Tweede bericht over de Securitybeurs van november 2012

Dit is de tweede posting over de Securitybeurs van november 2012. In deze posting vooral aandacht voor de spreker van Fox IT. Fox IT is een speler, die zich in een paar jaar tijd in Nederland heeft opgewerkt als de specialist als het gaat om onderzoeken van cybercriminaliteit, computerinbraak, computerfraude. Het was geen verrassing, dat zij bijvoorbeeld werden gevraagd om te onderzoeken wat er was gebeurd, bij de inbraak van Iraanse hackers bij Diginotar.

Fox IT introduceert een nieuw motto: If you can't prevent it, detect it.

En: Het is zeker dat je gehacked wordt, de vraag is alleen wanneer. Ze verkopen dus niet de illusie, dat ze je volledig kunnen beschermen. Maar ze gaan er vanuit, dat hackers altijd zullen binnendringen, ondanks je preventieve maatregelen. En dat je dus vooral moet inzetten op snelle detectie en beperken van de schade. Monitoring dus! Waarbij de formule Kans* gevolg weer opkomt. Zij stellen dus, dat de kans 100 procent is, zodat je je volledig kunt richten op de gevolgen. De gevolgen vatten zij samen in de kreet CIA: confidentiality/integrity/availability. Dus de diefstal van gegevens, het onbetrouwbaar worden van je omgeving en het verstoren van de werking van je platformen.

Een paar stellingen:

100% preventie is onmogelijk.

Er komt van alles binnen in je omgeving.Wat is goed en wat is fout?

Als je overal sloten op zet, gaat dat ten koste van produktieverkeer.

Geautomatiseerde oplossingen zijn niet effectief. Kennis en gezond verstand zijn cruciaal.

Dus een inbraak snel ontdekken en na deze 'breach' snel optreden. Zoals elk gerenommeerd adviesbureau hebben zij een aanpak met een pakkende naam: SPICE. ( spullenboel, processen, informatiebronnen, capaciteit, expertise) Met de laatste twee elementen kan een bureau het beste helpen. Dat is voor een bedrijf moeilijker zelf op te bouwen en te onderhouden. Fox IT adviseert om de situatie te doordenken, dat je gehacked wordt. Denk erover na wat er gebeurt en wat je gaat doen. Volgens Fox is het beter om hackers in dienst te hebben dan papieren tijgers met allerlei schitterende gecertificeerde titels. Dat is mij uit het hart gegrepen! Een vraagsteller uit het publiek vraagt welk budget nodig is voor het werken volgens SPICE. Het antwoord luidt “Wat heb je ervoor over?”. Prima antwoord geheel in lijn met de opdracht om ZELF na te denken over gebeurtenissen en gevolgen..

Behalve Fox IT bezocht ik nog de lezing van een Belgische spreker (Johan Loos). Hij geeft een handig overzicht van definities.

Een vulnerability is een bug, fout of misconfiguratie.

Een exploit is een code van de aanvaller om de vulnerability uit te buiten.

Payload is de code die na een exploit op een systeem is geinstalleerd.

Voorbeelden van cybercrime: website concurrent uitschakelen, credit card info stelen, porno verspreiden, identiteitsdiefstal.

En voorbeelden van wat er kan gebeuren bij een hack:

Vulnerabilities kunnen optreden in applicaties (office, adobe), in OS en op de serverside.

Malicious user enters system, creates outbound secure channel, this channel is encrypted and not inspected by firewalls.

Attack vectors: attachment bij mail; server contains executable content; app exploits; downloads; tinyurl; tracking nr bij delivery terwijl je niks besteld hebt.

Acties: retrieve passwords; log keystrokes; install backdoor; install botnet; steal cookies; access data; control webcam; control microfoon.

Client side attack: payload maskeren t.o.v. De antivirusscanner; targets browser, adobe, java, office, mediaplayer.

Uitsmijter:

Tot mijn stomme verbazing lees ik een paar maanden later in Cloudnews een interview met de ex-directeur van Diginotar die bovenstaande statements en methoden nu hanteert om zich te verkopen als beveiligingsadviseur. Dat zo'n Cloudnews dat met droge ogen plaatst, als de hele wereld weet, dat er bij Diginotar niks van klopte en dat de meest elementaire beveiligingsstappen niet waren gedaan (password makkelijk te vinden, geen updates van software uitgevoerd etc.)

Amerikaanse aanpak van cybersecurity

Onderstaand artikel verhaalt, hoe Amerika fors inzet op de bestrijding van cybersecurity. Op internetfora lees ik daarover zeer negatieve en cynische reacties. Die deel ik niet en het valt me op, hoezeer deze internetfora worden beheerst door scheldende, hufterige figuren, die waarschijnlijk nog nooit iets positiefs hebben geproduceerd. Recentelijk is er ook veel ophef over de vermeende spionage-activiteiten van de NSA. De reactie van een Duitse ex-politicus ondersteun ik volledig. Hij merkte op, dat hij de internationale terroristische organisaties als een grotere bedreiging ziet dan de westerse geheime diensten.

