Wat is jouw record op de 100 meter cyberdefense?

Ben jij al gehackt? Of ben je net zo snel als Usain?

Laten we eens kijken naar Usain Bolt. Wie? Ja, de snelste mens op aarde over 100 meter!

Hij heerst op de korte afstanden. En is met 9,58 seconden wereldrecordhouder op de 100 meter sprint.

Hoe zit zo’n race in elkaar?

Het psychologische spel begint bij de start. Veel lopers proberen zo laat mogelijk bij de startblokken te zijn.

De tijd tussen het startschot en de eerste afzet tegen het startblok bedraagt 0,1 seconde. Dat houdt in dat het startschot vanuit het startpistool bij het oor van de loper komt en daarna reageert zijn lichaam.

Sinds 2003 mocht er 1 valse start gemaakt worden. De eerstvolgende loper die een valse start maakte werd gediskwalificeerd. Hier werd door de lopers op topniveau mee gespeeld. Wederom de psychologische oorlogsvoering. Om dit te voorkomen is de regel in 2010 aangepast. De eerste die een valse start maakt wordt gediskwalificeerd. Een dramatisch gevolg voor Usain Bolt tijdens de wereldkampioenschappen in 2011. Hij werd als gevolg van een valse start gediskwalificeerd.

Halverwege de race bereiken de lopers hun topsnelheid. De primaire focus op de 100 meter sprint is het ‘zo lang mogelijk vasthouden’ van die topsnelheid. Vertragen en versnellen zijn geen tactieken die nuttig zijn op die korte afstand. Het komt meer aan op de kwaliteiten en de techniek van de loper.

De winnaar is degene die zijn torso het eerste over de finishlijn heeft geduwd. Geen armen of benen die hier een rol bij spelen!

De climatologische omstandigheden kunnen van grote invloed zijn. Zeker de luchtweerstand speelt een belangrijke rol. Een staartwind van meer dan 2.0 m/s maakt een record ongeldig. Op grote hoogte is de lucht ijler en is er dus minder weerstand. Die ijlere lucht maakt wel het ademen zwaarder, maar dat mag geen naam hebben op zo’n korte afstand. De zuurstof voor de klachtexplosie zit bij de start al in de spieren.   

Nu wil ik graag de stap naar mijn professie maken. Ik gaf in mijn vorige blogartikel aan dat effectief security management een saaie opeenvolging van procesmatige activiteiten behelst. Je hoeft van mij niet de duurste apparatuur te kopen. Je moet je goed laten trainen en begeleiden om een speler op topniveau te worden!

Toch ben ik erg huiverig als ik kijk wat er nodig is om een topatleet te worden. Waar moet je toe in staat zijn. Een explosie van minder dan 10 seconden wordt bekroond op een verschil van enkele honderdsten van een seconde! Dat is topsport.

Hoe moet dat nou bij jou in de organisatie als je voorbereid wilt zijn op de eerstvolgende hackaanval?

Als we kijken naar de Verizon Data Breach Investigation Reports van 2008 t/m 2012 zien we een schrikbarend beeld. De onderstaande figuren geven het achtereenvolgens weer. Te beginnen bij 2008.

Het duurt bij meer dan 50% tot 60% van de organisaties weken tot maanden vóórdat ze door hebben dat ze geïnfecteerd zijn. 

Vervolgens duurt het bij méér dan 50% van de organisaties weken tot maanden voordat ze de schadelijke gevolgen hebben opgelost.  

Tijdlijn 2008

Tijdlijn 2009

Tijdlijn 2010

Tijdlijn 2011

Tijdlijn 2012

Vergeleken met de sprint op de 100 meter vallen me een aantal zaken op:

• Er is bij hackaanvallen ook sprake van een psychologische oorlogsvoering. Wanneer vindt de aanval plaats? Welke ingang gebruikt de hacker? Heeft hij al een aantal keren een toenaderingspoging gedaan?
• Organisaties kunnen geen voordeel behalen  uit enige vorm van staartwind. In de race tegen cybercriminaliteit en hackaanvallen zie je dat slachtoffers achter de feiten aanlopen. Als er sprake is van staartwind, dan is die in het voordeel van de hackers.
• Hackers maken doorgaans geen gebruik van een startschot. De mogelijkheid om binnen 0,1 seconde uit de startblokken te komen bestaat ook niet. Zou die er wel zijn dan vraag ik me nogmaals af of organisaties die binnen enkele dagen gehoord hebben. Kortom, de snelheid waarmee infecties ontdekt worden zal niet drastisch ingekort worden!
• Er is geen nadeel van diskwalificatie door een valse start. Per definitie maakt de aangevallen organisatie een valse start. Door pas na maanden te reageren. Hier is een verbetering mogelijk door de analyse van security informatie te verbeteren. Het signaleren van infecties moet effectiever!
• Als de infectie eenmaal is ontdekt dan zie je iedereen rennen binnen de organisatie. Op naar de topsnelheid!. Voor zover een gelijkenis met de 100 meter sprint. Toch zakken veel organisaties af naar de sukkeldraf om er vervolgens weken tot maanden over te doen om de rotzooi op te ruimen. Vasthouden van de topsnelheid is een significant verbeterpunt in mijn ogen!
• Climatologische voordelen kan ik niet bedenken. Of het moet zijn dat een ongetrainde organisatie na het ontdekken van een infectie in ademnood komt als ze opschakelen naar topsnelheid. De vergelijking met een hooglandbaan kan ik me dan nog voorstellen. Moeten we wellicht genoeg zuurstof in de organisatorische spieren hebben om een sprint aan te kunnen tegen de hackers?
• En dan de finish. Die finish is toch echt pas bereikt als de rotzooi is opgeruimd, de lessons learned zijn vastgelegd en de signaleringsmogelijkheden zijn verbeterd en de organisatie zich de nieuwe crisisprotocollen eigen heeft gemaakt. De hacker heeft op topsnelheid zijn medaille al afgehaald.

