Hoe zorgt ROOT voor een veilige netwerkomgeving?

"

SECaaS is geen vast pakket, maar een reeks bouwstenen die we samenstellen op basis van jouw omgeving. Het traject begint altijd met een intakegesprek, een inventarisatie en een security scan; daarna adviseren we welke maatregelen passen.

Stap	Wat er gebeurt
Scanning	Je omgeving wordt in kaart gebracht en we brengen advies uit.
Bescherming	De gekozen maatregelen worden ingericht.
Opsporing	Mogelijke beveiligingsrisico's worden vroegtijdig gesignaleerd.
Opvolging	Bij een mogelijk incident wordt actie ondernomen.
Herstel	Beschadigde onderdelen worden na een incident hersteld.
Bewaking	Je omgeving wordt continu gemonitord op beveiligingsrisico's.

Mogelijke bouwstenen zijn onder andere een firewall, endpointbeveiliging op werkplekken, virusscanning en back-up. Welke je afneemt, bepaal je zelf. Je betaalt een vast bedrag per maand, zonder investering vooraf.

"

"

Ransomware en aanverwante vormen van digitale afpersing behoren tot de grootste cybersecuritydreigingen voor organisaties: iemand neemt je systemen over en eist geld, of dreigt je data online te zetten.

Hacken is geen hobby van eenlingen meer, het is een industrie. Professionele groepen hebben een managementlaag en een werkverdeling: mensen die gaten zoeken, mensen die ze misbruiken en mensen die de afhandeling doen. Er gaan miljarden in om.

• Je concurreert dus niet met één handige tiener, maar met een goed georganiseerde bedrijfstak.
• Je risicoprofiel bepaalt hoeveel je moet doen. Een organisatie waarvan kennis en intellectueel eigendom het product zijn, loopt een ander risico dan de bakker op de hoek.
• Het idee is simpel: leg de drempel hoger dan bij de rest. Net als bij hang- en sluitwerk op een huis gaat een inbreker meestal verder naar de buurman.
• Bewustzijn bij medewerkers is een belangrijke beveiligingslaag, naast technische maatregelen zoals MFA, endpointbeveiliging en patchmanagement.

"

"

Bij Firewall as a Service staat je firewall niet in je meterkast maar in onze datacenters, dubbel uitgevoerd en door ons beheerd. Je kantoornetwerk loopt via een glasvezelverbinding naadloos door naar het datacenter.

In de klassieke opzet staat de firewall bij jou op kantoor, samen met eventuele eigen servers. Al je internetdiensten lopen via die ene firewall en die ene internetaansluiting. Valt er iets weg, dan is alles onbereikbaar: thuiswerkers kunnen niet meer inloggen en mensen op locatie kunnen geen gegevens meer opvragen.

	Firewall op kantoor	Firewall as a Service
Locatie	Bij jou in het pand	In twee datacenters
Bij uitval	Alles onbereikbaar tot hij vervangen is	De tweede neemt het over
Onderhoud en updates	Jouw verantwoordelijkheid	Wij houden hem 24/7 actueel
Kosten	Investering plus onvoorziene vervangingen	Vast bedrag per maand
Beveiligingsniveau	Afhankelijk van je eigen kennis en tijd	Intrusion Prevention en automatische dreigingsdetectie

Wij gebruiken hiervoor FortiGate-firewalls die met virtuele domeinen werken. Dat betekent dat jouw firewall een volledig afgescheiden omgeving is, ook al staat hij op gedeelde apparatuur.

"

"

Bij een DDoS-aanval wordt je netwerk of website bestookt met enorme hoeveelheden nepverkeer, zodat echte bezoekers er niet meer bij kunnen. Onze bescherming detecteert dat, leidt het verkeer om, filtert het malafide deel eruit en stuurt schoon verkeer terug naar je omgeving.

