Cloudomgevingen, endpoints, netwerken en industriële systemen produceren allemaal securitymeldingen. Die belanden vaak in consoles van verschillende leveranciers. Een aanvaller trekt zich weinig van zulke grenzen aan en beweegt dwars door een omgeving. Koen van Daalen, Business Lead Security bij KPN, werkt aan een platform-agnostische aanpak die SOC-analisten een samenhangend beeld moet geven.
Van Daalen geeft richting aan het Security Monitoring Portfolio van KPN. Daaronder vallen het Security Operations Center (SOC), dat dag en nacht de omgevingen van KPN en zakelijke klanten monitort, en Digital Forensics & Incident Response (DFIR). Als een aanval te groot wordt voor de dagelijkse SOC-processen, komt het DFIR-team in actie. Van Daalen noemt dat knipogend "de digitale brandweer".
De beveiliging begint niet bij een specifieke firewall, endpointagent of oplossing voor Security Information and Event Management (SIEM), maar bij de omgeving van de klant. Welke systemen draaien er, hoe zijn ze verbonden en welke processen mogen beslist niet uitvallen? Een risicogebaseerde aanpak helpt om te bepalen waar beveiligingsmaatregelen de meeste waarde hebben.
"Wat je niet ziet, kun je ook niet beschermen", zegt Van Daalen. Daarom worden eerst de kroonjuwelen van een organisatie bepaald. Dat kunnen databases met gevoelige informatie zijn, maar ook productiesystemen, netwerkcomponenten of operationele technologie. Vervolgens bekijkt het SOC welke dreigingen relevant zijn en hoe de systemen met elkaar samenhangen.
Een actuele Configuration Management Database, oftewel CMDB, is daarvoor belangrijk. Hierin staat welke assets een organisatie bezit en welke functie ze hebben: van laptops en printers, tot servers, applicaties en industriële apparatuur. Zonder dat overzicht weet een analist bij een melding niet altijd welk systeem wordt geraakt of wat de gevolgen van een ingreep kunnen zijn.
Een incident blijft zelden in één domein
Moderne klantomgevingen combineren cloud, SaaS, on-premisesystemen, endpoints, identiteitsdiensten en steeds vaker operationele technologie. Daarvoor bestaan gespecialiseerde securityproducten, vaak met eigen consoles en datamodellen. Alleen blijft een incident in de praktijk zelden binnen één domein. Een aanvaller kan via een phishingcampagne inloggegevens bemachtigen, zich binnen de omgeving verplaatsen en uiteindelijk een workload of database in de cloud bereiken.
"Een aanvaller beweegt horizontaal", zegt Van Daalen. "Als jij verticale pointoplossingen hebt, moet je als analist in ieder systeem een aparte managementconsole bekijken om te zien wat er gebeurt."
Een losse waarschuwing van een endpoint-oplossing hoeft niet ernstig te lijken. Hetzelfde geldt voor een afwijkende login, gewijzigde rechten of ongebruikelijk netwerkverkeer. Pas wanneer die gebeurtenissen in de juiste volgorde naast elkaar komen te staan, wordt het aanvalspatroon zichtbaar. Bij een beperkt IT-landschap was het nog werkbaar om afzonderlijk naar een firewall, endpointplatform of cloudomgeving te kijken. In grotere omgevingen kost dat schakelen tijd en bestaat het risico dat niemand het verband tussen signalen ziet.
Van losse meldingen naar context
Een SIEM-platform brengt loggegevens uit verschillende onderdelen van een IT-omgeving bij elkaar. Het systeem normaliseert en correleert gebeurtenissen, zodat een SOC meldingen uit bijvoorbeeld endpoints, netwerken en cloudomgevingen in samenhang kan beoordelen.
Het SOC kan gebruikmaken van raamwerken zoals Mitre Att&ck, waarin bekende tactieken en technieken van aanvallers zijn beschreven.
"Het gaat daar chocola van maken", vat Van Daalen de taak van een SIEM samen. Een phishingmail, een gestolen account en een latere wijziging van toegangsrechten kunnen afzonderlijk onschuldig lijken. In combinatie kunnen ze wijzen op een aanval. Detectieregels helpen om zulke patronen te herkennen. Daarbij kan het SOC gebruikmaken van raamwerken zoals Mitre Att&ck, waarin bekende tactieken en technieken van aanvallers zijn beschreven.
Voor Van Daalen draait het niet alleen om het verzamelen van meer logs. Analisten moeten ook kunnen zien welk systeem achter een melding zit, hoe belangrijk het is voor de klant en welke andere gebeurtenissen ermee samenhangen. Een integraal platform brengt die context bij elkaar en ondersteunt het onderzoek en de opvolging vanuit één werkplek. Dat scheelt analisten tijd en kan voorkomen dat verschillende systemen dezelfde melding dubbel aanbieden.
Zo'n platform moet ook aansluiten op de tools die een klant al gebruikt. Platform-agnostisch werken betekent daarom niet dat ieder product probleemloos kan worden gekoppeld. Leveranciers gebruiken verschillende api's en dataformaten, logstructuren veranderen en niet iedere integratie biedt dezelfde mogelijkheden. Gegevens ophalen is bovendien iets anders dan een koppeling waarmee een SOC veilig kan ingrijpen.
Er blijft dus een schaalbare basis nodig, met ruimte voor uitbreidingen wanneer het risico of de klantomgeving daarom vraagt. "Honderd procent veiligheid bestaat niet. Daarom is het belangrijk om risico's voortdurend af te wegen en beveiligingsmaatregelen in te zetten waar ze de meeste waarde hebben."
