- Zero Trust kijkt niet of een dreiging een naam heeft. Het kijkt of de toegang te rechtvaardigen is, en blokkeert daarmee hele categorieën aanvallen, bekend of niet, by design.
- Het bewijs: een aanvaller liep bij meer dan 700 organisaties naar binnen, waaronder Cloudflare en Palo Alto Networks, met een gestolen maar geldig logintoken. Er is nooit een CVE, malware of indicator of compromise voor gepubliceerd.
- Drie mechanismen maken dat mogelijk: Protect Surfaces, least-privilege toegang gedefinieerd via de Kipling Method, en volledige Layer 7-inspectie van elk verzoek.
- CVE-meldingen bij de National Vulnerability Database van NIST groeiden met 263% tussen 2020 en 2025. Elke gepubliceerde kwetsbaarheid achternalopen is geen strategie die dit tempo kan bijhouden.
De meeste securitytools kunnen een dreiging pas stoppen zodra die een naam heeft: een CVE, een hash, een bekend malicious domein. Zero Trust werkt anders. Het kijkt nooit of een dreiging al gepubliceerd is. Het kijkt of de toegang te rechtvaardigen is, en dat is precies hoe het aanvallen stopt die nog niemand heeft beschreven, waaronder een aanval waarbij iemand met een gestolen maar geldig logintoken zomaar bij meer dan 700 bedrijven naar binnen liep, waaronder Cloudflare en Palo Alto Networks, zonder ook maar een alarm te triggeren.
Drie soorten dreigingen, één blinde vlek
Dreigingstype 01 · Bekend
Bekende dreigingen
Gepubliceerde kwetsbaarheden met CVE-nummers, gedocumenteerde exploittechnieken, bekende indicators of compromise. Leveranciers patchen ze. SOC’s jagen erop. Ze vormen de minderheid van wat een organisatie daadwerkelijk raakt.
Traditionele security handelt dit af, langzaam.
Dreigingstype 02 · Onbekend
Onbekende dreigingen
Kwetsbaarheden die bestaan maar nog niet zijn gepubliceerd. Technieken die al actief worden ingezet voordat onderzoekers ze ooit documenteren. De gemiddelde dwell time loopt op tot ruim 24 dagen voordat iemand weet dat ze er zijn.
IOC-gebaseerde security is hier blind.
Dreigingstype 03 · Unknown unknowns
Unknown unknowns
Zero-days in handen van natiestaten en georganiseerde misdaad. Technieken die nog niemand heeft gezien. Geen CVE. Geen hash. Geen domein om te blokkeren. Natiestaten hebben geen enkele reden om hun waardevolste tools te publiceren.
IOC-gebaseerde security weet niet eens dat ze moet zoeken.
In het kort
Het fundamentele probleem
CVE-meldingen bij de National Vulnerability Database van NIST stegen met 263% tussen 2020 en 2025, alleen al in 2024 werden er meer dan 40.000 gepubliceerd, en 2025 ligt nog hoger. NIST verrijkte in 2025 een recordaantal van 42.000 CVE’s en kon het tempo nog steeds niet bijbenen. Elke kwetsbaarheid achternalopen is geen securitystrategie. Het is dweilen met de kraan open, en die kraan draait elk jaar harder.
Waarom “bekend” misleidend is
Het publiceren van een CVE maakt een kwetsbaarheid bekend bij verdedigers, en bij aanvallers. De gemiddelde dwell time voor bekende kwetsbaarheden loopt op tot ruim 24 dagen. Bij onbekende kwetsbaarheden kunnen verdedigers alleen gissen. Zelfs als er een patch bestaat, is de kloof tussen publicatie en implementatie een venster dat aanvallers systematisch misbruiken.
Het andere antwoord van Zero Trust
In plaats van dreigingen achterna te jagen, elimineert Zero Trust de voorwaarden die ze effectief maken. Definieer wat is toegestaan. Blokkeer de rest, ongeacht of de dreiging een naam heeft. Protect Surfaces, least-privilege toegang via de Kipling Method, en volledige verkeersinspectie zijn de drie mechanismen die dit operationeel maken.
Het bewijs uit 2025
De SalesLoft Drift-breach raakte 700+ organisaties, waaronder Cloudflare, Palo Alto Networks en Zscaler, met geldige OAuth-tokens vanaf onverwachte IP-ranges. Er was geen CVE en geen IOC. Alleen vertrouwde credentials waarmee dingen werden gedaan die Zero Trust-beleid nooit had toegestaan. De aanval was niet geavanceerd. De verdediging was niet strak genoeg.
