Hybrid IT-beheer: maximale continuïteit en performance

Voor elke onderneming in elke markt geldt: continuïteit is essentieel. De productie mag nooit stilvallen. Een postbedrijf moet elke dag zijn post en pakketten kunnen bezorgen. Een ziekenhuis moet altijd zorg kunnen leveren. Wanneer je een deel van je functionaliteit als een digitale dienst afneemt, is de continuïteit veelal geborgd in een Service Level Agreement (SLA). Ben je daarmee verzekerd van een ononderbroken productie? Nee, want een ketting is zo sterk als de zwakste schakel. Daarom zul je, als je gekozen hebt voor een Hybrid IT-concept, ten aanzien van de continuïteit je zwakste schakels in kaart moeten brengen. Waar liggen je afhankelijkheden?

Continuïteitsrisico’s in kaart brengen

Stel, je neemt je werkplekpakketten af als een dienst. Office 365 heeft hoogwaardige SLA’s, zowel in continuïteit als in security en functionaliteit. De dienst wordt via internet aangeboden en gekoppeld aan je interne systemen. Deze dienst van Microsoft, de internetverbinding en de interne koppeling naar je systemen vormen samen een keten. Om het risico voor je primaire processen goed in kaart te brengen, zul je de gehele keten moeten analyseren op continuïteitsrisico’s.

Daar hoort een aantal vragen bij die je moet stellen:

  1. Als deze functionaliteit wegvalt, hoe groot is dan de bedreiging voor mijn primaire proces?
  2. Hoe verhouden de SLA’s zich ten opzichte van elkaar? Als 100% uptime wordt gegarandeerd, maar de internetlijn heeft bijvoorbeeld een uptime van 99%, dan kan het zo zijn dat de dienst een bepaalde mate van uitval heeft. Wil ik dit, en zo nee, hoe los ik het op?
  3. Zijn de interne systemen geschaald op de continuïteit die deze dienst moet bieden? Bijvoorbeeld: welke interne verstoringen kunnen ervoor zorgen dat de gehele organisatie niet meer kan e-mailen? Denk hierbij aan Firewallomgevingen, Active Directory-omgevingen, stroomstoringen, back-up- en restore-omgevingen en -procedures, enzovoorts.
  4. Hoe beheer ik deze omgevingen, bij wie liggen de verantwoordelijkheden en wie coördineert dit? Past deze beheerstrategie in de SLA’s van de dienstverlener en het allerbelangrijkste voor jou als onderneming: hoe blijf ik in control?
  5. Wat is mijn continuïteitsrisico als mijn dienstverlener failliet gaat?

Reageren op calamiteiten

Bij de inrichting van hun business continuity management focussen organisaties veelal op het operationele aspect, bijvoorbeeld de aanwezigheid van een uitwijklocatie bij calamiteiten. Dit soort maatregelen treedt echter pas in werking wanneer de kritieke bedrijfsprocessen zijn verstoord. Maar alleen reageren op calamiteiten volstaat niet. Het gaat er óók om calamiteiten te voorkomen. Behalve operationele maatregelen vraagt dit een vooruitziende blik en een proactieve houding. Business continuity is een strategisch onderwerp en moet op bestuursniveau worden besproken.

Concluderend: een goede risicoanalyse op alle bedrijfsniveaus is een absolute must als je je IT-omgeving analyseert op continuïteit. Op deze manier komen alle risico’s aan het licht en kun je de juiste prioriteit geven aan de onderwerpen. Vervolgens breng je alle mitigerende maatregelen in kaart. Je wilt immers niet alleen risico’s voorkomen; je wilt ook weten wat je moet doen om de gevolgen van deze risico’s, mochten ze toch waarheid worden, zoveel mogelijk te beperken.

Outsourcing Hybride IT-omgeving

Een groeiend aantal organisaties kiest tegenwoordig voor outsourcingsconstructies. Verreweg de meeste vinden het prettig om de gehele verantwoordelijkheid voor de IT als dienst te beleggen bij één partij. Dit ligt voor de hand, want bij een verstoring van de dienst kent een hybride IT-omgeving een hoger risico ten aanzien van verantwoordelijkheidsbelegging. De keuze voor één leverancier maakt de uitbesteding veelal overzichtelijker en kwalitatief hoogwaardiger, omdat zo’n partij gespecialiseerd is in deze dienstverlening. Met welke klantspecifieke wensen of processen hij ook wordt geconfronteerd, voor hem is het meer van hetzelfde. En dat komt weer ten goede aan de continuïteit van de klantorganisatie.
En diens performance.

