Onderzoek: eigen personeel gevaarlijker dan hackers

Emerce meldt dat bedrijven het eigen personeel als een grotere bedreiging voor de veiligheid van het bedrijfsnetwerk zien dan hackers. Dit is een van de conclusies van een onderzoek door Ernst & Young ICT Leadership onder 500 Nederlandse directeuren en ICT-professionals. Meer dan driekwart van de ondervraagden overweegt de activiteiten van het eigen personeel beter te gaan monitoren. Dit blijkt terecht, want uit eerder onderzoek was al gebleken dat, met aftrek van onbedoelde fouten, 75% van de aanvallen op bedrijfsnetwerken door het eigen personeel wordt uitgevoerd. Ernst en Young stelt dat de beveiliging niet zozeer aan de ICT-afdeling moet worden overgelaten, maar dat het hele bedrijf zich er mee bezig moet houden:

Paul Kessels van Ernst & Young EDP Audit: "De informatiebeveilingsstrategie van een organisatie dient ook terdege rekening te houden met de aard van de risico's die het bedrijf loopt en met de bedrijfscultuur. Zo'n strategie moet worden gedragen door de Raden van Bestuur, worden geïmplementeerd en moet het uitgangspunt vormen voor tactische en operationele beslissingen."

Het rapport adviseert bedrijven onder meer motivatie- en trainingsprogramma's over informatiebeveiliging te starten onder hun werknemers. Die kunnen zo bewust worden van de gedachte en het beleid achter al die technische beveiligingsoplossingen.

Reacties (45)

[JustDutch]

Beveliging is nog altijd zo sterk als de zwakste schakel. Laat mensen nu altijd de zwakste schakel zijn. Het probleem is ook dat je voor externen wel alles dicht kan gooien (firewall, etc.), maar dat de werknemers bepaalde functionaliteit nodig hebben. Hierdoor kan de werknemer vaak iets wat het het totale systeem in gevar kan brengen. Je kunt dit als beheerder niet voorkomen. Dit voorkomen betkent vaak dat de funcionaliteit moet worden uitgezet, en dan komt die werknemer met "hij doet het niet meer".
Een leuk voorbeeld was een bedrijf dat melde dat zijn systeem van buitenaf onkraakbaar was. Toch waren ze vergeten dat de patch-kastjes (om je netwerkkabel in te proppen) in de kantine, ontvangsthal, openbare ruimten voor externen te blokkeren. Iedereen kon zijn laptop inprikken en het bedrijfsnetwerk op.

[Verwijderd]

Ik sta hier niet van te kijken. Ik heb zelf ook meegemaakt dat zo nu en dan sysadmins net iets te nieuwsgierig op het bedrijfsnetwerk aan het neuzen zijn. Het markanste voorbeeld heb ik meegemaakt op de plek waar ik sinds eind vorig jaar gedetacheerd ben (organisatie met 1200 werknemers) waarbij op een gegeven moment de firewall op mijn eigen laptop ging piepen dat iemand zat te rommelen om informatie van mijn machine te achterhalen. Dat begon heel onschuldig, een ping, daarna een call om username en machinetype te achterhalen en nog wat zaken, maar toen kwamen complete poortscans. En dan niet alleen de scans op standaard poorten maar ook de specifieke porten die gebruikt worden voor achterdeurtjes. Dit begon mij natuurlijk al aardig te irriteren want de machine was legaal in het netwerk gezet, ik had netjes een IP adres gekregen en men wist duidelijk dat dit mijn eigen machine was. En toen als hoogtepunt werd er zelfs een Denial of Sevice attack uitgevoerd. Toen werd het tijd om aan de bel te trekken bij het hoofd systeembeheer van de afdeling. Natuurlijk had ik zelf al via het netwerk achterhaald welke sysadmin de aanval aan het uitvoeren was en er zijn toen heel wat woorden gevallen. De bewuste dader beweerde natuurlijk eerst bij hoog en laag dat er niks was gebeurd en dat er alleen maar een security check was gedaan, maar de logfiles die ik kon overleggen gaven natuurlijk het bewijs van de DoS aanval. En dit is niet een enmalig incident, een maand of 2 geleden deed een andere sysadmin van diezelfde afdeling een vergelijkbare aanval. Onder het motto foutje bedankt. Zijn bek viel wel open toen ik meteen aan de telefoon hing met de mededeling dat ik zag dat hij een aanval deed op mijn machine. Sindsdien is het op mijn machine een stuk rustiger.

[Verwijderd]

"...75% van de aanvallen op bedrijfsnetwerken door het eigen personeel wordt uitgevoerd."

Dit zijn dan toch net zo goed hackers?

[AlterEgo]

met aftrek van onbedoelde fouten

Moeilijk te doen: stel je logt in in de boekhouding van je bedrijf maar je capslock staat aan. Drie keer een fout password ingetikt.
Hack door een onbevoegde of gewoon een foutje

Wanneer ben je echt aan het hacken ?

