Incidentresponse: de digitale brandweer moet op steeds grotere schaal werken

Als je je been breekt, bel je een ambulance. Als er ingebroken wordt in je huis, bel je de politie en als dat huis in brand staat, bel je de brandweer. Maar als je bedrijf wordt getroffen door ransomware? Dan bel je een incidentresponseteam dat met een laptop vol handige tools langskomt. Bij die 'digitale brandweer' zijn de laatste jaren interessante nieuwe ontwikkelingen te zien.

Incidentresponse is bij lange na geen nieuwe ontwikkeling in cybersecurity, maar lijkt in Nederland de laatste jaren aan een opmars bezig in zowel omvang als professionalisering. De securitybedrijven die zich erin specialiseren, groeien hard en er komen er steeds meer op de markt. Die groei wordt, misschien vanzelfsprekend, grotendeels gedreven door een groei in het aantal aanvallen. Dat stijgt jaar na jaar en bedrijven zoeken een manier om daarop in te spelen.

Er is een ander aspect dat meespeelt in de popularisering. Verzekeraars eisen namelijk vrijwel standaard bij iedere polis dat er professionele securityhulp wordt ingezet bij een incident voordat het overgaat tot uitbetaling. De meeste grote verzekeraars in Nederland bieden aan zowel grote als kleine bedrijven een vorm van cybersecuritybescherming aan. Het aantal bedrijven met zo'n polis stijgt, al begint de houding van verzekeraars tegenover ransomwarevergoedingen wel langzaam te veranderen. Daarnaast spelen juridische aspecten een rol. Een ransomware-infectie betekent in 2022 vrijwel altijd dat je ook een datalek omhanden hebt. Een bedrijf dat dan bijvoorbeeld door de Autoriteit Persoonsgegevens wordt onderzocht, kan met een goed forensisch rapport aan het onderzoek meewerken.

Digitale brandweer

Incidentresponse, of IR, wordt ook wel de digitale brandweer genoemd. Het is een onderdeel van de diensten die securitybedrijven of -experts aanbieden aan externe bedrijven; ze komen helpen op het moment dat er een cyberaanval plaatsvindt. Meestal gebeurt dat als het al 'te laat' is. "Ons bellen ze meestal pas als de netwerken geïnfecteerd zijn", zegt Ralph Horn, die betrokken is bij het Dutch Institute for Vulnerability Disclosure, een vrijwilligerscollectief van securityexperts die onder andere zoeken naar kwetsbaarheden in software en bedrijven daar via coordinated vulnerability disclosure van op de hoogte stellen.

Professionalisering

De professionalisering van cybercrime in de laatste paar jaar zorgt er ook voor dat de bestrijding professioneler wordt, of misschien gebeurt het juist andersom; het is een kat-en-muisspel tussen aanvallers en verdedigers. Experts noemen al jaren voorbeelden van hoe ransomwarebendes steeds efficiënter te werk gaan. Horn erkent dat. "Ransomwareverspreiders maken gebruik van verschillende specialismen om binnen te komen. Je hebt initial access, waar de criminelen binnenkomen, er zijn datamanagers die gegevens stelen en je hebt de operators zelf." Door die specialismen wordt ransomware steeds sneller verspreid. Dat is geen trendbreuk met eerdere jaren, maar wel een van de gebieden waarop de evolutie van ransomware overduidelijk te zien is. Enkele jaren geleden zagen securityexperts vooral nog dat ransomwarebendes na een infiltratie dagen of zelfs weken in een systeem rondhingen. Ze zoeken daar naar meer toegang tot andere systemen, openen achterdeurtjes en proberen zo de optimale aanval uit te voeren. Die tijden zijn anno 2022 voorbij, zien experts zoals Horn. "Ik heb aanvallen gezien waarbij hackers binnen 12 uur binnenkwamen en toesloegen."

Ook Fox-IT ziet die snelheid veranderen bij ransomwarecriminelen. "Ransomware is een smash and grab", noemt Erik Schamper, analist bij het beveiligingsbedrijf, het. Criminelen gebruiken vaak off-the-shelftooltjes en komen weinig subtiel binnen bij een bedrijf. Steeds vaker gaan die ransomwarecriminelen direct door het netwerk om zo snel mogelijk bestanden te versleutelen. Ze hebben geen tijd en ook niet echt noodzaak om lang te wachten en subtiel te werk te gaan.

