Hostingpartijen hebben een belangrijke rol in de securityketen
Het perspectief van een hacker
Richard Klein heeft een achtergrond als ethisch hacker. Als beveiligingsexpert specialiseerde hij zich in penetratietesten en andere testmethodes om de weerbaarheid van een organisatie te toetsen tegen cybercriminaliteit. In 2014 startte Richard, samen met een oude jeugdvriend en René van Etten, ThreadStone Cyber Security. Een van hun focusgebieden is het toetsen van de veiligheid van hostinginfrastructuren. ThreadStone Cyber Security is de ontwikkelaar van de hostinginfrascan die wij samen met de Vereniging van Registrars aanbieden aan het registrarveld.
Hoe word je een ethisch hacker?
“Ik kom uit de bancaire sector, een omgeving die snel volwassen moest worden als het om cyberbeveiliging gaat. Zo leerde ik veel over de noodzaak van een goede beveiliging en kon ik mijn kennis toepassen om websites en bedrijfsnetwerken van andere bedrijven te controleren op kwetsbaarheden. Ik haalde hiervoor de juiste certificaten, zoals Certified Ethical Hacker (CEH) en penetratietester (LPT) en ben me ook gaan richten op het midden- en kleinbedrijf. Vooral omdat juist dat soort bedrijven er te makkelijk van uitgaan dat hun security op orde is. En als ze gehackt zijn weten ze vaak niet wat ze moeten doen. Voorkomen is beter dan genezen, dus eigenlijk moet het voor elk bedrijf eenvoudig worden gemaakt om systemen periodiek te controleren op kwetsbaarheden. Bij ThreadStone streven we er altijd naar om op een zo laagdrempelig mogelijke manier systemen te kunnen scannen op kwetsbaarheden. Daarbij hebben we goed gekeken naar de manier waarop een hacker tegen je systemen aankijkt.”
Wat zijn opmerkelijke gevallen die je zijn bijgebleven?
“Toen we samen met TNO werkten aan een project waarbij we het internet afstruinden om kwetsbare systemen in kaart te brengen, ontdekte ik een website van een makelaar waar paspoortkopieën, koopaktes en allerlei zeer gevoelige gegevens van klanten onbeschermd op het internet stonden. Dat voorbeeld geeft ook aan waar het spanningsveld ligt voor een ethisch hacker: toen wij de makelaar hiervan op de hoogte wilden stellen, gaf deze ons aan bij de politie in verband met computervredebreuk. Gelukkig heeft de politie niets gedaan met die aangifte. Ze vonden dat de makelaar de fout bij zichzelf moest zoeken. Andere voorbeelden die me te binnen schieten zijn die van een uitzendbureau en een datingsite die beide hun database met persoonsgegevens niet goed beveiligd hadden. Hierdoor konden allerlei zeer gevoelige gegevens worden ingezien. Nog steeds komen we dit soort voorbeelden eigenlijk veel te vaak tegen.”
Wat is volgens jou het grootste risico dat bedrijven lopen?
“Risico’s veranderen heel snel. Cybercriminelen hebben verschillende prioriteiten en aanvalstechnieken, die ook nog eens snel veranderen. Het grootste risico is een gebrek aan goed en continu zicht op kwetsbaarheden. Veel bedrijven controleren hun systemen niet, of niet regelmatig. Als je systemen vandaag goed scoren op weerbaarheid, kan dat morgen weer anders zijn. Je moet echt te allen tijde weten hoe je security ervoor staat. Naast het controleren op kwetsbaarheden, wat een preventieve maatregel is, is ook monitoring van de systemen erg belangrijk om verdachte zaken snel te kunnen detecteren. Op dit moment wordt jaarlijks 1 op de 5 organisaties slachtoffer van een vorm van cybercriminaliteit. Denk als bedrijf dus niet dat het jou niet kan gebeuren, maar zorg dat inbreuken snel gedetecteerd worden om de schade beperkt te houden.”
Zit er verschil in het risico dat hostingpartijen lopen ten opzichte van andere bedrijven?
