Overheidsinstanties en politie oefenen cyberaanval op Noord-Hollandse gemeenten

Het Openbaar Ministerie, de politie en 32 gemeenten en verschillende veiligheidsregio’s in Noord-Holland hebben woensdag een grote cyberaanvaloefening uitgevoerd. Daarin werden verschillende scenario's behandeld, waaronder een ransomwareaanval.

De oefening moet de instanties helpen om zich 'beter te wapenen tegen cybercriminaliteit', schrijft het Openbaar Ministerie donderdag. "Het bestrijden van cybercrime vraagt om een gezamenlijke aanpak, ook vanuit de driehoek politie, OM en gemeenten. Naast het bestrijden van deze vorm van criminaliteit, is het je bewust zijn van de gevaren misschien nog wel belangrijker, want voorkomen is beter dan genezen. Deze cyberoefening is daar een goed voorbeeld van", schrijft plaatsvervangend hoofdofficier van justitie Corien Fahner. Overigens hebben niet alle Noord-Hollandse gemeenten deelgenomen aan de oefening van woensdag.

Eerder dit jaar werden verschillende websites van Nederlandse provincies, waaronder die van Provincie Noord-Holland, getroffen door een ddos-aanval. De aanval leek op een reeks eerdere aanvallen op onder andere de Kamer van Koophandel en Maastricht Aachen Airport, schreef RTV Noord destijds. Veel van de aanvallen zijn opgeëist door aan Rusland gelieerde hackers, als vergelding voor de steun van Nederland aan Oekraïne.

Reacties (49)

[Wisher]

Ik zou graag meer lezen over de resultaten.
Welke rollen zijn ingeregeld.
Welke taken zijn aangewezen.
Welke standaard afvinklijstjes/scenariokaarten zijn gevolgd
Weke praktische zaken moesten gebeuren maar waren niet uitgeschreven of voorradig.

Vooral die laatste praktische stappen ontbreken vaak.
Er is op hoger niveau wel protocollair bepaalt dat iemand iets moet ontwerpen & printen; maar als je netwerk eruit ligt dan moet je dat wel elders kunnen opmaken en uitvoeren. Als je eerst een extra (oude gapped) laptop moet gaan updaten en een USB-printerkabel moet zoeken voordat je aan de slag kan loopt je proces zo een half uur vertraging op.

Dat soort zaken wil je ook soepel hebben geregeld in je organisatie.

[Luchtbakker]

Als je echt wilt oefenen, moet je gewoon een leger etische hackers bij elkaar rapen en een bug bounty programma starten met serieuze beloningen. Dat is de enige manier waarop je gegarandeerd gaten in je beveiliging dicht.

[Kianeke]

Is dat niet slechts 1 deel van zo'n situatie?
Uiteraard is voorkomen beter dan genezen.
Maar als zich dan een "cybercrime" voordoet, is het ook goed dat iedereen weet wat hem of haar dan te doen staat. Niet dat iedereen in paniek schiet en loze acties uitvoert.

[Wisher]

Ja, het is ook een oefening voor de persvoorlichter, de afdeling communicatie, de supportdiensten.

Recent een oefening doorgespeeld en daar kwamen simpele zaken uit als:
We zijn gehacked en mogen nu niet op het netwerk en de telefooncentrale ligt eruit en
-- nu weet ik niet wie ik moet bellen.
-- nu kan ik niets printen
-- nu kan ik mijn mail niet teruglezen
-- nu kan ik niet bij de spoed-protocollen
-- hebben we portofoons?
-- welke ruime kan ik reserveren voor een persconferentie met 150 personen?
-- waar liggen bordjes om 500 bezoekers mede te delen dat ze vandaag niet welkom zijn?
-- hoe bereiken we 1000 klanten dat hun afspraak niet door kan gaan want de telefooncentrale ligt eruit?
-- hoe moeten spoeddiensten bij ons komen?
-- Hoe regelen we de telefoonboom?
-- wie zijn de afdelingsrunners?
-- mogen we communiceren via publieke kanalen zoals WhatsApp of Messenger (zijn misschien ook afgeluisterd door hackers)?
-- moeten we onze gehackte website omzetten naar een andere hoster waar tijdelijk juiste informatie op staat?
-- wie en wat kunnen we wel vertrouwen?
-- met wie moeten we dit nu communiceren?
-- welke boodschappen kunnen we nu schrijven?