In deze blog kwamen de eerste twee kernwaarden aan bod van deze blogsserie met als insteek: valkuilen en aanbevelingen bij Hybride IT-beheer. Deze blogs zijn bedoeld voor iedereen die voornemens is om over te stappen naar een Hybrid IT-concept, of al een Hybrid IT-concept heeft maar zich afvraagt of het (nog) goed past. In de volgende blog staan de kernwaarden veiligheid en compliance centraal.

 

Hybride IT-beheer: valkuilen en aanbevelingen

Alles staat of valt met informatietechnologie. Nou ja, veel in ieder geval. Organisaties zijn grotendeels afhankelijk van hun IT-omgeving, zowel voor de administratieve processen als de productieprocessen. Vaak zijn deze operaties in hoge mate digitaal gekoppeld. Dit betekent dat uitval van IT een directe bedreiging vormt voor u primaire bedrijfsprocessen – en daarmee voor de continuïteit van jouw bedrijf.

De automatisering van processen gaat gestaag door, de toekomst is digitaal. Het dwingt ondernemingen om op een andere manier naar de eigen organisatie te kijken. Waar zit mijn efficiencywinst, waar zitten de risico’s en hoe houd ik mijn primaire proces onder controle? Dit zijn op zich geen nieuwe vraagstukken, maar het zijn meer en meer IT-vraagstukken geworden. De vraag is: is jouw bedrijf hier wel op ingericht? Is de IT-infrastructuur klaar voor de toekomst?

Zes kernwaarden

Elke onderneming streeft naar de volgende zes kernwaarden: maximale continuïteit en performance, maximale veiligheid en compliance, en last but not least een hoge mate van schaalbaarheid bij een minimale beheerslast. Deze kernwaarden zijn zo oud als het bedrijfsleven zelf. Maar doordat IT steeds bepalender wordt voor de bedrijfsvoering, worden ze meer en meer vanuit IT-perspectief ingevuld.

In de praktijk betekent dit een toegenomen vraag naar techniek die resources kan delen. Denk bijvoorbeeld aan hard- en softwarevirtualisatie, gedeelde back-up resources, gedeelde internetconnectiviteit en gedeelde e-mailomgevingen. De IT-omgevingen van vandaag zijn gebouwd om te voldoen aan deze zes kernwaarden.

Cloud

Cloudtechnologie heeft hier voor een enorme versnelling gezorgd. De cloud is populair omdat hij waarde toevoegt, zowel op de korte als lange termijn. SaaS-diensten zijn schaalbaar, vragen geen kapitaalsinvestering en je krijgt eenvoudig toegang tot ‘enterprise-grade’ systemen. Dit voor een fractie van de kosten (je betaalt alleen voor wat je afneemt) en zonder zorgen voor systeemmanagement en onderhoud. Je kunt supersnel aanpassen aan veranderende bedrijfsbehoeften en marktomstandigheden. De functionaliteiten kunnen in eigen huis worden ingericht en aangeboden, en via internet als dienst worden afgenomen. ‘IT uit de muur’: eenvoudig, effectief en betaalbaar.

Toch hoeft een cloud-based model niet automatisch de beste oplossing te zijn voor je business. Misschien geldt one size fits all niet voor jou, en heb je applicatieomgevingen die om welke reden dan ook (nog) niet naar de cloud kunnen. Bijvoorbeeld omdat je zelf controle wilt houden over bepaalde data. Data die uniek zijn voor jouw organisatie. Data die essentieel zijn voor jouw bedrijfsvoering en missie, en die je in een eigen IaaS-omgeving wilt onderbrengen. Je wilt een gedeelte on-premise behouden.

Het beste van twee werelden: Hybride IT-beheer

Hiermee is het concept van Hybrid IT geboren: een mix van in-house en cloud-based diensten die het beste van twee werelden biedt: het gemak, de flexibiliteit en de kosten- en samenwerkingsvoordelen van een cloudplatform, én de controle en eenvoudige toegankelijkheid van een eigen server. Kies voor elke workload de meest geschikte applicatie en plaats je data daar waar dat vanuit security of regelgeving het beste is. Gebruik de cloud voor het snel ontwikkelen en testen van prototypes voordat je ze in de private omgeving opslaat en gaat gebruiken. Voor veel organisaties is Hybrid IT dé manier om de snelle digitale transformatie te kunnen bijbenen.

