Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Hackers stelen data over JSF bij een Australische onderaannemer

Een medewerker van het Australian Signals Directorate, een inlichtingendienst, heeft gezegd dat hackers in totaal 30GB aan data hebben gestolen over de JSF-straaljager, marinevaartuigen, het P-8-verkenningsvliegtuig, het Hercules-transportvliegtuig en gps-geleide bommen.

De hackers hadden sinds juli 2016 toegang tot het netwerk van een klein Australisch luchtvaartbedrijf, een onderaannemer van het Australische ministerie van Defensie. Het buitmaken van data begon twee weken daarna volgens een manager van het Australian Signals Directorate, Mitchell Clark. Dat heeft hij bekendgemaakt tijdens een presentatie.

De federale Australische overheid zegt niet te weten wie de hackers waren en stelt dat de gestolen informatie geen gevoelige geheime data betreft, maar slechts commercieel gevoelige gegevens. Clarke zei tijdens de presentatie echter dat het om een uitgebreide datadiefstal ging. Welke gegevens er precies zijn buitgemaakt is niet duidelijk, al zei Clarke wel dat er onder de gestolen informatie over de marineschepen onder meer materiaal zat waarmee helemaal kan worden ingezoomd tot op de stoel van de kapitein.

Voor de inbraak bleek een tool genaamd China Chopper te zijn gebruikt. Het kostte de hackers volgens Clark bijzonder weinig moeite om het netwerk binnen te dringen, mede omdat het bedrijf bij bepaalde internetdiensten nog steeds gebruikmaakte van standaardwachtwoorden zoals 'admin' en 'guest'. Het betreft een klein bedrijf dat vijftig mensen in dienst heeft, waarbij het netwerk werd onderhouden door één it'er.

Gegevens over de JSF zijn al vaker doelwit geweest van hackers. Zo braken onbekenden in april 2009 in op computersystemen van het Join Strike Fighter-straaljagerproject, waarbij meerdere terabytes aan gegevens zijn gestolen. Er is gespeculeerd dat China de hierbij buitgemaakte data heeft gebruikt voor de ontwikkeling van de eigen J31-straaljager, die veel op de JSF lijkt. In mei 2013 zouden Chinese hackers via een hack geheime ontwerpen hebben gestolen van meerdere wapensystemen, waaronder de JSF.

Mede omdat de JSF is ontwikkeld door een groot aantal westerse landen, zijn talloze defensiebedrijven bij het programma betrokken, waardoor de gevoelige gegevens bij allerlei verschillende bedrijven op hun netwerken staan.

Bovenaan de JSF; daaronder de Chinese J-31.

Door

Nieuwsredacteur

67 Linkedin Google+

Reacties (67)

Wijzig sortering
LOL, ik werk op een bedrijf van 30+ mensen (architectenbureau), en weet je hoeveel IT'ers wij voltijds in dienst hebben?

NUL.

We hebben 1 dag per week iemand die langskomt van een externe IT firma. En voorts zijn die mensen bereikbaar via mail en telefoon qua helpdesk. En ja, wij leunen wel hevig op onze workstations en technologie voor onze dagelijkse productie CAD, rendering, Adobe CS, etc., we draaien heus niet enkel Microsoft Office.

Het is totaal niet realistisch qua budget voor doorsnee bedrijven van 50 mensen en minder (de KMO zeg maar) om zomaar meerdere IT'ers voltijds in dienst te nemen. Werknemers zijn enorm duur, zeker in Europa.

Ik ben wel akkoord dat een bedrijf dat gevoelige defensieinformatie heeft zijn beveiliging op orde moet hebben, en daar zoveel IT'ers moet voor aannemen als nodig. Stelt de (Australische) overheid die deze contracten toewijst aan dit bedrijf geen eisen wat betreft beveiliging, encryptie, etc. van gevoelige militaire informatie??
De fysieke beveiliging van bv. een bank (of noem een willekeurig ander high profile pand) zit ook niet aan tafel bij de directie.

