Antivirus is software die bekende malware op één apparaat tegenhoudt. MDR (Managed Detection and Response) is een dienst waarin analisten continu je hele omgeving bewaken, afwijkend gedrag opsporen en direct ingrijpen. Antivirus blijft de basis. MDR vangt op wat erdoorheen glipt, zoals een aanvaller die inlogt met een gestolen wachtwoord en geen enkel bestand nodig heeft.
Antivirus is sterk in het snel detecteren van bekende malware. Wanneer dit voorkomt zet de antivirus dit meteen in quarantaine. Hieronder lees je wat antivirus goed kan.
Een medewerker opent een bijlage met de naam "factuur_0923.zip". Daarin zit een bekende ransomwarevariant. Defender herkent de vingerafdruk, zet het bestand in quarantaine en de medewerker merkt er weinig van. Hooguit een melding rechtsonder in beeld.
Heel simpel gezegd is dit hoe antivirus werkt. Het vergelijkt bestanden met een database van bekende malware en past regels toe op verdacht gedrag van programma's op dat ene apparaat. Moderne scanners halen hun kennis ook uit de cloud, dus een variant die vanochtend in Australië opdook, kan vanmiddag al op jouw laptop worden tegengehouden.
En dat werkt aantoonbaar. In de Business Security Test van AV-Comparatives (maart tot en met juni 2026) hield Microsoft Defender 395 van de 400 echte aanvallen tegen, zonder één valse melding. AV-TEST gaf Defender in april 2026 het label Top Product.
Besmette downloads, oude ransomware of malware die nog steeds rondgaat stopt het meeste werk van cybercriminelen bij een goed ingestelde virusscanner. Voor je apparaten is dat al best veel, het is alleen niet meer genoeg.
Van alle detecties die CrowdStrike in 2024 deed, was 79% malware-vrij. In 2019 was dat nog 40%. Aanvallers loggen in met gestolen wachtwoorden en gebruiken de programma's die al op je systemen staan (bron: CrowdStrike Global Threat Report 2025).
Voor traditionele beveiliging, dus antivirus plus een firewall, ziet zo'n aanval eruit als een collega die gewoon aan het werk is. Er gaat geen alarm af, omdat er niets is waar de scanner op getraind is.
Antivirus herkent wat het al kent. Dat klinkt logisch, maar dat is ook gelijk waar het gat zit.
Tussen het moment dat een nieuwe variant van malware opduikt en het moment dat die in de database staat, zit tijd. Soms een paar uur, soms dagen. En gerichte aanvallen op één bedrijf krijgen vaak nooit een signature, omdat de malware speciaal voor dat ene bedrijf is gemaakt. Dat wil niet zeggen dat het later niet te detecteren is door antivirus, alleen wil je dreigingen stoppen voordat er schade aan je systemen aangebracht wordt.
De gedragsregels in moderne scanners vangen een deel daarvan op. Alleen kijken ze naar één apparaat tegelijk en moeten ze in een fractie van een seconde kiezen tussen blokkeren en doorlaten.
Wat wij in de praktijk veel zien, wat ook uit het rapport van Crowdstrike komt, is dat veel cyberaanvallen beginnen met gestolen credentials die geen melding triggeren, omdat het eruit ziet als normaal gedrag. Daarbij kan een antivirus ook helemaal niet ingrijpen om malafide inlogpogingen, omdat het alleen kijkt naar het apparaat waar de antivirus op draait.
Antivirus zoekt naar kwaadaardige bestanden. Maar als een hacker gebruik maakt van de software en bestanden die al op het apparaat staan, dan zal antivirus dit zien als normaal gedrag. Kijk maar naar een aanval die we in het MKB vaak tegenkomen.
Maandagochtend, 08:12. Iemand logt in op het Microsoft 365-account van je financieel medewerker. Het wachtwoord kwam uit een datalek bij een webshop en de MFA-melding is half slapend goedgekeurd. De aanvaller heft op dat moment het account overgenomen en maakt een mailboxregel aan die alle mails met "factuur" in het onderwerp naar een de archief map stuurt. Daarna krijgen twee klanten een mail met een nieuw IBAN.
Welk bestand had de virusscanner moeten tegenhouden? Geen enkele. Er is een inlog, een regel en een mail. Drie gebieden waarom antivirus geen inzicht heeft.
Hetzelfde geldt voor aanvallers die binnen het netwerk ingebouwde Windows-tools gebruiken, zoals PowerShell en Remote Desktop, of die stilletjes een extra beheerdersaccount aanmaken. Dat zijn legitieme programma's en gewone handelingen, dus de scanner laat ze door. Antivirus kijkt naar het apparaat waarop het draait. Het volgt niet hoe processen samen een aanval vormen.
Je antivirus staat dag en nacht aan. Er kijkt alleen niemand mee.
Een melding verschijnt op een laptop die dichtgeklapt in een tas zit, of in een beheerconsole die pas maandag weer open gaat. En dat tijdstip kiezen aanvallers bewust: vrijdagavond, een feestdag, de eerste week van de zomervakantie.
CrowdStrike meet de breakout time, de tijd tussen de eerste toegang en het moment dat een aanvaller verder het netwerk in trekt. Gemiddeld 48 minuten. De snelste keer: 51 seconden. Begint een aanval vrijdagavond om negen uur en lees je de melding maandagochtend om negen uur, dan kijk je naar iets wat al 60 uur bezig is. Als je uberhaupt een melding hebt gekregen.
MDR doet onder andere threat detection. Het systeem leert hoe jouw omgeving er op een gewone dag uitziet en markeert wat afwijkt:
Als je deze signalen los naast elkaar legt is het moeilijk vast te stellen of dit een dreiging is. Een collega op vakantie in Lissabon logt ook vanuit het buitenland in. Daarom legt MDR signalen naast elkaar. Een buitenlandse inlog, binnen vijf minuten gevolgd door een nieuwe mailboxregel en een MFA-goedkeuring vanaf een onbekend apparaat: dat is een heel ander verhaal dan iemand die vanaf het strand even zijn mail checkt.
Een melding is pas iets waard als iemand er iets mee doet. Bij antivirus opereert de tool zelf, mits die de dreiging herkent. Bij MDR doet een team van specialisten dit, op het moment dat een cyberaanval is vastgesteld is het team in staat:
Bij MDR Premium van Peakproteqt streven we ernaar om binnen 15 minuten na detectie in te grijpen, ook buiten kantoortijden en in het weekend.
Het antwoord: aanvullen. Bij antivirus vs MDR hoef je niet te kiezen. Antivirus en endpoint protection vormen de eerste laag. MDR is de laag daarachter, voor alles wat die eerste laag niet ziet.
Er is één situatie waarin je wel iets vervangt. Sommige MDR-diensten leveren een eigen agent die ook preventie doet. Een losse betaalde scanner ernaast heeft dan weinig zin en twee scanners op één laptop zitten elkaar vaak in de weg. Dit kan zorgen voor dubbele scans, trage machines en programma's die elkaar blokkeren.
Werk je met de Microsoft antivirus, dan heb je meestal al een prima basis. Daar bouwen wij op voort. Onze tooling sluit aan op die antivirus in plaats van dat je het overal moet verwijderen.
MDR toevoegen is verstandig als:
De meeste klanten die bij ons MDR afnemen krijgen binnen één week al snel te zien wat er niet goed staat ingesteld en wat er allemaal speelt binnen hun bedrijf. Zonder die monitoring hadden ze dit nooit geweten. Daarom is MDR ook meer dan alleen het stoppen van cyberaanvallen. Het geeft ook inzicht in je bedrijf.
