Securitybeurs 30 oktober 2013

Deze najaarsbeurs in Utrecht omvat Storage, Linux, Tooling en Security. En in de 8 jaren dat ik er nu heen ga, is Security van een bijprogramma geevolueerd naar het absolute hoofdprogramma. Altijd fascinerend om sprekers te horen, die wat dieper kijken in wat er nu eigenlijk gaande is bij de bedreigingen waarover wordt gesproken. Het komt nu eigenlijk niet meer voor, dat een gehoorzaal voor het grootste deel leeg is. Het is altijd tjokvol en bij sommige lezingen moet je echt een kwartier eerder komen om zeker te zijn van een plaats. Vooral als er sprekers zijn, die bekend zijn van radio of televisie. Zoals dit jaar de onderzoeksjournalist Brenno de Winter. Ik kon daar nog net een staanplaats achterin bemachtigen. Maar zijn verhaal sprak mij niet aan. Hij klaagde er vooral over, dat overheden op het terrein van security de pot dicht houden en geen inzicht willen geven in wat er mis gaat en welke steken overheden hebben laten vallen. Ze gebruiken daarbij het nationaal belang als argument, maar volgens De Winter kan terrorismebestrijding veel beter als maximale openheid wordt betracht. De enorme activiteit op het beursterrein is volgens mij ook een indicatie, dat de recessie wijkt. Er is activiteit en er wordt onderzocht waar je moet investeren. Ook de voortdurende verjonging van het beurspubliek wijst op nieuwe tijden en nieuw elan.

Ik wilde graag de Deloitte Hackingcontest bijwonen. Om te zien en te begrijpen, wat hackers eigenlijk doen. Hacken kun je niet leren; ik hoorde al eens een man van Fox IT zeggen, dat al die zogenaamde opleidingen en certificaten onzin zijn. De echte hackers ontwikkelen zichzelf in hun achterkamertje en in interactie met geestverwanten. Deloitte investeert in een groep ethical hackers en doet ook mee aan de CyberLympics.. Er zaten 15 hackerteams. Meestal in tweetallen zaten ze achter hun pc. Nadat ze de opdracht hadden gekregen, liep een moderator rond en gaf commentaar op hun vorderingen. Op een groot scherm was de voortgang te zien. Als een team tot op een bepaald niveau is binnengedrongen in het te hacken systeem, dan vinden ze een vlag die ze moeten rapporteren aan het centrale scoringssysteem . Een truc die wel eens wordt toegepast, is dat ze de gevonden vlaggen nog niet rapporteren, maar achter de hand houden. Aan het einde van de contest gaan ze dan opeens al hun vlaggen rapporteren en spuiten dan op het scorebord de andere teams voorbij om onverwacht de leiding te nemen. Voor hackers zijn er tools beschikbaar, die hun werkzaamheden versnellen. Genoemd worden Backtrack, kali en poortscanners. Er staat voorin de zaal ook een grote container met papierafval. Daarin kunnen hackers ook zoeken naar aanknopingspunten. Dat wordt Dumpster Diving genoemd. Graven in een container om ingangen te vinden. Er werd een voorbeeld getoond, hoe hackers bij het inlogscherm niet userid en wachtwoord opgeven, maar sql injecteren, die in de database de conclusie trekt, dat de gegevens (userid plus wachtwoord) matchen, zodat je binnen mag. Of je vraagt in een systeem het rapport over september op en haalt in plaats daarvan de wachtwoordfile op.

Voor deze contest is een systeem opgezet met daarin een mailclient, webserver e.a. Teams moeten hun vlaggen rapporteren aan het centrale scoringsysteem, zodat de zaal kan zien hoe de teams het doen. Team rood spoot snel naar 100 resp 200. Andere teams kwamen later op gang. Een team spoot plotseling naar de 400. Deze hacker won, maar bleek het scoresysteem gehacked te hebben! Het demonstreerde wel, hoe een hacker denkt. Hij ziet een applicatie niet zoals deze gedacht is voor gebruik. En hij houdt zich ook niet aan de opdracht in de contest om het opgezette systeem te hacken. Hij ziet alleen een doos waaraan je kunt morrelen, respectievelijk kijken waar openingen zitten. Zoals ooit eerder is beschreven, zoekt hij de openingen. Er zijn in de criminele bedrijfstak weer andere specialisten die vervolgens bezien hoe je de openingen kunt misbruiken.

AGIM en Shell-scenarioplanning

In een AGIM-lezing was er een update over scenarioplanning. AGIM alumni (Amsterdams Genootschap van Informatiemanagers) leerden zo'n 20 jaar geleden in hun strategieblokken over de scenarioplanning van Shell. In de jaren '70 had Shell daarmee baanbrekend succes; later werd het een standaardtool voor allerlei bedrijven en instellingen. Maar binnen Shell is er nog steeds een club, die zich ermee bezig houdt, en het was interessant om te vernemen, hoe het denken binnen Shell verder is geevolueerd. Een vertegenwoordiger van Shell verzorgde een update voor de AGIM-bijeenkomst.