“Nee en ja. Technisch gezien lopen ze dezelfde risico’s als andere bedrijven. Maar hostingpartijen hebben wel een bijzondere positie in de keten. Ze beheren de operationele systemen en data van hun klanten. Als een hostingpartij gehackt wordt, heeft dat vaak direct verstrekkende gevolgen voor de vele bedrijven die daar hun websites en systemen hebben ondergebracht. Als hun weerbaarheid niet op orde is, brengen ze dus niet alleen hun eigen continuïteit maar ook die van andere bedrijven direct in gevaar. Hiermee is de hostingindustrie voor hackers en andere kwaadwillenden wellicht ook een interessanter doelwit dan een gemiddeld mkb-bedrijf.”
Wat adviseer jij hostingproviders?
“Dat is een beetje een open deur, maar aandacht voor security, inclusief regelmatig scannen op kwetsbaarheden is echt de basis. Met de hostinginfrascan van SIDN en de VvR is de investering minimaal, zowel in tijd als in geld. Daarbij is het zinvol om je te richten op de delta: de meeste inzichten haal je uit het verschil tussen de laatste 2 scans. Dan zie je ook welke maatregelen effect hebben gehad. Al scan je 2 keer per jaar je systemen, dan kan je daar al enorm veel inzichten uit halen. Je kunt beter prioriteiten stellen en zo kan je met weinig moeite je risico’s verlagen en de impact van je maatregelen meten. Wat ons opvalt is dat sommige partijen ervoor kiezen om slechts enkele servers te scannen in plaats van allemaal. Security blijft mensenwerk, en als een van je servers toch niet juist gepatcht is, dan kan die zwakke schakel onverwacht grote gevolgen hebben. Kijk dus uit met de aanname dat alle hostingservers wel hetzelfde zullen zijn ingericht.”
Jij bent geboeid door de psychologie die schuilgaat achter de beveiligingsstrategie van bedrijven. Kan je dat uitleggen?
“Wat mij al jaren opvalt, is het ogenschijnlijke gebrek aan het gevoel voor urgentie bij ondernemers. Er wordt onbewust veel geld uitgegeven aan goede beveiliging van kantoorpanden, alarmsystemen, videosurveillance et cetera. Ook al zijn de risico’s op schade door cybercriminaliteit even groot of inmiddels zelfs groter, toch schuiven bedrijven de kleinste investeringen voor zich uit. Na afloop van onze webinars houden we altijd een anonieme enquête. Daarin vragen we bijvoorbeeld wie van plan is om te gaan controleren op kwetsbaarheden. Verreweg de meeste deelnemers, vaak tientallen, stellen dat ze actie gaan ondernemen. Nu weet je natuurlijk dat lang niet iedereen de daad bij het woord voegt. Maar in de praktijk blijft het echt bij een enkeling. Dat vind ik opmerkelijk en zorgelijk.” “Verder valt het me op dat bedrijven weinig kennis delen over hun ervaringen met hackers en hoe ze daarmee omgaan. Er hangt nog veel schaamte omheen. Terwijl niemand het je kwalijk neemt als je gehackt bent. Mensen zijn vooral geïnteresseerd in hoe je ermee bent omgegaan. Als je daar transparant over bent, wordt dat vaak enorm gewaardeerd. Als bedrijven meer kennis delen, kunnen we belangrijke verbeterpunten ook veel beter in kaart brengen en kunnen we van elkaar leren.”
Rapportage Hostinginfrascan
In juni 2020 lanceerden de Vereniging van Registrars, SIDN en ThreadStone Cyber Security de Hostinginfrascan. Hierdoor wordt het hostingproviders zo makkelijk mogelijk gemaakt om servers regelmatig te scannen. In mei 2021 publiceerden we een rapportage met de belangrijkste resultaten tot dan toe. Het rapport, te vinden via https://publications.sidn.nl/hostinginfrascan, schetst:
de gemiddelde veiligheidsscore van de deelnemers;
het verbeterpotentieel van deelnemers die 2 scans hebben uitgevoerd;
inzicht in de belangrijkste kwetsbaarheden;
feedback uit deelnemer-enquêtes.