“Je moet het grootste deel van je tijd en budget besteden aan een strategie die aanvallers er in de eerste plaats buiten probeert te houden. En die strategie is Zero Trust.”
- Lieuwe Jan Koning, CTO & Co-founder ON2IT
I. Waarom bekende dreigingen achternalopen een verliesstrategie is
CVE-meldingen bij de National Vulnerability Database van NIST groeiden met 263% tussen 2020 en 2025, alleen al in 2024 werden er meer dan 40.000 gepubliceerd. NIST verrijkte in 2025 een recordaantal van 42.000 en kon het tempo nog steeds niet bijbenen. De meldingen in Q1 2026 liggen bijna een derde hoger dan in Q1 2025. De kwetsbaarhedenpijplijn vertraagt niet. Hij versnelt.
Het probleem is structureel. De term “bekende kwetsbaarheid” suggereert controle, maar in de praktijk blijft een gepubliceerde CVE een actieve dreiging in de infrastructuur van een organisatie totdat patches zijn uitgerold en alle tegenmaatregelen zijn toegepast. In spraakmakende gevallen zien onderzoekers actieve exploitatie van een kwetsbaarheid weken of maanden voordat de CVE zelfs maar wordt gepubliceerd. En zodra een CVE is gepubliceerd, ontwikkelen nieuwe exploittechnieken zich sneller dan de eerste remediatiemaatregelen kunnen bijbenen.
Dan zijn er nog de unknown unknowns: kwetsbaarheden die natiestaten en georganiseerde criminele groepen actief ontwikkelen, gebruiken en verhandelen op dark web-markten, zonder enige reden om ze te publiceren. Hiervoor bestaat geen CVE, geen hash, geen domeinnaam om te blokkeren. Geen enkele tool die op indicators of compromise draait, kan detecteren wat nog nooit is beschreven.
De conclusie is ongemakkelijk maar onontkoombaar: een organisatie kan zich niet naar veiligheid patchen. Het aantal kwetsbaarheden is te hoog, het exploitatievenster te snel, en het onbekende dreigingslandschap te breed. Een strategie die individuele dreigingen achternaloopt, loopt per definitie altijd een stap achter.
Signaal
AI-tools die zoeken naar gedragsmatige indicators of compromise pakken het algemener aan, maar volgen hetzelfde conceptuele model. Ze jagen op indringers die al in huis zijn. Zero Trust probeert ze buiten te houden.
II. De andere aanpak van Zero Trust: drie kernconcepten
Zero Trust vraagt niet “welke dreigingen bestaan er?” Het vraagt “welke toegang is expliciet gerechtvaardigd?” Impliciet vertrouwen uit het netwerk halen en precies definiëren wat is toegestaan, elimineert hele klassen bekende én onbekende dreigingen in één architecturale beslissing, zonder dat je hun namen hoeft te kennen.
De drie oorspronkelijke concepten van Kindervag, ongewijzigd sinds 2010, zijn het mechanisme dat dit mogelijk maakt.
Protect Surfaces: verdedig van binnenuit
In plaats van te proberen het volledige attack surface te beschermen, wat in de praktijk neerkomt op het hele internet en elke dag groter wordt, definieert Zero Trust Protect Surfaces: kleine, afgebakende, verdedigbare segmenten gebouwd rond de meest kritieke DAAS-elementen van een organisatie (Data, Applications, Assets, Services). De Protect Surface is de omkering van het attack surface. Door de verdediging te concentreren rond wat er het meest toe doet, wordt de blast radius van een breach structureel begrensd in plaats van organisatiebreed.
Least-privilege toegang: de Kipling Method
Alleen de toegang die nodig is, alleen op het moment dat het nodig is, alleen van waar het zou moeten komen. Zero Trust-beleid definieert expliciete toegangsvoorwaarden voor elke Protect Surface via de Kipling Method: Who, What, When, Where, Why en How. Toegang die niet alle zes vragen kan beantwoorden, is geen toegang die toegestaan zou moeten worden. Identiteit is één element, maar de WHERE en de HOW zijn net zo niet-onderhandelbaar. Een geldige credential vanaf de verkeerde locatie is geen geautoriseerde toegang. Het is een aanval.