Die nieuwe snelheden dwingen incidentresponders ook om sneller te werken, of tenminste anders, zegt zowel Ralph Horn als Erik Schamper. "Voor een onderzoek moet je een forensische kopie maken van een heel netwerk; dat kostte altijd veel tijd", zegt die laatste. "Aan één systeem was je soms twee dagen aan het werk met analyse. Dat werkt in kleine onderzoeken nog wel, met twee of vijf systemen, maar tegenwoordig zijn er genoeg bedrijfsnetwerken waar tientallen of honderden systemen aanwezig zijn."

Schaalvergroting

Incidentresponders zien dan vooral ook het belang van werken op schaal, zeggen experts. Fox-IT heeft vorige maand een framework genaamd Dissect open source beschikbaar gesteld. Dat is bedoeld voor het verzamelen en analyseren van grote hoeveelheden forensische data, en de tool werkt met verschillende bestandsformaten. Het bedrijf heeft verschillende parsers en scripts die het over de jaren heen heeft verzameld voor forensisch onderzoek in dat framework ondergebracht. Dat framework kan in de toekomst met andere tools worden aangevuld, zowel door het bedrijf zelf als door externe beveiligingsonderzoekers en -bedrijven. "We zagen de afgelopen jaren steeds meer vraag bij grote bedrijven naar incidentresponse. Die bedrijven worden groter en daarmee worden ook de cyberinbreuken weer groter", zegt Schamper. "Omdat je tijdens een incident begint met het in kaart brengen van een netwerk, is het belangrijk dat snel te kunnen doen, maar door de groeiende netwerken werd dat steeds moeilijker."

Ook Ralph Horn zegt dat het belangrijk is om snel te kunnen analyseren. Niet alleen voor het eindrapport dat incidentresponders moeten opleveren over een aanval, maar vooral ook om het bedrijf snel bij te kunnen staan. Dat incidentresponders meestal pas worden ingeschakeld als de schade al is gedaan, maakt dan niet zoveel uit. "Je moet snel te weten komen welke computers er nog meer geraakt zijn", zegt Horn. "Als ik zie dat een verdachte gebruiker ergens exploitatietool Cobalt Strike heeft geïnstalleerd, wil ik weten waar die gebruiker nog meer is geweest. Welke machines heeft hij nog meer geïnfecteerd? Hoeveel kun je vinden? Hoe hoppen ze van punt A naar punt B?" Zulke informatie kan voorkomen dat een aanval verder doorzet, of dat een systeem daadwerkelijk schoon is nadat een aanvaller is verwijderd.

"Zonder dat inzicht heb je geen goed antwoord op de vraag of een aanvaller ook echt weg is en of er geen achterdeur is achtergelaten", zegt Erik Schamper. Ralph Horn noemt daarnaast back-ups bij ransomwareaanvallen: "Misschien heeft een bedrijf wel offline back-ups of staan die back-ups op een schijf die nog niet is getroffen. Dan is het goed dat zo snel mogelijk te weten te komen." De snelheid om een netwerk in kaart te brengen, wordt dus steeds belangrijker voor digitale hulpverleners.

Advanced persistent threats

Die situatie geldt voornamelijk voor ransomwaregevallen. Dat is nog steeds een van de grootste risico's voor bedrijven, maar zeker niet het enige. Sommige beveiligers, zoals Fox-IT, specialiseren zich meer in advanced persistent threats of APT's. Die vereisen een andere aanpak. In zo'n geval, zegt analist Erik Schamper, is het vooral ook belangrijk onder de radar te blijven. Dat zijn bijvoorbeeld staatshackers uit China met een heel ander doel dan ransomwareverspreiders, die toch vooral op snel geld uit zijn. APT's doen bijvoorbeeld aan spionage. Zij moeten dus wél zo lang als mogelijk onopgemerkt in een netwerk rondsnuffelen. Die groepen hebben ook vaak een dead man's switch opgezet, die alle forensische sporen verwijdert als ze uit het netwerk vertrekken. "Als zo'n APT weet dat een incidentresponder hem op het spoor is, wordt die switch geactiveerd", zegt Schamper.

Bij geavanceerde hackers is het belangrijk onopgemerkt te blijven tijdens een onderzoekHet framework dat Fox-IT nu openbaar maakt is daarom ook specifiek gemaakt om onopgemerkt te blijven. Dat kan bijvoorbeeld door het omzeilen van besturingssysteemfunctionaliteit waar aanvallers mogelijk controle over kunnen hebben, of door ongemerkt direct vanuit de hypervisor data te verzamelen waardoor een aanvaller dat niet doorheeft.

