Een tijdreeks van 60 dagen aan SIEMBIOT-beveiligingstelemetrie is geanalyseerd om de verwachte opnamevolumes van gebeurtenissen te voorspellen en terugkerende dagelijkse en wekelijkse activiteitspatronen te evalueren.

Historische beveiligingstelemetrie die via SIEMBIOT is verzameld, is gebruikt om te beoordelen of terugkerende tijdreekspatronen een betrouwbare schatting van toekomstige opnamevolumes van gebeurtenissen kunnen geven.

Het doel was niet om een specifieke cyberaanval te voorspellen. Het onderzoek richtte zich op het voorspellen van het verwachte gedrag van de gemonitorde telemetrie zelf en op het vaststellen van een meetbare toekomstige referentiebasis waarmee later waargenomen activiteit kan worden vergeleken.

Dataset en telemetriebron

Bron: SIEMBIOT-beveiligingstelemetrie
Metriek: aantal opgenomen beveiligingsgebeurtenissen
Aggregatie-interval: 1 uur
Observatieperiode: 60 dagen
Historische observaties: 1,440 uurintervallen
Observatievenster: 20 juni 2026 - 19 augustus 2026, eindigend om 14:00 lokale platformtijd
Voorspellingshorizon: volgende 24 uur

De geanalyseerde dataset bevatte één waarneming voor elk uurinterval in de periode van 60 dagen.

Er zijn geen ontbrekende uurintervallen, dubbele tijdstempels of intervallen zonder gebeurtenissen vastgesteld.

Het waargenomen telemetrievolume varieerde van 62,516 tot 1,934,749 gebeurtenissen per uur, met een algemeen gemiddelde van ongeveer 900,542 gebeurtenissen per uur.

Gegevensvoorbereiding en operationele context

Gebeurtenisaantallen werden vóór de voorspelling bijgehouden op een doorlopend uurraster.

Er is een belangrijk onderscheid gemaakt tussen werkelijk lage gebeurtenisactiviteit en perioden waarin het telemetrievolume werd beïnvloed door operationele activiteit.

Een aanzienlijke daling van de opname van gebeurtenissen op 22 juli 2026 kwam overeen met een bekende geplande onderhoudsgebeurtenis.

Omdat deze daling geen normaal telemetriegedrag weergaf, werd de onderhoudsperiode tijdens de voorverwerking geïdentificeerd en niet behandeld als een representatief patroon met laag volume voor modelaanpassing en -evaluatie.

Dit onderscheid is belangrijk, omdat onderhoudsgebeurtenissen, opnamestoringen, onderbrekingen van verzamelaars en andere bekende operationele omstandigheden anders de verwachte referentiebasis kunnen beïnvloeden die uit historische telemetrie wordt geleerd.

Tijdreekspatroon

De historische reeks vertoonde duidelijk terugkerend tijdsgebonden gedrag.

De gebeurtenisopname was over het algemeen hoger tijdens actieve werkperioden en lager 's nachts en in het weekend.

Het sterkste herhaalbare kenmerk was een wekelijks seizoenspatroon.

De activiteit op een bepaald uur vertoonde grote gelijkenis met de activiteit die een week eerder op hetzelfde uur werd geregistreerd. De correlatie tussen de tijdreeks en de vertraging van 168 uur bedroeg ongeveer 0.78.

Dit gaf aan dat wekelijkse seizoensgebondenheid een belangrijk voorspellingssignaal was binnen de geanalyseerde SIEMBIOT-telemetrie.

Voorspellingsmethodologie

Er zijn meerdere voorspellingsbenaderingen geëvalueerd in plaats van vooraf een model te kiezen.

De volgende modellen zijn vergeleken:

• Seasonal Naive 24h - voorspelt een uur aan de hand van de waarde die op hetzelfde uur van de vorige dag werd waargenomen;

• Seasonal Naive 168h - voorspelt een uur aan de hand van de waarde die een week eerder op hetzelfde uur werd waargenomen;

• Holt-Winters 24h - exponentiële afvlakking op basis van dagelijkse seizoensgebondenheid;

• Holt-Winters 168h - exponentiële afvlakking op basis van wekelijkse seizoensgebondenheid.

De Holt-Winters-modellen zijn opgenomen om te bepalen of een complexer model dat niveau, trend en seizoensgebondenheid combineert de voorspellingsnauwkeurigheid zou verbeteren ten opzichte van eenvoudige historische seizoensbaselines.

Omdat de dataset ongeveer 8.5 volledige weekcycli bevat, werd het Holt-Winters-model van 168 uur als exploratief beschouwd en werden de resultaten ervan geëvalueerd ten opzichte van de eenvoudigere wekelijkse seizoensbaseline.

Evaluatie van de voorspelling

De voorspellingsnauwkeurigheid werd beoordeeld met validatie met verschuivende oorsprong.