Personeel dat zich houdt aan de veiligheidseisen (geen pasjes weggeven, geen wachtwoorden op briefjes schrijven, geen deuren open houden voor onbekenden, geen documenten uit het pand meenemen) is een net zo groot probleem maar heeft niets met IT te maken. Moet personeel dan ook aan tafel bij de directie?

Daarnaast is goed werkende en veilige IT net zo belangrijk als een afdeling 'orderverwerking' bij (ik noem maar wat) een webshop. Als er een week geen orders verwerkt worden bij een hut als Bol.com kun je ook de deuren sluiten. Idem voor een afdeling financiele administratie.

Kortom, elk bedrijf heeft meerdere cruciale afdelingen om de zaak operationeel te laten draaien. Moeten die allemaal aan tafel bij de directie?
Mijn punt is dat het outsourcen van IT niet slecht is, en dat dat niet per definitie betekent dat je teveel betaald en weinig krijgt. Goed personeel is niet alleen duur, maar ook lastig te vinden. Voor een gemeente is het (om wat te noemen) niet zinvol om een storagespecialist in dienst te nemen, als er maar voor een uur in de week werk voor die gene is. Dan kun je dat beter outsourcen. Het alternatief is dat je een minder capabele werknemer laat werken op apparatuur waarvan hij niet alle ins en outs kent.

Ik ken als IT-er helaas meer on-vakkundig personeel dan vakkundig personeel. Dat hoeft niet perse aan die mensen zelf te liggen, maar dat mensen bijvoorbeeld taken toegewezen krijgen waar ze simpelweg geen ervaring mee hebben. Dat gebeurt vaak in kleine organisaties waar een klein team steeds meer apparatuur in beheer krijgt. Apparatuur waar ze mogelijk 0,0 ervaring mee hebben.

Wat jij stelt is dat elk datalek het gevolg is van bezuinigingen en gebrek aan inzicht bij directies en de behoefte om te outsourcen. Ik stel slechts dat dat echt een onzin verhaal is. Ik stel dat ondernemingen anno 2017 echt wel realiseren dat IT een belangrijk onderdeel is en dat beveiliging daar een onderdeel van is.

Echter, geen enkel bedrijf heeft een onbeperkt budget. Dus ja, er zullen soms keuzes gemaakt moeten worden tussen verbetering van beveiliging of het verbeteren van de financiën. Dat kan verkeerd uitpakken, maar dat kun je nooit op voorhand bepalen.

Zelfs al zou je elke euro omzet aan IT beveiliging uitgeven, dan nog is dat geen garantie dat er nooit een hack plaatsvindt.

De realiteit is dat je nou eenmaal keuzes moet maken, niets is 100% veilig en er is geen enkel bedrijf ter wereld dat geen grenzen aan budgetten stelt.

Uiteindelijk kan een datalek het gevolg zijn van een verkeerd vinkje, een vergeten admin account, een niet verwijderde oude versie van een stuk software. Daar kun je nog zoveel beleid voor maken, nog zoveel miljoenen tegenaan gooien, maar er worden nou eenmaal ook gewoon fouten gemaakt. En ja, daar zijn dan allemaal oplossingen voor te bedenken om zoiets een tweede keer te voorkomen. Maar niemand heeft alle kennis in pacht, dus er zal binnen organisaties ook geleerd moeten worden van fouten. Dat kunnen soms pijnlijke en dure fouten zijn.
Sorry maar vind het een beetje goedpraterij wat je nu doet. Ik stel helemaal niet dat het alleen maar daardoor komt. Maar kom opzeg wanneer bedrijven als equifax die miljarden verdienen en wel vette bonussen kunnen uitkeren ga je me echt niet vertellen dat ze niet meer aan betere ICT beveiliging kunnen besteden. En dat is maar 1 voorbeeld. Dat niets 100% veilig is is nogal logisch maar wanneer een paar script kiddies en niet een de creme de la creme van hackers je boel kan hacken ben je als leidinggevende gewoon massief aan het blunderen. period. Kun je het wel proberen om het net als iedere leidinggevende te dumpen op het bordje van de ICT-ers, maar dat is botweg gewoon verantwoordelijkheid afschuiven.

