AIVD monitort netwerkverkeer bij bedrijven op hacks
De Nederlandse inlichtingendienst AIVD houdt netwerkverkeer van en naar bedrijven in de gaten om naar sporen van digitale aanvallen te speuren. Dat blijkt uit het overheidsrapport Cybersecuritybeeld Nederland.
De AIVD monitort bij de zoektocht naar digitale aanvallen niet alleen systemen en netwerkverkeer van overheidsinstanties maar ook van het bedrijfsleven. Dat staat in het beveiligingsrapport van het Nationaal Cyber Security Centrum, dat vorige week verscheen. Volgens het document gaat het om 'gerichte ondersteuning' bij 'specifieke organisaties'. Niet bekend is om welke bedrijven het gaat. Mogelijk is de monitoring beperkt tot bedrijven die verband houden met bijvoorbeeld kritieke infrastructuur of die op andere wijze van belang zijn voor de nationale veiligheid of voor de instandhouding van het maatschappelijk leven.
"Door dit onderzoek kunnen signalen die wijzen op aantasting van beveiligingsmaatregelen worden onderkend en kunnen belangendragers geïnformeerd worden zodat zij correctieve of preventieve maatregelen kunnen treffen", staat in het rapport. De passage werd opgemerkt door Ronald Prins van it-beveiligingsbedrijf Fox-IT, dat de overheid regelmatig ter zijde staat bij cybersecurityprojecten. Prins noemt de monitoring van het bedrijfs-netwerkverkeer een 'goede actie'.
Het is opvallend dat de Algemene Inlichtinge en Veiligheidsdienst bij private partijen het netwerkverkeer preventief in de gaten houdt. In maart van dit jaar sprak minister Opstelten van Veiligheid en Justitie bijvoorbeeld nog uit dat bedrijven zelf verantwoordelijk zijn voor de beveiliging van vitale scada-systemen die op internet aangesloten zijn.
Reacties (47)
Ze mogen wel vaker dit soort nieuws publiceren 
Want tot nu toe is er amper goed nieuws gepubliceerd betreft het AIVD. Meestal falen ze met projecten als opsporing en digitale recherche.
Want tot nu toe is er amper goed nieuws gepubliceerd betreft het AIVD. Meestal falen ze met projecten als opsporing en digitale recherche.[Reactie gewijzigd door Unflux op woensdag 11 juli 2012 18:31]
Precies, maar dit wekt daarentegen ook wel wat zorgen over privacy bij me op. Dat schijnt wel vaker vergeten te worden bij dit soort zaken, maar ik dacht dat privacy wel ergens vrij vooraan in de grondwet staat. Met bovenstaande gegevens kan ik nog niet genoeg zeggen erover, ik ben er alleen maar erg kritisch over ingesteld. Ik zou graag meer doorzichtigheid willen in hoe en wat er bekeken wordt.
Je wilt als inlichtingen- en veiligheidsdienst niet teveel naar buiten brengen. Je wilt de 'vijand' niet wijzer maken dan hij al is. Anders moeten ze persberichten zo censureren dat je er niks van kunt afleiden. Dan zijn die berichten zo saai dat ze niet de moeite van het publiceren waard. Niemand wilt "ergens in Nederland" achtige berichten lezen in de krant.
Het is een beetje zoals bij de politie. De honderden keren per dag dat ze goede acties uitvoeren, daar zul je weinig van horen. Maar slaat een eenstreper een dronkenlap, dan schreeuwen de media moord en brand (en laten ze wel even weg wat er aan vooraf ging).
Het is een beetje zoals bij de politie. De honderden keren per dag dat ze goede acties uitvoeren, daar zul je weinig van horen. Maar slaat een eenstreper een dronkenlap, dan schreeuwen de media moord en brand (en laten ze wel even weg wat er aan vooraf ging).
Hangt ervan af wat ze downloaden... die pr0n vast niet. Maar die bedrijfsgeheimen, of persoonsgegevens (al dan niet van belangrijke mensen)... Oei!
Niet te vergeten de bedrijven die leveren aan regimes of vliegtuigmaatschappijen of andere bedrijven die aan de overheid gelieerd zijn of die leveren aan de overheid.