OK, we kunnen niet allemaal Usain Bolt zijn. We kunnen ook niet allemaal de nummer twee van de wereld zijn. Maar het geeft te denken dat we wel de snelste, de meest klantvriendelijke en de meest kostenbewuste organisatie met de kleinste carbon footprint op deze aardkloot willen zijn. En dat zonder enige mate van voorbereiding op cybercriminaliteit.  

Mijn vraag aan jou is: ‘Hoe ga jij je voorbereiden op cybercriminaliteit?’

Ga je naar de gym (lees ‘security partner’) en laat je jezelf begeleiden om sneller door te hebben dat je geïnfecteerd bent? Of ga je door met aanmodderen om wellicht de volgende keer al na één maand de infectie te detecteren?

Je hebt geen keuze. Je moet een trainingsprogramma gaan draaien alsof je een topsporter bent. Je redt het niet met een ‘Sonja Bakker dieet’.

Luister trouwens naar het interview van Oprah met Lance Armstrong. Wellicht dat hij nog een goed idee heeft om jou een glansrijke carrière als ‘top security professional’ te garanderen.   

Stuur me even je nieuwe trainingsschema voor de komende twee maanden op! Wellicht kun je nog wat tips gebruiken?

Op een oude fiets moet je het leren

In mijn jeugd heb ik veel gesport. Ik speelde hockey en tennis. Daarbij spreek ik niet over topsport maar er bestond wel aandrang om te winnen en steeds beter te willen spelen. Nu zijn hockey en tennis sporten waar je veel creativiteit in kwijt kunt. Er zijn weinig stramienen waarbinnen je moet blijven om tot een goede prestatie te komen.

Op een gegeven moment kwam er een squashclub in het dorp. Een grote hal werd neergezet en ik was gelijk verkocht. Tennis werd ingeruild voor squash en ik begon fanatiek mijn vrije tijd in het spelletje te stoppen. Het eerste seizoen waren er al clubkampioenschappen en ik stond in de finale tegen een sluwe ervaren vos. Met 3-0 werd ik van de baan gemept. Maar ik was wel tweede bij de clubkampioenschappen!

In de jaren hierna nam het fanatisme niet af en heb ik steeds de uitdaging gehad om squash te spelen via vaste stramienen. Lange slagenwisselingen en een groot gebrek aan creativiteit. Ballen moesten strak langs de muur geslagen worden. Ook de juiste lengte speelde een belangrijke rol. Met mijn niveau heb ik eigenlijk altijd geworsteld om die stramienen tot in perfectie uit te kunnen voeren.

In de beginjaren is in die strijd, mede door de onkunde van een startende squashspeler, menig racket gesneuveld. De ontwikkeling op het vlak van het materiaal was enorm. En ik ben vaak gezwicht voor de nieuwste en mooiste rackets. Drie weken later stond ik dan weer met een kapot racket op de baan. Het mooie was dat de fabrikanten hun rackets voorzien hadden van de tekst 'Due to the nature of the game of squash we can not guarantee this racket'.

Briljant, je kocht een duur racket, maar de garantie was niet eens tot aan de deur. Gewoonweg omdat er teveel muren in het spel zijn waartegen je het racket kunt beschadigen.

Waarom vertel ik je dit? Twee zaken die ik hierboven beschrijf zie ik in mijn professie terugkomen.

Vooropgesteld, ik zie veel organisaties fanatiek hun IT en bijbehorende security regelen. Toch valt het op dat veel investeringen in security gebaseerd worden op de keuze van het beste apparaat. Na veel 'Fear, Uncertainty en Doubt' door fabrikanten en commerciële broeders van 'Wij van WC-eend' kiezen organisaties vaak voor het 'beste' product. De kostenoverwegingen even daargelaten.

Het tweede aspect is het gebrek aan structuur waarmee securityprocessen worden uitgevoerd. Soms voeren organisaties te weinig securityprocessen uit. Elders houden organisaties er een ad-hoc beleid op na en wordt pas gereageerd als er een virusinfectie plaatsvindt.

Gelukkig worden technische securityoplossingen wel gegarandeerd en kun je er denkbeeldig naar hartelust mee tegen de muren van je securityorganisatie aan slaan. Toch maakt de beste apparatuur je nog niet de professional die je moet zijn in dit vakgebied. Messi scoort meer dan 85 keer in een seizoen, maar niet doordat hij de beste schoenen draagt. Hij is wel de beste speler, en krijgt daarom ook de beste schoenen. 

