'Onderwijs investeerde extra in cyberbeveiliging door ransomware en coronavirus'

Nederlandse onderwijs- en onderzoekinstellingen hebben vorig jaar meer geïnvesteerd in cyberbeveiliging. Het ransomware-incident bij de Universiteit Maastricht en de coronapandemie waren daarvoor aanleidingen. Dat staat in een rapport van SURF.

De grote ransomware-aanval bij Universiteit Maastricht eind 2019 is voor veel onderwijsinstellingen aanleiding geweest om extra 'weerbaarheid verhogende beveiligingsmaatregelen' in te voeren. Instellingen zetten in op meer awareness bij studenten, meerfactorauthenticatie en het gebruik van vpn's. Ook is er meer aandacht voor patchmanagement en back-ups.

Alle universiteiten hebben vorig jaar een audit laten uitvoeren op basis van het SURFaudit Normenkader Informatiebeveiliging HO. Ook hebben sommige instellingen een Security Operations Centre ingericht voor 24/7-monitoring van hun informatiebeveiliging.

SURF schrijft dat in zijn Cyberdreigingsbeeld 2020-2021. Aan de jaarlijkse rapportage over de beveiliging bij onderwijsinstellingen hebben 78 instellingen meegewerkt. 54 daarvan hebben de vragenlijst volledig ingevuld. Naast het incident in Maastricht, bepaalde de coronapandemie grotendeels de beveiligingsagenda van onderwijsinstellingen, aldus het rapport.

De sector onderwijs en onderzoek is door thuisonderwijs en thuiswerken grotendeels afhankelijk geworden van een klein aantal grote Amerikaanse cloudproviders. Dat is een risico, omdat een storing gevolgen kan hebben voor de continuïteit van het onderwijs. Ook stelt SURF dat het ongeldig verklaren van het Privacy Shield door het Europese Hof van Justitie uiteindelijk kan leiden tot continuïteitsproblemen.

Volgens het rapport is het aantal incidenten toegenomen, vooral phishing is gestegen en daarbij wordt opgemerkt dat criminelen steeds meer moeite doen om zich te verdiepen in de organisatie die zij aanvallen. Het aantal ransomeware-incidenten is niet gestegen ten opzichte van een jaar eerder, maar het gevraagde losgeld is wel gestegen. Ook werken aanvallers steeds vaker samen en worden hun softwaretools geavanceerder.

Nog altijd is de meest voorkomende dreiging voor de onderwijssector 'verkrijging en openbaarmaking van data'. Dat wordt nu steeds vaker gedaan door beroepscriminelen, eerder waren dat vooral medewerkers. SURF stelt dat bewustwording en samenwerking tussen instanties cruciaal is om de dreigingen het hoofd te bieden. Vorig jaar was er al sprake van toenemende samenwerking binnen en buiten de sector. De organisatie waarschuwt dat expertise en middelen voor cyberbeveiliging schaars blijven en dat samenwerking daarom noodzakelijk is.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (17)

Instellingen zetten in op meer awareness bij studenten, meerfactorauthenticatie en het gebruik van vpn's.

Waarvan geen van allen een ransomeware aanval bij de school tegen zal gaan als de platformen zelf gewoon niet up-to-date zijn. Zowieso horen studenten geen installatie-rechten te hebben om machines die zo'n probleem kunnen triggeren buiten hun eigen huiswerk.

Studenten zouden geen installatierechten moeten hebben op een door hen via de universiteit aangeschafte laptop? Je bent je er van bewust dat je (admin)rechten op een laptop (windows wel) heel makkelijk kan krijgen met fysieke toegang?

Je servers en fileshares moeten gewoon fatsoenlijk ingeregeld en up to date zijn. Apparaten dichttimmeren houdt professionele ransomware niet buiten de deur en zorgt alleen maar voor verspilde tijd en frustratie voor gebruikers.

Met alleen patchen ga je er ook niet komen. Als er één laptop is die niet gepatched is en wel direct toegang heeft tot een smb share worden de documenten alsnog encrypt, of de server nou gepatched is of niet.

Een windows machine kun je best aardig dicht timmeren zonder dat je daar als gebruiker last van krijgt en het zorgt er wel voor dat die professionele ransomware een flink stuk harder aan het werk moet om binnen te komen.

Er zijn een aantal stappen die het gewoon lastig maken. Patchen, geen adminrechten (just in time admin rights voor een proces), zero trust access, anti-virus, etc. werken allemaal samen om het zo lastig mogelijk te maken voor ransomware. Een schakel in die keten weglaten, en het wordt een stuk eenvoudiger binnen te komen.

[Reactie gewijzigd door SunnieNL op 8 februari 2021 14:18]

Je bent je er van bewust dat je (admin)rechten op een laptop (windows wel) heel makkelijk kan krijgen met fysieke toegang?

Dat valt met een up-to-date Windows, secure boot èn bitlocker anders nog vies tegen.