De vragen die je jezelf dient te stellen, zijn daarmee niet veranderd. Waar zit mijn efficiencywinst, waar zitten de risico’s en hoe houd ik mijn primaire proces onder controle? Hoe scoort de Hybrid IT-oplossing op de genoemde zes kernwaarden: continuïteit, performance, veiligheid, compliance, schaalbaarheid en beheerslast? Het zal doorslaggevend zijn voor jouw bedrijfssucces.

Per set kernwaardes ga ik de komende tijd een blog schrijven met als insteek: valkuilen en aanbevelingen bij Hybride IT-beheer. Bedoeld voor iedereen die voornemens is om over te stappen naar een Hybrid IT-concept, of al een Hybrid IT-concept heeft maar zich afvraagt of het (nog) goed past. Eerstvolgend staan maximale continuïteit en perfomance centraal.

Ik wens je alvast veel leesplezier!

 

Vulnerabilities in onze IT, hoe vind ik ze en hoe houd ik ze onder controle?

Een steeds belangrijker onderwerp in IT security is het onder controle brengen van onze IT omgeving als het gaat om de vulnerabilities die er leven. Wij brengen je graag op de hoogte hoe!

Wat is een vulnerability (kwetsbaarheid)?

Een kwetsbaarheid in onze IT omgeving is een technische mogelijkheid waar cybercriminelen gebruik van kunnen maken om toegang te krijgen tot de IT omgeving. Dit kunnen veel verschillende kwetsbaarheden zijn. Van een opening in de beveiliging van IP camerasoftware tot een bug in de softwareversie van een server. Je kan je voorstellen dat vandaag de dag er zoveel kwetsbaarheden zijn dat je het eigenlijk niet meer zelf onder controle kan houden. Omgevingen begeven zich op zeer veel plaatsen, denk aan in de cloud, op het eigen IT platform, maar ook “Bring your own device” apparatuur. Een virus, malware of simpelweg een inbreker binnenbrengen op onveilige apparatuur die niet door de organisatie worden gemanaged is aan de orde van de dag.

CVSS

Deze kwetsbaarheden kan je toetsen met het Common Vulnerability Scoring System (CVSS). Dit is een gratis en open industriestandaard voor het beoordelen van de ernst van kwetsbaarheden in de IT omgeving. CVSS kent scores toe aan kwetsbaarheden, zodat we prioriteit kunnen geven op basis van de volgende zaken:

  • Hoeveel inzet is er nodig om de kwetsbaarheid te gebruiken.
  • Hoeveel impact is er als de kwetsbaarheid wordt gebruikt.
  • Hoe groot is de kans dat men deze kwetsbaarheid zal gebruiken.

CVSS kent een score toe op basis van formules. De hoogte van deze score is afhankelijk van de impact op gebruikers en het mogelijke effect van misbruik Scores variëren van 0 tot 10, waarbij 10 de meest ernstige is. De CVSS scores veranderen mee met de markt, de standaard zit op dit moment op versie 3.1. Met CVSS is er een open standaard waarin bijna alle kwetsbaarheden worden onderzocht en in kaart gebracht. Dit is één van de handvatten die we kunnen gebruiken om een goed overzicht te verkrijgen van alle kwetsbaarheden waaraan de IT omgeving bloot is gesteld. Ook worden alle nieuwe kwetsbaarheden zo snel mogelijk opgenomen in de CVSS database, zodat de markt zich hier tegen kan wapenen.

Penetratie testen

Een traditionele manier om te controleren of er “lekken” in de beveiliging van de IT-omgeving zitten is het uitvoeren van een penetratietest (pentest). Dit is een vrij arbeidsintensief project en omvat ook veel meer invalshoeken omdat de IT omgevingen veel groter zijn geworden. Ook het feit dat men veelal met een cloud- of een hybride cloud omgeving werkt, in combinatie met een “Bring your own device” beleid maakt het complexer de omgeving te beveiligen en dus ook te pentesten. Wij zien een grotere behoefte om voorafgaande aan de pentest onderzoek te doen naar de kwetsbaarheden die aanwezig zijn. De pentest wordt vervolgens ingezet als validatie op dit onderzoek.