Met scenarioplanning richt men zich op een planningstermijn van 5 tot 10 jaar. Door methodisch te werken elimineer je de bias, die mensen kunnen hebben. De spreker noemde als voorbeeld, dat in 1977 Ken Olsen van DEC stelde, dat hij geen plaats zag voor computers in huishoudens. Hoewel deze man met de ontwikkeling van de mini-computers van Digital een grensverleggende pionier was, had hij geen idee van de PC-revolutie, die een paar jaar later zou aanvangen. En zelf herinnerde ik me daarbij het voorbeeld van de IBM executive, die kort na de tweede wereldoorlog stelde, dat er wereldwijd maximaal behoefte zou zijn aan 3 computers. En dan te bedenken, dat elke smartphone in 2013 krachtiger is dan de computer die hij zich kon voorstellen...

In het scenarioplanningsproces analyseert men de driving forces, die de toekomst bepalen. Met name driving forces, waarvan het onzeker is hoe ze zich ontwikkelen, worden verder meegenomen in de analyse. Daarna kiest men de twee driving forces, die men het belangrijkste vindt. Dat maakt het namelijk mogelijk om straks de scenarioos in een twee-assen diagram te presenteren. In subgroepjes werkten de AGIM'ers daarna scenarioos uit voor de onderwerpen 'Toekomst AGIM', 'toekomst EURO' en de 'toekomst van de wereldvoedselvoorziening'. Met leuke resultaten en exercities die wel degelijk het bewustzijn vergroten en het out-of-the-box denken stimuleren. Dat laatste was in de jaren zeventig al duidelijk de winst die Shell boekte: Toen de oliecrisis uitbrak, waren hun managementteams beter geequipeerd om in hele andere toekomsten te denken dan het business-as-usual tijdperk. De man van Shell bevestigde ook, dat de scenarioplanning duidelijk een tool is voor training en changemanagement in de organisatie. Samenvattend is dus hun aanpak voor scenarioplanning:

1. Definieer de Focal question

2. Driving forces inventariseren

3. Critical uncertainties definieren

4. Bouw het scenario framework

Tot slot nog een paar gegevens over de AGIM-club: In een schoningsactie zijn 120 leden aangeschreven. Circa 80 leden betalen 25 of 50 E. De begroting over 2012 plant daarmee 4 seminars en gaat uit van 80 betalende leden.

Kringbijeenkomst over Riskmanagement

De kring Risk Management van het Actuarieel Genootschap organiseerde haar eerste bijeenkomst in de zomer van 2013. Er was een zeer grote opkomst. Ik schat wel over de honderd aanwezigen. Er waren 3 sprekers: drs Gertjan Stoker RA van een riskmanagement adviesbureau, econometrist ir Joeri Potters en dr Estelle Jonkergouw, Riskmanager van Achmea. Vooral de tweede spreker vond ik razend interessant met zijn inzichten vanuit Behavioural Economics.

Joeri Potters is van Carsaro, een bureau dat Pensioenfondsen ondersteunt. Hij werkt vanuit het perspectief van Behavioural Economics (Gedragseconomie). 'Mensen maken altijd dezelfde fouten'. Een aantal van die fouten worden benoemd en toegelicht.

-ambiguity aversion (http://en.wikipedia.org/wiki/Ambiguity_aversion). Mensen hebben voorkeur voor scenario's met zo weinig mogelijk onbekende factoren.

-attribute substitution. Als een probleem te moeilijk is om op te lossen, bedenk je een model, een simpele voorstelling van de werkelijkheid. Er is een bekende actuaris, Jos Berkemeijer, die al langer ageert tegen het geloof in lineaire modellen. Want je maakt een model op basis van wat je weet, maar juist dat kleine deel, dat je mist, kan een totaal andere uitkomst geven. De financiele crisis van 2008 wordt wel aangevoerd als een voorbeeld van een situatie, waar de modellen totaal gefaald hebben. (Value at risk bijvoorbeeld werkt niet in extreme situaties.) Realiseer je dus, dat onze modellen fout zijn. Ken de zwakheden van het model in plaats van te pogen het te verbeteren. De 95 procent die de modellen beschrijven is geen Riskmanagement. Dat is die 5%, die je model buiten beschouwing laat!.

-Meest desastreuze bias: overconfidence. Hij geeft daarvan aansprekende voorbeelden:

Voorbeeld 1 (Svenson, 1981). 93 procent van de mensen schat zichzelf in bij de beste 50 procent van chauffeurs.

Voorbeeld 2-Affect heuristic (Slovic, 2002). Er wordt een shortcut gemaakt in het beslissingsproces, beinvloed door gevoel. Zo kan de beurs onstuitbaar stijgen, als het gevoel heerst, dat het alleen maar omhoog kan gaan. 'Going with your gut'. Bij een positief gevoel worden risico's laag en opbrengsten hoog ingeschat.

-Naast ALM zijn er tegenwoordig ook event scenarioos. Zonder kans erbij. Het aantrekkelijke daarvan lijkt me, dat je uitsluitend mogelijke gebeurtenissen inventariseert. Zonder dat voortijdig geroepen wordt, dat het onvermijdelijk is of onwaarschijnlijk.

