DTC waarschuwde in jaar tijd 1700 Nederlandse bedrijven voor cyberdreiging

Overheidsorgaan Digital Trust Center heeft sinds juni 2021 ruim 1700 bedrijven gewaarschuwd voor ernstige cyberdreigingen of -kwetsbaarheden. Er waren 46 verschillende incidenten waarbij bedrijven werden gewaarschuwd. Het overgrote merendeel van de waarschuwingen was in 2022.

Vorig jaar waarschuwde het DTC 361 bedrijven, ruim 1000 minder dan de 1378 bedrijven die het DTC dit jaar tot 15 juni heeft gewaarschuwd. Het DTC geeft niet concreet aan waar dit verschil door komt, al zegt het overheidsorgaan wel met verschillende pilots meer bedrijven te willen inlichten. Zo waarschuwt het DTC sinds augustus ook niet-vitale bedrijven.

Het gros van de waarschuwingen draaide om kwetsbaarheden als beveiligingslekken, configuratiefouten en gestolen inloggegevens bij apparaten of software. Een recent voorbeeld is een fout in Atlassian Confluence. Bedrijven worden telefonisch of per mail gewaarschuwd voor deze kwetsbaarheden. Naast een melding over de kwetsbaarheid, geeft het DTC aan welke acties bedrijven kunnen ondernemen. Zo wil het DTC bijvoorbeeld ransomwareaanvallen en diefstal van bedrijfsgegevens voorkomen.

Het DTC is onderdeel van het ministerie van Economische Zaken en onderzoekt de cyberdreigingen niet zelf. In plaats daarvan krijgt de organisatie meldingen van andere organisaties en cyberonderzoekers. Het overheidsorgaan bepaalt of deze meldingen ernstig zijn voor Nederlandse bedrijven. Als de meldingen inderdaad ernstig zijn, worden bedrijven gewaarschuwd.

Naast het actief waarschuwen, werkt het DTC aan een pilot met een geautomatiseerd waarschuwingssysteem waarbij bedrijven kunnen aansluiten. Inmiddels hebben 57 bedrijven zich hierbij aangesloten, waarvan 32 sinds afgelopen oktober zijn gewaarschuwd met 182 meldingen. Het verkrijgen en actualiseren van de benodigde bedrijfsinformatie is echter 'zeer arbeidsintensief', waardoor het DTC wil kijken naar 'mogelijk efficiëntere distributiemodellen'. Een mogelijke oplossing hiervoor is security.txt, waar het DTC dan ook op inzet. Tweakers schreef eerder een achtergrondartikel over hoe het DTC en het NCSC bedrijven waarschuwen.

Reacties (4)

[CAPSLOCK2000]

beveiligingslekken, configuratiefouten en gestolen inloggegevens bij apparaten of software. Een recent voorbeeld is een fout in Atlassian Confluence

Goed dat het DTC dit doet, treurig dat het zo vaak nodig is want dit klinkt vooral als zeer laag hangend fruit. Het soort problemen waarvan je hoopt dat bedrijven ze zelf vinden en oplossen.Hoewel er tegenwoordig meer aandacht is voor goed beheer en veilige IT is het vooral heel passief en reactief. De betere organisaties zijn zelf actief op zoek, bv met een vulnerability-scanner of pentester.

tips:
- Installeer je patches en updates zo snel en zo vaak mogelijk. Sla geen updates over, stop nooit met onderhoud.
- Automatiseer zoveel mogelijk. Mensen maken nu eenmaal fouten en zijn soms moe of gewoon lui. Computers zijn altijd nauwkeurig en tot de laatste seconde alert.
Automatiseer het installeren van systemen & applicaties, configuraties, patches, security scanning, alles.
- Zorg dat je weet wat je in huis hebt aan software zodat je niet bij iedere bericht in de media hals over kop je eigen omgeving moet afscannen om te zoeken of jij die software ook ergens hebt.
- Gebruik een dienst als have-i-been-pwned om meldingen te krijgen over datalekken
- Analyseer je performance en je verbruik. Een virus kan zich nog zo slim verstoppen maar als het je data jat dan zie je je harde schijven opspinnen en je router wordt warm (bij weze van spreke). Door zaken als IO en netwerksessies te meten kun je een gevoel krijgen voor of alles "normaal" is of dat er een verborgen "ontsteking" is.
- Wees minimalistisch, wat er niet is kan ook niet uitlekken of gekraakt worden.

[DigitalExorcist]

Precies wat @CAPSLOCK2000 zegt. Maar aanvullend:

- Bezuinig ook niet op virusscanners. Als je een product kan vinden dat EDR/XDR biedt, gebruik dát dan.
- Bewaar niet alleen de logs, maar bekijk ze ook actief. IIS, firewalls, domain controllers..
- Investeer in tooling als Wazuh, Sysmon en osquery. Ja het is een steile leercurve, maar je hebt er baat bij.
- Minimaliseer rechten. Een helpdesk hoeft echt geen domain admin rechten te hebben in je omgeving; en check regelmatig of je shares niet te open staan. EDIT: domain admins hoeven om geen enkele reden op werkstations in te kunnen loggen!
- Isoleer backups; zet backup servers buiten het domein en isoleer ze met VLANs. Zorg voor een oplossing die immutable backups kan maken!
- Zorg voor een incident response plan en test deze regelmatig!

Bij een (targeted) ransomware aanval blijkt dat indringers gemiddeld zo’n 56 dagen in je netwerk actief zijn geweest. Zorg dus *continu* voor je omgeving, niet alleen die ene ochtend in de week.

En vooral ook: bega niet de fout door te denken dat je bedrijf niet belangrijk genoeg is om gehackt te worden. Er zijn een aantal redenen om een bedrijf aan te vallen en als het niet om jouw data zelf te doen is, dan is het wel om je netwerk als botnet te gebruiken om anderen aan te vallen, of om je klanten of leveranciers of concullega’s aan te vallen. In dat geval ben je een middel en geen doel op zich.

[Reactie gewijzigd door DigitalExorcist op 24 juli 2024 06:30]

[PsiTweaker]

Hopelijk heeft het DTC zelf wel de beveiliging up-to-date en tot het hoogst mogelijke niveau. Anders wordt het straks misschien zelf een backdoor voor hackers, waarmee ze b.v. de 'alarmbellen' uit kunnen zetten en daarna 'overal' rustig hun gang kunnen gaan.

[Reactie gewijzigd door PsiTweaker op 24 juli 2024 06:30]

[deboerpp]

Goed idee !