Ik zie de fabrikanten trouwens nog niet hun apparatuur sponsoren aan organisaties die security op topsport niveau willen uitvoeren.

Je zult daarnaast security moeten gaan organiseren volgens saaie vaste stramienen van security management. Enerzijds het leren spelen op een gestructureerde wijze, en anderzijds het volharden in het steeds beter uitvoeren van de vaste stramienen maken je tot de profspeler die je moet zijn.

Als squashspeler luisterde ik goed naar mijn trainer. Hij leerde mij een betere speler te worden. Ook gaf hij me advies over mijn materiaalkeuze. Gelukkig trof ik trainers die met beide voeten op de grond stonden, en koos ik voor goed materiaal. De duurste rackets bleven in de winkel. Ze hebben me geleerd hoe ik via lange vaste stramienen de mogelijkheid had om steeds beter te gaan spelen. Het was aan mij en mijn gebrekkige talent om daarbij het onderste uit de kan te halen.

Tegenwoordig sta ik niet vaak meer op de squashbaan. De instelling om steeds beter te worden is niet gewijzigd. Professioneel bezoek ik daarom regelmatig een coach die mij leert werken volgens vaste stramienen. Het doel is om beter te worden.

Ik wil je meegeven om goed na te denken over de wijze waarop je security organisatiebreed wilt opzetten. Verlaat het ad-hoc beleid en overweeg welke risico's je wilt afdekken. Zoek daar de goede middelen voor. Daarnaast zul je procesmatig aan de gang moeten. Security management is wat anders dan ITIL, ITSM of COBIT. De verwevenheid daarmee is bij de een groter dan bij de ander. Maar security management kent een eigen set processen en procedures die vervlochten moeten worden met de processen van je IT-beheer.

Die procesmatige aanpak maakt security management net zo saai als een slagenwisseling van 20 tot 30 forehandslagen langs de muren van een squashbaan. Maar net als met squash kun je jezelf bij security management geen rare fratsen veroorloven. Die worden direct afgestraft.

Ik heb al vaker aangegeven dat je eens met de juiste security partner om tafel moet gaan zitten. Bespreek dan waar je volgend jaar wilt staan op het gebied van security management. Laat je begeleiden en opleiden tot een betere speler op het vlak van security. Leer lange saaie slagenwisselingen te maken op het gebied van security. Laat je niet iedere keer verleiden tot het aanschaffen van de duurste materialen.

Als je de opzet en de uitvoering van het spel niet beheerst maken de duurste technische hulpmiddelen geen prof van je! 

Anders dan de titel doet vermoeden zul je de oude fiets niet moeten gebruiken. Haal echter wel het beste uit je huidige security infrastructuur! Dat lukt door een goede procesmatige opzet van het beheer en het bijbehorende security management.

Ik hoor graag waar jij volgend jaar wilt staan op het gebied van security. Waar wil jij beter in worden? Welke aspecten van security management in jouw organisatie wil je beter gaan organiseren en uitvoeren?

Succes met de volgende virusuitbraak!

Houdt jouw voornemen stand?

Allereerst, de beste wensen voor een veilig 2013!

Voor een beetje voornemen heb je jezelf de afgelopen feestdagen behoorlijk rondgegeten. Oliebolletje en een appelflapje erin. En na 30 dagen vermageren, diëten, rennen, zweten en het vervloeken van de weegschaal geef je er weer de brui aan. 

Die voornemens zijn eigenlijk de beste voorspellingen voor zo’n nieuw jaar. Je houdt het toch niet vol. Daar kun je met grote zekerheid van uit gaan. Beter nog dan Gartners voorspellingen over IT-security. Daar voegden ze nog wel eens een probability van zo’n 70% aan toe. Die 70% is veilig. Het is een beetje waar, maar toch ook weer niet. Je kunt Gartner er niet op afrekenen. Zullen ze wel een disclaimer voor hebben.

Halen jouw IT-security voornemens die 70% dit jaar? Verschillen ze van jouw persoonlijke voornemens (afvallen, …)? Heb je hoop dat je jouw IT-security voornemens wel succesvol realiseert? Natuurlijk, die wel! In tegenstelling tot het afvallen dat zeker strandt. 

Waar mik jij op in 2013? Meer firewalls, betere firewalls, goedkopere firewalls, efficiëntere firewalls, …? Of doe je het eens een jaartje zonder firewall? Ja, dat is een goed idee! Gewoon een jaartje open en bloot aan het internet. Dan ben je ook af van al die onzekerheid of de organisatie wel veilig is. Weg met die valse zekerheid. Trek de firewall gewoon uit je netwerk. 

Even een disclaimer van mijn kant: ‘ik adviseer je om de firewall gewoon in je netwerk te laten zitten’. Ik wil niet dat een manager bij jou in de organisatie mij aansprakelijk gaat stellen voor iets dat allang aan de gang is in jullie netwerk. De malware is daar in stealth mode al bezig om kostbare vertrouwelijke informatie te verzamelen. 