Niet te vergeten de bedrijven die leveren aan regimes of vliegtuigmaatschappijen of andere bedrijven die aan de overheid gelieerd zijn of die leveren aan de overheid.
[Reactie gewijzigd door Grrmbl op woensdag 11 juli 2012 21:01]
Er staat nergens dat de AIVD dit zonder medeweten van de betreffende organisaties doet. Wellicht doet de AIVD dit in overleg met de organisaties zelf.'gerichte ondersteuning' bij 'specifieke organisaties'
Right, alsof de AIVD "petty crimes" als auteursrechtenschending in huiselijke kringen überhaupt iets kan schelen. Ze hebben we wat meer te doen daar. Hoort trouwens ook totaal niet bij hun takenpakket - ze gaan over de binnenlandse veiligheid.
Waar baseer je dat op? Hoe zou jij kunnen weten hoeveel succesvolle acties de AIVD uitvoert? Het heet niet voor niets een geheime dienst. Het is niet in hun voordeel om iets te publiceren.Meestal falen ze met projecten als opsporing en digitale recherche.
De kritische bedrijven waar het hier om gaat, huren nemen ik aan dataconnecties bij andere partijen, die hun infrastructuur hebben aangepast op attacks, of tegen meerprijs kun je je hier tegen beveiligen, dit zou dan wat dubbelop zijn (of anders gezegd: achter het net aan vissen).
Zeker SCADA gerelateerde systemen moeten op beveiligde tunnels zitten met transparante fallbacks etc, maar het rapport heeft het vooral over virusscanners op een PC
Zeker SCADA gerelateerde systemen moeten op beveiligde tunnels zitten met transparante fallbacks etc, maar het rapport heeft het vooral over virusscanners op een PC
SCADA systemen horen helemaal niet aan het internet gekoppeld te zijn 
Dat zou de preferentie hebben, maar in de praktijk is dat niet altijd mogelijk, en in dat geval zit je niet op een unmonitored adsl lijntje, althans, dat lijkt me niet slim...
En machines / apparatuur er naast ook niet, helaas wijst de praktijk toch heel vaak anders uit waardoor er indirect toch een probleem ontstaat. Je hebt helemaal gelijk hoor, zeker bij SCADA achtige systemen die niet eens een authenticatiemiddel hebben maar alleen maar directe interfaces aanbieden.
En wat versta jij onder 'aan internet gekoppeld' ? Het is toch wel gewenst dat SCADA systemen bijvoorbeeld alarmen kunnen sturen naar dienst doende personen. Bijvoorbeel via mail. Dan zal er dus een koppeling zijn via een mailserver naar Internet.
Verder worden SCADA systemen vaak door meerdere partijen onderhouden die ook nog eens regelmatig wisselen. Ga je een apparte lijn aan laten leggen naar al die partijen ? En wat win je daar mee als het netwerk van die partijen zoals tegenwoordig praktisch elk kantoornetwerk gewoon aan internet hangt ?
Wat zal meer schade opleveren, de zeer kleine kans dat een vreemdeling een proces ontregelt door de SCADA systemen te hacken of de grote kans dat een storing niet op tijd afgehandeld wordt doordat de dienstmedewerker s'avonds eerst in zijn auto moet stappen om naar het bedrijf te rijden omdat hij het SCADA systeem niet van huis kan benaderen.
Zelfs bij gescheiden netwerken lopen verbindingen over langere afstand praktisch allemaal over dezelfde infrastructuur die ook voor internet gebruikt wordt. Voor elke toepassing een nieuwe infrastructuur bouwen is gewoon veel te duur.
Natuurlijk moeten SCADA netwerken afdoende beveiligd zijn maar een opmerking als "dit hoort niet aan internet gekoppeld te zijn" gaat compleet voorbij aan de realiteit. Met IPSec tunnels en goede ACLs zit je al een heel eind op de juiste weg. Als de systemen in dat netwerk dan ook nog zo zijn ingeregeld dat de onderdelen die de veiligheidsregels van het proces bewaken niet zonder fysieke aanwezigheid gewijzigd kunnen worden zit je eigenlijk al goed.
Verder worden SCADA systemen vaak door meerdere partijen onderhouden die ook nog eens regelmatig wisselen. Ga je een apparte lijn aan laten leggen naar al die partijen ? En wat win je daar mee als het netwerk van die partijen zoals tegenwoordig praktisch elk kantoornetwerk gewoon aan internet hangt ?