En zo nog HEEEL veel meer vragen dan enkel de technische vragen over
- hoe zijn we gehacked, door wie, wanneer zijn we weer draaiend en hoe krijgen we onze backups z.s.m. online.

Zo'n oefening is goud waard.

[Reactie gewijzigd door Wisher op 22 juli 2024 13:19]

[Aldy]

Ik vraag mij af hoe zo'n oefening in de praktijk werkt. Krijgen de telefonistes bijvoorbeeld de opdracht om de telefoon niet meer aan te nemen? Zo ja, krijg ik als buitenstaander, die jullie belt, dan te horen dat jullie met een oefening bezig zijn en of ik na 12 uur misschien kan terugbellen?
Als ik jullie vragen zo lees, dan blijkt er duidelijk uit dat elke afdeling weer andere problemen tegenkomt en dat zoiets ook gecoördineerd moet worden als dit in het echt gebeurt. Ik neem ook aan dat elke afdeling een draaiboek gaat maken en dat er een crisismanager wordt aangesteld om alles in goede banen te leiden.

[Wisher]

We hebben verschillende oefeningen en 1 ervan is dat we verzamelen op ons eigen kantoor, waar je allemaal een eigen speciale laptop krijgt met daarop een fake social media kanaal, fake 'liveblog' waarop berichten komen en jij berichten moet 'beantwoorden'. Vaak zit er een eigen communicatiekanaal in waar bewust wat extra ruis of vertraging in zit. Je leert meer als er af-en-toe wat fout gaat

Het nummer van de persvoorlichter wordt gebeld door een trainer met een specifiek start-scenario. Volop keuze uit: Brand, Terrorisme, Datalek, Hack, dreiging, kleinschalige of grootschalige regioramp maar ook een virusuitbraak.

Bewust worden er nog wat extra uitdagingen naar binnen gegooid die in het echt ook wel kunnen voorkomen bij zo'n scenario (wegwerkzaamheden waardoor iemand niet op tijd kan zijn bijvoorbeeld, of familieleden van klanten/medewerkers die ineens voor de deur staan, bezorgde of boze omstanders, of "Het is midden in de nacht".). Allemaal om te zien of de BHV-ers, vrijwilligers, beveiliging, communicatie, ICT, repro, staf en crisisorganisatie weten wat ze moeten doen.

Het bestaande proces wordt hierdoor niet al te erg beïnvloedt. Dit soort acties wordt ingepland om zoveel mogelijk deelnemers te hebben én om zo min mogelijk de normale gang van zaken te verstoren. Dus we blijven wel bereikbaar voor buiten behalve bij de periodieke 'stroomuitval-test'. We trekken dan ECHT de stekker uit het gebouw en kijken welk proces er stuk gaat. Dan zijn we een uur niet goed bereikbaar.

Door deze testen periodiek te doen blijven oude en nieuwe medewerkers rampscenario's goed in de gaten houden en zijn we niet alleen goed voorbereid op ons gewone werk, maar vallen we niet om als het een keertje moeilijk wordt.

[Aldy]

Laatste vraag, die kwam op nadat ik mijn eerdere reactie had gepost. Laten jullie adviseurs van buiten meekijken, om bedrijfsblindheid te voorkomen?
Ik kom uit de tijd dat als de stroom uitviel je niet alleen kon blijven telefoneren, maar het leven gewoon doorging als je maar genoeg kaarsen in huis had. Dit is een heel complexe wereld geworden, een wereld waarin nieuwsgierige mensen zoals ik elke dag weer iets leren.

[Wisher]

Ik werk in ICT en zorg gebied. En daar zit het vol met externe keuringinstanties

Veel terecht. maar er zitten ook echte regelneukers bij. 😅

[Aldy]

De zorg. Vandaar 1.000 cliënten, waarvan de afspraak niet na kan worden gekomen en 500 bezoekers die niet welkom zijn. Je moet er niet aan denken dat dit scenario werkelijkheid wordt.

