10 smeuïge securitykwesties in 2011

In 2011 bleek niemand veilig voor securityaanvallen. Zowel spelletjesnetwerken als securitybedrijven zelf. De securityproblemen dijen al jarenlang steeds breder uit en overstijgen allang de klassieke virus- en spamproblematiek. Malware sprong van de gekende computersystemen over op machines. Gegevensdiefstal evolueerde van bankkaartgegevens naar spelletjesaccounts. Er wordt steeds luider gesproken over georganiseerde cybermisdaad en over cyberoorlogsvoering. En ondertussen groeit ook stilaan het probleem in mobiele toepassingen, met malafide apps in de winkels…

In 2011 bleek niemand veilig voor securityaanvallen. Zowel spelletjesnetwerken als securitybedrijven zelf.

De securityproblemen dijen al jarenlang steeds breder uit en overstijgen allang de klassieke virus- en spamproblematiek. Malware sprong van de gekende computersystemen over op machines. Gegevensdiefstal evolueerde van bankkaartgegevens naar spelletjesaccounts. Er wordt steeds luider gesproken over georganiseerde cybermisdaad en over cyberoorlogsvoering. En ondertussen groeit ook stilaan het probleem in mobiele toepassingen, met malafide apps in de winkels…

Kortom, je zal maar verantwoordelijk zijn voor security in een bedrijf. Maar geen paniek: doe een grondige risicoanalyse en focus je inspanningen op wat echt moet worden beschermd, met een verzameling van complementaire middelen. Een 100 procent beveiliging zal nooit mogelijk zijn, maar een dergelijke aanpak zal voorkomen dat je bedrijf ooit compleet afgaat (en wellicht ten onder gaat).

Hier gaan we:

Diginotar Een uitgever van ssl-certificatenzonder anti-virus op de eigen servers… Tja, dat is om problemen roepen. Het faillissement was een logische conclusie van deze tragikomedie, met de nadruk op tragisch omdat hierdoor contestanten in moeilijke landen in levensgevaar zijn gekomen.

Shady RAT Niemand bleef verschoond, ook de VN niet, in een van de grootste en langstlopende cyberspionage-operaties. Althans, voor zover bekend….

Sony Een ‘annus horribilis’ voor Sony. Ook in België werd een dochtermaatschappij van Sony – in casu de muziektak – gekraakt. In het ‘online entertainment’ network van Sony werden betaalgegevens van klanten gestolen – onderhand een ‘klassieke’ vorm van datadiefstal. Ook het wereldwijde PS3-netwerk van Sony werd met succes aangevallen. Overigens had Sony kort voor de golf van aanvallen een aantal personen in de security-afdeling ontslagen. In september van dit jaar nam Sony een eerste Chief Information Security Officer in dienst, Philip Reitinger – voordien onder meer hoofd van Microsoft’s Trustworthy Computing unit.

RSA tokens
Ook securityspecialist RSA had met problemen te kampen, en liet de wereld een poos in het ongewisse wat er aan de hand was met zijn ‘tokens’ voor sterke authenticatie. Uiteindelijk besloot het toch tot vervanging over te gaan, maar het leverde toch al de Pwnie award for ‘lamest reaction’ op (‘meest slappe reactie’).

Nitro De ‘Nitro’-spionage actie belaagde de automobielsector en de chemische industrie. Bovendien dook dit jaar ook DuQu op – blijkbaar een nazaat van Stuxnet , een virus dat industriële installaties aanviel. Niet echt geruststellend voor wie een gevaarlijke industriële installatie in de buurt heeft.

…zelfs met hulp vanuit België Een server in België leverde hand- en spandiensten voor het verzamelen van door DuQu gestolen informatie…

DNS.BE Het leek een aanval op .be maar het was gelukkig maar een spamaanval.

SAP ‘can be hacked’ Een onderzoek bracht aan het licht dat heel wat SAP installaties die via het web toegankelijk zijn, helaas ook ‘kraakbaar’ waren. De onderzoeker kwam zijn resultaten toelichten op Brucon – het jaarlijkse event voor (goedmenende) ‘hackers’ in België

Aanval op beurzen Het duurt soms wel een hele poos eer uitlekt dat – vaak gevoelige – doelwitten het voorwerp van aanvallen worden. Begin dit jaar werd pas bekendgemaakt dat Britse en Amerikaanse beurzen het doelwit van aanvallen waren.

Hoed u voor paniek
Anderzijds wordt de soep niet altijd zo heet gegeten als ze wordt opgediend. Herinnert u zich het bericht over een doorgebrande pomp in een Amerikaanse watervoorzieningsbedrijf, allicht het slachtoffer van een Russische aanval? Na Stuxnet was het een nieuw voorbeeld van de uiterste kwetsbaarheid van de kritieke nationale infrastructuur? Dus niet! Begin december verscheen in een verdoken hoekje een bericht dat de aanval uit Rusland… helemaal geen aanval was. Blijkbaar was er inderdaad wel een falende pomp geweest, maar het Russisch ip-adres in de log had daar niets mee te zien. Een externe adviseur van het nutsbedrijf was gevraagd om even een probleem op te lossen, wat hij ook deed tijdens zijn vakantie in… Rusland. Vandaar.

Of hoe niet alle verontrustende berichten dat zijn en we ons moeten hoeden voor snelle paniek. Maar anderzijds mag dat evenmin resulteren in een laksheid om toch werk te maken van een betere bescherming van alle mogelijke infrastructuren. Dit was immers loos alarm, maar een volgende keer?