[Mr.CeeJay]

onbedoelde fouten komt dus ook door non-chalant te zijn en daarvan kun je wel eens een handvol medewerkers van hebben

[freaky]

Jullie bedoelen crackers... Check de definities:

http://www.tuxedo.org/~esr/faqs/hacker-howto.html

[DMT]

Ja ik vindt het ook maar de vraag hoe serieus je dit kunt noemen. Want je weet niet wat ze onder hacken verstaan. Misschien verstaan ze dat ook wel onder wanneer een beheerder ongekeurd rechten toe kent aan een gebruiker. Dit gebeurt bij ons ook dikwijls. Dan wordt de beheerder even rechtstreeks gebeld door een bekende die vervolgens zijn 'probleem' voorlegt. De beheerder kan dan als 'vriendjes onder elkaar'de rechten toe kennen, zonder dat dit een goedkeuringstraject heeft doorlopen. Dit is namelijk bij ons normaal het gevolg. Het probleem wordt dan niet aangemeld bij de helpdesk. De rechten worden dan onrechtmatig toegekend.

de vraag is wat er echt gebeurd, wie het doet en vooral wat voor schade heeft het!!!!!!!!!

[Verwijderd]

Dit is toch logisch, neem bijvoorbeeld Microsoft met de lancering van Win XP. Voordat die uit kwam hadden mensen hem al, dat houd dus in dat er een soort lek is in het personeel! Dit gebeurt eigenlijk wel bij alle bedrijven, want je kan nou eenmaal niet alles beveiligen op welke manier dan ook...

[RTBravo]

Euhm dat waren beta versies die over de hele wereld door Microsoft worden rondgezonden om getest te worden door thuisgebruikers die zich hebben ingeschreven. Die kun je dus niet echt personeel noemen

[Verwijderd]

Sorry maar ik had windows xp al 20 dagen voordat hij in de winkels lag, en het was toch echt de final versie (2600). Deze heeft een vriend van mij gewoon ergens gedownload dus moet er ergens bij microsoft een lek hebben gezeten

[Verwijderd]

20 dagen voordat ie HIER uitkwam bedoel je ??
Dat zou namelijk niet echt raar zijn, aangezien 99,99% van de software-releases niet als eerste in Nederland uitkomen ofzo...

[Dope-E]

Nee je begrijpt het niet ik had de final versie ook al ruim voor 25 oktober... Oftewel voor de wereldwijde (ja VS dus ook) launch

[Verwijderd]

Nee dit was de NL versie die gelijk uit kwam met de MS versie in de USA
Deze versie had ook geen activatie code .. die versie heb ik dus ook gedownload van kazaa....
en die werkt als een trein....

[Verwijderd]

Als je goed hebt opgelet waren dit dit zeker geen beta versies. Er zijn wel beta's die mensen hadden voordat de launch was, maar dit was logisch! Maar er zijn zeker ook een aantal niet beta's door het personeel van MS verduistert!

[WhiteDog]

Dat was de Corporate Release

De versie die Compaq, Dell, ... en hele grote bedrijven krijgen, zodat ze alvast kunnen testen en pc's bouwen. Je kon ook al pc's kopen met Windows XP voor deze in de winkel lag.

En ja idd, die moet in een van die bedrijven gelekt zijn...

[Richard]

Ernst en Young stelt dat de beveiliging niet zozeer aan de ICT-afdeling moet worden overgelaten, maar dat het hele bedrijf zich er mee bezig moet houden

Zeer goede zet van E & Y. Helaas denkt de directie vaak dat dit het pakkie-an van afd. Automatisering is. Het is de bedoeling dat je bij afdeling automatisering "beheerd" en dus niet achter de feiten aan moet rennen omdat het user-abuse is/was.

Ik ga dit stukkie maandag bij de directie neergooien.

[Bezulba]

ben het er totaal niet mee eens... gaat miep van de tiepafdeling zich met de beveiliging bemoeien... "ja je moet "vul hier een willekeurige firewall in" installeren! want dat heb ik bij homeshopping gezien!"



ik bedoel ik ga me toch ook niet met de sales bemoeien.. wat heb ik daar nou te zoeken?

[Verwijderd]

Dit is allang een welbekend feit

Wat systeembeheer duidelijk moet doen, is op elke computer van hun werknemers geen admin acounts geven. Daarbij NTFS, juiste services aan en uit zetten, policies maken. Veel Progjes niet runbaar maken voor hun.

Voor de rest de servers goed dichtzetten (policies). Daarbij install je monitoring servers met behulp van bv BlackICe (die hebben erg pro. applicaties) zo kan je alle datastromen zien, actie ondernemen en blocken....
Ook nog op elke PC altijd bv McAfee VirusScan (bedrijfeditie) die niet uitgezet kan worden.