Ik kan die uitspraak makkelijk doen. Volgens Verizon zijn meer dan de helft van de organisaties er pas na maanden achter dat ze geïnfecteerd zijn. Ook de antivirus oplossing bij jou in het netwerk faalt bij zo’n 70% van de bedreigingen. 

‘Doemdenker’ hoor ik je al zeggen. Nee, integendeel. Er zijn mooie kansen om op te pakken. 

Ikzelf zou de handschoen oppakken om van 50% risicodekking naar bijvoorbeeld 75% of 80% te komen. Laat die ambitie om van 95% naar 98% te komen varen. Je zit namelijk pas op 50%. Let wel, iedere organisatie kent natuurlijk een eigen grens ten aanzien van de acceptabele restrisico’s. 

Ga van start met een goede set best practices. Bijvoorbeeld die van SANS of van de Australische overheid. Het mooie van de Australische best practices is de top vier maatregelen. Die hebben in het afgelopen jaar meer dan 85% van de cyberaanvallen op Australische overheidsinstellingen tegengehouden. Die top vier bestaat uit:

• Application whitelisting
• Patchen (applicaties)
• Patchen (OS)
• Beperken van admin rechten (local/domain)

Het zijn zeer fundamentele maatregelen, die in mijn opinie onvoldoende aandacht krijgen in veel organisaties. 

Specifiek wil ik even stilstaan bij application whitelisting. Daar zijn een aantal zaken interessant.  

• Weet jij wie welke applIcaties gebruikt?
• Op welke manier worden applIcaties gebruikt?
• Zijn gebruikers zich bewust van het gebruik van ongewenste applicaties?
• Zijn gebruikers zich bewust van applicatiegebonden risico’s?
• Hoeveel bandbreedte nemen ongewenste applicaties voor hun rekening?
• Hoe pas je policies voor ongewenste applicaties toe over verschillende gebruikersgroepen?
• Hoeveel productiviteit gaat verloren door het gebruik van ongewenste applicaties?
• Is er een mogelijkheid om integriteit van applicaties en apps te achterhalen?
• Hoe voorkom je dat ongewenste applicaties geïntroduceerd worden door gebruik van USB-sticks, CD/DVD en het downloaden vanaf internet?
• Application whitelisting houdt in dat ongewenste applicaties niet geïnstalleerd kunnen worden. 
• Ongewenste applicaties mogen ook niet worden opgestart of uitgevoerd.
• Goede aandacht voor application whitelisting krijg je door te starten bij hoger management. Die gebruiken minder applicaties zodat het aantal false positives beter te managen is.  
• Application whitelisting is onderdeel van verschillende endpoint security oplossingen.
• Gebruik wel een oplossing die vanuit centraal management eenduidig een policy kan invoeren en beheren. Combineer die policy over de perimeter en de endpoints

Een hoge mate van automatisering is voorwaarde bij het verhogen van de risicodekking!

Wat ik je mee wil geven is de uitdaging om een eenduidlige policy die geldt binnen de perimeter door te trekken naar de werkplek. Gebruik daar de juiste endpoint security oplossing voor. De perimeter is slechts één van de vele ingangen in de organisatie. Ook jouw organisatie heeft smartphones en tablets aangesloten op het netwerk waarvan je geen weet hebt. Ook jouw organisatie doet zaken met partijen waarvan je niet weet dat er vertrouwelijke informatie mee wordt uitgewisseld. Ook jouw organisatie kent medewerkers die vertrouwelijke bedrijfsinformatie op dropbox hebben neergezet. 

Ik doe geen voorspellingen. Maar gezond verstand zegt me wel dat bewezen maatregelen ook effectief kunnen zijn in jouw omgeving. Heb je de holy grail te pakken? Misschien niet, maar je bent een goed eind op weg. 

Voor de komende maand afzien bij het afvallen wil ik je nog succes wensen. Weten dat je gaat opgeven op 31 januari en toch stug volhouden. Dat kenmerkt de echte stijfkop! En dat is wat je moet zijn de komende tijd om ongewenste applicaties uit je netwerk te houden.

Terug naar de basis en op naar de juiste risicodekking! 

Maya-voorspellingen. Je bent er nog!

Echte profetieën.

Ongemerkt heb ik gisterenavond mijn kinderen een extra aai over hun bol gegeven toen ik ze naar bed bracht. In mijn achterhoofd speelde onbewust de Maya-voorspelling mee. Ik hoor ze deze morgen trouwens boven al op hun kamer rondlopen. Mijn ongerustheid was dus onterecht.

Ik weet niet hoe we hier op gaan terugkijken in de komende tijd. Wordt het een dag zoals iedere andere dag? Of komt 21 december 2012 in de geschiedenisboeken naast 2 juli 1600 te staan? Herinner je je die memorabele dag trouwens nog?  Iets met Nieuwpoort …? Feit blijft dat mensen er serieus aandacht hebben besteed. Er zijn ook mensen die zich opgesloten in Bugarach in de Pyreneën.

