3 echte incidenten die verborgen bedreigingen in mijn smarthomenetwerk aan het licht brachten
Bij ZimaSpace draait alles om makers, knutselaars en homelab-enthousiastelingen uit te rusten met compacte maar bijzonder krachtige hardware die 24/7 draait zonder je elektriciteitsrekening op te jagen. Daarom delen we graag deze uitgebreide gids van BeardedTinker, een gepassioneerde YouTuber op het gebied van slimme huizen en homelabs, die bekendstaat om het omzetten van complexe infrastructuurprojecten in praktische tutorials met toepassingen in de echte wereld op zijn kanaal.
Bedankt, BeardedTinker, voor het maken van zo’n grondige en transparante video. We hebben het oorspronkelijke transcript omgezet in deze verzorgde Engelstalige blogpost, zodat nog meer lezers uit de techgemeenschap ervan kunnen profiteren. Het doel? Precies laten zien hoe de ZimaBoard 2 — onze uiterst krachtige singleboard-homeserver — een SIEM-systeem (Security Information and Event Management) van professioneel niveau en toch toegankelijk mogelijk maakt, dat je een echt goed beeld geeft van wat er op het netwerk gebeurt in je slimme huis en homelab.
Twee weken geleden begon er om 2:13 uur ’s nachts iets het netwerk te scannen: eerst SSH, daarna HTTPS en vervolgens Home Assistant. Er scannen voortdurend bots IP-bereiken af op zoek naar blootgestelde services, maar de echte vraag is niet óf dit gebeurt. De echte vraag is: zou je slimme huis het überhaupt merken?
Die ene gedachte leidde tot een heel project dat meer dan vier maanden planning, testen en bijstellen kostte. Vandaag leggen we het stap voor stap uit, zodat je kunt bepalen of een SIEM iets voor jouw eigen opstelling is.
Wat SIEM eigenlijk is (en waarom het thuis belangrijk is)
SIEM staat voor Security Information and Event Management. Simpel gezegd verzamelt het logboeken van elk apparaat op je netwerk en brengt die met elkaar in verband om patronen te herkennen die afzonderlijke systemen zouden missen. Een enkele firewallblokkering lijkt misschien onschuldig. Maar wanneer de SIEM een poortscan vanaf hetzelfde IP-adres ziet, gevolgd door mislukte inlogpogingen op je NAS en daarna een geslaagde authenticatie op Home Assistant, vertelt die ineens het hele verhaal.
Voor de meeste eenvoudige slimme woningen is dit overkill. Zodra je opstelling meer op echte infrastructuur begint te lijken dan op alleen maar gadgets, wordt inzicht erg nuttig — want het grootste probleem in de meeste thuisnetwerken zijn geen aanvallen, maar simpelweg niet weten wat er gebeurt.
De architectuur: onafhankelijke bewaking is alles
De belangrijkste ontwerpbeslissing was om de SIEM volledig buiten de systemen te laten draaien die deze bewaakt. Bewakingssystemen moeten altijd onafhankelijk zijn van de systemen die ze bewaken. Als Home Assistant crasht of de NAS offline gaat, moet de SIEM dit nog steeds kunnen zien en vastleggen.
In deze architectuur:
- UniFi-firewall- en IDS-logs komen binnen via syslog.
- Authenticatiegebeurtenissen van de Synology NAS worden doorgestuurd.
- Home Assistant zelf verstuurt gestructureerde gebeurtenissen via een aangepaste Wazuh-agentadd-on.
Alle signalen komen op één plek samen, waar correlatieregels ruwe logs omzetten in bruikbare waarschuwingen.
Hardwarekeuze: Waarom ZimaBoard 2 de perfecte energiezuinige home-server is
Voor de SIEM-server zelf koos BeardedTinker voor ZimaBoard-hardware — specifiek de ZimaBoard 2, de krachtige singleboard-home-server die Plex, Pi-hole, Proxmox of zelfs Minecraft 24/7 draait en daarbij koel en stil blijft.
ZimaBoard 2 verwerkt mediastreaming, firewalls, homelabs en AI-containers met gemak. Laag energieverbruik, hoge betrouwbaarheid.
Native SATA & PCIe — geen uitbreidingskaarten, geen gedoe. Sluit 2,5-inch HDD's/SSD's aan, installeer een 10G-netwerkkaart, GPU of NVMe-adapter en je bent klaar voor persoonlijke opslag of uitbreidingsbehoeften. De ingebouwde dubbele 2,5G Ethernet maakt het apparaat ideaal voor snelle lokale NAS, externe toegang met lage latentie of het routeren van meerdere netwerkdiensten thuis.
Je kunt draaien wat voor jou werkt — ZimaOS, TrueNAS, Proxmox, Debian, pfSense… Gebruikers testen graag verschillende besturingssysteemconfiguraties voor back-ups, Plex-servers, Docker-labs of clusteropstellingen.
Klein, hackbaar en best schattig — velen noemen het een miniserver die eruitziet als speelgoed, maar presteert als een beest. Perfect voor creatieve doe-het-zelvers en technologieliefhebbers die een betrouwbare, altijd actieve thuisserver willen zonder het geluid en de hitte van een traditionele minipc.
Vergeleken met een volledige minipc (die vaak 20–40 W verbruikt in de ruststand) verbruikt de ZimaBoard 2 veel minder stroom, wat hem een slimme keuze maakt voor infrastructuur die 24/7 moet draaien.