Inspecteer en log al het verkeer: verifieer, neem nooit aan
Zero Trust vertrouwt verkeer niet omdat het een perimetercheck is gepasseerd. Al het verkeer van en naar een Protect Surface wordt gelogd en geïnspecteerd via Layer 7. Dit is geen passieve, compliance-gedreven logoefening. Het is het mechanisme dat in real time valideert dat het beleid werkt zoals bedoeld, en het geeft SOC-analisten de context om afwijkingen te detecteren die geen enkele IOC ooit zou blootleggen: een bekende integratie die zich anders gedraagt dan zijn vastgestelde baseline.
Signaal
Zero Trust is fundamenteel gebaseerd op het bereiken van de optimale en meest algemene preventie van databreaches, door bescherming van binnenuit te ontwerpen, niet door dreigingen van buitenaf te catalogiseren.
III. De SalesLoft Drift-case: wat er echt gebeurde
In augustus 2025 compromitteerde een threat actor, getrackt als UNC6395, OAuth-tokens van de Drift-chatbotintegratie van SalesLoft, een tool die duizenden organisaties gebruiken om hun Salesforce-CRM te koppelen aan hun salesworkflows. Met die tokens kreeg de aanvaller in stilte toegang tot Salesforce-instances bij meer dan 700 organisaties, verspreid over een periode van tien dagen. Hij exfiltreerde accounts, contacten, cases en opportunities, en doorzocht die data vervolgens op AWS-keys, Snowflake-credentials en andere secrets om verder te pivoteren.
Er was geen CVE. Geen nieuwe exploit. Geen malware ingezet. De aanvaller gebruikte geldige OAuth-tokens voor legitiem ogende API-verzoeken aan de Salesforce Bulk API. Geen enkele IOC-gebaseerde tool zou zijn afgegaan op verkeer dat, naar elke technische maatstaf, geautoriseerd was.
De aanvalsketen ontvouwde zich over maanden, en sloeg toen snel toe.
Maart–juni 2025 · Eerste compromittering
Toegang tot GitHub-repositories van SalesLoft. De aanvaller kreeg toegang tot de ontwikkelinfrastructuur van SalesLoft, downloadde coderepositories en zette een gastgebruikersaccount op. Vervolgens werd de AWS-omgeving van de Drift-applicatie benaderd en werden OAuth-tokens voor honderden klantintegraties buitgemaakt. Er was geen Zero Trust-control op de GitHub-omgeving van een externe leverancier: een supply chain-compromittering buiten de perimeter van elke individuele organisatie, maar binnen haar trust boundary.
8–18 augustus 2025 · Actieve exploitatie
Gestolen tokens gebruikt vanuit DigitalOcean IP-ranges. De actor maakte verbinding met de Salesforce-instances van klanten met de gestolen OAuth-tokens, maar vanuit DigitalOcean-infrastructuur. De Drift-integratie maakte altijd verbinding vanuit bekende AWS IP-ranges. Dat was het signaal. De Salesforce Bulk API werd gebruikt om systematisch Account-, Contact-, Case- en Opportunity-records te exporteren bij honderden organisaties. Er bestond geen IP-allowlisting op de Salesforce API-integratie: de WHERE-vraag uit de Kipling Method werd nooit gesteld, en nooit afgedwongen.
20–23 augustus 2025 · Ontdekking en indamming
Tokens ingetrokken, integratie verwijderd uit AppExchange. Salesforce en SalesLoft trokken alle actieve Drift OAuth-tokens in. De Drift-applicatie werd verwijderd uit de Salesforce AppExchange. Mandiant werd ingeschakeld voor het onderzoek. Tegen de tijd dat getroffen organisaties werden genoïntificeerd, had de aanvaller tot tien dagen in hun Salesforce-data gezeten. Hier komen CSIRT- en SOC-teams in beeld, maar de schade was al aangericht: indamming achteraf is precies wat Kipling-gebaseerde preventie overbodig probeert te maken.
Doorlopend · Credential harvesting
Geëxfiltreerde data doorzocht op AWS-keys, Snowflake-tokens en VPN-credentials. Het primaire doel van de aanvaller was niet de Salesforce-data zelf, maar de credentials die daarin verstopt zaten: AWS-toegangssleutels, Snowflake-tokens, interne wachtwoorden. De Salesforce-data was het pivotpunt naar diepere infrastructuur bij honderden slachtofferomgevingen. De breach was een supply chain-aanval met een blast radius die het volledige klantenbestand van de getroffen leveranciers besloeg. Geen enkele datasegmentatie beperkte wat de aanvaller per query kon ophalen; een Protect Surface-model had begrensd wat een enkele integratie kon benaderen.