Voor mij is het de vraag of we ons iets moeten gaan aantrekken van de voorspellingen die onze mailbox binnenstromen. Ikzelf hecht er echt heel veel waarde aan. Ze zijn een trapleuning voor de security investeringen van volgend jaar! Daarom wil ik je als security professional graag een aantal profetische waarschuwingen voor 2013 meegeven.  

• Cloud – let op voor een toenemend aantal kwetsbaarheden!
• BYOD/Mobile malware – al die smartphones en tablets blijven lastig om te managen.
• Targeted attacks/Social engineering – er zijn mensen die malware op je systeem willen injecteren via slimme doelbewuste aanvallen.
• DDoS attacks – ook jij bent een potentieel doelwit!
• Big data – enorm veel kwetsbaarheden.
• Cyber espionage – Veelal kijkt er een buitenlandse overheidsmedewerker over je schouder mee.
• Advanced Persistent Threats – er worden steeds geavanceerdere aanvalsmthoden ontwikkeld en toegepast.
• Mac malware – ook jouw Apple is doelwit.
• Hacktivism – het is een echte bedreiging!

Deze voorspellingen had je ook zelf kunnen bedenken. Ik heb die moeite niet genomen. Getuige de bovenstaande lijst. Ere wie ere toekomt. Dit lijstje heb ik van Constantine von Hoffman, blogger bij CIO.com.

• De waarde van de voorspellingen ligt vooral in de voorspelbaarheid.
• Die van vorig jaar in een ander jasje.Veel self fulfilling prophecies!
• De een nog verwarrender dan de andere!

De vraag is welke leidraad jij nodig hebt voor de juiste security investeringen in 2013?

Een van de meest voorkomende vergissingen die ik tegenkom bij organisaties is de discussie om van 90% risicodekking tot 95% te komen. Dit gebeurt, terwijl met een kijkje in het datacenter en een paar vervelende vraagjes al snel duidelijk wordt waar de uitdaging echt ligt. Niet de overgang in de hoogste regionen van risicodekking. Nee, gewoon risicodekking van 50% tot 75% is voor veel organisaties al een hele kluif.

Pin me niet vast op de getallen, val me ook niet aan op het gebruik van getallen. Feit is dat de discussie op de verkeerde manier gevoerd wordt. En in veel gevallen over de verkeerde onderwerpen. Ik heb in een voorgaand artikel al gesproken over Terug naar de basis. ‘ First things first’ zoals Steven Covey verder uitgewerkt heeft in zijn boek ‘ Seven Habitsof Highly Effective People’.

Zijn voorspellingen dan helemaal niets waard? Nee, dat zeg ik niet.

Ik wijs alleen op de profetische waarde die je ook in je eigen gloeilamp had kunnen ontdekken. Ik vraag je goed na te denken over de risico’s die je loopt bij verwerken, opslaan en versturen van vertrouwelijke informatie.

Wil je een overzicht van risico’s? OK, hier vindt je een lijstje.  Het is maar een voorbeeld. De kracht ligt in het risico assessment van je belangrijkste processen. Discussie, nieuwe inzichten, met elkaar eens worden, besluiten, … Allemaal belangrijke elementen van een goede voedingsbodem voor investeringsbesluiten.

Even recapituleren.

• We zijn op 22 december 2012 nog steeds op deze aardbol ons leventje aan het leiden.
• We waren even de slag bij Nieuwpoort vergeten.
• De meeste profetische voorspellingen kun je zelf bedenken.
• De uitdaging bij jou in de organisatie ligt niet in risicodekking op 95%.
• Op basis van ‘ First Things First’  zul je moeten bouwen aan fundamentele bouwstenen in je security infrastructuur.
• De meest voor de hand liggende methode voor waardevolle investeringen is het uitvoeren van risico assessments voor de belangrijkste processen.

Ga de uitdaging aan om van de huidige risicodekking van om en nabij 50% te komen tot een risicodekking die past bij jouw organisatie. Daar hoort niet een vast getal bij. De key proceseigenaren bij jou in de organisatie beslissen zelf welk risico ze acceptabel vinden.

Mocht je moeite hebben om de juiste argumentatie te vinden val dan niet direct terug in je vertrouwde oplossingsmethode ‘Wij van WC-eend’ . Heb je vragen waar je niet uitkomt ga dan een serieus gesprek aan met je security partner. Dan bedoel ik niet die ene die je net de nieuwste producteigenschappen heeft opgesomd.

Op naar de kalkoen en de schoonfamilie! Fijne feestdagen. Ik zie je bij IKEA.

De Nordman is binnen

Jawel, dit weekeinde staat de belangrijke opdracht voor het halen van de kerstboom op het takenlijstje. Je kunt niet thuiskomen met een zelf omgezaagde variant van een kersttak. Nee het wordt, net als vorige jaren, een Nordman!

Duur, dat wel. Maar kwaliteit, hé!

Met kerst voor de deur zie ik mensen in de vakantie weer lekker achter de laptop of tablet kruipen. De kerstkaartjes worden virtueel geknutseld en geplakt. Postzegel er op en naar de virtuele brievenbus. Meer mensen, meer tijd en de hang naar nonsensinformatie op je scherm. Laat het werk even het werk. Kerst is bedoeld om je gedachten even terug over het jaar te laten gaan en in gezellig samenzijn over koetjes, kalfjes en ander geluk te spreken.