Besturingssysteem en SIEM-platform
Als besturingssysteem is gekozen voor Ubuntu LTS, rechtstreeks geïnstalleerd op bare metal — geen hypervisor, geen extra lagen. Infrastructuurbewaking moet saai en voorspelbaar zijn.
Het SIEM-platform is Wazuh — open source, veelgebruikt en verrassend geschikt voor prosumeropstellingen. De installatie gebeurt met eenvoudige opdrachten via de opdrachtregel. Het echte werk begint echter na de installatie: alle onderdelen van de infrastructuur aansluiten en voorzien van schone logboeken.
Alle aangepaste regels, decoders en detectielogica die in de video worden gebruikt, zijn gratis beschikbaar in de openbare GitHub-repository van BeardedTinker (links in de beschrijving van de originele video).
Drie echte incidenten — en hoe de SIEM reageerde
Incident 1: Verkenningsscan
Vanaf een andere machine werden eenvoudige PowerShell-verbindingspogingen gedaan naar meerdere poorten. Binnen enkele seconden registreerde de UniFi-firewall de activiteit. De SIEM verwerkte de syslog, paste correlatieregels toe en markeerde poortscan-gedrag, omdat vanaf hetzelfde IP-adres in korte tijd meerdere poorten werden benaderd.
Incident 2: Mislukte aanmeldingen op de NAS
Er werden meerdere mislukte inlogpogingen gedaan op de Synology-interface. NAS-systemen zijn een van de interessantste infrastructuuronderdelen om te monitoren, omdat ze een schat aan signalen opleveren: inlogpogingen, authenticatiefouten en wijzigingen in machtigingen. Zodra die logboeken de SIEM bereikten, werden ze automatisch gecorreleerd met de eerdere netwerkgebeurtenissen.
Incident 3: Home Assistant-authenticatiegebeurtenissen
Mislukte inlogpogingen, gevolgd door een geslaagde aanmelding, werden uitgevoerd op Home Assistant. Dankzij de aangepaste Wazuh-agentadd-on (ook gemaakt door BeardedTinker en beschikbaar op GitHub) werden deze gebeurtenissen zichtbaar in de SIEM, net als elk ander infrastructuursignaal.
Als Home Assistant wordt gecompromitteerd, zijn de gevolgen niet alleen digitaal — het systeem bestuurt echte fysieke apparaten.
SIEM-meldingen terughalen naar Home Assistant
Het mooie van deze opstelling is dat de gegevens niet opgesloten blijven in het monitoringplatform. SIEM-gegevens kunnen als sensoren en samenvattende statistieken rechtstreeks in Home Assistant beschikbaar worden gemaakt. Beveiligingsscore, aantal incidenten, recent geactiveerde regels — alles verschijnt op dashboards en kan automatiseringen activeren: meldingen, het tijdelijk uitschakelen van toegang op afstand, het inschakelen van camera's of uitgebreidere logging.
BeardedTinker is ook een discussie over de architectuur gestart in de Home Assistant-community, met het voorstel om logs en beveiligingsgebeurtenissen beter te structureren. Als je observability belangrijk vindt, vind je de link in de videobeschrijving.
Slotgedachten en bronnen
Een systeem als dit is zeker niet voor iedereen. Het vereist hardware, configuratie en nieuwsgierigheid. Maar als je slimme huis zich langzaam ontwikkelt tot echte infrastructuur, is dit niveau van inzicht ontzettend waardevol.
Alles wat wordt getoond — regels, integraties, de Wazuh-agent voor Home Assistant en de dashboardvoorbeelden — is gepubliceerd in openbare repositories. Als je een vergelijkbare opstelling in je eigen homelab hebt, hoort de community graag wat je bewaakt en wat je hierna zou toevoegen.
Bij ZimaSpace geloven we dat de ZimaBoard 2 de ideale basis voor een thuisserver is voor precies dit soort geavanceerde, altijd actieve projecten. Laag stroomverbruik, uitbreidbaarheid zonder aanpassingen, duale 2,5G-netwerken en rotsvaste betrouwbaarheid maken het platform perfect, of je nu een SIEM, een mediaserver, een firewall of een heel homelabcluster draait.
Bekijk hier de oorspronkelijke video voor de volledige live demonstraties
Heeft dit bericht je geïnspireerd om de beveiliging en bewaking van je eigen thuisserver naar een hoger niveau te tillen? Laat hieronder een reactie achter of ga naar de productpagina van de ZimaBoard 2 om te zien hoe deze je volgende project van stroom kan voorzien.
Blijf zichtbaar, blijf veilig en veel plezier met hacken! 🚀
Aanbevolen producten
Zima-campagnehub
Meer om te lezen
ZimaBlade heet nu ZimaBoard SE: wat verandert er en welke kit kies je?
ZimaBlade wordt ZimaBoard SE met 8 GB of 16 GB RAM, 64 GB eMMC en ZimaOS Plus geïnstalleerd. Vergelijk de specificaties, starter- en NAS-kits,...
Hoe The TKT Works een aangepaste acrylbehuizing voor ZimaBoard 2 maakt
Volg de bouw van de op maat gemaakte ZimaBoard 2-behuizing van The TKT Works, met aandacht voor het frame van stangen, de acrylpanelen, het...
Hoe kabuto een modulair homelab van 10 inch bouwt met ZimaBoard 2
Ontdek kabuto’s modulaire 10-inchhomelab met ZimaBoard 2, 3D-geprinte patchpanelen, hergebruikte hardware, Immich, Nextcloud en toegang op afstand via Tailscale.
