In gesprekken over cybersecurity duikt vaak één thema op: hoe zorg je dat hackers de juiste dingen doen? Corey Thuen, oprichter en CEO van Gravwell, beschrijft daarbij zijn eigen selectieprincipe voor “de hacker-kant” van een team. Niet moraliteit als eindpunt, maar een mentale eigenschap die hij het evil bit securitydenken noemt—een houding die zich richt op het blootleggen van zwaktes vanuit een tegenstanderperspectief.
Wat Thuen precies bedoelt, is opvallend genuanceerd. Zijn verhaal draait niet om sensatie, maar om motivatie, verantwoordelijkheid en de manier waarop je verdediging beter maakt door je eigen omgeving echt te leren begrijpen.
Wat Thuen bedoelt met het “evil bit”
Thuen zoekt mensen met volgens hem een “adversarial mindset”: het vermogen om een product of systeem te bekijken alsof je er misbruik van zou willen maken—niet omdat je het ook echt wilt, maar omdat je dan gerichter nadenkt over wat er fout kan gaan. Hij gebruikt daarvoor de term evil bit securitydenken, waarmee hij doelt op een instinct om te proberen, te analyseren en te zoeken naar manieren waarop iets kan worden uitgebuit.
Daarbij stelt hij ook een harde grens: als je dat niet hebt, kun je het volgens hem niet zomaar leren. Of het aanwezig is, of niet. Dat maakt zijn benadering praktisch: je wilt niet alleen technische kennis, maar ook een specifieke manier van redeneren.
Ethisch hackingbeeld: “Who defines morality?”
Thuen maakt duidelijk dat het woord “evil” niet automatisch betekent dat iemand onethisch is. Hij vraagt retorisch wie bepaalt wat “goed” en “slecht” is. In zijn visie is informatie niet per definitie verboden en zijn vaardigheden vergelijkbaar met gereedschap: hetzelfde vermogen kan voor verschillende doelen worden ingezet.
In het gesprek legt hij die gedachte uit met een concrete context: hij was betrokken bij het evalueren van systemen die een rol spelen in kritieke infrastructuur. Ook daar lag de bedoeling niet bij schade veroorzaken, maar bij het verbeteren van beveiliging voor anderen. Het “kwaad” zit hem dus niet in de actie, maar in de manier waarop je de werkelijkheid test: alsof een aanvaller al bezig is.
Hackermentaliteit als verdedigingsinstrument
Waarom is dit dan relevant voor defenders? Thuen stelt dat verdediging meer is dan alleen zoeken naar hoe een bekende actor opereren zou. Je moet volgens hem vooral begrijpen hoe je eigen omgeving werkt en waar je als verdediger echte voordelen hebt.
Hij beschrijft Gravwell als een data-analytics platform voor security logs, machine- en netwerkdata. De kernfilosofie: maak van je omgeving een kaart die je verdediging helpt versnellen. Dat vraagt om inzichten die je niet krijgt door alleen regels en bekende patronen te bekijken.
Van vroege nieuwsgierigheid naar security werk
Thuen’s verhaal begint niet met een erfenis van technologie, maar met nieuwsgierigheid. Tijdens zijn middelbareschooltijd kreeg hij een oude Packard Bell en begon hij te lezen in de documentatie. Die fascinatie groeide uit tot sleutelen: hoe werken computers, welke bytes sturen wat, en wat gebeurt er als je de uitkomst manipuleert?
Hij noemt gaming als een herkenbare instap voor veel (toekomstige) hackers. Met toegang tot savefiles en tools zoals een hex editor kon hij experimenteren binnen de veilige context van een spel: meer levens, andere uitkomsten, en vooral leren hoe systemen gedrag sturen.
Belangrijk is dat hij aangeeft dat zijn vroege “hacking” vooral nieuwsgierigheid was. Hij testte en onderzocht, maar ging niet expres op zoek naar echte systemen om te misbruiken. In zijn ogen lag de grens bij de intentie: proberen te begrijpen versus doelbewust schade of misbruik nastreven.
Onderzoek aan industriële systemen en OT
Een groot deel van Thuen’s carrière speelt zich af in het domein van industriële controle en OT-security. Volgens hem is dat technische werk bijzonder interessant omdat je te maken krijgt met protocolreverse-engineering, soms ook met custom protocollen, en je veel op laag niveau moet snappen hoe communicatie en gedrag in netwerken tot stand komen.
