Vrijdagavond, 23:40. Een medewerker van finance logt in vanuit een land waar jullie geen klanten hebben. Tien minuten later staat er een doorstuurregel in haar mailbox. Zaterdag gaan er drie e-mails naar leveranciers met een nieuw rekeningnummer. Maandagochtend belt de eerste leverancier met de vraag waarom de betaling niet is aangekomen.
Microsoft Defender heeft die inlog gezien. Er stond een melding klaar. Alleen keek er niemand.
Wij zien dit patroon vaker dan je zou denken. De meeste organisaties die wij spreken hebben hun basis op orde: Microsoft 365, MFA, Defender op de laptops. De tools werken. Wat ontbreekt is iemand die de signalen bij elkaar legt en ingrijpt. Precies daar komen SIEM en SOC in beeld.
SIEM en SOC: wat is het verschil?
De termen worden vaak door elkaar gebruikt, maar ze zijn niet hetzelfde.
Een SIEM (Security Information and Event Management) is technologie. Het verzamelt logs uit je hele omgeving, legt verbanden en maakt meldingen aan als er een verdacht patroon ontstaat. Denk aan een inlog uit het buitenland, gevolgd door een nieuwe mailregel en een grote download uit SharePoint.
Een SOC (Security Operations Center) is het team dat met die technologie werkt. Specialisten beoordelen meldingen, bepalen de impact en nemen actie: een account blokkeren, een sessie intrekken, een apparaat isoleren.
Kort gezegd: de SIEM ziet het, het SOC doet er iets mee. Een SIEM zonder SOC is een alarmsysteem dat afgaat in een leeg gebouw.
Wat doen Microsoft Sentinel en Defender XDR?
In de Microsoft-wereld bestaat het fundament uit twee onderdelen.
Microsoft Defender XDR beschermt de onderdelen die je dagelijks gebruikt: endpoints, e-mail, identiteiten en cloud-apps. Het koppelt signalen uit die bronnen aan elkaar tot één incident.
Microsoft Sentinel is de SIEM. Het haalt daarnaast logs binnen van bronnen buiten Microsoft, zoals je firewall, netwerk of andere SaaS-applicaties. Zo krijg je één totaalbeeld.
Microsoft brengt beide samen in de Defender-portal. Na 31 maart 2027 werkt Sentinel alleen nog daar; de Azure-portal verdwijnt voor Sentinel. Gebruik je Sentinel nu nog in de Azure-portal, plan de overstap dan nu. Controleer je analyseregels, automatiseringen en rechten, zodat je niet in maart tegen verrassingen aanloopt.
Meer logs is niet automatisch meer veiligheid
Een veelgemaakte fout is alles binnenhalen. Elke server, elke firewallregel, elk proxylog. De kosten lopen op en het SOC verdrinkt in ruis.
Wat in de praktijk werkt is beginnen bij de bronnen waar aanvallen starten: identiteiten, e-mail en endpoints. Die data gaat in de analytics-laag van Sentinel, waar detectieregels er realtime op draaien.
Volumineuze logs die je vooral nodig hebt voor onderzoek of compliance zet je in de data lake-laag. Die is veel goedkoper en bewaart gegevens tot 12 jaar. Je kunt er later nog steeds in zoeken als het nodig is. Zo betaal je voor detectie waar het telt, en heb je het archief als achtervangnet.
Wanneer is een SOC zinvol voor jouw organisatie?
Niet elke organisatie heeft een eigen SOC nodig. Wel heeft bijna elke organisatie iemand nodig die kijkt. Vier signalen dat het tijd is:
- Je valt onder de Cyberbeveiligingswet, of je klanten stellen eisen aan je beveiliging
- Je hebt geen IT-team dat ’s avonds en in het weekend meldingen opvolgt
- Je werkt met gevoelige klantgegevens, financiële stromen of persoonsgegevens
- Je hebt Defender wel, maar niemand weet precies wat er met de meldingen gebeurt
Een eigen SOC opzetten vraagt om specialisten, ploegendiensten en continue training. Voor de meeste MKB-organisaties is dat niet haalbaar of niet rendabel. SOC as a Service biedt dezelfde 24/7 bewaking, zonder dat je die complexiteit zelf hoeft te dragen.
Zo pak je het aan in vier stappen
- Breng je basis in kaart. Welke Microsoft-licenties heb je, welke Defender-onderdelen staan aan en wat wordt er nu al gelogd?
- Kies je bronnen bewust. Begin bij identiteit, e-mail en endpoints. Voeg andere bronnen toe als ze een duidelijk detectiedoel hebben.
- Spreek opvolging af. Leg vast wie mag ingrijpen, wanneer de directie wordt geïnformeerd en hoe je binnen 24 uur een melding doet als dat nodig is.
- Meet en verbeter. Bekijk elke maand welke meldingen terecht waren, welke ruis waren en waar je detectie kunt aanscherpen.
Security gaat niet om óf je geraakt wordt, maar om hoe snel je het ziet en hoe goed je voorbereid bent. Met een SIEM en een SOC die samenwerken, ben je altijd in control. Ook om 23:40 op vrijdagavond.
Benieuwd of SOC as a Service bij jouw organisatie past? Plan een adviesgesprek.
Veelgestelde vragen over SOC en SIEM
Wat is het verschil tussen een SIEM en een SOC?
Een SIEM is technologie die logs verzamelt, analyseert en meldingen maakt. Een SOC is het team van specialisten dat die meldingen beoordeelt en actie onderneemt. Je hebt ze allebei nodig: de één signaleert, de ander handelt.
Heb ik Microsoft Sentinel nodig als ik al Defender XDR gebruik?
Defender XDR dekt endpoints, e-mail, identiteiten en cloud-apps. Wil je ook signalen van bronnen buiten Microsoft meenemen, zoals je firewall of andere applicaties, of wil je logs langer bewaren voor onderzoek en compliance, dan voegt Sentinel daar waarde aan toe.
Wat verandert er voor Microsoft Sentinel in 2027?
Na 31 maart 2027 is Microsoft Sentinel alleen nog beschikbaar in de Microsoft Defender-portal. Gebruikers van de Azure-portal worden doorgestuurd. Het is verstandig om de overstap vooraf te plannen en je regels, automatiseringen en rechten te controleren.