Tools

De rol van bepaalde software en tools in het proces van incidentresponse is lastig te kwantificeren. Volgens Ralph Horn zijn die 'uitermate belangrijk', vooral als het gaat om het in kaart brengen van een netwerk. Daar zijn naast Fox-IT's nieuwe Dissect-tool ook veel bestaande tools voor, zoals Velociraptor, maar experts als Horn lijken onder de indruk van wat Dissect kan. "Zulke tools worden vooral nuttig als het gaat om lowleveltoegang tot applicaties als Hypervisor." Maar Erik Schamper zegt dat tools voornamelijk nog steeds ter ondersteuning dienen van het forensisch onderzoek. "Met Dissect is nu data-acquisitie op duizenden systemen binnen enkele uren mogelijk, ongeacht de aard en omvang van het ict-systeem dat tijdens en na een aanval onderzocht moet worden. Dissect stuurt die forensische data vervolgens naar een analist. Die moet kijken wat hij er precies in ziet."

Sommige tools zijn volgens hem vooral te gericht op een specifiek type onderzoek. Je ziet juist een trend in tools zoals Dissect dat die eerst kijken naar wat er nodig is voor een forensisch onderzoek. "Welke stappen worden er in een aanval in welke volgorde gezet? Je begint dan eerst bij de aanvalsvector, daarna bij hoe aanvallers persistence krijgen."

Volgens Schamper is het ook belangrijk dat tools zoals Dissect een deel van het werk van een analist kunnen automatiseren. De software kan bijvoorbeeld de runkeys van Windows uitlezen en zo snel zien welke programma's er op welk moment zijn opgestart. Daar hoeft een analist dus niet helemaal de logs voor in te duiken. "Dat automatiseren maakt het werk van een incidentresponder ook veel sneller", zegt Schamper. "Tegenwoordig hebben we al binnen 48 uur een duidelijk beeld van wat er ongeveer tijdens een incident is gebeurd."

Reacties (5)

[CAPSLOCK2000]

Verzekeraars eisen namelijk vrijwel standaard bij iedere polis dat er professionele securityhulp wordt ingezet bij een incident voordat het overgaat tot uitbetaling.

Pas goed op met dit soort verzekeringen, er is veel kaf en weinig koren op de markt.
In mijn ogen zijn de meeste van die verzekeringen niet de moeite waard.

Het is in ieder geval geen alternatief voor security. Als je de deur van je huis laat openstaan betaalt de verzekering ook niet voor diefstal. Als je dus denkt "onze security is niet zo best, laten we maar een verzekering nemen" kom je waarschijnlijk bedrogen uit.

Verwacht ook niet dat zo'n verzekering voor de schade zal betalen, meestal draai je zelf voor het grootste deel van de kosten op en dekt zo'n verzekering een heel nauw stuk. BV alleen het losgeld of ze helpen je met aangifte doen bij de politie of ze betalen (bij wijze van spreke) alleen voor de koffie voor de mensen die niet kunnen werken. Er zijn er uiteraard die meer of minder doen, maar een "volledig" pakket is eigenlijk onbetaalbaar.

Zonder eigen security heb je niks aan een verzekering, maak dus niet de fout om je geld uit te geven aan een verzekering als je ook iemand had kunnen huren om je organisatie (beter) te beveiligen. Zo'n verzekering wordt pas nuttig als je de boel wel goed op orde hebt en je een passende en betaalbare verzekering kan nemen.

In praktijk hebben die verzekeringen wel enig nut maar op wat andere manier. Zo'n verzekering kost namelijk veel geld en als iets veel geld kost dan gaat de directie/afdeling financien zich er mee bemoeien. Erg belangrijk is hierbij dat je bij een verzekering voouit betaalt. Er staat dus ieder jaar een stevig exgtra bedrag voor "security" op de jaarbalans en dat is een argument om te investeren om die kosten te verlagen.

Dat is een heel andere dynamiek dan dat security steeds om geld/maatregelen moet bedelen om te vechten tegen een onzichtbaar gevaar, zeker als er ook nog andere nadelen aanzitten als minder gebruikersvriendelijk. In plaats van een bodemloze put wordt security dan meer een onderwerp waarvan de kosten te managen zijn door goed te investeren. Als je het goed doet zie je dat terug op de rekening doordat je verzekering goedkoper wordt. Daarmee heb je automatisch ook een grens aan en een balans voor die kosten.