Je kan het zien als de beveiligingsspecialist die eerst een ronde over het te beveiligen terrein maakt om de risico’s in kaart te brengen. Vervolgens bepaalt hij waar hij camera’s en bewegingsmelders wil plaatsen en bij welke deuren een bewaker moet staan. Daarna kan een zogenaamde “mystery guest” testen of hij binnen kan komen.
Vulnerability management (kwetsbaarheden managen)

Steeds vaker hebben organisaties een actief kwetsbaarhedenbeleid. Dit doet men om meerdere redenen.

Op de hoogte blijven van de nieuwste kwetsbaarheden;
Een real-life check of/en welke kwetsbaarheden er daadwerkelijk in de IT omgeving aanwezig zijn;
Volledig inzicht in welke apparatuur er allemaal met het netwerk connecteert;
Projectmatig inzicht in het elimineren van kwetsbaarheden op basis van prioriteit;
Prima meetinstrument voor de security afdeling om te zien welke doelen gehaald worden en welke nog gehaald moeten worden.

Je kan je voorstellen dat het handmatig doornemen van de volledige omgeving en alle crosschecks tussen softwareversie, type apparatuur en de CVSS database een enorme klus is. Zelfs als de IT omgeving niet zo groot is. Het is dus zeer aan te raden om oplossingen te implementeren die dit geautomatiseerd kan doen. Dit zijn vulnerability-management oplossingen. Er zijn momenteel meerdere op de markt die daadwerkelijk veel waarde toevoegen met verkrijgbare inzichten het inzicht.

Inzicht krijgen?

Als onze klanten vragen hebben over welke oplossingen/maatregelen nu prioriteit dienen te krijgen en echt waarde toevoegen, voeren wij een vulnerability assessment uit. Hiermee genereren we het inzicht over de status quo van de omgeving als het gaat om kwetsbaarheden.

Deze feiten geven vervolgens een heel duidelijk beeld over de te nemen stappen en de investeringen in financiële en operationele zin die hiermee gemoeid zijn.

Ben je nieuwsgierig hoe dit nou precies in zijn werk gaat, neem dan gerust eens contact met mij op, ik praat je graag bij.

Alwin Veen – Product specialist
a.veen@felton.nl
06-52869094

IT security beleid, essentieel en geen papieren tijger

In navolging op het vorige blog over de Citrix kwetsbaarheid gaan we in dit blog verder op het onderwerp in om beter beschermd te zijn tegen datalekken en tegen andere kwaadwillende factoren. Een goede beveiligingsstrategie omvat erg veel. De doelstelling van dit blog is om een aantal van deze gebieden nader toe te lichten. Ook benoemen we globaal een aantal zaken in de mogelijke oplossingsrichting.

Cyber security strategie

De vergelijking met vroeger

Vroeger, toen we allemaal nog naar kantoor reden om daar onze werkzaamheden te doen zonder complexe IT omgevingen, zag de wereld van de beveiliging van het kantoor er niet zo heel anders uit dan vandaag de dag. Men zorgt over het algeheel nog steeds voor de volgende onderwerpen:

  • Toegangscontrole/bewaking van het pand;
  • Camera bewaking;
  • Mogelijkheid tot het beveiligd opbergen van diverse zaken;
  • Alarm centrale.

Van alle vier de zaken vinden we het volledig logisch dat ze bestaan. Er is voldoende budget vrijgemaakt om deze zaken in te vullen. Maar is dit in de digitale wereld ook zo? We moeten helaas vaak constateren dat dit niet altijd het geval is. Kijkend naar de vier genoemde onderwerpen vertaald naar de digitale wereld, spreken we onder andere over de volgende IT-security thema’s:

  1. Identity en Access Management;
  2. Authenticatie (Multi Factor, Single Sign On);
  3. Inrichting van Active Directory (groepen/rollen onderverdeling);
  4. Audit trailing en logging.

Vroeger werd je als werknemer aangemeld binnen het personeelsbestand en kreeg je toegang tot het kantoor. Of het met een sleutel en een alarmcode was, of met bijvoorbeeld de bekende druppel, of een pasje zodat de beveiligingsbeambte (of de lezer bij de betreffende deur) weet wie je bent en of je geauthenticeerd bent voor toegang. Er waren procedures met betrekking tot bezoek, aanmelden, pasjes uitdelen, alleen of begeleid door het pand etc. Alle procedures werden door alle afdelingen gevolgd en, belangrijker nog, ook begrepen.