Ik zie dan ook een gerede kans dat er meer laptops, tablets en smartphones besmet raken. Maar, who cares? We hebben ook nog de rest van de kerstvakantie om de rotzooi van het systeem te vegen. Minder bewust, onder het genot van een warme chocomel, gaat Nederland de digitale snelweg op. Nog even die leuke kerst app laden en dan de wereld aan wensen de ether in slingeren.

Is de kans groter dat juist met kerst meer besmettingen bewaarheid gaan worden? Ik heb geen zin om dat statistisch te gaan onderbouwen. Het is meer een gevoel.

Waar ik jullie nog wel even voor wil waarschuwen is de brandgevaarlijkheid rond kerst. Onderstaand een lijstje met mogelijke oorzaken van brand. 

• verlichting/trafo kerstboom wordt te warm
• slechte of overbelaste verlengkabels 230 volt
• brandbaar materiaal dicht bij lampen, kachels, etc.
• brandende kaarsen in kerststukjes
• brandende kaarsen die omvallen of dicht bij de gordijnen staan
• bijvullen met spiritus van warme branders voor het gourmetten
• vlam in pan of flamberen tijdens het koken
• vuurwerk op het toetje
• niet geveegde schoorstenen

Het is zo logisch. Hier hebben we allemaal wel wat mee. Volendam, Enschede die hebben ons wel wakker geschud. Welke schade binnen de digitale wereld zou hetzelfde effect hebben? Een lek EPD? Een onbetrouwbare overheidsinstelling voor digitale certificaten?

Die laatste heeft natuurlijk het afgelopen jaar wel zijn sporen achtergelaten. We worden steeds bewuster. De overheid werkt daar ook positief aan mee. Maar de vraag is in hoeverre die indrukken blijven hangen?

Als ik denk aan de beelden van Volendam zie ik alle redenen om de bovengenoemde oorzaken van brand goed te checken.

Ik stel me zo voor.

Ministers Opstelten en Schippers staan met een drijfnat pak op het Binnenhof met een stapel, eveneens drijfnat, papier onder de arm (lees: het opengebroken digitale EPD). Onze digitale forensische brandweerman Erik Akerboom (Nationaal Coördinator Terrorismebestrijding) staat in brandweerpak ernaast. Hij houdt de nadruppelende brandweerslang nog in de aanslag.  

Maakt het indruk? Nee, ik zie weer die beelden uit Volendam. Die ontploffing in Enschede.

Leren we van iets wat indruk maakt?

Gisteren hoorde ik alweer dat er meer vuurwerk in omloop is dan vorige jaren. Er zullen wel dode slachtoffers vallen. Dat kan niet uitblijven.

Ik zeg, leg dat natte lekkende EPD op de verwarming. Laat het even drogen. Kruip lekker in de kerstvakantie achter je schermpje. Knutsel een leuk kaartje, laad die leuke app met dansende elanden. Stuur mij alleen geen eigen knutsels via internet. Ook ik wil even niet met mijn beroep bezig zijn.

Zo, nu die Nordman naar binnen slepen. Leuk, die echte kaarsjes er in!

Is Noord Korea een Advanced Persistent Threat?

Vanmorgen heeft Noord-Korea een (langeafstands)raket gelanceerd en een satelliet in een vlucht om de aarde gebracht. De North American Aerospace Defense Command bevestigde het bericht. Gelukkig ‘vormden zowel de eerste trap als de tweede trap, inclusief bijbehorende afvalresten, geen gevaar voor Noord Amerika’. 

 

Ik stel me zo voor dat we hier te maken hebben met een geavanceerde tegenstander. Wellicht is de vergelijking met een Advanced Persistent Threat op z’n plaats.

 

Is dat wel zo? Laten we eens kijken naar de karakteristieken van een Advanced Persistent Threat. De volgende figuur geeft de levenscyclus van een APT weer.

 

 

De volgende aspecten zijn karakteristiek voor APT’s:

• Ze zijn erg doelgericht (targeted). Vooraf wordt in kaart gebracht welk doelwit de meest waarschijnlijke grote buit herbergt.
• Ze zijn complex. Ze zijn niet gemakkelijk te herkennen doordat ze samengesteld zijn uit verschillende aanvalsmethoden.
• Ze zijn permanent. Bij de eerste tegenslag laten ze zich niet uit het veld slaan. Vasthoudend als ze zijn blijven ze zoeken naar wegen om de waardevolle informatie te ontfutselen.
• Ze verstaan de kunst van het ontwijken. APT’s laten zich niet gemakkelijk zien. Ze kunnen nieuwe aanvalsmethoden toepassen op het moment van herkenning. Ze duiken zeer gemakkelijk onder de radar. 

 

De raketlancering van Noord-Korea is niet bepaald doelgericht te noemen. Althans niet gericht op een van hun opponenten (Amerika of Zuid-Korea). Maar wellicht dat hier een geavanceerde aanvalsstrategie achter zit en op later moment vanuit de ruimte een aanval gepleegd wordt? De mate waarin doelbewust voor deze aanval is gekozen valt te bezien. Misschien is het niet meer dan een stukje machtsvertoon en kan van een aanval domweg niet gesproken worden.