Zeven opeenvolgende voorspellingsvensters van 24 uur zijn geëvalueerd. Op elk voorspellingspunt werd alleen de historische telemetrie gebruikt die vóór het begin van dat venster beschikbaar was.

Dit weerspiegelt het operationele voorspellingsscenario nauwkeuriger dan een willekeurige verdeling van een tijdreeks in trainings- en testwaarnemingen.

De gemiddelde resultaten over de geëvalueerde voorspellingsvensters waren:

ModelMAERMSEMAPEWAPESeasonal Naive 168h67,45594,7997.18%7.69%Holt-Winters 168h80,10090,8929.46%8.96%Seasonal Naive 24h114,262185,05412.47%13.28%Holt-Winters 24h233,581263,47028.58%27.36%

Het Seasonal Naive 168-uursmodel leverde de laagste gemiddelde MAE, MAPE en WAPE en werd daarom gekozen voor de definitieve voorspelling van 24 uur.

Holt-Winters met wekelijkse seizoensgebondenheid leverde een iets lagere RMSE op, wat wijst op betere prestaties bij enkele van de grotere individuele fouten, maar de gemiddelde absolute en procentuele fouten bleven hoger.

Het resultaat toont ook een belangrijk voorspellingsprincipe aan: een complexer model levert niet automatisch een nauwkeurigere voorspelling op.

Voor deze dataset bood het terugkerende wekelijkse telemetriepatroon een sterkere voorspellingsbaseline dan de geëvalueerde Holt-Winters-configuraties.

Voorspellingsresultaat voor 24 uur

Na de modelevaluatie werd het gekozen wekelijkse seizoensmodel toegepast om de SIEMBIOT-gebeurtenisopname voor de volgende 24 uur te voorspellen.

Voorspellingsperiode: 19 augustus 2026 14:00 - 20 augustus 2026 14:00
Voorspeld gebeurtenisvolume: 22,148,246 gebeurtenissen
Gemiddeld voorspeld volume: 922,844 gebeurtenissen per uur
Voorspeld piekvolume: 1,278,860 gebeurtenissen per uur
Verwachte piek: 20 augustus 2026 rond 09:00

Uit de historische voorspellingsresiduen is ook een empirisch voorspellingsinterval berekend.

Bij de verwachte piek was het geschatte empirische 95%-interval:

1,148,162 - 1,457,092 gebeurtenissen per uur

Het interval geeft het bereik van telemetrievolumes weer dat redelijkerwijs overeenkomt met recente voorspellingsfouten.

Waarden buiten dit bereik mogen niet automatisch als kwaadaardige activiteit worden geclassificeerd, maar kunnen wel een nuttig signaal vormen voor verder operationeel of beveiligingsonderzoek.

Voorspellingsafwijking en beveiligingscontext

Tijdreeksvoorspelling creëert een dynamisch referentiepunt voor het beoordelen van later waargenomen telemetrie.

Het proces kan als volgt worden weergegeven:

Historische telemetrie -> Verwachte activiteit voorspellen -> Werkelijke activiteit waarnemen -> Voorspellingsafwijking meten -> Significante veranderingen onderzoeken

Bijvoorbeeld:

Voorspelling: 920,000 gebeurtenissen/uur
Werkelijk: 1,450,000 gebeurtenissen/uur
Resultaat: activiteit aanzienlijk boven de verwachte referentiebasis

Een grote afwijking kan meerdere verklaringen hebben, waaronder:

• toegenomen endpoint- of gebruikersactiviteit;

• aansluiting van nieuwe telemetriebronnen;

• wijzigingen in de logconfiguratie;

• kwetsbaarhedenscanning;

• geautomatiseerde externe activiteit;

• software-uitrol;

• verminderde kwaliteit van de gebeurtenisopname;

• infrastructuurproblemen;

• of beveiligingsgerelateerde activiteit.

Afwijkingen onder het verwachte bereik zijn eveneens relevant.

Een aanhoudende daling van het gebeurtenisvolume kan wijzen op problemen met verzamelaars, defecte ontleders, niet-beschikbare logbronnen of andere omstandigheden die de bewakingsdekking beïnvloeden.

De voorspelling biedt daarom onderzoekscontext, maar bepaalt niet zelfstandig of er een cyberbeveiligingsincident heeft plaatsgevonden.

Relatie met anomaliedetectie

Voorspelling en anomaliedetectie beantwoorden complementaire vragen.

Tijdreeksvoorspelling schat in welke telemetrieactiviteit in de toekomst te verwachten is.

Anomaliedetectie identificeert waargenomen activiteit die aanzienlijk afwijkt van een verwacht of eerder vastgesteld patroon.

