Verhalen uit de loopgraven. Cyber & information security day 28 october 2016 Jan Guldentops ( ) BA N.V. (

Maat: px

Weergave met pagina beginnen:

Download "Verhalen uit de loopgraven. Cyber & information security day 28 october 2016 Jan Guldentops ( ) BA N.V. ("

Erna van den Broek
7 jaren geleden
Aantal bezoeken:

1 Verhalen uit de loopgraven Cyber & information security day 28 october 2016 Jan Guldentops ( j@ba.be ) BA N.V. ( )

2 Wie ben ik? Jan Guldentops ( 1973) Dit jaar bouw ik 20 jaar server en netwerk infrastructuren Oprichter Better Access ( 1996) en BA ( 2003) Open Source Fundamentalist (na mijn uren) Sterke praktische achtergrond op het vlak van ICT beveiliging Ben toevalling terechtgekomen in de securitywereld Documenteerde in 1996 de securityproblemen in de eerste Belgische internetbank ( Beroepskrediet / Belgium Offline) Plotseling ben je security expert R&D (vooral security)

4 Samengevat: COMMON SENSE AS A SERVICE (CAAS)

5 Top 10 terugkerende problemen

6 1. De goedheid van de medewerker Medewerkers willen helpen en meestal heeft niemand hen duidelijk verteld wat ze wel of niet mogen doen. Dus als je vriendelijk vraagt : Vertellen ze je alles wat je wil weten ; Laten ze je overal binnen ; En loggen ze nog voor je in ook Social Engineering Belangrijk: mensen bewust maken!

7 2. Weinig logische en fysieke beveiliging Ongeloofelijk waar je allemaal binnen kan wandelen en wat je kan meenemen. Toegangscontrole is vaak een grapje of makkelijk te omzeilen. Dossierkasten met bv personeelsgegevens worden niet afgesloten Enz. PC s zonder screenlocker Slecht beveiligde netwerkpoorten In vergaderzalen, wachtruimtes, etc. Onbewaakt, gepatched en je zit als bezoeker recht op het interne netwerk

8 3. Basis netwerk security Opdelen van het interne netwerk in verschillende logisch gescheiden onderdelen ( VLAN s) Belangrijk : management VLAN Ook controles tussen die vlan s! Slecht opgezette publiekswifi s Interne WIFI s met één WPA2-key! Tunnels Openvpn / ssh Teamviewers

9 4. Phising Iedereen denkt aan de standaard, in slecht Nederlands geschreven mail van een Oekraïnse schone die zegt dat je de man (m/v) van haar leven bent... Makkelijk te ontdekken Maar: Wat als ik nu eens een phish op maat van uw organisatie maak? Kortingsbon van Torfs onderhandelt voor uw organisatie Sinterklaas heeft een verrassing voor jou Wij werken aan de beveiliging en zouden graag willen dat u

10 5. Wachtwoorden / rollen / rechten Waarom, oh waarom gebruiken we nog altijd userid/wachtwoorden voor toegang tot onze systemen? Mensen gaan er slordig mee om ; Kiezen altijd en overal hetzelfde wachtwoord ; Geven het door ; Laten het staan op het oorspronkelijke, voorspelbare wachtwoord Etc. We hebben nog altijd verschillende wachtwoordsystemen! Uitdienstprocedures toegangen wissen als iemand vertrekt. -> We moeten naar 2 factor authenticatie

11 7. Leveranciers Abominabele security niveau van lokale overheidsleveranciers Bv. bij elke klant root-wachtwoord gebruiken dat hetzelfde gebleven en verwijst naar een calculator uit Geen change management Carte blanche altijd en overal Geen geintegreerde software in de AD Onvolwassen reacties op securitybugs Alles is volgens onze interne security standaarden Geen updates, etc. Aan de klant om hen tot de orde te roepen

12 8. Traditionele antivirus werkt niet meer Traditionele, signaturebased antivirus werkt niet meer... Zie Cryptolocker epidemie Komen vaak door 2 verschillende anti-virus engines Groot probleem Verschillende hoopvolle technologieën e.g. Cylance

13 9. Degelijk systeembeheer Zelfs luidruchtige interne aanvallen worden nooit opgemerkt. IT ers blussen branden maar doen nooit aan brandpreventie Nood aan gestructureerde IT Documentatie Opvolging Monitoring Logging Meldingen Correct gebruik maken van informatieveiligheidsconsulent en ISMS.

14 10. We hangen vanalles aan ons netwerk Internet-of-things De vraag is dit alles veilig en blijft het veilig? Kan het misbruikt worden? Is het voldoende geïsoleerd? Vaak worden er ook onzinnige deuren opengezet om het toegankelijk te maken Port forwardings

15 Andere elementen Elementen als ik nog tijd over heb Onveiligheids lokale overheids websites Nauwelijks gebruik https Slecht opgezette https Cloud applicaties die onveilig zijn : Cloudbased notulebeheer, rampenplan, etc. Zorg dat de basisinfrastructuur juist is! DNS Quid Denial-of-Service aanvallen Online backups

16 Wachttorens en paniekvoetbal Dirty Cow Voorbeeld van getuigen-vanjehova-journalistiek Het einde is nabij! Paniek Paniekvoetbal Geen structurele oplossingen Grote FUD en propaganda Android is onveilig! Koop een Iphone!

17 Tijd om wakker te worden 2 voornaamste security producten zijn : Gezond verstand Structuur Iedereen heeft security problemen, niemand is onfeilbaar Face it, get over it en ga aan de slag Een securityprobleem hebben is geen schande, maar doe er iets mee! Hard werk

18 Thank You Contact us Twitter: JanGuldentops / Twitter: batweets info@ba.be 016/ / Remy Toren Vaartdijk 3/501 B-3018 Wijgmaal

Vergelijkbare documenten

www.sbmopleidingen.be Verhalen uit de loopgraven Hoe wordt u gehackt en vooral hoe kan u dit verkomen? Jan Guldentops ( j@ba.be ) BA N.V. ( http://www.ba.be ) Wie ben ik? Jan Guldentops ( 1973) Dit jaar