OBSERVE
Verzamel goedgekeurde security-events en bouw context op rond assets, identities en gedrag.
CYBERSECURITY
Qavirio Sentinel
AI-assisted defensieve cyberdetectie, bewijs en gecontroleerde respons.
Sentinel wordt ontwikkeld als defensief platform dat security-events observeert, verbanden analyseert, risico’s uitlegbaar maakt en respons onder expliciete policy- en autoriteitsgrenzen plaatst. Het doel is niet méér alerts, maar beter onderbouwde actie met behoud van bewijs.
01 · Doel
Waarom dit product bestaat.
Sentinel wordt ontwikkeld als defensief platform dat security-events observeert, verbanden analyseert, risico’s uitlegbaar maakt en respons onder expliciete policy- en autoriteitsgrenzen plaatst. Het doel is niet méér alerts, maar beter onderbouwde actie met behoud van bewijs.
02 · Operationeel probleem
Securitysignalen zijn pas bruikbaar als context, autoriteit en bewijs samenkomen.
Moderne omgevingen produceren veel telemetry en alerts. Sentinel onderzoekt een model waarin observatie, AI-assisted analyse, policy en human control gescheiden blijven. Het platform is expliciet defensief en wordt niet ontworpen als black-box systeem dat onbeperkt productieomgevingen mag wijzigen.
Te veel losse alerts zonder operationele contextMoeilijk reconstrueren waarom een respons is gestartAutomation zonder duidelijke policy- of autoriteitsgrensBewijs kan verloren gaan tijdens containment
03 · Hoe het werkt01 02 03 04
OBSERVE → THINK → GUARD → ACT
THINK
Analyseer correlaties, afwijkingen, confidence en alternatieve verklaringen.
GUARD
Toets mogelijke respons aan policy, rol, severity en expliciete autoriteit.
ACT
Alleen toegestane, begrensde respons; high-impact acties blijven policy- en authorisation-gestuurd.
04 · Mogelijkheden
Event & asset context
Relateer security-events aan identities, endpoints, services en netwerkcontext.
AI-assisted analyse
Confidence, alternatieve verklaringen en correlation gebruiken zonder AI autoriteit te geven die policy niet toestaat.
Severity & policy
GREEN, YELLOW, ORANGE en RED structureren ernst; respons wordt apart door policy begrensd.
Incident evidence
Bewaar timeline, actor, policy, outcome en relevante hashes/referenties voor reconstructie.
Controlled containment
Containment wordt begrensd, geautoriseerd en waar mogelijk omkeerbaar ontworpen.
Private deployment direction
On-premise/private cloud blijft het primaire ontwerpmodel voor gevoelige enterprise- en publieke omgevingen.
05 · Gebruikerservaring & rollen
Security operations
Onderzoekt alerts, incidentcontext, severity en evidence.
RSSI / security lead
Beheert policygrenzen, autoriteit en assurance-eisen.
IT / infrastructure
Beoordeelt deployment, integrations, endpoints en operationele recovery.
Audit / governance
Beoordeelt timeline, controles en onderbouwing zonder securityoperaties te hoeven uitvoeren.
06 · Gebruiksscenario’sDETECTION CONTAINMENT EVIDENCE
Afwijkend gedrag met context
Een event wordt niet alleen als “verdacht” gemarkeerd; de analist ziet betrokken assets, eerdere events en de onderbouwing van de severity.
Policy vóór actie
Een mogelijke containment-actie wordt alleen toegestaan wanneer de ingestelde policy, rol en severity dit expliciet toelaten.
Reconstructie na incident
Een team kan terugzien welke signalen, beslissingen, overrides en acties tot de uiteindelijke uitkomst leidden.
Echte productinterface
Echte pilotinterface: visibility, evidence en trust blijven afzonderlijke begrippen.
VERDIEPING
Sentinel uitgelegd: van waarneming naar een gecontroleerde beveiligingsbeslissing.
Sentinel is ontworpen vanuit een eenvoudig maar belangrijk uitgangspunt: waarnemen is niet hetzelfde als weten, en weten is niet hetzelfde als bevoegd zijn om te handelen. In cyberbeveiliging worden die drie lagen vaak te snel samengevoegd. Een apparaat reageert op het netwerk, een identiteit verandert, een proces gedraagt zich afwijkend of een externe indicator wijst op risico; dat is nuttige informatie, maar nog geen volledige conclusie. Sentinel behandelt zulke signalen daarom als evidence die context nodig heeft. De interface laat expliciet zien wat werkelijk is waargenomen, welke classificatie een operator heeft toegevoegd, welke correlatie is uitgevoerd en welke actiegrens van toepassing is. Daardoor kan een beveiligingsteam onderscheid blijven maken tussen detectie, interpretatie en autoriteit.