Wat zal meer schade opleveren, de zeer kleine kans dat een vreemdeling een proces ontregelt door de SCADA systemen te hacken of de grote kans dat een storing niet op tijd afgehandeld wordt doordat de dienstmedewerker s'avonds eerst in zijn auto moet stappen om naar het bedrijf te rijden omdat hij het SCADA systeem niet van huis kan benaderen.
Zelfs bij gescheiden netwerken lopen verbindingen over langere afstand praktisch allemaal over dezelfde infrastructuur die ook voor internet gebruikt wordt. Voor elke toepassing een nieuwe infrastructuur bouwen is gewoon veel te duur.
Natuurlijk moeten SCADA netwerken afdoende beveiligd zijn maar een opmerking als "dit hoort niet aan internet gekoppeld te zijn" gaat compleet voorbij aan de realiteit. Met IPSec tunnels en goede ACLs zit je al een heel eind op de juiste weg. Als de systemen in dat netwerk dan ook nog zo zijn ingeregeld dat de onderdelen die de veiligheidsregels van het proces bewaken niet zonder fysieke aanwezigheid gewijzigd kunnen worden zit je eigenlijk al goed.
SCADA systeem is natuurlijk ook iets in de breedste zin van het woord 
Persoonlijk heb ik waterzuivering installaties liever niet aan het internet. Zet dr maar een pino neer die de telefoon pakt bij een rood lampje Maar er zijn talloze andere systemen te verzinnen waar ik het weer met je eens ben
Persoonlijk heb ik waterzuivering installaties liever niet aan het internet. Zet dr maar een pino neer die de telefoon pakt bij een rood lampje Maar er zijn talloze andere systemen te verzinnen waar ik het weer met je eens benDan ontsluiten ze dat soort systemen maar door een fatsoenlijke ESB (Enterprise Service Bus) of vergelijkbaar systeem waardoor het oorspronkelijke systeem dus niet eens rechtstreeks met een email-systeem hoeft te praten (of kan praten zelfs).
En dan zijn er nog legio andere oplossingen op de markt waardoor het systeem zelf echt niet rechtstraaks een internet hoeft te hangen voor beheer op afstand.
En dan zijn er nog legio andere oplossingen op de markt waardoor het systeem zelf echt niet rechtstraaks een internet hoeft te hangen voor beheer op afstand.
In dat geval zijn de ploegendiensten weer nodig lijkt me... dus alles is nu zoals het kan.Wat zal meer schade opleveren, de zeer kleine kans dat een vreemdeling een proces ontregelt door de SCADA systemen te hacken of de grote kans dat een storing niet op tijd afgehandeld wordt doordat de dienstmedewerker s'avonds eerst in zijn auto moet stappen om naar het bedrijf te rijden omdat hij het SCADA systeem niet van huis kan benaderen
[Reactie gewijzigd door Grrmbl op woensdag 11 juli 2012 21:04]
Ik heb pas nog hier op Tweak begrepen (sorry, kan zo snel geen link vinden) dat de overheid zoveel experts in dienst heeft dat ze op 6 handen zijn te tellen. Als die al zijn verdeeld onder de KLPD, Defensie en nu de AIVD, dan blijft er maar weinig over.
Daarnaast vraag ik me af of de betreffende bedrijven hiervan op de hoogte zijn.
Daarnaast vraag ik me af of de betreffende bedrijven hiervan op de hoogte zijn.
[Reactie gewijzigd door Dennisdn op woensdag 11 juli 2012 18:58]
Met een paar hele goede experts kun je volgens mij een groot verschil uitmaken.
Liever zelfs een paar echte pro's dan 10 keer zoveel mensen met slechts gemiddelde kennis en ervaring........
Blijkbaar doen mijn buren goed werk.
(trm0001 ziet regelmatig "Honey trap" achtige dames langs wandelen....*)
* of trm0001 heeft gewoon te veel films gezien.
@hieronder:
De AIVD IT afdeling is hopelijk van een hoger niveau dan de KLPD.