Deze benadering vanuit de Behavioural Economics spreekt mij geweldig aan. Teveel laten wij ons momenteel leiden door quasi rationele kwantitatieve benaderingen, die uiteindelijk de wezenlijke problemen niet tackelen.

Ten slotte sprak de Risk Manager van Achmea. Dat vond ik echt een KPMG-aanpak met oneindige factoren en matrixen. Vanuit Visie en Strategie worden Risk Appetite statements afgeleid. En van daaruit weer de KRI's, de kritische risk indicators. Volgens mij is dit weer een aanpak, die juist de bovengenoemde 5% onbekende risico's mist.

Tweede bericht over de Securitybeurs van november 2012

Dit is de tweede posting over de Securitybeurs van november 2012. In deze posting vooral aandacht voor de spreker van Fox IT. Fox IT is een speler, die zich in een paar jaar tijd in Nederland heeft opgewerkt als de specialist als het gaat om onderzoeken van cybercriminaliteit, computerinbraak, computerfraude. Het was geen verrassing, dat zij bijvoorbeeld werden gevraagd om te onderzoeken wat er was gebeurd, bij de inbraak van Iraanse hackers bij Diginotar.

Fox IT introduceert een nieuw motto: If you can't prevent it, detect it.

En: Het is zeker dat je gehacked wordt, de vraag is alleen wanneer. Ze verkopen dus niet de illusie, dat ze je volledig kunnen beschermen. Maar ze gaan er vanuit, dat hackers altijd zullen binnendringen, ondanks je preventieve maatregelen. En dat je dus vooral moet inzetten op snelle detectie en beperken van de schade. Monitoring dus! Waarbij de formule Kans* gevolg weer opkomt. Zij stellen dus, dat de kans 100 procent is, zodat je je volledig kunt richten op de gevolgen. De gevolgen vatten zij samen in de kreet CIA: confidentiality/integrity/availability. Dus de diefstal van gegevens, het onbetrouwbaar worden van je omgeving en het verstoren van de werking van je platformen.

Een paar stellingen:

100% preventie is onmogelijk.

Er komt van alles binnen in je omgeving.Wat is goed en wat is fout?

Als je overal sloten op zet, gaat dat ten koste van produktieverkeer.

Geautomatiseerde oplossingen zijn niet effectief. Kennis en gezond verstand zijn cruciaal.

Dus een inbraak snel ontdekken en na deze 'breach' snel optreden. Zoals elk gerenommeerd adviesbureau hebben zij een aanpak met een pakkende naam: SPICE. ( spullenboel, processen, informatiebronnen, capaciteit, expertise) Met de laatste twee elementen kan een bureau het beste helpen. Dat is voor een bedrijf moeilijker zelf op te bouwen en te onderhouden. Fox IT adviseert om de situatie te doordenken, dat je gehacked wordt. Denk erover na wat er gebeurt en wat je gaat doen. Volgens Fox is het beter om hackers in dienst te hebben dan papieren tijgers met allerlei schitterende gecertificeerde titels. Dat is mij uit het hart gegrepen! Een vraagsteller uit het publiek vraagt welk budget nodig is voor het werken volgens SPICE. Het antwoord luidt “Wat heb je ervoor over?”. Prima antwoord geheel in lijn met de opdracht om ZELF na te denken over gebeurtenissen en gevolgen..

Behalve Fox IT bezocht ik nog de lezing van een Belgische spreker (Johan Loos). Hij geeft een handig overzicht van definities.

Een vulnerability is een bug, fout of misconfiguratie.

Een exploit is een code van de aanvaller om de vulnerability uit te buiten.

Payload is de code die na een exploit op een systeem is geinstalleerd.

Voorbeelden van cybercrime: website concurrent uitschakelen, credit card info stelen, porno verspreiden, identiteitsdiefstal.

En voorbeelden van wat er kan gebeuren bij een hack:

Vulnerabilities kunnen optreden in applicaties (office, adobe), in OS en op de serverside.

Malicious user enters system, creates outbound secure channel, this channel is encrypted and not inspected by firewalls.

Attack vectors: attachment bij mail; server contains executable content; app exploits; downloads; tinyurl; tracking nr bij delivery terwijl je niks besteld hebt.

Acties: retrieve passwords; log keystrokes; install backdoor; install botnet; steal cookies; access data; control webcam; control microfoon.

Client side attack: payload maskeren t.o.v. De antivirusscanner; targets browser, adobe, java, office, mediaplayer.

Uitsmijter:

Tot mijn stomme verbazing lees ik een paar maanden later in Cloudnews een interview met de ex-directeur van Diginotar die bovenstaande statements en methoden nu hanteert om zich te verkopen als beveiligingsadviseur. Dat zo'n Cloudnews dat met droge ogen plaatst, als de hele wereld weet, dat er bij Diginotar niks van klopte en dat de meest elementaire beveiligingsstappen niet waren gedaan (password makkelijk te vinden, geen updates van software uitgevoerd etc.)