Hoe is dit vandaag de dag digitaal geregeld? Stel jezelf de volgende vragen:

Hoe word ik vandaag de dag geïdentificeerd als medewerker als ik (al dan niet op afstand) inlog op mijn bedrijfssysteem?

Als je binnen kantoor bent, of op afstand inlogt, zijn er zeer veel vertrouwelijke bronnen waartoe je wel of geen toegang verkrijgt. Je zal je dus moeten melden bij de beveiliging en aan het systeem duidelijk moeten maken dat jij degene bent die het dossier opent (hier is goede authenticatie technologie voor nodig, zie punt 2). Ook zal je in de juiste groepen van medewerkers moeten worden geplaatst om er voor te zorgen dat je de juiste ‘digitale zones en kamers’ kan inlopen en ook sleutels hebt van de juiste ‘digitale dossierkasten’. Dit is terug te relateren op een het inrichten van goede rollen en groepen binnen het Active Directory (zie punt 3).

Hoe stelt men vast dat ik het ècht ben en geen kwaadwillende?

Als wij een groot kantoor van bijvoorbeeld een bank bezoeken, vinden we het heel normaal dat wij ons moeten legitimeren met een paspoort of ID kaart. Als we willen inloggen bij de belastingdienst vinden we het ook normaal dat we met DigID moeten inloggen en via bijvoorbeeld een SMS notificatie bewijzen dat we het écht zijn. De gedachte hierachter is eenvoudig. Op het moment dat je met je gebruikersnaam zegt dat je iemand bent, kan je met een aantal factoren bewijzen dat je dat het daadwerkelijk bent met bijvoorbeeld deze factoren: 

  • Iets dat je weet (wachtwoord);
  • Iets dat je bent (bv. een vingerafdruk);
  • Iets dat je hebt (bv, een sms code);
  • De locatie waar je je bevindt (o.b.v. GPS of een IP adres);
  • De tijd waarop je probeert aan te loggen. 

Door deze of enkele van deze factoren (al dan niet gecombineerd) verplicht te maken bij het inloggen kan men waarborgen dat de juiste persoon echt bij de ‘ingang’ staat. Omdat men tegenwoordig bij veel plekken moet inloggen wordt het soms een tijdrovende bezigheid om je iedere keer dat je een applicatie opent meervoudig te legitimeren. Daarvoor bestaan er tegenwoordig hele handige en veilige ‘Single Sign On’ producten. Hiermee identificeer je jezelf één keer digitaal (bij voorkeur op basis van meerdere factoren) bij de ‘digitale beveiligingsbeambte’. Je krijgt dan daarna digitale toestemming om de bronnen en zones te betreden die bij je rol horen.

Waar krijg ik allemaal toegang toe (applicaties, databronnen, kroonjuwelen)?

Goed nadenken over waartoe medewerkers toegang hebben is van essentieel belang. Een voorbeeld uit onze eigen ervaring: een stagiaire op de IT afdeling was ingedeeld in de zogenaamde administrators-groep van de IT omgeving. De administrators hadden van oudsher bij de organisatie in dit voorbeeld alle rechten op de afdelingsschijven en de Sharepoint omgeving. De C-level directie was op dat moment bezig met een overname van de organisatie. De correspondentie omtrent deze overname stond in de directiemap op de fileserver. Je raadt het al, de stagiaire kon dus bij deze zeer vertrouwelijke informatie, maar ook alle medewerkers van de IT partij waar het beheer deels was ondergebracht. Dit was geen wenselijke situatie, die met de hoogste prioriteit moest worden aangepakt. In dit geval kwam de stagiaire niet per se in de verkeerde groep en rol terecht, maar werden er teveel digitale sleutels uitgedeeld aan de groepen.

Hoe en van waar kan ik toegang verkrijgen tot mijn bedrijfssysteem?

Het is zaak om mensen op de afdelingen verantwoordelijk te maken voor het indelen van zijn of haar personeel. Wij noemen dit eigenaarschap. Vroeger keken we iemand vreemd aan als hij een kast of la opende waarvan wij dachten dat het discutabel is. Nu is de informatie digitaal en zien we niet of iemand zich verdacht gedraagt door in bepaalde folders rond te ‘snuffelen’. Eigenaarschap is een onderwerp die vandaag de dag nog niet goed geadresseerd wordt in de IT security wereld.

Camera bewaking?