Bij oudere OT-omgevingen liggen die grenzen nog scherper. Sensoren, bruggen, sluizen en industriële besturingssystemen kunnen tientallen jaren meegaan en zijn vaak ontworpen in een tijd waarin een internetverbinding geen uitgangspunt was. Monitoring vraagt specialistische kennis. Een automatische beveiligingsactie mag niet zomaar een productielijn of maatschappelijk proces stilleggen. Analisten moeten signalen dus snel beoordelen, maar ook zorgvuldig bepalen wanneer ingrijpen verantwoord is.
AI aan beide kanten van het scherm
Die afweging wordt urgenter nu AI de snelheid en schaal van aanvallen vergroot. AI kan phishingcampagnes sneller opstellen en op grote schaal aanpassen. Tegelijkertijd kan AI helpen om kwetsbaarheden te signaleren, meldingen te verrijken en analisten sneller bij relevante informatie te brengen.
Menselijke analisten blijven nodig om te beoordelen of signalen bij elkaar horen, wat de context van een geraakt systeem is en welke reactie verantwoord is. AI kan repetitieve handelingen uitvoeren, zodat een relatief compact team grote omgevingen kan bewaken. Dat neemt het oordeel van de analist niet over, zeker niet wanneer een beveiligingsactie gevolgen kan hebben voor kritieke systemen.
"Dat is het leuke van security: het staat nooit stil"
Ook detectieregels moeten worden bijgewerkt. Nieuwe aanvalstechnieken, kwetsbaarheden en indicatoren moeten worden vertaald naar bruikbare detectie. "Dat is het leuke van security: het staat nooit stil", zegt Van Daalen. Voor organisaties die worden aangevallen, is dat minder aantrekkelijk. En in de vitale sector is dit extra relevant. Juist daarom besteden veel klanten het voortdurend bijwerken van detecties uit.
Threat intelligence vormt een aanvullende bron. Informatie over malafide IP-adressen, gelekte gegevens, aanvalsinfrastructuur en exploits kan worden gekoppeld aan actuele meldingen. KPN wil zulke informatie vaker per sector delen en threat intelligence uitwisselbaar maken. Een zorginstelling krijgt immers met andere aanvallers en technieken te maken dan een industrieel bedrijf of een overheidsorganisatie.
Wie mag er ingrijpen?
Technologie alleen bepaalt niet hoe een incident wordt afgehandeld. Tijdens de onboarding leggen KPN en de klant vast welke systemen kritiek zijn, welke acties automatisch mogen worden uitgevoerd en wanneer eerst overleg nodig is. Vooral binnen OT kan een verkeerde ingreep grotere gevolgen hebben dan de oorspronkelijke melding. Klanten houden daarom soms zelf de controle over zulke systemen, terwijl het SOC monitort en waarschuwt.
KPN bespreekt maandelijks met klanten welke incidenten en veranderingen er zijn geweest. Nieuwe systemen, bedrijfsprocessen en dreigingen kunnen het risicoprofiel veranderen. Ook de CMDB moet actueel blijven, anders kan het SOC moeilijk bepalen wat een waarschuwing betekent. Uitbesteden ontslaat een organisatie niet van haar eigen rol. "De eindverantwoordelijkheid ligt bij onze klanten", zegt Van Daalen. Monitoring uitbesteden betekent niet dat ook de volledige verantwoordelijkheid voor de beveiliging is overgedragen.
:strip_exif()/i/2008477048.jpeg?f=imagenormal)
Zelf doen, samen doen of uitbesteden
De klantvraag verschuift van volledig zelf doen of volledig uitbesteden naar mengvormen. Een organisatie kan het SIEM zelf beheren en de 24/7-monitoring bij KPN onderbrengen. Andere klanten laten een complete omgeving op locatie inrichten, bijvoorbeeld omdat systemen air-gapped moeten blijven. Er zijn ook organisaties die vooral ondersteuning zoeken bij compliance of bij een incident een beroep willen kunnen doen op incidentrespons.
Dat vraagt om duidelijke afspraken. Wie beheert een detectieregel, wie onderzoekt een incident en wie geeft toestemming voor een ingreep? Zonder heldere afspraken levert een extra integratie vooral een nieuw overdrachtsmoment op.
De Nederlandse locatie van het SOC en het DFIR-team speelt volgens Van Daalen mee wanneer een incident escaleert. Klanten kunnen tijdens een crisis in het Nederlands overleggen met analisten die hun omgeving en afspraken kennen. Verschillende onderdelen van de dienstverlening draaien bovendien in Nederlandse datacenters. "KPN is echt een oer-Nederlands bedrijf", zegt hij lachend. "Daar mogen we best trots op zijn."
Dit is geen redactioneel artikel, maar een gesponsord artikel dat dankzij KPN en Tweakers Partners tot stand is gekomen. Tweakers Partners is de afdeling binnen Tweakers die verantwoordelijk is voor commerciële samenwerkingen, winacties en Tweakers-events zoals meet-ups, Developers Summit, Testfest en meer. Bekijk hier het overzicht van alle acties en events. Wil je ideeën met ons delen over deze vorm van adverteren, dan horen wij dat graag. Hierover kun je met ons in gesprek gaan via [Discussie] Reclame algemeen.
/i/2008035926.png?f=fpa)
:strip_exif()/u/47330/ava.gif?f=community)