hoge entropie) en comprimeert daardoor nauwelijks. Een plotselinge daling van de compressie- of ontdubbelingsratio is een klassiek teken.
• Extensies en hernoemingen. Veel bestanden die dezelfde nieuwe extensie krijgen, of massaal hernoemde bestanden in korte tijd.
• Losgeldbrieven. Hetzelfde nieuwe tekstbestand dat in veel mappen verschijnt.
• Sprongen in grootte. Een back-up die veel groter is of veel langer duurt dan normaal voor dat systeem.

Dit komt overeen met de detectierichtlijn die MITRE ATT&CK geeft voor T1486 Data Encrypted for Impact: "veel schrijfacties op bestanden met ongebruikelijke extensies, gevolgd door het aanmaken van een losgeldbrief, aanpassingen in het register of het verwijderen van shadow copies". Aanbieders gebruiken statistische modellen, machine learning of simpele drempelwaarden. De signalen zijn dezelfde.

Waarom hebben MSP's detectie op de back-uplaag nodig?

Omdat MSP's het risico in beide richtingen bundelen. Eén gemiste besmetting kan de herstelpunten van een klant vergiftigen, en de tooling van de MSP zelf is een aantrekkelijke route naar veel klanten tegelijk.

Aanvallers richten zich bewust op herstel. M-Trends 2026 van Mandiant beschrijft ransomwaregroepen die opslaglocaties in kaart brengen, back-upobjecten verwijderen, virtualisatiehosts loskoppelen van back-upplatforms en lokale herstelpunten versleutelen. MITRE noemt dit T1490 Inhibit System Recovery. In het zorgonderzoek van Sophos uit 2024 zei 95% van de organisaties die door ransomware waren getroffen dat aanvallers hun back-ups probeerden aan te tasten.

Ook het herstel vanuit back-ups loopt terug. Volgens The State of Ransomware 2025 van Sophos, gebaseerd op 3.400 organisaties die door ransomware zijn getroffen, lag het herstel van data via back-ups op het laagste niveau in zes jaar. Misbruikte kwetsbaarheden waren met 32% van de aanvallen de meest voorkomende oorzaak. De ENISA Threat Landscape 2025 noemt ransomware in de EU nog steeds "het meest impactvolle cybercrime-instrument".

EDR is nodig, maar niet genoeg. Aanvallers gebruiken legitieme beheertools, bewegen zich door apparaten zonder agent en proberen agents uit te schakelen. Een controle op back-updata draait op aparte infrastructuur en geeft je een onafhankelijk signaal.

Wat levert snellere detectie op?

Meer schone herstelpunten en minder dataverlies. Elke back-upcyclus die versleutelde data vastlegt, schuift de laatste goede kopie verder het verleden in, dichter naar het einde van de bewaartermijn.

Snellere detectie verlaagt ook de kosten. Het Cost of a Data Breach Report 2026 van IBM noemt USD 4,99 miljoen als wereldwijd gemiddelde van een datalek. Organisaties die uitgebreid gebruikmaken van beveiligings-AI en automatisering, bespaarden volgens het rapport gemiddeld USD 1,93 miljoen ten opzichte van organisaties die dat niet doen.

Voor klanten met wettelijke verplichtingen speelt er ook compliance. NIS2 noemt MSP's en MSSP's (aanbieders van beheerde beveiligingsdiensten) in bijlage I. NIS2-artikel 21(2) vraagt om incidentafhandeling (b) en om bedrijfscontinuïteit, zoals back-upbeheer, disaster recovery en crisisbeheer (c). NIS2-artikel 23 bepaalt de termijnen zodra een incident significant is: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Logs van meldingen en acties helpen je om die termijnen met feiten te halen. Lees ook ons overzicht van artikel 21.

Hoe zet je anomaliedetectie voor back-ups in? Een plan in vijf stappen voor MSP's

Eerst een baseline, dan meldingen koppelen aan bestaande workflows, de reactie in een draaiboek vastleggen, de kopieën beschermen en elk kwartaal evalueren.

1. Maak een baseline per tenant. Laat het normale patroon per klant enkele weken vastleggen voordat je op meldingen handelt. Maak na migraties of grote wijzigingen een nieuwe baseline.
2. Koppel meldingen aan RMM en PSA. Stuur back-upmeldingen naar het dashboard en de ticketing die je technici al gebruiken, met niveaus voor de ernst: een entropiepiek op een fileserver schakelt 's nachts iemand in, een lichte afwijking wacht tot de ochtend.
3. Leg de reactie vast in een draaiboek. Bepaal per type melding wat er gebeurt: het bronsysteem isoleren, het opschonen van bewaartermijnen pauzeren zodat schone herstelpunten niet verlopen, de laatste schone snapshot vinden en controleren, en de klant informeren.
4. Houd kopieën onveranderbaar en off-site. Detectie beperkt de schade, onveranderbaarheid begrenst haar. Volg de 3-2-1-1-0-regel met een onveranderbare kopie en een air-gapped kopie in datacenters in de EU.
5. Stem elk kwartaal af en documenteer. Bekijk de valse meldingen, pas drempelwaarden aan en archiveer de logs van meldingen en acties per klant als bewijs voor audits en verzekeraars.

Waar let je op bij back-upsoftware met anomaliemeldingen?

• Een baseline per tenant, in plaats van één algemene drempelwaarde
• Meldingen die de getroffen herstelpunten noemen, niet alleen de taak
• Levering via API of webhook in je RMM of PSA
• De mogelijkheid om een herstelpunt in isolatie te scannen of op te starten voordat je het terugzet
• Onveranderbare opslag die een melding, of een aanvaller, niet kan uitschakelen

EDR, anomaliedetectie in back-ups of onveranderbare opslag: welke laag vangt wat op?

Geen enkele laag vervangt een andere. EDR verkort de speelruimte van de aanvaller. Anomaliedetectie in back-ups vangt op wat doorglipt en beschermt herstelpunten. Onveranderbaarheid zorgt dat er een schone kopie bestaat, ook als beide missen.

Over het controleren van je back-up lees je meer in hoe weet je of je back-up echt werkt. Voor het bredere beeld van AI in back-up zie je hoe AI je back-up kan helpen.

Wat je nu kunt doen

Voor een MSP is de gevaarlijkste back-up die ene die er goed uitziet. Anomaliedetectie maakt van de back-uplaag een extra sensor, maar alleen als je een baseline per klant maakt, de meldingen in je eigen workflow opneemt en onveranderbare kopieën en een vast draaiboek hebt.

Mindtime geeft MSP's een basis om op te bouwen. We controleren elke back-uptaak automatisch, scannen back-ups op malware en bewaken de dienst 24/7. Data staat alleen in onze eigen Tier III-datacenters in Nederland en Duitsland, als onveranderbare kopieën (Object Lock) plus een air-gapped kopie. Je kunt VM's direct opstarten in een geïsoleerde herstelomgeving om een herstelpunt te controleren voordat het productie raakt. De multi-tenant console, REST API's en hooks voor RMM/PSA en betalen naar gebruik passen bij je bestaande stack. Het Mindtime EDR-platform dekt de endpointlaag, waarbij je eigen team de dienst draait. Lees meer in onveranderbare back-up voor MSP's.

Wil je zien hoe het past bij je dienstenpakket? Plan een gratis demo van 15 minuten of bekijk ons partnerprogramma.

Dit artikel is algemene informatie, geen juridisch advies.