Ik hoop dat ze voor die kinderporno software (gaan) gebruiken die dat automatisch doet want ik kan me niet voorstellen dat iemand die dat moet gaan uitzoeken ooit nog hetzelfde in het leven staat (lees: in feite onmenselijk om zoiets te verwachten van agenten).
Liever zelfs een paar echte pro's dan 10 keer zoveel mensen met slechts gemiddelde kennis en ervaring........
Blijkbaar doen mijn buren goed werk.
(trm0001 ziet regelmatig "Honey trap" achtige dames langs wandelen....*)
* of trm0001 heeft gewoon te veel films gezien.
@hieronder:
De AIVD IT afdeling is hopelijk van een hoger niveau dan de KLPD.
Ik hoop dat ze voor die kinderporno software (gaan) gebruiken die dat automatisch doet want ik kan me niet voorstellen dat iemand die dat moet gaan uitzoeken ooit nog hetzelfde in het leven staat (lees: in feite onmenselijk om zoiets te verwachten van agenten).
[Reactie gewijzigd door trm0001 op woensdag 11 juli 2012 20:41]
"experts" is een groot woord.
Bij KLPD zitten voornamelijk ex-straatagenten die op onze kosten MCSE hebben gedaan en met wat standaard tools hun zaakjes draaien.
Het aantal mensen die b.v. kunnen scripten is al een heel stuk minder, om maar te zwijgen over het aantal mensen die bij KLPD zitten die lowlevel mee draaien. (die zijn op 1 hand te tellen).
Het probleem wat men heeft is dat deze KLDP'ers twee/drie keer zoveel kunnen verdienen dankzij hun CV in private sector.
Verder gaat een gezond mens niet vrijwillig zijn ogen en gemoedstoestand jaar in/jaar uit opofferen aan kinderporno. Tenzij hij er van houd......
Er zijn maar een weinig echte "hackers" (google: hacker+esr voor definitie) bij overheid, simpelweg omdat ze elders meer kunnen verdienen.
Het is om die reden dat b.v. bij een FOX-IT (Ronald Prins) er ex-agenten werken die voor een hoger salaris hetzelfde werk VOOR de overheid zitten te doen. Dat is een onwenselijke situatie aangezien overheid nu geheel afhankelijk is geworden van FOX-IT.
Los van verstoring van vrije marktwerking etc.. etc..
Bij KLPD zitten voornamelijk ex-straatagenten die op onze kosten MCSE hebben gedaan en met wat standaard tools hun zaakjes draaien.
Het aantal mensen die b.v. kunnen scripten is al een heel stuk minder, om maar te zwijgen over het aantal mensen die bij KLPD zitten die lowlevel mee draaien. (die zijn op 1 hand te tellen).
Het probleem wat men heeft is dat deze KLDP'ers twee/drie keer zoveel kunnen verdienen dankzij hun CV in private sector.
Verder gaat een gezond mens niet vrijwillig zijn ogen en gemoedstoestand jaar in/jaar uit opofferen aan kinderporno. Tenzij hij er van houd......
Er zijn maar een weinig echte "hackers" (google: hacker+esr voor definitie) bij overheid, simpelweg omdat ze elders meer kunnen verdienen.
Het is om die reden dat b.v. bij een FOX-IT (Ronald Prins) er ex-agenten werken die voor een hoger salaris hetzelfde werk VOOR de overheid zitten te doen. Dat is een onwenselijke situatie aangezien overheid nu geheel afhankelijk is geworden van FOX-IT.
Los van verstoring van vrije marktwerking etc.. etc..
Je hebt gelijk voor wat betreft salaris (vergeet trouwens secundaire arbeidsvoorwaarden niet mee te nemen in een vergelijking) en ook dat mensen bij de (rijks)overheid weg gaan om zich daarna weer te laten inhuren tegen een dubbel salaris.
Maar de afdeling High Tech Crime van het KLPD heeft toch zeker wel behoorlijk veel kennis en kunde in huis hoor!
Maar de afdeling High Tech Crime van het KLPD heeft toch zeker wel behoorlijk veel kennis en kunde in huis hoor!
Ligt aan je definitie van "kennis" en "kunde".Maar de afdeling High Tech Crime van het KLPD heeft toch zeker wel behoorlijk veel kennis en kunde in huis hoor!