Hoe zien we nu echt wat er in onze digitale omgeving gebeurt? Kan ik zien wie welk bestand heeft geopend? Wie waar heeft ingelogd, van welk apparaat? Wie welke mail heeft gelezen? Welke gevoelige gegevens in de betreffende bestanden staat? De onderwerpen voor logging, en het bouwen van een audit trail (een digitaal spoor wat je achterlaat als je bestanden opent) zijn hier van toepassing. Zonder dit is er geen bewijslast bij een inbraak en wordt het lastig goede analyses te maken en in te schatten wat de impact is. Met alle gevolgen van dien. 

Tot slot

Denk met medewerkers uit de gehele organisatie na over IT beveiligingsrisico’s. De business weet meer dan het algemene management en de IT-afdeling alléén. Maak gedegen risicoanalyses en wijs data eigenaren aan op de diverse afdelingen. IT security is in het belang van en belangrijker nog, de verantwoordelijkheid van alle medewerkers. Iedereen kent essentiële details die van waarde zijn in het opstellen van het beleid.

Meer weten? Neem gerust contact met ons op en maak eens tijd voor een verhelderende whiteboard sessie waar we jouw organisatie centraal zetten in deze metafoor. Door onze Managed Security Services kun je met een gerust hart gaan slapen!

Alwin Veen – Felton

Waarom u Network as a Service zou moeten overwegen

Het beheer van een bedrijfsnetwerk is door de groei van het gebruik en de sterk toegenomen afhankelijkheid van de beschikbare data een steeds grotere uitdaging. Bovendien zijn er meer dreigingen van buitenaf en ontbreekt het intern regelmatig aan de specialistische kennis die nodig is om de werking en veiligheid van het netwerk te garanderen. Hoe gaat u bijvoorbeeld om met het toenemende aantal thuiswerkers en het verlenen van toegang voor gasten? Wat is er nodig om een netwerk goed te beveiligen en hackers buiten de deur te houden?

Netwerkbeheer vereist specialistische kennis

Veelvoorkomende fouten zijn onder meer:

  • Het niet of niet tijdig doorvoeren van updates;
  • Te breed geconfigureerde policies;
  • Geen standaard authenticatie- en encryptiemechanisme;
  • Testomgevingen die verbinden met data uit productieomgevingen;
  • Logging outputs die niet worden geanalyseerd.

Daarnaast kan een switch, router, access point of firewall verkeerd zijn ingesteld of een technisch mankement vertonen. Kortom, het beheer van een compleet bedrijfsnetwerk is voor veel organisaties een grote uitdaging en vereist specialistische medewerkers die helaas vaak lastig te vinden of vervangen zijn.

Network-as-a-Service is de oplossing

De meeste bedrijfsnetwerken bestaan tegenwoordig uit een complex geheel van netwerkcomponenten, zoals switches, routers, access points en firewalls. Daarmee is het de basis voor een verbinding van applicaties, systemen en gebruikers en daarmee een essentieel onderdeel van de organisatie. Vanwege toegenomen complexiteit, afhankelijkheid en tegelijkertijd de behoefte om kosten te besparen, zien steeds meer organisaties het (deels) uitbesteden van het beheer van de netwerkinfrastructuur als een goede oplossing.

Immers, een enkel verkeerd geconfigureerd component of een hack kan ernstige schade toebrengen. Het beheer van het netwerk vergt door deze ontwikkelingen constante finetuning en monitoring om de continuïteit te waarborgen en goed beschermd te zijn tegen zowel interne als externe beveiligingsrisico’s.

De voordelen van beheer uitbesteden

Hoewel de business altijd doorgaat, beschikt het netwerk van de meeste organisaties niet over een 24/7 beheer- of monitoringfunctie. De inzet van NaaS maakt het netwerk altijd beschikbaar en voorzien van de laatste veiligheidsupdates. Kortom, het netwerkbeheer en de infrastructuur uitbesteden via Network-as-a-Service (NaaS) biedt veel voordelen:

  • U beschikt altijd over een team van externe specialisten, die 24 uur per dag en 7 dagen per week de continuïteit en veiligheid van het netwerk waarborgen;
  • Meer flexibiliteit en lagere beheerkosten. Lagere kosten doordat op- en afschalen altijd mogelijk is. Het dynamisch kunnen afstemmen van de beschikbare netwerkcapaciteit op de daadwerkelijke behoefte van een organisatie geeft daarbij veel flexibiliteit;
  • Een altijd up-to-date netwerk, voorzien van betrouwbare hardware en systemen met de laatste updates, biedt veel veiligheid en waarborgt de bedrijfscontinuïteit;
  • Medewerkers hebben overal en altijd toegang tot het netwerk en de benodigde applicaties;
  • Geen grote investering vooraf in eigen netwerkinfrastructuur meer nodig.