[Wisher]

Elk jaar zijn er wel incidentjes.
Boze klant, brandje, uitbraak van iets, stroomuitval, slecht nieuws, stakingen, geld tekort, ...

Dus die training is niet voor niets

[Webgnome]

Weten we hoe die oefening werd uitgevoerd? Waarom denk je dat ze niet een bepaald bedrijf (gespecialiseerd) hebben ingehuurd om dit te fiksen?

[Luchtbakker]

Met alle respect, maar elk bedrijf dat gespecialiseerd is een cyberpreventie werkt ook enkel zijn protocollen af. Dat maakt je tot op zekere hoogte blind.

Je denkt toch werkelijk waar niet dat een bedrijf betere hackers in dienst heeft, dan iemand die wel graag wilt inbreken?

Bedrijven als Microsoft en Apple hebben niet voor niets bug bounty programma's. Ze hebben zelf ook een heel leger hackers in dienst, maar die zijn nooit zo sterk als buitenstaanders.

[Robbierut4]

Je denkt toch werkelijk waar niet dat een bedrijf betere hackers in dienst heeft, dan iemand die wel graag wilt inbreken?

Vreemde redenatie, goed zijn in hacken staat niet meteen gelijk aan geen moreel kompas hebben hoor.

De grootste reden dat ze bug-bounty programma's hebben is dat er veel meer mensen niet bij een bedrijf werken dan wel. Dus de kans is groter dat zij een probleem vinden dan de interne medewerkers.

Zeker bij complexe software is het lastig om alle edge cases intern te testen.

[Alfa1970]

Ik vind de reactie niet vreemd.

Maar je hebt gelijk dat de kwantiteit van hackers buiten een bedrijf een grotere kans van slagen heeft dan een paar medewerkers van een bedrijf.

Dat testen van edge cases moeilijk is zal niemand ontkennen.
Het probleem hierbij is vaak dat ontwikkelaars 'vast' zitten in de kennis van hoe het product zou moeten werken, en vaak niet zien of kunnen vermoeden hoe zaken gaan als iemand iets doet buiten de voorziene procedures om.

[Reactie gewijzigd door Alfa1970 op 22 juli 2024 13:19]

[oef!]

Het gaat niet om de technische kwetsbaarheden maar om issues gaten in procedures te vinden.

Je kan prima een fictieve ransomware aanval naspelen. Stel je voor, een gemeente wordt lam gelegd door ransomware:

- IT: kan er gerestored worden? Welke toeleveranciers moeten we betrekken en hebben we een 24 uur nummer dat we kunnen bellen? Welke mitigerende maatregelen kunnen we uitvoeren of wat moet er gebeuren om een bepaald stuk infra te herbouwen?

- Vakafdelingen: we kunnen geen uitkeringen meer uitbetalen, paspoorten afgeven of een van de andere taken die we moeten uitvoeren. Hoe ga je hiermee om?

- Crisismanagement team. Zijn onze crisisplannen up to date, compleet en kunnen ze uitgevoerd worden?

- Communicatie: wat communiceer ik, wanneer en hoe?

Allemaal van dit soort zaken dus. Je kan er nooit vanuit gaan dat je IT 100% veilig is en daarom is het des te belangrijker om vantevoren te kijken waar je staat.

[Wisher]

Goede voorbeelden ja.

Het is niet een kwestie van OF je gehacked wordt, maar wanneer.
En dan moet je wel klaar staan.

[BytePhantomX]

Met alle respect, maar elk bedrijf dat gespecialiseerd is een cyberpreventie werkt ook enkel zijn protocollen af. Dat maakt je tot op zekere hoogte blind.

Misschien voor sommige bedrijven, maar ik ken er genoeg die heel creatief te werk gaan en de meest bijzondere misconfiguraties vinden.

Je denkt toch werkelijk waar niet dat een bedrijf betere hackers in dienst heeft, dan iemand die wel graag wilt inbreken?

Bedrijven als Microsoft en Apple hebben niet voor niets bug bounty programma's. Ze hebben zelf ook een heel leger hackers in dienst, maar die zijn nooit zo sterk als buitenstaanders.