En ik zie in het nieuws voornamelijk alleen maar "hacks" die gedaan worden zonder al te veel moeite omdat het gewoon mismanagement voornamelijk is van de top. En outsourcen van IT hoeft niet slecht te zijn, maar sorry hoor het is ook niet het heilige paardje wat jij ervan maakt. Meer dan genoeg geblunder komt ook daar vandaan.

En als anno 2017 het allemaal zo serieus genomen word, hoe krijgen ze het dan voor elkaar als het nieuws vol staat keer op keer met het zoveelste datalek (nu al jaren) dat ze NOG geen checks hebben gedaan of maatregelen hebben genomen om zelf niet de volgende te zijn?

Voornamelijk mismanagement van de top die denken dat ze alles wel weten en niet naar personeel hoeven te luisteren. Een veel voorkomend euvel bij mensen in leidinggevende posities met papieren.
Kun je wel doen of sat nooit gebeurd maar dat is denk ik dan een gevalletje je kop in het zand steken en schuld afschuiven. En als mensen op de verkeerde plekken zitten, wiens schuld is dat denk je? Oh ja ... degene die hen daar plaatsen. En als er nieuwe software of apparaten komen en er word niet getraind of een gekwalificeerd persoon aangenomen wiens verantwoordelijkheid is dat denk je?

Kan zo nog wel even doorgaan maar groten deels gewoon geblunder bij leidinggevenden.
Je kunt 10 miljoen uitgeven aan IT, 20 IT-ers in dienst nemen bij een bedrijf met 50 man, als je default wachtwoorden niet aanpast word je gepwnd.

Dit heeft dus niets te maken met budget, en alles met het toepassen van de meest basale veiligheidsmaatregelen.
In dit geval helemaal mee eens. Maar de kans dat als je 2 IT-ers hebt tegen over 1 dat #2 OOK vergeet/zo dom is wachtwoorden niet aan te passen is al een stuk kleiner.
Dat is een gevaarlijke aanname. Binnen organisaties spelen allerlei ontastbare zaken die een rol kunnen spelen in het semibewust zijn van veiligheidsproblemen.

Dat kan zijn bv. een nieuwe werknemer die wel kennis van zaken heeft, maar dat zijn argumenten niet worden opgepakt door de groep. "we doen het hier op deze manier, en dat werkt prima zo".

Een nieuwe werknemer zal sowieso niet direct z'n nieuwe collegas aanvallen door aan te stippen wat er allemaal mis is, met het risico dat ook die nieuwe werknemer zich bewust dan wel onbewust schikt aan de situatie.

En er kunnen ook hier weer technische redenen aan ten grondslag liggen. Bijvoorbeeld het gebruik van een standaard admin account met als motivatie: "Die machines hangen in een afgesloten omgeving". En een jaar later knupt iemand die omgeving aan het Internet, en daarbij vergeten ze dan dat die machines nog dat standaard admin account heeft.
En ook hier weer: wiens verantwoordelijkheid denk je dat dat voornamelijk is?
Leidinggevenden. Want dat hele zo werkt het prima dus laat maar zo word echt niet beslist door het voetvolk.

Op dit item kan niet meer gereageerd worden.


Apple iPhone X Google Pixel 2 XL LG W7 Samsung Galaxy S9 Google Pixel 2 Far Cry 5 Microsoft Xbox One X Apple iPhone 8

© 1998 - 2017 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Hardware.Info de Persgroep Online Services B.V. Hosting door True

*