Vraagstukken rondom Network-as-a-Service

Network-as-a-Service is een prachtige oplossing voor bovenstaande uitdagingen. Natuurlijk brengt het ook vragen mee zich mee, zoals: “Heb ik nog wel directe controle over mijn netwerk?”, “Kunnen al mijn applicaties en diensten wel functioneren via NaaS?”, en “Kan ik de kwaliteit van onze dienstverlening wel waarborgen?”.

In de praktijk blijkt dat Network-as-a-Service voor veel bedrijven aanzienlijke voordelen oplevert. Felton is gespecialiseerd in NaaS, beantwoordt al dit soort vragen en adviseert over de beste opties. Benieuwd naar de mogelijkheden voor uw organisatie? Een van onze technische specialisten geeft graag meer informatie. Bel naar (0)88 4637700 of stuur een e-mail naar sales@felton.nl.

De Citrix vulnerability… wat is er gebeurd en hoe te voorkomen?

Er is al veel gesproken en geschreven over de vulnerability (beveiligingskwetsbaarheid) die de afgelopen tijd is geconstateerd in de technologie van de Citrix Application Delivery Controller en de Netscaler Gateway. Deze producten worden ingezet om medewerkers op afstand te kunnen laten inloggen op de bedrijfssystemen.

Doordat deze vulnerability werd ontdekt konden medewerkers niet meer op afstand inloggen op bedrijfssystemen omdat organisaties ervoor kozen om de omgeving uit te schakelen. Dit om de risico’s ten aanzien van een mogelijke breach te beperken. Op de weg ontstonden zelfs “Citrix files” vanwege het extra woon-werkverkeer. Voor elke cybersecurity fabrikant en leverancier was dit een uitgelezen kans om de wereld nogmaals duidelijk te maken dat een digitale aanval vandaag de dag direct impact kan hebben op ons fysieke leven in de echte wereld.

Maar wat is er eigenlijk echt gebeurd, waarom ontstond deze paniek en belangrijker nog, hoe hadden we dit kunnen voorkomen? De cybersecurity wereld steekt eigenlijk niet heel anders in elkaar dan toen men nog oorlog voerde in loopgraven, op zee met kanonnen, of in de lucht met bommenwerpers… Echter het gevecht vindt nu digitaal plaats, tussen, met name, de “attackers” en de cybersecurity fabrikanten.

Vroeger bedacht men een nieuw wapen, bijvoorbeeld de lange afstandsraket, en als antwoord kwam er een meer geavanceerd luchtafweersysteem dat op basis van technologie de raket zag aankomen, het doel berekende, en vervolgens de raket uitschakelde op neutraal terrein in de lucht.

Maak gebruik van Threat Intelligence teams

Bij deze vulnerability hebben de cyberaanvallers een gedraging tussen de techniek van Citrix en de Apache webservers gevonden welke ze hebben misbruikt om zo zonder gebruikersnaam en wachtwoord toch binnen te komen in bedrijfssystemen. Op deze manier konden ze gevoelige bestanden stelen en ook kwaadaardige software achterlaten in het netwerk. Software, die bijvoorbeeld belangrijke data versleutelt (ransomware).

Voor de gebruiker is dit natuurlijk een serieus probleem want bestanden verliezen of gevoelige informatie lekken kan tot veel gevolgschade leiden voor de organisatie en haar klanten, medewerkers, studenten of (zorg)cliënten. De diverse Threat Intelligence Teams hebben deze breach dan ook hele hoge (het is nog net geen 10, en die zijn ook al eens aan Citrix uitgegeven…) scores gegeven als het gaat om gevoeligheid, risico en gevolgen (kritieke 9,8 CVSS v3.1 basisscore). Alle diepgaande technische details kan je ook vinden via dit artikel van dit artikel van Palo Alto Networks.

De gevolgen zijn bekend: ziekenhuizen, gemeentes en andere organisaties hebben onderzoeken uitgevoerd of er een breach heeft plaatsgevonden en omgevingen werden zo goed en zo snel als mogelijk geüpdatet. De patch met betrekking tot deze vulnerability was pas 20 januari beschikbaar. Mede hierdoor werd er ook besloten om de omgeving uit te schakelen om breaches te voorkomen.

