Hackers die de overheid beveiligen? Dat kan niet

Een korte reactie op het Diginotar-debat.

Stuxnet, Aurora, RSA, Diginotar.......wie volgt? In de afgelopen jaren is de geavanceerde dreiging (advanced persitent threat (APT) genoemd) exponentieel toegenomen en een afname op de korte termijn is onwaarschijnlijk. Cyber security is HOT. Helaas heeft een groot aantal mensen wel een ‘klok gehoord, maar heeft geen idee waar de bewuste klepel hangt. Zeker als het gaat om APT-dreiging.
Het was voor mij dan ook geen verassing dat zelfs leden van de Tweede Kamer zich serieus afvragen of hackers kunnen worden ingezet als de beveiligingsauthoriteit voor de overheids-ict.
Met alle respect voor de hackers - en dat respect heb ik zeker - zij hebben niet de benodigde kennis die nodig is om de huidige en toekomstige APT-dreigingen succesvol te weren, noch beschikken zij over het gehele overzicht waarin verbanden worden gelegd, met als gevolg dat zij structureel geen beargumenteerde voorspellingen kunnen kunnen doen over de verwachte technologische dreigingsontwikkelingen. Juist die verbanden en verwachtingen kunnen het verschil maken tussen een grootschalige (nationale) security breach en een voorkoming hiervan.

De APT-dreiging is dusdanig complex en inventief dat een algehele 100 procent beveiliging tegen dergelijke dreiging niet te garanderen is. Vandaar dat een constante monitoring noodzakelijk is om erger te voorkomen en bij een ‘breach’ de schade zo beperkt mogelijk te houden.
Een manier om een APT-dreiging te beschrijven, is de indeling in vijf fasen, die in meer of mindere mate zijn te ontdekken in de APT-dreigingen. Deze fasen zijn:
1. Verkenning
2. Initiële Infectie
3. Laterale verspreiding
4. Subversie, exfiltratie
5. Opruiming

Complex

Aangezien de aanvallers gebruikmaken van niet-conventionele methoden en procedures, worden de aanvallen niet altijd ontdekt tijdens de eerste en tweede fase. Vaak komt de ontdekking pas in de derde en vierde fase. Dit is dan ook de reden dat zowel het interne netwerk alsook de perimeter van de ict-infrastructuur constant moet worden gemonitord.
Deze monitoring wordt steeds complexer, omdat meer data moeten worden geanalyseerd en aanvallen vaak alleen kunnen worden ontdekt als er spake is van anamoly-detection (oftewel een afwijking van het normale patroon). Hackers kunnen deze vereiste monitoring onmogelijk structureel uitvoeren. Mijns inziens kan deze continue monitoring alleen adequaat worden uitgevoerd door gespecialiseerde en hiervoor geëquippeerde partijen, hetgeen een serieuze investering vereist. Hierbij is zelfs de ondersteuning van specifiek ingerichte research benodigd, omdat de dreiging steeds geavanceerder wordt en alleen met ‘dedicated' research de dreiging kan worden bij gehouden en vaak kan worden vóór gebleven. Daarnaast maken deze gespecialiseerde bedrijven al enkele jaren gebruik van de kennis van (ex-)hackers, vaak door middel van een daadwerkelijke functie binnen de research teams.

Om de ict van de overheid (en gemeenten) zo goed mogelijk te beveiligen, is mijns inziens een ‘in-depth risk assessment' noodzakelijk. Dit assessment dient volgens de onderstaande stappen plaatsvinden:
- (learn) Eerst dient te worden bepaald wat het it-landschap is en waaruit de dreigingen bestaan. Ook de risico's en kwetsbaarheden dienen in kaart te worden gebracht.
- (monitor) Vervolgens zal een ‘real-time' overzicht moeten worden gegenereerd om te bepalen wat er gebeurt in en rondom de organisatie.
- (analyse) Dan moet worden bepaald wat de oorsprong en impact van de gebeurtenissen zijn. Bij dreigingen dient er een gedegen analyse plaats te vinden en worden de resultaten van de analyse gevisualiseerd weergegeven.
- (respond) Acteer, beperk en repareer de schade. Bepaal of en zo ja, in hoeverre de aanval succesvol was. Implementeer eventuele afschrikmethoden en elimineer de ontdekte kwetsbaarheden.
- (learn) Gebruik de geleerde lessen en neem de benodigde maatregelen en begin de cyclus opnieuw.

Serieuze investering

 Concluderend kom ik dan tot de volgende stelling: Om de veiligheid van de overheids-ict goed aan te pakken en zeker vwb de APT-dreiging, moet de overheid de hulp inroepen van private gespecialiseerde en geëquipeerde partijen die de beschikking hebben over dedicated research en kennis. En ja, dit vereist een serieuze investering!
Deze partijen hebben goed zicht op de dreigingen, de cyberontwikkelingen en kunnen gericht advies geven over de benodigde acties. Alleen dan kan de ict van de overheid veiliger worden. Dat gaat niet lukken met alleen hackers...