 

De complexiteit van de aanval laat zich moeilijker analyseren. Noord-Korea beschikt over de technologie om kernbommen te fabriceren. Op zichzelf is dat complex. Maar de complexiteit van de aanval maakt niet dat een potentiële aanval onherkenbaar blijft. Nogmaals, het kan zijn dat op later moment vanuit de ruimte een onverwachte aanval plaatsvindt. Dan zit momenteel de hele wereld zich onterecht te verontwaardigen over een NKISS (North Korean Impersonating Space Station). En hebben we regelrecht te maken met een atoomwapen.

 

Van de buiteland commentator van BNR (Bernard Hammelburg)  begreep ik dat Noord-Korea nog niet in staat is om hun kernkoppen dusdanig klein te maken dat ze op de langeafstandsraket passen. Het blijft gissen in mijn ogen. Wel staat boven water dat de raketlancering zeer zichtbaar is geweest voor de wereld.

 

Hoe lang het projectiel (lees satelliet) in de ruimte blijft is ook onbekend. Hoelang Noord-Korea in deze hoedanigheid dit soort spelletjes kan blijven spelen op het wereldtoneel is ook de vraag. Kortom, het is onduidelijk welke van de twee het meest permanente karakter heeft (de satelliet of Noord-Korea). Bij het permanente karakter van APT’s hoort ook een stuk vasthoudendheid. Met de geschiedenis van Noord-Korea voor ogen, in een snel veranderende wereld, wordt snel duidelijk dat er sprake is van vasthoudendheid bij de leiding van het land.

 

Hoe ontwijkend is Noord-Korea? APT’s hebben het vermogen om de aanvalstactiek aan te passen als ze op het punt staan ontdekt te worden. Hier is nauwelijks sprake van ‘op het punt staan om ontdekt te worden’. Het enige dat ik me kan voorstellen is het moment waarop de satelliet toch blijkt te beschikken over een geavanceerd wapensysteem. Daarbij is het goed mogelijk dat de communicatie tussen het control center in Noord-Korea en de satelliet te onderscheppen is. Ook hier is maar zeer beperkt sprake van enig ontwijkend karakter.

 

Is hiermee de vergelijking tussen Noord-Korea en APT’s voldoende duidelijk geworden?

 

De vraag is natuurlijk of je überhaupt die vergelijking kunt maken? Feit blijft dat APT’s tegenwoordig in vele verschijningsvormen een realiteit zijn. De dagelijkse werkelijkheid maakt dat organisaties zich echt zorgen moeten maken over verlies of diefstal van gevoelige informatie. Dreigend machtsvertoon van wederzijdse ‘Koude Oorlog praktijken’ speelt geen rol van betekenis hierbij.

 

De eenzijdige toepassing van deze tactieken door een land als Noord-Korea maken nog niet dat de wereld met een directe dreiging te maken heeft. Nauwlettend volgen van de situatie door de VN is het enig juiste wat moet gebeuren. Dat is een van de voordelen die deze raketlancering als gevolg heeft. In tegenstelling tot APT’s is het duidelijk welke dreiging er in de lucht hangt.

 

Wat dat betreft kun je jezelf misschien gelukkiger prijzen met deze situatie dan met de eerstvolgende cyberaanval op je IT-infrastructuur. Dat laat onverlet dat diefstal van vertrouwelijke informatie in geen verhouding staat tot de gevolgen van nucleaire dreiging!

 

APT's hebben de vervelende eigenschap onder de radar te duiken en te blijven. Vooropgesteld natuurlijk dat er een radar aanwezig is binnen de organisatie! Daarbij heeft het merendeel van organisaties enkele maanden nodig om te ontdekken dat ze geïnfecteerd zijn (Verizon). Er is geenszins te spreken van 'continuous monitoring'!

 

Dit in tegenstelling tot de raketlancering vanmorgen in Noord-Korea. Daarbij is direct duidelijk geworden dat de wereld op verschillende manieren dit soort activiteiten in de gaten houdt. Hier is weldegelijk sprake van een vorm van 'continuous monitoring'.

 

In mijn vorige blogartikel heb ik gesproken over 'terugkeer naar de basis'. Daar hoort wel de ambitie bij om sterk geautomatiseerd gebruik te gaan maken van security intelligence. Het gebruik van 'continuous monitoring' speelt een belangrijke rol. 

 

Is Noord-Korea een APT? Ik denk van niet. De situatie is wereldschokkend, dat wel. Maar de duidelijkheid van hetgeen gebeurt is maakt de behandeling door bijvoorbeeld de VN realiseerbaar. 

 

Vergelijk die situatie met je eigen organisatie. Is het duidelijk welke cyberaanvallen daar hebben plaatsgevonden? Is een concreet behandelplan actief om de infecties op te ruimen? Of duurt het nog enkele maanden voordat je door hebt dat de IT-infrastructuur geïnfecteerd is? 