Ja maar tegenwoordig zitten studenten vaker thuis op eigen machines. Daarnaast is het gewoon een vaardigheid die essentieel is tegenwoordig

Geen installatie-rechten voorkomt ransomware niet zeg ik uit (helaas) ervaring.
Awareness is wel degelijk een hele grote factor. Up to date houden van systemen een net zo grote inderdaad, maar er word ook gesteld dat in het afgelopen jaar de hoeveelheid ransomware niet is gestegen, en de hoeveelheid phishing wel, dat verklaard deze verdeling.

Awareness is net 1 van de belangrijkste factoren om aanvallen te voorkomen zoals we dit weekend nog in de comments onder de column hebben kunnen lezen. Mensen zijn en blijven zowat de zwakste schakel in de beveiliging en enkel door mensen bewuster te maken van hun acties en de mogelijke gevolgen kunnen we het aantal succesvolle aanvallen en inbraken beperken.

Awareness is juist 1 van de beste manieren om randomsware tegen te gaan aangezien veruit de meeste gevallen ontstaan door een actie van een gebruiker, admin of niet. Het nadeel van awareness training is dat het een project zonder einde is en er ook niet altijd direct resultaten zichtbaar zijn, dan is het soms lastig daar budget voor vrij te maken. Na een instructie van een paar minuten en een testje van 10 vragen is het echt niet zo dat de gebruiker een expert wordt op dit gebied, maar door ze constant dit soort voorbeelden te geven werk je toe naar een betere bewustwording van de gevaren. Ze herkennen dan wellicht niet direct een malafide email, worden voorzichtiger met het openen en rapporteren eerder bij onzekerheid.

De meeste hacks vinden plaats via social engineering. Het is ook de meest makkelijke en veelzijdige vorm van het hele hacken. De meeste organisaties gaan ten onder omdat 1 of andere bobo een link of mail aanklikt, waar die af had moeten blijven.

Als je personeel en gebruikers dus al een beetje security 101 basisopvoeding hebt gehad, kun je gigantisch veel mogelijke hacks voorkomen. Je kunt als IT beter een paar keer te veel de vraag krijgen of "deze mail te vertrouwen is" of "kan ik deze link gewoon openen?" of de "Deze interne website heeft geen certificaat, is het wel veilig". Dan dat ze maar gewoon wat aankloten en je zo een aanvaller makkelijk een voet binnen de deur geeft.

Je personeel en gebruikers opleiden om phising te herkennen, verificatie goed te gebruiken (als iemand je belt, even checken of dat daadwerkelijk degene is die je aan de lijn schijnt te hebben bv) en geen wachtwoorden te noteren op post-it's op de rand van het scherm.... Dan houd je al bijna alle hackers tegen.

Studenten mogen op eigen laptop best installatierechten hebben. Wat ze niet horen te hebben is een regelrechte toegang tot het interne netwerk vanaf die laptop. Die VPN lijkt mij voor hen totaal overbodig. Uitwisseling van documenten kan op een andere manier en als ze software moeten benaderen heb je daar ook oplossingen voor om een machine binnen het universiteitsnetwerk over te nemen zonder dat de laptop een directe verbinding met het interne netwerk krijgt.

Installatie/admin rechten op een machine van de uni heeft een student naar mijn inziens ook niet direct nodig.

Goed om te lezen dit artikel, want als voormalige sysadmin maak ik me de laatste tijd nogal wat zorgen over de beveiliging van de Windows servers van onze school. Momenteel is het mogelijk om daar vanaf elk willekeurig extern IP-adres via RDP mee te verbinden. Er wordt geen 2FA op toegepast, alleen gebruikersnaam en wachtwoord. Hopelijk is die zwakke schakel t.z.t. verholpen...

[Reactie gewijzigd door Uruk-Hai op 8 februari 2021 15:23]

Dat is vragen om ransomware....

Dat is een ramp in wording. Voorzie op zijn minst een vpn voor je gebruikers.

Helaas. ik ben voormalig sysadmin. Ik heb niets meer te vertellen op dat gebied.
Ik kan alleen nog maar waarnemen, waarschuwen en hopen op een goede afloop.

[Reactie gewijzigd door Uruk-Hai op 8 februari 2021 20:53]

Het is mogelijk nodig om een minister post te hebben voor enkel ICT en privacy. Nu wordt er samengewerkt met grote cloud spelers buiten de EU, de ‘know how’ is moeilijker te hanteren. Het zou met oog op de regelgeving beter van de grond komen als de EU landen een fonds oprichten en gezamenlijk een x aantal, EU, cloud projecten ondersteunen. Goed voor werk en als loopbaan binnen de EU en voorkomt ‘braindrain’.

Dan valt de privacyshield die momenteel niet te bedienen is ook beter te hanteren.

Kan die meteen bij de Belastingdienst, Politie en het leger aan de slag.

Je vergeet de UWV en GGD nog..