Zeker wel. Ik ken een aantal hackers die opdrachten hebben gedaan en multi-miljonair hadden kunnen worden door hun skills op een niet-ethische manier in te zetten. En als ik dan kijk wat er in de buitenwereld echt gebeurd, dan zijn de ethische hackers een stuk beter (staatsatoren buiten beschouwing gelaten). En sommigen daarvan verdienen ook aan bug bounty's, maar vaak omdat ze dingen vinden tijdens een opdracht of onderzoek voor een opdracht.

[Metalfreak]

We hebben als organisatie vorig jaar meegedaan aan een grote landelijke oefening voor het onderwijs en het gaat vooral om hypothetische scenario's, maar er zit wel een soort van praktijksimulatie met social media bij e.d. Het is vooral een training om te kijken hoe je afdelingen samenwerken, welke keuzes je maakt, wat je naar buiten toe communiceert en hoe e.d. Het idee is dat als je in een échte aanval zit, je veel stress ervaart en stress is de allerslechtste raadgever die er is. Als je het een keer geoefend hebt, weet je al beter wat je moet doen, maar zie je ook waar er in je organisatie nog gaten vallen die je dan kunt fixen voordat er eventueel een echte aanval plaatsvindt.

Als ik dan kijk naar die oefening van vorig jaar waren er bijvoorbeeld organisaties die al vrij snel besloten om het onderwijs stop te zetten, terwijl anderen het lieten doordraaien al dan niet met geïmproviseerde digitale voorzieningen. Vervolgens wordt dat geëvalueerd en wordt er gekeken wat nu eigenlijk de meest efficiënte maatregelen waren. Daar kunnen andere organisaties dan ook iets van leren.

Als je naar echte gaten kijkt en een organisatie blijkt de security gewoon goed op orde te hebben van buitenaf, dan houdt zo'n oefening al snel op. Het gaat juist om scenario's die nu nog niet kunnen, maar zeker niet ondenkbaar zijn voor de toekomst.

[Blokker_1999]

Met een bug bounty programma spoor je problemen in je configuratie op waarmee je hoopt te voorkomen men dat hackers binnenkomen. Daar heb je niet veel aan in het geval ze toch binnen geraken.

Want je mag dan wel gaten dichten, tegen veel geld, maar je kan nooit alle gaten dichten.

[The Zep Man]

Wat een goede reden is om cyberaanvallen te oefenen. Een goede beveiliging is gelaagd, en met oefeningen kan je ook de aanname doen dat de buitenste laag gecompromitteerd is om zo verder de binnenlagen te testen.

Met enkel een bug bounty programma gaat dat niet, want men moet dan toch echt eerst van buiten naar binnen komen. De buitenste laag wordt daardoor onevenredig getest ten opzichte van de binnenlagen. Dat klinkt fijn, maar testen sluiten beveiligingsgaten nooit volledig uit. Je wilt dat al je lagen goed getest en veilig genoeg zijn, niet enkel de buitenste. Verder komen sommige dreigingen van binnen, en ook dat wil je testen.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 13:19]

[Bor]

Een bugbounty programma dient dan ook een heel ander doel dan het oefenen van calamiteitenplannen en procedures.

[gvrman]

zoals in het artikel van het OM beschreven staat gaat het niet om de het controleren van de gaten, maar wat te doen als er een cyveraanval is. dat los je niet op door etische hackers bij elkaar te zetten.

"Door gezamenlijk met elkaar te oefenen creëren we bij alle betrokken partijen bewustwording over verschillende vormen van cybercrime. Daarnaast kunnen we door zo’n oefening elkaar sneller vinden en weten we beter van elkaar wie welke rol heeft tijdens een cyberaanval."

[Frame164]

Heb jij detailinformatie hoe de oefeningen zijn gedaan? Of heb je direct een vooroordeel dat anderen het allemaal niet weten?

Los daarvan: gaten vinden is slechts een heel klein deel van het verhaal. In een operationele organisatie is het uitgangspunt dat er gaten in de beveiliiging zitten en ontwerp en oefen je processen om de business continuiteit te garanderen als gaten worden geexploiteerd.