Bij mij weten werkt erbij overheid (NFI, Politie, Defensie of inlichtingendienst) niemand die een meer dan een paar keer op bugtraq of enige andere forum een zero-day heeft gevonden en een proof-of-concept (poc) heeft geschreven. Ook heeft er bij mij weten nooit zo iemand daar gewerkt.
Het aantal mensen in Nederland die op dat niveau acteren kun je hooguit in een paar klaslokaaltjes stoppen. (paar honderd).
Deze hebben totaal geen trek om in een bureaucratisch organisatie te komen waarin ze in een keurslijf van procedures en door managers bepaalde dagelijkse werkzaamheden te worden gedrukt.
Mijn definitie van "kennis" en "kunde" zou over dat soort mensen gaan.
Voor overheid is dat van ondergeschikt belang aangezien ze standaard oplossingen kopen en "kennis" & "kunde" kunnen inhuren zoals bij een bedrijf van Prins, die wel een paar van dat soort figuren heeft rondlopen. Verder zijn er veel Nederlandse "hackers" in het buitenland terecht gekomen, waar respect, vrijheid, mogelijkheden en financiële vergoeding veel beter is.
Een enkeling komt in criminele circuit uit. (al dan niet dankzij een drugsverslaving).
Vergeet niet tot begin van deze eeuw stond overheid ZEER argwanend tegenover mensen die bepaalde kwaliteiten hadden. En als je over iets kunt beschikken zonder het risico te hoeven lopen en de hoge salaris te hoeven betalen ben je er ook.
Enige reële gevaar is dat er in derde wereld landen zoals India meer ICT ingenieurs afstuderen dan alle ingenieurs in Europa bij elkaar (ongeacht vakgebied). Om maar te zwijgen over de hobbyisten die met liefde voor ICT security tot beste in het vakgebied behoren (de meeste toppers in IT-sec hebben er geen opleiding voor gevolgd namelijk).
Kwantiteit zal men het altijd tegen afleggen en met hoog wintendo/apple gehalte in onze samenleving komen er steeds minder mensen erbij die weten hoe dingen werken of dat willen weten.
Wanneer heb je iemand voor het laatst over assembler horen spreken b.v. ?
Ronald loopt al een tijdje naast zijn schoenen en lijkt hoe langer hoe wereld vreemder.Prins noemt de monitoring van het bedrijfs-netwerkverkeer een 'goede actie'.
Er is niets democratisch aan handelswijze van AIVD het is niet toetsbaar, niet rechtsgeldig en men kan het als slachtoffer of als dader niet de door hun gecollecteerde verkeer opvragen.
Als samenleving moeten we niet willen dat een inlichtingen (knipsel verzamel) dienst zonder enige aanleiding preventief data mag opslaan en verwerken.
Volgende stap dat je ALLE verkeer in Nederland op eenzelfde wijze gaat verwerken en datamining (correlatie analyses) op los gaat laten.
We hebben onze mond vol over China, Iran, Noord-Korea maar die landen lopen te kwijlen met wat bij ons op het internet en in dagelijks praktijk (zie b.v. camera's bij elke ingang/uitgang van een stad) al aan het doen zijn.
Tja, dat zal ik dan maar geloven. Al kun je idd die camera's voor meer doeleinden gebruiken dan kilometerregistratie controle etc.We hebben onze mond vol over China, Iran, Noord-Korea maar die landen lopen te kwijlen met wat bij ons op het internet en in dagelijks praktijk (zie b.v. camera's bij elke ingang/uitgang van een stad) al aan het doen zijn.
Je kunt met hedendaagse technieken energie generen met menselijk lichaam, daarmee kun je een onderhuidse GPS+GSM device voeden.
Dat iets kan hoeft niet te betekenen dat je het ook moet doen omdat er een "nuttig" doeleind voor is.
Kijk "Enemy of the state" eens of lees het boek "Database Nation : The Death of Privacy in the 21st Century" beide oudjes.
De overheid bestaat bij gratie van het volk en niet vice versa.
In veel westerse landen is het ondenkbaar dat overheid zover gaat in het monitoren van haar bevolking.
Dat iets kan hoeft niet te betekenen dat je het ook moet doen omdat er een "nuttig" doeleind voor is.
Kijk "Enemy of the state" eens of lees het boek "Database Nation : The Death of Privacy in the 21st Century" beide oudjes.