Bovenstaande werkt natuurlijk alleen als de prijs van die verzekering meebeweegt met de security van je organisatie. Als je een 'one size fits all' verzekering hebt dan werkt dat niet zo. Maar die wil je toch niet want je hebt er niet veel aan als je het er op aan komt.

Het voordeel dat een verzekering je beveiling stuurt is niet zonder risico. Je bedrijf is er immers niet om de verzekering blij te maken en security is er niet om de verzekering goedkoop te houden. Als je alleen maar doet wat de auditors van je verzekeraar aangeven krijg je een papieren organisatie die er mooi uitziet maar omvalt als je er tegen blaast. Zo'n audit is als een thermometer gebruiken om te kijken je taart al gaar gebakken is. Dat werkt prima als je de heel taart verwarmt. Als je alleen het stukje verwarmt waar de thermometer in zit dan krijg je wel de juiste uitslag maar geen lekkere taart.

Om het goed te doen moet je de organisatie kennen. Een externe auditor of adviseur kent je organisatie niet en zal waarschijnlijk belangrijke dingen over het hoofd zien. Denk dus niet dat je security even kan opschroeven door wat consultants in te huren die adviezen schrijven of wat mooie standaardteksten van de plank pakken. Security is een continue proces waarbij je langzaam gerichte verbetering aanbrengt over de hele linie. Incidenteel een muurtje bouwen of een tuinhekje neerzetten heeft weinig zin.

Eerst moet je je security op orde hebben. Dan kun je een verzekering nemen. Andersom betekent dat je veel betaalt en weinig terugkrijgt. Een verzekering nemen als alternatief voor security is zinloos.

[sprankel]

Eerst moet je je security op orde hebben. Dan kun je een verzekering nemen

Dat is vaak een kip ei verhaal in de praktijk waarbij technische mensen vaak maximale security vragen waarop management het idee heeft dat die nogal kunnen over drijven.

Vergeet daarbij ook niet dat een management niet anders doet dan risico's afwegen en risico's nemen, dat is nu eenmaal de kern van zaken doen of een eigen bedrijf te starten. Een management zal dus altijd meer risico willen nemen dan een IT'er echter je hebt een grote valkuil, namelijk dat een management meestal niet in staat is om die security risico's goed in te schatten. Ik merk dan vaak dat het eigen personeel hun input te snel geminimaliseerd word want wat ze vragen kost handenvol geld terwijl men niet de business justification ziet.

Klassiek is de regel dan, het moet eerst is goed fout lopen voor men begint te investeren maar dan is het natuurlijk al fout gelopen. Een verzekering en een audit is echter een 2de optie geworden omdat die daar automatisch een audit aan koppelen.

Heb ik zelf iets aan wat die audits schrijven? Nee, voor mij zijn die zoals je terecht opmerkt te beperkt wegens geen inzicht in de organisatie en omdat ze te weinig informatie hebben. De conclusies die daaruit vloeien had ik ook even goed zelf kunnen schrijven, sommige daarvan was ik al in het verleden op aan het hameren.

Echter toch zie ik die audits heel graag komen omdat ik vervolgens bijna een blanco cheque krijg om de conclusies te implementeren. Dat gaat van een directeur die toch nog moeilijk deed tot de CEO meteen rechtstreeks autorisatie gaf (terwijl de financiële impact bijlange niet hoog genoeg was dat de CEO zich daar normaal mee zou bemoeien) maar ook als ik aangeef dat de implementatie veel meer kost dan wat men dacht dat het budget meteen omhoog gaat zonder daar lang over te moeten discussiëren.

Hetzelfde met de NIS act van de EU, bedrijven zijn daar net als audits van verzekeringen veel gevoeliger aan. Is dat dan de meest kost effeciënte manier, niet luisteren naar je eigen personeel maar wel naar externe audits? Nee maar het werkt wel. Ook opmerkelijk, in die conclusies staat ook vaak de aanbeveling goed te luisteren naar input van technisch personeel.

[CAPSLOCK2000]

Dat is vaak een kip ei verhaal in de praktijk waarbij technische mensen vaak maximale security vragen waarop management het idee heeft dat die nogal kunnen over drijven.

Van dat "maximale security" zie ik niet veel. Outsiders denken dat vaak omdat ze geen beeld hebben van hoe groot en zwaar het onderwerp is.