Het cruciale signaal, uit het onderzoek van Mandiant
Leveranciersverbindingen zijn bijzonder eenvoudig te baselinen dankzij hun consistentie, waardoor afwijkingen in IP-range voor organisaties met goede monitoring zeer verdacht en makkelijk te detecteren zijn. De organisaties die die monitoring hadden, maakten een kans. De organisaties die geldige tokens impliciet vertrouwden, hadden die kans niet.
IV. Waarom mag dit verkeer eigenlijk door? De Kipling-vraag
De belangrijkste vraag over de SalesLoft Drift-breach is dezelfde vraag die werd gesteld over Log4j, over Snowflake, over elke grote supply chain-compromittering van het afgelopen decennium: waarom mocht dit verkeer er in de eerste plaats doorheen?
Als de Kipling Method was toegepast op de Drift-naar-Salesforce-integratie, had dat het volgende toegangsbeleid opgeleverd, en de kloof direct blootgelegd.
| Vraag | Gedefinieerd beleid | Wat de aanvaller deed | ZT-oordeel |
|---|---|---|---|
| Who | SalesLoft Drift service-account, OAuth-token | Geldig gestolen OAuth-token | Token geldig, zou doorgaan zonder aanvullende controls |
| What | Alleen leestoegang tot CRM-syncvelden | Bulk API-export van alle Accounts, Contacts, Cases, Opportunities | Fail: bulk export viel nooit binnen de scope van een sync-integratie |
| Where | Vanaf de bekende AWS IP-ranges van SalesLoft | Vanuit DigitalOcean-infrastructuur (208.68.36.90) | Fail: IP-herkomst schond het gedefinieerde beleid, verbinding had direct geblokkeerd moeten worden |
| When | Tijdens business sync windows | Continue toegang, ook buiten kantooruren | Fail: toegangspatroon buiten het gedefinieerde operationele venster |
| Why | CRM-datasynchronisatie | Credential harvesting en data-exfiltratie | Niet detecteerbaar bij het definiëren van beleid, wel opgevangen door WHERE en WHAT |
| How | Standaard Salesforce REST API, gedefinieerde veldscope | Salesforce Bulk API met Python/aiohttp user agent | Fail: Bulk API was nooit geautoriseerd, een ander mechanisme dan het gedefinieerde beleid |
Drie van de zes Kipling-vragen, What, Where en How, hadden de aanval gemarkeerd of geblokkeerd op het moment van verbinden. Alleen de WHERE-vraag had al elke sessie gestopt die de aanvaller opzette. De Drift-integratie kwam altijd vanaf AWS. Toen die vanuit DigitalOcean kwam, was die ene afwijking van het gedefinieerde beleid het volledige attack surface dat gesloten moest worden.
Dit is het kernargument tegen IOC-gebaseerde security als primaire verdediging. Geen enkele IOC bestempelde DigitalOcean IP 208.68.36.90 als malicious vóór de aanval. Geen hash, geen domein, geen user-agent string stond op een blocklist. Het enige wat dit had gestopt, was een beleid dat zei: deze integratie mag alleen vanaf deze IP-ranges, en al de rest is niet toegestaan.
Signaal
Het is moeilijk voor te stellen dat, bij het gebruik van Kipling om beleid voor deze integratie te definiëren, verbindingen vanaf willekeurige internetinfrastructuur zouden zijn toegestaan. Kipling dwingt het vakmanschap af om effectief securitybeleid te schrijven, implementeren en onderhouden.
V. Protect Surfaces: waarom de blast radius 700 organisaties was
Zelfs als de initiële tokencompromittering niet te voorkomen was geweest (de aanvaller zat in de leveranciersomgeving van SalesLoft, buiten de controle van elke individuele organisatie), had het Zero Trust Protect Surface-model fundamenteel veranderd wat de aanvaller met die tokens kon doen.
De blast radius van de SalesLoft-breach was onbegrensd binnen de Salesforce-omgeving van elk slachtoffer, omdat de Drift-integratie toegang had gekregen tot het volledige Salesforce-datamodel. Accounts, Contacts, Cases, Opportunities, custom objects: allemaal bereikbaar met één enkel OAuth-token.