Bewijs vóór vertrouwen
Live LAN Discovery laat deze grens duidelijk zien. Een apparaat kan zichtbaar zijn via passieve neighbour-informatie of via een bewust begrensde presence-check. Sentinel legt die waarneming vast zonder het object automatisch te promoveren tot beheerd, veilig of goedgekeurd. Ook een ontbrekende respons wordt niet stilzwijgend vertaald naar de conclusie dat een apparaat offline is. Dat is belangrijk omdat netwerkbewijs van nature onvolledig is: apparaten slapen, verplaatsen, wisselen van interface of reageren tijdelijk niet om redenen die niets met compromittering te maken hebben. Het product bewaart daarom first seen, last observed, continuïteit en door de operator toegevoegde asset-identiteit als afzonderlijke concepten, in plaats van één netwerkgebeurtenis direct om te zetten in een autoritatieve inventarisbeslissing.
De autoriteit van de operator blijft expliciet
Het defensieve model van Sentinel scheidt advisory-logica ook van responsebevoegdheid. Detectie en correlatie kunnen aandacht vragen, gerelateerd bewijs groeperen en een aanbevolen vervolgstap tonen, maar een aanbeveling wordt niet vanzelf een onbeperkte productieactie. Wanneer een actiemogelijkheid wordt toegevoegd, hoort die achter een expliciete rol-, policy- en deploymentgrens. Die aanpak is bewust conservatief: hij verkleint het risico dat een false positive, onvolledige context of gecompromitteerde integratie automatisch tot een verstorende reactie leidt. Human override, controleerbare beslissingen en fail-closed grenzen zijn daarom even belangrijk als het detectie-algoritme zelf.
Security engineering is meer dan het dashboard
De zichtbare interface is slechts één deel van het product. Een serieuze deployment hangt ook af van identiteit, least privilege, veilige opslag, updatediscipline, logging, backup en recovery, netwerkgrenzen en de kwalificatie van iedere privileged connector. Sentinel publiceert daarom productstatus en open gates in plaats van een pilot voor te stellen alsof die al onafhankelijk gecertificeerd is. De huidige productlijn kan concrete defensieve capabilities en releasebewijs demonstreren, terwijl bredere productieclaims gekoppeld blijven aan externe validatie zoals code signing, clean-environment qualification en onafhankelijke securityreview waar dat nodig is. Dat onderscheid is bewust: securitygeloofwaardigheid ontstaat door exact te weten welke controles bewezen zijn en voor welke nog bewijs nodig is.
07 · Architectuur
Detectiecore en autoriteitsmodel blijven gescheiden.
Sentinel volgt een gelaagd ontwerp: connectors/events leveren observaties; analyse/correlation produceert hypotheses en severity; policy bepaalt wat mag; audit bewaart wat is gebeurd. Externe connectors mogen een failure van zichzelf niet laten uitgroeien tot uitval van de detection core.
Connectors / events→Detection & correlation→Evidence graph→Policy / RBAC→Controlled response / audit
08 · Security & data
Least privilege en sterke RBACTamper-evident / verifieerbare incident evidence waar geïmplementeerdGeen employee-productivity monitoring als productdoelGeen onbeperkte black-box autonomieHuman override en emergency release in governanceontwerpData minimisation en configureerbare retentie als ontwerpprincipes
09 · Integratie
Integraties zijn privileged boundaries, geen marketingcheckboxes.
Een connector wordt alleen als geïntegreerd benoemd wanneer contract, authenticatie, foutafhandeling, rate/abuse controls en relevante vendor- of klantacceptatie daadwerkelijk zijn afgerond. Onderzochte of geplande connectoren worden als zodanig gelabeld.
10 · Deployment & hosting
On-premise / private cloud
Primaire enterprise/public-sector richting zodat ruwe telemetry onder klantcontrole kan blijven.
Hybrid
Beheerde externe intelligence/updatekanalen waar expliciet toegestaan, zonder automatische telemetry-export als standaard.
Sovereign / restricted
Lokale analyse, externe AI optioneel/uit en gecontroleerde updatebundels als deploymentdoel voor strengere omgevingen.
11 · Operations & support
12 · Productstatus
PILOT RC 2.1.0
External Pilot Qualification & Deployment Assurance R1. Een pilot release candidate is geen claim van brede production-readiness; externe pilot, onafhankelijke assurance, signing en klant-specifieke acceptatie blijven afzonderlijke gates.
Eerste echte externe pilot / clean-environment qualification waar vereistAuthenticode/code signing voor brede distributieOnafhankelijke relevante securityreview / penetration testingKlant-specifieke privacy, retention, netwerk- en assurance-acceptatie
13 · Contact / demo
Pilot / technische review →Bespreek dit product met Qavirio.
Een eerste bespreking richt zich op de use-case, organisatie, bestaande systemen, beveiligingseisen en gewenste deployment voordat een voorstel wordt gemaakt.