Ach zo kan je nog wel een tijdje doorgaan... maar dit als 1e stap kom je al eenheel eind

[Verwijderd]

Is leuk dat je zegt dat SB dit moet doen. Maar het draagvlak moet wel bij de directie vandaan komen.

Ook zal je met bepaalde vormen van monitoring dit zéér duidelijk aan de gebruikers moeten melden, zeker bij middelgrote en grote bedrijven. Als in het contract niets staat of monitoring van de werkzaamheden op een vrijwel onzichtbare manier, dan heb je de spreekwoordelijk stront aan de knikker als je het wel doet.

[HJR]

Veel reacties gaan ineens over Ms. Why?

Ik ben zelf een UNIX beheerder in ik weet uit ervaring dat heel veel bedrijven met meerdere UNIX systemen telnet open hebben staan naar alle servers op het interne netwerk. Ze hebben dan wel een firewall, maar dat is alleen voor de buitenwereld. Het is geen rocketscience om een sniffer op je laptoppie te installeren en zo het rootwachtwoord te weten te komen van de UNIX machines.

Scenario: Stel je bent een UNIX freak maar hebt geen toegang tot de servers (root toegang dan) maar je weet dat ze met telnet werken. Je krijgt mot met je direct leidinggevende. In een vlaag van verstandsverbijstering knoop je je laptop aan het netwerk en zet een sniffer aan. Na een uurtje ofzo heb je alle rootwachtwoorden te pakken. Je weet toevallig ook dat backups 1 week worden bewaard. Zeer veel gebruikt scenario. Maandag tape, dinsdag tape enz. Dus een week later overschrijf je de tape van vandaag. Ik ben slim en ik schrijf een cronjobje dat de tape leegpoetst na een backup. Stel de backup loopt van 12 uur 's nachts tot zeg 4 en je weet dat de eerstvolgende persoon om half negen de tape wisselt. Ik schrijf een cronjobje iedere dag dat om 7 uur 's ochtends de tape wist. Makkelijk te doen met het dd commando: dd if=/dev/zero of=/dev/rmt/0m bs=4k
Dat houd ik een week vol en ik ben ervan verzekerd dat alle tapes nullen bevatten. Een crusiaal at jobje laat ik alle harddisken leegpoetsen. En het bedrijf is volledig naar de filisteinen. En alle logging is ook weg.

Moraal van het verhaal: Omdat bedrijven er vanuit gaan dat firewalls alleen nodig zijn voor de buitenwereld nemen enorme risico's door bijvoorbeeld bovengenoemd scenario op UNIX servers. Dit heeft dus niks met MS te maken.

[arjankoole]

Ik ben zelf een UNIX beheerder in ik weet uit ervaring dat heel veel bedrijven met meerdere UNIX systemen telnet open hebben staan naar alle servers op het interne netwerk.

correct, dat is inderdaad een veelgemaakte fout. Om die reden adviseer ik altijd SSH2 _en_ firewalling te gebruiken op ook het interne netwerk.

normale clients hebben vaak niets te zoeken op shells, alleen een paar dozen op beheer hebben d'r wat aan. Alleen die laatste groep kan echt naar poort 22 connecten, de rest, tja, die worden gedropt.

[Heras]

Dit is toch algemeen bekend? Het werkt trouwens met allerlei zaken zo: winkeldiefstal wordt ook voornamelijk door eigen personeel gepleegd.

[oNo]

Onwetendheid is gewoon gevaarlijk.
Bij ons op het bedrijfje vroeg de directeur waarom hij sommige mail niet kon openen of dat het attachment niet te vinden was. De standaard security van outlook staat bepaalde extensies niet toe, dit is echter wel uit te zetten was mijn antwoord. De volgende vraag was of ik dat wilde aanpassen. Niet gedaan dus.
Het probleem bij hem is dat hij maar op alles klikt wat hij krijgt. Als hij een attachment meekrijgt en een kleine omschrijving om de attachment om te vormen tot een bedreigende executable dan doettie dat ook nog.

[Q]

Beveiliging is vaak een issue dat altijd blijft liggen binnen een bedrijf.

Ik werk bij een niet nader te noemen ziekenhuis en okee, van buiten af mag het misschien dan goed beschermd zijn, intern is het netwerk een grote gatenkaas. Paar duizend windows 98 clients you see.

Daarnaast is het volgende nog veel belangrijker: Fysieke beveiliging. Dat is helemaal ver te zoeken. Je loopt als wildvreemde gewoon ergens een kamer in en je gaat gewoon achter een computer zitten, ze zijn toch altijd ingelogd, en je trekt er de data af die je wil.

Motto: leuk al die firewall etc. troep, maar het is waardeloos als je de boel niet gewoon even fysiek meebeveiligd.