De twee benaderingen kunnen daarom worden gecombineerd:

Historische telemetrie -> Voorspellingsbaseline -> Werkelijke telemetrie -> Voorspellingsafwijking -> Anomalie-onderzoek

Voorspelling kan een aanvullende dynamische referentiebasis bieden voor het SIEMBIOT-anomalieonderzoek, terwijl het onderscheid behouden blijft tussen een onverwacht telemetriepatroon en een bevestigd beveiligingsincident.

Operationele waarde

Het voorspellen van het opnamevolume van gebeurtenissen kan nuttige context bieden voor zowel SOC-bewaking als SIEM-operaties.

Mogelijke operationele toepassingen zijn:

• proactieve bewaking van telemetriegedrag;

• identificatie van onverwacht hoge of lage opnamevolumes;

• vaststelling van een dynamische verwachte referentiebasis;

• validatie van de continuïteit van telemetrie;

• detectie van mogelijk verminderde kwaliteit van de gebeurtenisopname;

• infrastructuur- en resourceplanning;

• vergelijking tussen voorspelde en werkelijke beveiligingsactiviteit.

Voor infrastructuurplanning mag de gemiddelde puntvoorspelling niet als enige capaciteitsreferentie worden gebruikt.

Bovenste voorspellingsbereiken zijn nuttiger bij het beoordelen van de opnamecapaciteit die in perioden met een hoger volume nodig kan zijn.

Het is ook belangrijk om het aantal gebeurtenissen te onderscheiden van infrastructuurmetrieken zoals gebeurtenissen per seconde (EPS) of datavolume.

Gebeurtenisaantallen per uur maken korte opnamepieken niet zichtbaar, en het gebeurtenisaantal laat zich niet rechtstreeks omrekenen naar gigabytes, omdat de grootte van gebeurtenissen per telemetriebron verschilt.

Voor een gedetailleerde dimensionering van de SIEM-infrastructuur is daarom een afzonderlijke voorspelling nodig op basis van kortere tijdsintervallen of opgenomen bytes.

Beperkingen

Het onderzoek kent verschillende beperkingen.

Observatieperiode. De dataset beslaat 60 dagen en kan daarom geen langere maandelijkse, driemaandelijkse of jaarlijkse patronen vastleggen.

Wekelijkse afhankelijkheid. Het gekozen model gaat ervan uit dat de activiteit in de komende periode vergelijkbaar blijft met de overeenkomstige uren van de voorgaande week.

Wijzigingen in de omgeving. Nieuwe logbronnen, agent-uitrol, configuratiewijzigingen of uit gebruik genomen systemen kunnen de referentiebasis van de telemetrie veranderen en hercalibratie van de voorspelling vereisen.

Bekende operationele gebeurtenissen. Onderhoudsperioden en onderbrekingen in de opname moeten worden geïdentificeerd, zodat ze niet ten onrechte als normaal telemetriegedrag worden geïnterpreteerd.

Uuraggregatie. Korte pieken van gebeurtenissen binnen een uur worden niet weergegeven in de uurlijkse voorspelling en vereisen mogelijk een voorspelling met een fijnere resolutie.

Voorspellingshorizon. De evaluatie geldt specifiek voor een voorspellingshorizon van 24 uur. Voorspellingen op langere termijn zouden afzonderlijke validatie vereisen.

Conclusie

Een dataset van 60 dagen met 1,440 uurlijkse SIEMBIOT-observaties van opgenomen gebeurtenissen werd geanalyseerd om vast te stellen of historische beveiligingstelemetrie kan worden gebruikt om verwachte toekomstige activiteit te voorspellen.

De analyse identificeerde een sterk wekelijks terugkerend patroon, met een correlatie van ongeveer 0.78 bij een vertraging van 168 uur.

Vier voorspellingsbenaderingen zijn vergeleken via voortschrijdende validatie van 24 uur.

Voor de geanalyseerde dataset leverde de seizoensvoorspelling van 168 uur de beste algehele prestaties, met een gemiddelde MAE van ongeveer 67,455 gebeurtenissen per uur en een MAPE van ongeveer 7.18%.

Het gekozen model voorspelde ongeveer 22.15 miljoen beveiligingsgebeurtenissen in de volgende periode van 24 uur, met een verwacht gemiddelde van ongeveer 922,844 gebeurtenissen per uur.

Het onderzoek toont aan dat historische SIEMBIOT-telemetrie niet alleen kan worden gebruikt om eerder waargenomen activiteit te analyseren, maar ook om een verwachte toekomstige telemetriebaseline vast te stellen.

Door deze referentiebasis te vergelijken met later waargenomen activiteit ontstaat extra context voor SOC-bewaking, telemetrievalidatie, capaciteitsplanning en anomalie-onderzoek.

De voorspelling zelf voorspelt geen cyberaanval en identificeert niet zelfstandig kwaadaardig gedrag. Ze biedt een verwachte referentie waaraan toekomstige telemetrie kan worden gemeten en onderzocht.