Uiteraard moeten politie en geheime diensten zich aan de wet houden, maar we moeten ze niet de handen op de rug binden, terwijl misdadigers het internet ten volle uitbuiten om hun business te runnen.

QUOTE

Pentagon wil cybersecurityteam fors uitbreiden

Door Dimitri Reijerman, maandag 28 januari 2013 14:17, views: 9.322

Het Amerikaanse ministerie van Defensie is van plan om het militaire cybersecurityteam fors uit te breiden. Binnen enkele jaren wordt de personele bezetting van dat Cyber Command namelijk uitgebreid van 900 naar 4000 medewerkers.

Volgens het ministerie van Defensie is uitbreiding van het zogeheten Cyber Command, dat drie jaar geleden is opgericht, hard nodig omdat cyberaanvallen een steeds grotere bedreiging vormen voor de Verenigde Staten en zijn bondgenoten. Het Pentagon erkent echter dat het erg lastig zal worden om de geplande uitbreiding, van 900 naar 4000 personeelsleden in slechts enkele jaren, te laten slagen.

Voor het militaire cybersecurityteam is het Pentagon naar eigen zeggen op zoek naar drie soorten personeel: national mission forces die systemen moeten bewaken die het elektriciteitsnet en andere kritieke infrastructruur beheren, combat mission forces die aanvallen op vijandelijke doelen kunnen uitvoeren - al dan niet in het buitenland - en zogenaamde cyber protection forces die de systemen van het Amerikaanse leger moeten beschermen. De plannen voor de forse uitbreiding moeten nog wel goedgekeurd worden, zo meldt The Washington Post. Ook wordt de vraag gesteld of Cyber Command ooit onder de schaduw van de NSA uit kan komen, een inlichtingenorganisatie met aanzienlijk meer personeel en financiële middelen. De twee organisaties werken al wel nauw met elkaar samen.

Cybersecurity is de laatste jaren in de VS steeds hoger op de politieke en militaire agenda komen te staan. Niet alleen zijn de Verenigde Staten steeds vaker doelwit van hackers en 'cyberlegers', ook voert het land zelf een virtuele strijd. Zo zou de VS betrokken zijn bij het omstreden Stuxnet-virus. Deze malware werd ingezet in een poging het Iraanse kernprogramma te ontregelen. UNQUOTE

ICT in de Zorg

Bij de beurs Zorg&ICT in maart 2013 blijkt, dat elektronische patientendossiers hun opmars voortzetten. Het is ook ondenkbaar, dat zonder dit fenomeen de zorg in Nederland ooit efficienter en effectiever kan worden. De afgelopen jaren heb ik enige keren geblogged over het EPD. Over het onvermijdelijke voortschrijden van deze ontwikkeling en over emotionele weerstanden die het oproept. Er was zelfs een politica in de Eerste Kamer, die oprecht meent, dat informatie-uitwisseling tussen behandelaars gewoon kan door een telefoontje of een briefje. Iemand die geen flauw benul heeft van de massaliteit en de werkdruk in zorgprocessen.

Ik nam kennis van de nieuwste systemen van marktleider Chipsoft voor de automatisering in ziekenhuizen. De EPD' s van ziekenhuizen hebben intussen een indrukwekkende functionaliteit. Hoe dat zich verhoudt tot LSP, het landelijk uitwisselen van patienteninformatie, is mij niet bekend. Het zou wel eens kunnen, dat ziekenhuizen intern heel goed geequipeerd zijn, maar dat het uitwisselen met zorgverleners buiten een ziekenhuis moeilijker is.

Chipsoft is genomineerd voor de innovatieprijs van de genoemde zorgbeurs: http://www.zorg-en-ict.nl/nl-NL/Exposant/Beursinformatie/Award.aspx

Ik zag op het net, dat zij niet hebben gewonnen, maar dat ze wel de publieksprijs van de beurs hebben gewonnen. Met de zogenaamde Zorgprofielen krijgt een patient een eigen website voor zijn zorgvragen. De gegevens kan er gegevens over zijn aandoening vastleggen en contact zoeken met lotgenoten. De zorgprofielen zijn naadloos geintegreerd in het zorginformatiesysteem van de zorgverlener.

Al langer is er sprake van Personal Health Vaults, zoals aangeboden door onder andere Google en Microsoft. De zorgprofielen lijken daar een beetje op. EPD' s van zorgverleners hebben als 'nadeel', dat de patient het dossier niet controleert en vaak zelfs geen inzage heeft. Personal Health Vaults hebben als nadeel, dat ze niet direct worden gevoed door de informatie die zorgverleners vastleggen. De genoemde zorgprofielen zijn weliswaar geintegreerd met het zorginformatiesysteem van de zorgverlener, maar missen weer de directe voeding van andere zorgverleners.