• De bescherming filtert kwaadaardig verkeer en laat legitiem verkeer zoveel mogelijk door, zodat de impact op klanten en medewerkers wordt beperkt.
• De omleiding en filtering gebeurt automatisch; je hoeft zelf niets in te schakelen.
• Beschouw het als een verzekering: hopelijk nooit nodig, maar bij ellende val je erop terug, zonder grote investering vooraf.
• Je betaalt een vast bedrag per maand. Bij onze cloudhosting is DDoS-bescherming standaard onderdeel van de dienst.

In de praktijk merkt een klant idealiter een korte hapering en daarna niets meer. Wij zien de aanval in onze monitoring en houden de omgeving in de gaten tot hij voorbij is.

"

"

Bij een pentest laat je een externe partij doelbewust proberen in te breken in je omgeving. Voor de meeste organisaties is eens per een tot enkele jaren realistisch, en na elke grote wijziging in je infrastructuur.

Er zijn twee hoofdvormen:

Vorm	Hoe het werkt	Wat je ervan leert
Black box	De tester krijgt niets en moet zelf een ingang vinden.	Hoe je omgeving er van buiten uitziet voor een aanvaller.
Crystal box	De tester krijgt alle informatie die hij vraagt.	Een veel diepere analyse van hoe je omgeving werkelijk in elkaar zit.

Vraag bij de opdracht expliciet om een waardeoordeel, niet alleen om een lijst bevindingen. Een rapport dat opsomt wat er is gevonden zonder te zeggen hoe ernstig dat is en waar je staat ten opzichte van vergelijkbare organisaties, helpt je niet om te bepalen hoe hard je moet verbeteren.

• Reken op discussie over de bevindingen. Sommige meldingen zijn geen echte kwetsbaarheid, bijvoorbeeld wanneer een leverancier een oplossing in een bestaande versie heeft doorgevoerd zonder het versienummer te wijzigen. De scanner ziet dan een oud versienummer en meldt een lek dat er niet is.
• Meld een pentest altijd aan je IT-partner. Veroorzaakt de test uitval, dan weet iedereen dat er die dag iets speelde en kan er extra worden meegekeken.
• Een scan kan echte problemen naar boven halen op een ongelegen moment. Een interne netwerkscan bij een zorgorganisatie legde een applicatie plat, omdat er al een jaar een bekende kwetsbaarheid in de bijbehorende software zat. Onaangenaam, maar het probleem lag niet bij de scan.
• Naast eenmalige pentesten bestaan er geautomatiseerde hulpmiddelen die maand na maand van buitenaf naar je omgeving kijken en je informeren over wat ze vinden.

"

"

Nee. ROOT voert wel security scans uit en laat de eigen omgeving periodiek testen door een externe partij, maar het uitvoeren van pentesten bij klanten is geen dienst van ROOT.

• Wij adviseren klanten wel om erover na te denken en denken mee over de opzet en de scope.
• Laat je een pentest uitvoeren, dan willen we daarover geïnformeerd worden, zodat we extra kunnen meekijken.
• Onze eigen omgeving wordt eens per enkele jaren door een externe partij getest.
• Dat een onafhankelijke partij met een frisse blik naar je omgeving kijkt, is nuttig. Dat je die partij zelf inhuurt in plaats van je eigen leverancier, is juist gezond.

"

"

Het klassieke voorbeeld is de back-up waarvan niemand controleert of hij werkelijk loopt. Verder zien we vaak oude accounts die nog actief zijn, wachtwoorden die in de browser zijn opgeslagen en beveiliging die nooit is meegegroeid met de techniek.

• Accounts die tien tot vijftien jaar niet gebruikt zijn, met eenvoudige wachtwoorden, maar nog wel actief. Dat is voor een aanvaller een geschenk.
• Wachtwoorden die in de webbrowser op werkplekken zijn opgeslagen en van daar kunnen worden overgenomen.
• Het standaard beheerdersaccount dat nog aan staat. Zet je dat uit en verzin je zelf iets anders, dan moet een aanvaller eerst uitzoeken welk account hij kan aanvallen. Weer een drempel erbij.
• Beveiliging die is blijven staan op het niveau van tien jaar terug. Toen was tweefactorauthenticatie geen thema, nu is het een verplicht nummer. Normen als ISO 27001 schrijven niet alles tot in detail voor, maar eisen wel dat je beveiligt volgens de stand van de techniek.
• Wachtwoorden van acht tekens met alleen cijfers en kleine letters. Dat is niet meer conform de stand van de techniek.