Vergeet daarbij ook niet dat een management niet anders doet dan risico's afwegen en risico's nemen, dat is nu eenmaal de kern van zaken doen of een eigen bedrijf te starten

In het algemeen klopt dat maar dan moet je de risico's wel eerlijk af kunnen wegen, anders is het gewoon gokken. Het ligt ook een beetje lastiger bij niet-commerciele organisaties. Een ziekenhuis heeft een heel andere afweging te maken dan een reclamebureau, daar spelen belangen die haast niet in geld uit te drukken zijn (zoals mensenlevens en geluk).

Ik merk dan vaak dat het eigen personeel hun input te snel geminimaliseerd word want wat ze vragen kost handenvol geld terwijl men niet de business justification ziet.

Heel bekend. Geconfronteerd met de kosten en eisen wordt het eigen personeel eigenlijk voor gek versleten en zoekt men snel een consultant of adviseur die een goedkoper voorstel heeft. Het is een open deur dat de kwaliteit/resultaten dan ook minder zijn maar het is erg moelijk om de prijs/kwaliteit verhouding goed te krijgen.

Echter toch zie ik die audits heel graag komen omdat ik vervolgens bijna een blanco cheque krijg om de conclusies te implementeren.

Dat is hoe het hoort en dan heeft zo'n audit zin. Jij hebt zelf al een duidelijk beeld van wat er nodig is en hoe dat bereikt moet worden. Zo te horen is jouw grootste bottleneck het geld om het uit te voeren en in dit geval werkt het dan prima.

Jouw organisatie heeft de eerste stap al uitgevoerd: iemand in huis hebben die de organisatie kent en weet waar de securityuitdagingen zitten. Als je dat niet hebt kun je niet veel met zo'n audit.

Hetzelfde met de NIS act van de EU, bedrijven zijn daar net als audits van verzekeringen veel gevoeliger aan. Is dat dan de meest kost effeciënte manier, niet luisteren naar je eigen personeel maar wel naar externe audits? Nee maar het werkt wel. Ook opmerkelijk, in die conclusies staat ook vaak de aanbeveling goed te luisteren naar input van technisch personeel.

Wederom zeer herkenbaar. Dat "meest kost effeciënte manier" is een belangrijk punt want ik heb situaties gezien waar het budget op gaat aan extern advies en assistentie zodat er bezuinigd moet worden op eigen personeel. Dat is een slecht idee want je komt snel in een negatieve spiraal waar je steeds minder gedaan krijgt tegen steeds hoger kosten. Zeker omdat iedere externe weer een inwerktijd nodig heeft om je organisatie te leren kennen en ook tijd van je eigen personeel nodig heeft. Vervolgens loopt de opgebouwde kennis na 3 maanden het pand weer uit.
(Dat heeft niks meer met IT te maken maar is gewoon bedrijfsvoering. Helaas moet IT alle wielen zelf opnieuw uitvinden).

[GekkePrutser]

Eerst moet je je security op orde hebben. Dan kun je een verzekering nemen. Andersom betekent dat je veel betaalt en weinig terugkrijgt. Een verzekering nemen als alternatief voor security is zinloos.

Maar zo werkt het ook helemaal niet.

Als je als groot bedrijf zo'n verzekering wil afsluiten dan komt de verzekering geregeld audits doen en de prijs hangt af van wat ze vinden. En ook andere analyses van derden zoals bitsight (die helaas voor geen meter kloppen omdat bitsight veel aannames doen die nergens op slaan).

Dus als je zonder enige security zo'n verzekering wil dan betaal je je blauw en heeft het inderdaad geen zin. Heb je het wel redelijk voor elkaar, dan heb je niet het risico dat het hele bedrijf op het spel staat als er wel wat gebeurt. En dat wordt dan weer ge-eist door de aandeelhouders die ook niet graag hun geld in rook op zien gaan.

Helaas wordt dat dan wel meestal 'opgelost' doordat de verzekeraar klakkeloos de ransom betaalt en daarmee deze vorm van criminaliteit stimuleert. Dat vind ik wel weer erg jammer.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 00:01]

[CAPSLOCK2000]

Maar zo werkt het ook helemaal niet.

Als je als groot bedrijf zo'n verzekering wil afsluiten dan komt de verzekering geregeld audits doen en de prijs hangt af van wat ze vinden.

Als het te duur is dan is er altijd wel een andere verzekeraar te vinden die het goedkoper doet. Dan krijg je wel minder maar dat is een ander verhaal.

En dat wordt dan weer ge-eist door de aandeelhouders die ook niet graag hun geld in rook op zien gaan.

Grote bedrijven met aandeelhouders zullen daar niet mee weg komen, maar in organisaties zonder aandeelhouders wordt daar misschien minder kritisch over nagedacht.