Was misbruik te voorkomen?

De toonaangevende securityfabrikanten hadden (zonder dat veel organisaties dit wisten) al heel snel een bescherming beschikbaar voor deze vulnerability. Ook bij onze klanten hebben wij in o.a. firewalls sporen en logs gevonden van aanvalspogingen. Dit waren slechts pogingen en inmiddels was (om het eerdergenoemde voorbeeld nog eens te hanteren) het luchtafweersysteem geavanceerd genoeg om de raketten van de Citrix aanvallers op neutraal terrein onschadelijk te maken. De enige en allerbelangrijkste voorwaarde was dat alle beveiligingssystemen volledig up-to-date waren en volgens de aanbevolen configuratiestandaard waren ingericht.

Wat houdt dit concreet in? Onze klanten met een Next Generation Firewall van Palo Alto Networks waren automatisch al snel beschermd tegen dit lek. Daarvoor moesten zij “Strict Protection” gebruiken middels het zogenaamde “Threat Prevention” abonnement. De kenmerken heeft Palo Alto Networks opgenomen in de “Threat Prevention Signatures”: 57497 en 57570. Ook zijn er meer dan 20 IP-adressen opgenomen in de “Known Malicious Block” list. De technische details hieromtrent zijn ook te vinden in de eerder genoemde link.

Advies om je beter te beschermen tegen dergelijke cyberaanvallen

Het is goed om te weten dat als je een hoogwaardig security product selecteert om je bedrijf kritische informatie en je ICT-omgeving te beschermen, er een organisatie achter je staat die elke dag bezig is om aanvallers te analyseren. Het is essentieel om in een zo vroeg mogelijk stadium nieuwe aanvalsstrategieën te ontdekken en vervolgens nieuwe verdedigingsmethodieken en -technologie te ontwikkelen, die deze aanvallen blokkeren.

Wij adviseren dan ook om geregeld contact te hebben met je security leverancier. “Gewoon een goede firewall neerzetten” is niet meer voldoende. De veranderingen en ontwikkelingen zijn dagelijks. Dit betekent dus ook dat “de aanbevolen configuratiestandaard” ook regelmatig verandert. Onze security en netwerk specialisten zijn hier zeer goed van op de hoogte. We kunnen en moeten vanuit onze rol als cybersecurity specialist op elk moment hierover advies geven. Wij adviseren onder andere de volgende 4 zaken duidelijk in je organisatie te adresseren:

1. Security best-practice assessment

Voer geregeld een “security best-practice assessment” uit en overleg of er nog kwetsbaarheden zijn in de beveiligingsomgeving en zaken zoals de firewall rulesbase correct is ingesteld en up-to-date is. Dan kun je als de “publieke alarmbellen” afgaan rustiger gaan slapen en met plezier de volgende dag je laptop openslaan en met een veilig gevoel gaan werken.

2. Risicoanalyses

Voer periodiek risicoanalyses uit en maak inzichtelijk wat de gevolgen kunnen zijn van een breach, zodat er een plan gemaakt kan worden voor wat je moet doen als er een breach plaatsvindt.

3. Verwijderen van overbodige data

Kijk kritisch naar de aanwezige informatie in jouw digitale omgeving. Is alle data die beschikbaar is nog nodig? Of is er een heleboel oud, niet meer relevant en dus overbodig. Waarom zouden we die dan nog beschikbaar houden? Alle beveiligingsrisico’s zijn voor overbodige data ook aanwezig. Bij een breach wordt de impact dus onnodig hoog. Onze ervaring leert dat gemiddeld 60 tot 70% van de beschikbare data overbodig is.

4. Cybersecurity strategie

Maak samen met een vakbekwaam persoon een “cybersecurity strategie” die rekening houdt met de roadmap van de business. Realiseer je, dat als je de koers van de organisatie wijzigt, je ook de cybersecurity strategie moet bijsturen.

Ben je nieuwsgierig geworden naar hoe wij deze diensten bij onze klanten invullen of hoe dergelijke assessments in zijn werk gaan? Bel ons dan gerust, zonder enige verplichting want wij delen graag onze kennis en zijn zeer graag voor nog meer bedrijven een meerwaarde in het veilig uitvoeren van de business.

Tekst: Alwin Veen – Felton BV | Januari 2020