De overheid bestaat bij gratie van het volk en niet vice versa.
In veel westerse landen is het ondenkbaar dat overheid zover gaat in het monitoren van haar bevolking.
Een algemene controle en grootschalige surveillance is in mijn optiek inderdaad zeer onwenselijk, maar gericht dataverkeer monitoren op systemen en netwerken die cruciaal zijn voor de stabiliteit van bijvoorbeeld het betalingsverkeer of andere kritieke infra is ook mijns inziens een hele goede zaak. Je zou waarschijnlijk ook moord en brand schreeuwen als die systemen eruit vlogen en de overheid dan verwijten dat ze meer hadden moeten doen.
Het is inherent aan een inlichtingendienst dat ze hun werk in de schaduw doen. Jammer voor jou, want veel mensen zouden maar wat graag al die verhalen horen. Maar er is wel degelijk democratische controle, door de "commissie stiekem". Die commissie bestaat uit Tweede Kamerleden die vertrouwelijk worden geïnformeerd en dan ook hun zegje kunnen doen. Het is zeker wel rechtsgeldig en toetsbaar, want een rechter gaat echt geen mensen veroordelen "omdat de AIVD het zegt".
Je moet je goed realiseren dat de wereld geen leuke en lieve plek is waar iedereen het beste met de ander voor heeft. De Nederlandse regering heeft als taak om onze belangen te behartigen en om dat te doen op basis van gedegen informatie is er een inlichtingendienst nodig. Jammer, maar helaas. En in plaats van ******, zou je wat meer waardering mogen hebben voor deze mensen die vaak belangrijk werk doen en ons al heel wat narigheid hebben bespaard.
Het is inherent aan een inlichtingendienst dat ze hun werk in de schaduw doen. Jammer voor jou, want veel mensen zouden maar wat graag al die verhalen horen. Maar er is wel degelijk democratische controle, door de "commissie stiekem". Die commissie bestaat uit Tweede Kamerleden die vertrouwelijk worden geïnformeerd en dan ook hun zegje kunnen doen. Het is zeker wel rechtsgeldig en toetsbaar, want een rechter gaat echt geen mensen veroordelen "omdat de AIVD het zegt".
Je moet je goed realiseren dat de wereld geen leuke en lieve plek is waar iedereen het beste met de ander voor heeft. De Nederlandse regering heeft als taak om onze belangen te behartigen en om dat te doen op basis van gedegen informatie is er een inlichtingendienst nodig. Jammer, maar helaas. En in plaats van ******, zou je wat meer waardering mogen hebben voor deze mensen die vaak belangrijk werk doen en ons al heel wat narigheid hebben bespaard.
Volgens mij heb je het volgende stukje gemist van het artikel:Er is niets democratisch aan handelswijze van AIVD het is niet toetsbaar, niet rechtsgeldig en men kan het als slachtoffer of als dader niet de door hun gecollecteerde verkeer opvragen.
Volgens het document gaat het om 'gerichte ondersteuning' bij 'specifieke organisaties'.
blablabla..
Bijvoorbeeld XS4ALL, de grote voorvechter voor een vrij internet, monitord al jaren het internetverkeer van de gebruikers op mogelijke virus-activiteit en snijd zelfs gebruikers af als ze wat zien.
Bijvoorbeeld XS4ALL, de grote voorvechter voor een vrij internet, monitord al jaren het internetverkeer van de gebruikers op mogelijke virus-activiteit en snijd zelfs gebruikers af als ze wat zien.
Ik vraag mij af wat het monitoren aan een lek systeem helpt.Aan Scada valt nog wel het eea aan te verbeteren.nog uit dat bedrijven zelf verantwoordelijk zijn voor de beveiliging van vitale scada-systemen die op internet aangesloten zijn.
Kijk en huiver
http://brandpunt.kro.nl/s...menten/de_digitale_oorlog
Behalve dat dit nog
http://nos.nl/artikel/389...crime-niet-aangepakt.html
[Reactie gewijzigd door Nozem1959 op woensdag 11 juli 2012 22:15]
Op dit item kan niet meer gereageerd worden.
Onderwerpen
Populair: Tablets Samsung Websites en communities Mobiele telefoons Google Sony Microsoft Games Politiek en recht Consoles
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