 

Wat zul je staan te kijken als blijkt dat de eerstvolgende cyberaanval vanuit Noord-Korea plaatsvindt!

 

Succes met je voorbereiding op cyberaanvallen. 

 

 

 

 

Terug naar de basis

In november heb ik een aantal presentaties gegeven over de voorbereiding op cyberaanvallen. Op zowel het Cybersecurity congres van Heliview als het E-Crime congres vertelde ik over de wijze waarop organisaties zich zouden moeten voorbereiden op cyberaanvallen. Een aantal van de kernpunten in mijn betoog waren de volgende:

• Meer dan de helft van de organisaties hebben enkele maanden nodig om te ontdekken dat ze geïnfecteerd zijn. Het duurt dan vaak nog enkele weken voordat ze de boel opgeruimd hebben (Verizon).
• Advanced Persistent Threats zijn venijnige dingen. Ze blijven op geavanceerde wijze onder de radar (voor zover die aanwezig is in de organisatie). De malware draait al in de netwerken van organisaties in stealth mode.
• De kennis voor het detecteren en oplossen van cyberaanvallen is niet in voldoende mate op de arbeidsmarkt aanwezig. In de Verenigde Staten is NICE opgestart om 30.000 cyber security specialisten op te leiden. Verhoudsingsgewijs komen er de komende jaren in Nederland géén 1.500 cyber security specialisten van de hogescholen en universiteiten.
• Organisaties moeten een geavanceerd Cyber Defense Management System optuigen. Dit is een uitgebreid stelsel van maatregelen en services die gebaseerd zijn op security intelligence. Het systeem wordt gevoed vanuit verschillende feeds, waaronder bijvoorbeeld fraud feeds en geo-location feeds.

Organisaties beschikken gewoonweg niet over de kwaliteiten, de kennis en de ervaring om zich effectief te prepareren op cyberaanvallen. En daar waar ze willen investeren in kennis en/of ervaring is het aanbod de komende jaren minimaal. De keuze om eens met je security partner te gaan praten is in mijn ogen zo gek nog niet. De vraag is echter wat je verwacht van jouw security partner?

Je kunt je daarbij prima laten leiden door best practisces als die van SANS Institute (Twenty Critical Security Controls for Effective Cyber Defense). Op basis van die best practices kunnen bestaande security infrastructuren en het security management stapsgewijs op een hoger plan gebracht worden.

Veel van de organisaties waar ik over de vloer kom leunen nog op een perimeter-based security infrastructuur. Security wordt behandeld als een connectiviteitsvraagstuk. De beschikbaarheid en de performance van de firewall worden geoptimaliseerd. Dit is in mijn ogen dé snelweg naar een enorme crash waarbij vertrouwelijke personeelsgegevens, klantgegevens of patiëntendossiers op straat komen te liggen.

Ik ben ervan overtuigd dat meer security intelligence ingezet zal moeten worden om effectief voorbereid te zijn op cyberaanvallen. Helaas moet ik ook constateren dat in de basis nog veel zal moeten verbeteren voordat effectief gebruik gemaakt kan worden van security intelligence.

Terug naar de basis dus!      

Die basis bestaat uit de best practices zoals die in de SANS Critical Security Controls for Effective Cyber Defense zijn beschreven. Ze zijn ook gelinkt aan de Australische 35 Strategies to Mitigate Targeted Cyber Intrusions. Van deze 35 maatregelen hebben in het afgelopen jaar de eerste vier méér dan 85% van de cyberaanvallen op Australische overheidsinstellingen tegengehouden. We spreken hier over zaken als application whitelisting, patchen van applicaties en OS en beperken van admin rechten (local/domain).  

Nu zullen de meeste security professionals bezorgd zijn over de resterende 15%. Ikzelf maak me voor veel organisaties zorgen over die 85%. In de kern zullen veel organisaties nog alle zeilen moeten bijstellen om bovengenoemde basismaatregelen goed te realiseren. Vergaande automatisering is trouwens een voorwaarde voor een verhoogd effect van bijvoorbeeld de SANS best practices.

Goed voorbereid zijn voor cyberaanvallen lukt niet alleen door stapsgewijs de basismaatregelen in te gaan regelen. Met de wetenschap dat malware al in stealth mode in de netwerken draait bestaat de voorbereiding op cyberaanvallen ook uit een goede incident respons procedures. Wat ga je zeggen tegen de pers? Wie zijn de aangewezen personen om de gedupeerden te woord te staan? Welke weg bewandel je om dit soort bedrijfsrisico’s te managen?

Aan de huidige situatie rondom cyber security kleeft nu eenmaal de vraag ‘wanneer je gehackt wordt’. De vraag ‘of …’ is een gepasseerd station. 

Ben je er snel genoeg bij? De tijd zal het leren. 

Blijft het bij één keer? Wie zal het zeggen?

Maar in ogen van cyber criminelen zijn marketingplannen, pricingstrategieën, ontwerpplannen, klantgegevens en patiëntendossiers toch echt bijzonder aantrekkelijk.

De eerste inbraak is al bezig. De tweede inbraak loert al om de hoek! Dus bereid je voor en bouw je basis security infrastructuur uit!