Wat we ook zien: er komt maar zelden een klant met een puur beveiligingsvraagstuk. De vraag is bijna altijd „ik moet mijn werk kunnen doen en daar heb ik dit voor nodig‟. Dat de beveiliging daarbij goed geregeld wordt, is dan aan ons.

"

"

Als je back-up bereikbaar is vanaf de omgeving die geback-upt wordt, dan ja. Daarom richten we het zo in dat een gescheiden omgeving de back-up maakt en die back-up niet vanuit de productieomgeving te bereiken is.

Dit is een van de meest onderschatte risico's. Veel organisaties hebben een back-up die technisch gewoon deel uitmaakt van hetzelfde netwerk. Een aanval die de productieomgeving versleutelt, versleutelt dan ook de back-up, en precies op dat moment heb je hem nodig.

• De back-upomgeving is losgekoppeld van de omgeving die hij back-upt.
• Door de back-upomgeving logisch te scheiden van productie en toegang strikt te beperken, verklein je sterk de kans dat een aanvaller ook de back-ups kan bereiken en versleutelen.
• Netwerksegmentatie, dus het bewust van elkaar scheiden van onderdelen, is hierbij het belangrijkste principe.
• Simpel gezegd: hoe minder complex en hoe beter gescheiden je omgeving is, hoe minder een aanvaller kan bereiken als hij ergens binnenkomt.

"

"

Bij kritieke kwetsbaarheden kan misbruik zeer snel volgen, soms binnen uren of dagen na publicatie. Sommige kwetsbaarheden worden zelfs al misbruikt voordat ze publiek bekend zijn.

• Het patroon is voorspelbaar: een kwetsbaarheid in bijvoorbeeld een veelgebruikt websiteplatform wordt bekend, en kort daarna zien we in de logboeken scans die exact daarop zoeken.
• De aanname van de aanvaller is dat veel organisaties nog niet hebben bijgewerkt. Die aanname klopt vaak.
• Dit maakt de snelheid van patchen belangrijker dan de volledigheid van je beveiligingsbeleid op papier.
• Het is ook de reden dat we na een update controleren of het gat werkelijk dicht is, in plaats van dat aan te nemen.

"

"

Vaak wel, en het wordt zelden onderkend. In een bedrijfsverzamelpand kan bekabeling of netwerkapparatuur zich in gedeelde technische ruimtes bevinden die ook voor andere partijen toegankelijk zijn..

• Vooral snelgroeiende bedrijven realiseren zich dit niet, tot een klant of toezichthouder ernaar vraagt.
• De vraag die je moet stellen: past dit bij mijn type data en bij wat mijn opdrachtgevers van mij verwachten?
• Eigen kabelinfrastructuur in een verzamelpand vragen kan, maar het antwoord is in de meeste gevallen dat het lastig of niet mogelijk is.
• Daarmee wordt het een huisvestingsvraag in plaats van een IT-vraag. Wij denken daar graag in mee, want het bepaalt wel wat er technisch haalbaar is.

"

"

IT-omgevingen zijn continu in beweging en daarmee ook kwetsbaar. Aanvallen richten zich allang niet meer alleen op grote organisaties, maar juist ook op bedrijven die hun basis niet goed op orde hebben. Door security structureel in te richten, voorkom je verstoringen en beperk je de impact als er iets gebeurt.

"

"

Dat risico is aanzienlijk en neemt toe. Aanvallen worden steeds moeilijker te herkennen, waardoor techniek alleen niet voldoende is. Het combineren van beveiligingsmaatregelen met bewustwording binnen de organisatie is daarom essentieel.

"