[Reactie gewijzigd door Frame164 op 22 juli 2024 13:19]

[jemson]

Het is denk ik belangrijk om ook (vooral) te oefenen dat bepaalde systemen niet beschikbaar zijn. Ik heb het meegemaakt dat een service desk niets meer kon omdat SharePoint down was. Wat zijn de handelingen die je dan moet doen?

[brammerd21]

haha, Als je echt op brand wil oefenen, moet je gewoon je pand in de fik steken. Dat is de enige manier waarop je gegarandeerd... Meestal zit dit soort oefeningen in de protocollen. Zeker met meerdere partijen. (edit; zoals anderen ook al melden)

[Reactie gewijzigd door brammerd21 op 22 juli 2024 13:19]

[Orangelights23]

Zoals anderen al schreven: compleet andere opzet en scope.

Een oefening als deze gaat over beleid, processen, procedures en protocollen. Wat jij benoemt is een vulnerability program waarbij kwetsbaarheden gemeld worden. Niet te vergelijken met elkaar dus.

[Het.Draakje]

In dat kader zijn brandalarm/ontruiming oefeningen ook de grootst mogelijke onzin. Het is "leuk" dat je een goede infrastructuur (inclusief hardware, software, policies en procedures) hebt, maar je zal dat toch regelmatig moeten testen.

Want je moet wel weten dat het werkt en dat de mensen weten wat ze moeten doen. En dat niet eerst even moeten opzoeken in het handboek.

[Kip]

Vaak worden met dit soort oefeningen ook de procedures en het beleid getest.

Bijvoorbeeld, hoe ga je als organisatie om als enkele werkstations of servers zijn gecompromitteerd? Welke besluiten moeten dan worden genomen en door wie? Welke (externe) partijen worden ingeschakeld? Wat zijn de technische maatregelen die worden genomen? Hoe wordt dit gecoördineerd? Wat is de impact richting (interne) klanten?

Onder druk worden niet altijd de juiste stappen ondernomen.

[Metalfreak]

Dat noemen we toch gewoon een Pentest?

[Wisher]

Ja, doen we meerdere keren per jaar. Bij verschillende 3 aanbieders.

Grappig dat die verschillende aanbieders ook met verschillende resultaten terugkomen. Allemaal valide zaken, maar met een andere invalshoek. Echt een aanrader om het door verschillende groepen te pen-testen.

[Metalfreak]

Dat hebben we inderdaad ook al gemerkt. De ene test blijkt waardeloos, terwijl de andere echt wel onverwachte resultaten biedt waar we zeker iets mee kunnen. En dan kan het ook nog verschillen tussen wie van een bepaald bedrijf het uitvoert.

[Arfman]

Dit is meer om procedures, werkwijzen, calamiteitprotocollen e.d. te testen. Denk aan, wie schakel ik op? Wanneer vindt er communicatie met de buitenwereld plaats? Niet zozeer gericht op de techniek vaak, dit soort oefeningen.

[Bor]

Dat is de enige manier waarop je gegarandeerd gaten in je beveiliging dicht.

Nee hoor, om gaten in je beveiliging te vinden zijn tal van aanpakken mogelijk, meestal met hun eigen voor- en nadelen inclusief andere scopes; red teaming, pentesten, code reviews en ga zo maar door.

[BytePhantomX]

Als je op zo'n schaal oefent kan het niet anders zijn dan in een table-top achtige setting. Misschien een afgeschaalde versie van ISIDOOR https://www.ncsc.nl/wat-doet-het-ncsc-voor-jou/isidoor.
Dan oefen je vooral communicatie in de organisatie en tussen organisaties en kijk je of organisatie weten wat ze moeten doen tijdens een crisis. Hele nuttig oefeningen omdat je de schade van zo'n mogelijke aanval flink kan beperken door vooraf een keer te oefenen.

[Brenttouza]

Precies, ik doe regelmatig Tabletop Exercises bij klanten, maar nog nooit op deze grote schaal uitgevoerd. Ben benieuwd hoe dit in z'n werk is gegaan. Ook benieuwd of er publicatie komt met de geleerde lessen en wat ze gedaan hebben / gaan doen om dat op te lossen.

[BytePhantomX]

Als je het nog niet kent zou ik me verdiepen in ISIDOOR. Dat is wat mij betreft echt nex-level table top. Weet alleen niet of er heel veel details publiek bekend zijn.