Waar veel IT-omgevingen lijken samen te lopen richting “web”-achtige technologie, voelt OT voor hem juist uitdagend omdat het minder standaard is en meer afhankelijk van specifieke implementaties. Ook noemt hij voertuigonderzoek als verwant: embedded systemen, communicatie en kwetsbaarheden in de praktijk.
Als je werkt met OT, is het verschil tussen “iets kunnen” en “iets kunnen verantwoord testen” extra belangrijk. De impact van fouten kan direct groter zijn, dus een defensieve, goed onderbouwde testhouding is essentieel.
Waarom motivatie ook juridisch en organisatorisch telt
Thuen’s pad bevat ook een minder romantisch hoofdstuk. Met zijn eerdere bedrijf Southfork Security maakte hij open-source tools in een poging om vergelijkbare problemen op te lossen als een tool die binnen zijn eerdere werkgever-omgeving werd ontwikkeld. Dat leidde tot een juridisch conflict: claims over copyright, vertrouwelijke informatie en schending van afspraken.
Er kwam geen publieke volledige procesafhandeling, maar hij beschrijft wel hoe het aanvankelijk leek dat hij zou verliezen, mede door een zware voorlopige maatregel. Uiteindelijk leidde de zaak tot een schikking. In zijn lezing speelde stereotypering van “malicious hackers” bij de rechter aanvankelijk een rol, waardoor de uitkomst niet alleen op techniek leek te draaien.
Voor organisaties is dit een extra les: security gaat niet alleen over techniek, maar ook over governance, communicatie en bewijsvoering—zeker wanneer open-source, intellectueel eigendom en intentie samenkomen.
Wat teams vandaag kunnen overnemen
Het evil bit securitydenken van Thuen is geen vrijbrief voor misbruik. Het is eerder een vraag die je team helpt scherp te blijven: “Hebben we mensen die echt denken als een aanvaller, zodat we zwaktes eerder vinden?”
Daarbij past een praktische aanpak:
- Test op relevante plekken (niet alleen op wat al bekend is);
- Verbind data aan context, zodat je begrijpt wat je ziet in plaats van alleen te tellen;
- Maak ruimte voor adversarial analysis, met duidelijke grenzen rond toestemming en doelen.
Als je dit vertaalt naar dagelijkse securitypraktijk, kom je ook uit bij het belang van snelle patching en het beperken van exploitatieroutes. In de praktijk zie je regelmatig dat onderzoekers misbruikpogingen of kwetsbaarheden vroeg signaleren en dat organisaties daarna tempo nodig hebben om systemen veilig te houden. Daarover kun je bijvoorbeeld lezen in dit artikel over misbruik dat al vóór publieke bekendmaking plaatsvond: PHP2Shell: dagen vóór patches al misbruikpogingen.
Adversarial denken en modern security: van logica tot detectie
Thuen’s visie sluit aan bij een bredere beweging: verdediging draait steeds meer om het combineren van signalen uit logs, netwerkverkeer en machine-data. Dat betekent dat je niet alleen individuele alerts bekijkt, maar ook patronen en context interpreteert.
Wil je die brug maken naar AI-agenten en insider-risico’s, dan is het nuttig om ook te kijken naar hoe adversarial mindset kan worden ingezet om onbedoelde of ongewenste acties te herkennen. Een relevant perspectief vind je in: AI-agenten als insider threat: wat je nu ziet.
Door dit soort analyses te combineren met sterke detectie en duidelijke beleidsregels, krijg je een verdedigingsstrategie die zich sneller aanpast aan veranderende dreigingen—zonder dat je terugvalt op “security door hoop”.
Conclusie: het echte doel is beter verdedigen
Corey Thuen koppelt zijn evil bit securitydenken aan één hoofdidee: alleen mensen met een echte adversarial blik kunnen zwaktes vaak vroeg genoeg zien. Maar die blik is volgens hem geen uitnodiging tot kwaadaardig gedrag. Het gaat om verantwoord testen, kennis gebruiken voor bescherming en de omgeving begrijpen waarin je verdedigt.
Of je nu in OT, IT of hybride omgevingen werkt: zijn verhaal onderstreept dat “hacken” als methode vooral waarde krijgt wanneer de intentie helder is. Dan wordt de hackermentaliteit een instrument voor betere security, niet een excuus om regels te negeren.
Bron: https://www.securityweek.com/hacker-conversations-corey-thuen-and-the-evil-bit/