Een Protect Surface-aanpak voor de Salesforce-integratie had precies gedefinieerd welke objecten de Drift-integratie nodig had voor het beoogde doel, CRM-sync, en de toegang tot al de rest geblokkeerd. Een aanvaller met een gestolen Drift-token had een begrensd, minimaal toegangsoppervlak aangetroffen in plaats van een open datawarehouse.
| Zonder Zero Trust | Met Zero Trust Protect Surfaces |
|---|---|
| OAuth-token geeft standaard toegang tot alle Salesforce-objecten | Token beperkt tot alleen de objecten die de integratie nodig heeft voor het gedefinieerde doel |
| Verbinding toegestaan vanaf elk IP dat een geldig token toont | Verbinding alleen toegestaan vanuit de opgegeven infrastructuur-IP-ranges van de leverancier |
| Bulk API-toegang beschikbaar voor elke geauthenticeerde integratie | Bulk API-toegang expliciet geweigerd tenzij opgenomen in het beleid; sync vereist geen bulk-export |
| Integratieactiviteit niet gebaselined; elk querypatroon is normaal | Baseline vastgesteld; afwijking in volume, timing of data-toegang triggert een SOC-alert |
| Blast radius: het volledige Salesforce-datamodel over alle objecten | Blast radius: alleen de objecten expliciet gescoped in het Protect Surface-beleid |
Signaal
Zelfs wanneer aanvallers erin slagen een eerste voet aan de grond te krijgen, zoals hier via de eigen infrastructuur van de leverancier, bieden gesegmenteerde Protect Surfaces een tweede beschermingslaag tegen dataverzameling en exfiltratie. De Kipling Method had de aanval gestopt bij de WHERE-check. Het Protect Surface-model had de schade beperkt als dat niet was gelukt.
De cijfers achter het argument
Mandiant · Google GTIG · 2025
Cloudflare Incident Report · 2025
NIST NVD · Analyse
NIST NVD · april 2026
Kindervag · Kipling Method
ON2IT-analyse · 2025
De strategie die werkt tegen wat je niet weet
De SalesLoft Drift-breach was geen geavanceerde aanval. Het was een supply chain-compromittering, gevolgd door het gebruik van geldige credentials vanaf een net iets andere IP-range. De organisaties die niet werden geraakt, of die de inbraak snel detecteerden, waren de organisaties die twee dingen hadden gedaan: hun externe integraties gedefinieerd als Protect Surfaces met expliciet toegangsbeleid, en het verbindingsgedrag van leveranciers gebaselined, zodat afwijkingen direct zichtbaar waren.
Dat is Zero Trust. Geen product. Geen leverancier. Een strategie die impliciet vertrouwen, in tokens, in integraties, in verkeer dat er legitiem uitziet, vervangt door expliciete, beleidsgedefinieerde, continu geverifieerde toegang. Het maakt niet uit of de dreiging een CVE-nummer heeft. Wat telt, is of het verkeer zes vragen kan beantwoorden: Who, What, When, Where, Why en How.
De securityindustrie blijft meer CVE’s, meer IOC’s en meer threat intelligence-feeds produceren. Dat werk is waardevol, en onvoldoende. De organisaties die aantoonbaar veerkrachtiger zijn dan hun branchegenoten, zijn de organisaties die zijn gestopt met het proberen te catalogiseren van elke dreiging, en zijn begonnen precies te definiëren wat is toegestaan. Al de rest wordt standaard geblokkeerd.
Een organisatie kan niet alle dreigingen zien aankomen. Ze kan wel definiëren wat is toegestaan. Zero Trust is de strategie die die definitie het werk laat doen.
Laatste signaal
Zero Trust gaat niet over het kennen van elke dreiging. Het gaat over precies weten wat toegestaan zou moeten zijn, en al de rest afwijzen, ongeacht of je er een naam aan kunt geven.
Neem contact op
Vind je WHERE-gat voordat een aanvaller dat doet.
Een kort gesprek is genoeg om te zien of je leveranciersintegraties een Kipling-check doorstaan.
Praat met ON2ITBronnen
- Mandiant / Google GTIG. Onderzoek naar de SalesLoft Drift-breach, 2025.
- Cloudflare. Incidentrapport over de SalesLoft Drift supply chain-compromittering, 2025.
- NIST. National Vulnerability Database, CVE-meldingsvolumes, april 2026.
- Kindervag, J. Kipling Method en Protect Surface-framework, Zero Trust.