[Brenttouza]

Ben er inderdaad niet mee bekend, maar vind er ook bitter weinig over terug. We hebben nu een paar voorgekauwde scenario's met wat voorgekauwde injects, maar wil er inderdaad nog dieper en interactiever op verder bouwen. We gebruiken ook Backdoors & Breaches af en toe bij klanten, maar merken dat dat iets te gamified is soms wat te technisch voor bepaalde mensen.

[BrennuS]

Ik heb nu een paar keer een dergelijke oefening mogen meedoen, dit is inderdaad meestal table-top met hooguit teams in verschillende ruimtes om communicatie ruis te veroorzaken.

Waar ik telkens een beetje in de scenario's over struikel is "de magie van ICT" die wordt uitgestraald en geaccepteerd. Als observant hoor ik dan "heb het even gevraagd en ja de uitwijk is geslaagd" of "de backups zijn niet geraakt we spoelen ze terug", wat natuurlijk nooit real life in 5 minuten is te beantwoorden.

Ik ben de scenario ransomware ook een beetje zat en weinig origineel, waardoor ze de hele tijd met dezelfde aanpak en antwoorden komen. Hopelijk kunnen we dat dit jaar bij de oefening anders doen.

[BytePhantomX]

Als je het zo vaak doet, dan zou je een stap verder moeten gaan en ook daadwerkelijk die magische IT moeten testen. Als je een volwassen organisatie hebt, zouden echter moeten kunnen aantonen dat backups te restoren zijn of een uitwijk slaagt, omdat ze dit periodiek daadwerkelijk oefenen.

[BrennuS]

klopt dat is ook de feedback, maar verbaas mij in een table-top setting hoe makkelijk het management dit in het scenario voor waar aanneemt.

Ik heb nu scenario kaarten klaarliggen waarmee we ad-hoc toch een verstoring erin gooien. categorie "backup loopt vast" / "licentie en schaalprobleem tijden restore" / "beperkte stroomvoorziening op business uitwijk"

Laten we eerlijk zijn het begint natuurlijk bij eenvoudig starten en opbouwen. Je kan een oefening met reallife voorbeelden dusdanig frustreren dat de oefening vastloopt.

[BytePhantomX]

Leveranciers zie ik nu ook gaan naar een combinatie van Red Teaming / Pentesting als input voor de table top. Dan moeten de IT-ers ineens communiceren met de board. De pentest triggert dan de table top en begint al met het feit dat een IT-er moet gaan uitleggen aan een bestuurslid waarom er misschien een crisis is of op komst is.

[Bor]

Dat is een bijzondere aanpak. Doorgaans zit er minimaal 1 laag maar meestal meerdere tussen een IT medewerker en 'de board' (wat op een groot bedrijf duidt). Doorgaans wordt er 'in de lijn' geëscaleerd.

[Metalfreak]

Daarom test je dit ook jaarlijks om dergelijke scenario's te voorkomen en ook vertrouwen te hebben in je antwoord op dat moment. Je weet dan ook doorlooptijden. Maar het heeft voor een oefening als deze natuurlijk niet heel veel toegevoegde waarde als je zegt: "zo, nu wachten we 8 uur voordat de uitwijk up en running is"

[sOid]

@LFranxWind Misschien zinvol om te benadrukken dat niet alle gemeenten in Noord-Holland zijn benaderd voor deze oefening. Het lijkt erop dat deze oefening is geïnitieerd door het OM, en niet alle gemeenten in Noord-Holland vallen onder arrondissementsparket Noord-Holland.

[LFranxWind]

Heb even een regel toegevoegd ter verduidelijking .

[CPV]

@LFranxWind

Overigens hebben niet alle Noord-Hollandse gemeenten deelgenomen aan de oefening van woensdag.

Als dit de verduidelijking is, is hij nog niet compleet.
Bij het lezen dacht ik: zijn er gemeenten die er het nut niet van inzien? Maar blijkbaar zijn ze niet benaderd.

[JoHnnY-Btm]

Pegasus

[desalniettemin]

Ik neem aan dat wij Rusland terug hacken?