Ik nam op de beurs kennis van de stand van zaken van HL7, de standaardisatie beweging voor zorginformatie en krijg de indruk, dat de standaardisatie ver is voortgeschreden en ook helpt bij het verbeteren van zorgautomatisering. Sta er wel verstand van, hoe ingewikkeld die standaardisatie-organisaties op zeker moment worden. Het duizelt je van de modellen, die worden ontwikkeld.

Overheid en ICT mei 2013

Deze beurs bezoek in nu al een jaar of zeven en ik zie er duidelijk een ontwikkeling. Het aanbieden van bouwstenen om met name de lagere overheden goed te equiperen met de juiste hulpmiddelen is een langjarige worsteling. Initiatieven van individuele gemeenten en leveranciers bleken altijd ten dode opgeschreven, omdat ze te weinig schaalgrootte verwierven en niet de functionaliteit brachten waar veel gebruikers achter konden staan. Latere initiatieven vanuit de centrale overheid om deze ontwikkelingen te faciliteren liepen vast in een te theoretische aanpak (van architecten) en het onvermogen om de ontwikkeling en invoering projectmatig succesvol te managen. Uiteindelijk werd gekozen om via het NUP (was het nou Nieuwe Uitvoerings Plan?) een selecte keuze van bouwstenen landelijk te gaan invoeren. Ik schreef er al eens over, dat het een mooie aanpak leek, maar ik proefde nog steeds, dat het te breed was, met nog steeds te weinig focus. Wat er daar exact achter de schermen gebeurd is, weet ik niet, maar volgens mij dreigde dit NUP ook uit te lopen op het zoveelste vastlopende megaproject, ware het niet, dat Gateway-doorlichtingen tijdig hebben bijgestuurd. Dit is althans wat ik als outsider vermoed. Ik heb op deze blog eerder geschreven over de Gateway-methodiek, die op advies van de Algemene Rekenkamer een paar jaar geleden is ingevoerd.

Volgens mij hebben die reviews naar voren gebracht, dat de theoretische architecten-aanpak voorbij moet zijn en dat het zaak is om praktisch, hands-on de lagere overheden te gaan helpen om keuzes te maken in de bouwstenen en ze te helpen om deze in hun organisatie te implementeren.

In een workshop van Logius, King en ICTU had de programma-manager een vijftal projectleiders voor de zaal gezet, die stuk voor stuk aspecten van implementatie behandelden. En het waren types, die geen verhalen houden, maar concrete vragen oppikten en ook met concrete handreikingen kwamen. Ik concludeerde, dat dit gebeurd moet zijn door bijsturing vanuit de Gateway-reviews. Na googlesearch vind ik daar wel wat over (http://www.bigwobber.nl/wp-content/uploads/2010/02/Rapportage-NUPgateway-def.pdf). Kritisch rapport van Docters van Leeuwen, dat ik zelf niet zo snel zou kunnen operationaliseren.

(Overigens wordt het regelmatig uitvoeren van Gateway-reviews genoemd als één van de oorzaken, dat overheidsautomatiseringsprojecten wat beter onder controle komen. 'Dit blijkt uit de Jaarrapportage Bedrijfsvoering Rijk die minister Blok van Wonen en Rijksdienst aan de Tweede Kamer heeft gezonden.' Zo meldt Computable in mei 2012.)

Maar hoe dan ook in de workshop stonden klantgerichte, oplossingsgedreven jongelingen, die klaar staan om digimelding, digilevering, stelselcatalogus etc te helpen implementeren. Zij propageren de website STOUT voor alle vragen rondom BRS en het Stelselinformatiepunt STIP.

In een andere workshop had iemand een methode te bieden om de vervuiling van de GBA aan te pakken. Ook dit is een initiatief vanuit ICTU. Met steekproeven hadden ze onderzocht welke risicosignalen er zijn om fouten in de GBA op te sporen. Ik noteerde briefadres 50,6%, administratieve leegstand 45,7%, wel ingeschreven/niet woonachtig 32,8%, overbewoning SVB 17,3 %, studiefinanciering/licht verdacht 14,6%, vertrokken 13,3% en eigenaar 5 jaar overleden 4.2%. Fraude met de GBA en spookburgers vormen een steeds weerkerend probleem. Nu, mei 2013, is een staatssecretaris in politieke problemen vanwege toeslagfraude door groepen Bulgaren. Hardnekkige problemen, maar wel goed dat ICTU en anderen concrete handreikingen geven om beetje bij beetje deze praktische problemen weg te ruimen.

Kortom, na 7 jaar observeren van deze overheidsautomatisering zie ik wel vooruitgang. Nuttige basisregistraties en werkende koppelingen gaan de kosten en de fraude in de overheidsprocessen terug dringen.

Gewoon doorgaan met deze processen, ondanks de waan-van-de-dag interventies vanuit de politiek.