Hoe onguur is het internet?

Afgelopen week was ik op de RSA-conferentie in Londen. Een druk bezocht evenement waar meer dan 1200 deelnemers zich lieten informeren over allerlei security-ontwikkelingen in onze digitale wereld. Het jaar 2011 is tot dusver het jaar van de grote aanvallen en digitale inbraken. Een jaar waarin duidelijk werd dat de periode van  hackers en phishers die slechts uit zijn op snel geld, is afgelopen. Hoewel die groep van aanvallers zal blijven bestaan, komen er nu minutieus voorbereide – zelfs strategisch geplande – aanvallen bij. Deze richten zich op het verkrijgen van bedrijfs- en overheidsinformatie.

In de jaren 1995 tot 2005 werden personen actief op het internet die het leuk vonden spelenderwijs te testen hoe zij zaken konden platleggen of verstoren.  Vervolgens werden virussen gecreëerd die irritante activiteiten op je computer startten. Virussen die namen uit je mailbox gebruikten om zich voort te planten.  Simpel geschreven spam-mails uit Afrika met de boodschap dat iemand 15 miljoen dollar had gewonnen en je de helft wilde geven als je hem meehielp het geld zijn land uit te loodsen. Of slecht geschreven briefjes dat je bankrekening gecontroleerd moest worden met de vraag of je voor dat doel je rekeningnummer en pincode wilde doorgeven. Allemaal  zaken waar we ons makkelijk tegen konden wapenen met gezond verstand, een virusscanner en normale achterdocht. Internet was een prachtig avontuur, maar je wist dat er een paar gekken, zakkenrollers en smoezenverkopers rondliepen.
 
Internet is de norm
De afgelopen 5 jaar is internet volwassen geworden. Wereldwijd zijn er meer dan 2 miljard internetgebruikers. In China alleen al meer dan 500 miljoen. Landen als Nederland, waar bijna 90 % van de mensen bereikbaar is via internet, doen steeds meer zaken digitaal. Internet is de norm geworden waarover we digitaal communiceren en handelen. Datzelfde internet lokt ons naar nieuwe sociale ontmoetingsplaatsen. Facebook, Renren (het Chinese Facebook), LinkedIn en Twitter geven ons aantrekkelijke mogelijkheden om informeel te communiceren, vriendschappen te sluiten, relaties op te bouwen en deze te onderhouden. Zo hebben velen – ook ik – zelfs ‘vrienden’ en ‘zakenrelaties’ via internet die ze nog nooit in levende lijve hebben gezien.

Internet is een kopie van de echte wereld geworden. En helaas is de echte wereld niet ideaal. Geweld, oplichting, afpersing, misdaad. Allemaal zaken die ook in onze internetwereld opkomen. Met technieken die professioneel zijn, en goedkoop. Misdaad is als water, het zoekt het laagste punt van beveiliging op. Hoe hoger je je eigen beveiliging maakt, hoe minder kans je hebt zelf getroffen te worden. Maar de kans zal nooit meer nul worden.

Onze banken hebben de afgelopen jaren allerlei beveiligingsmaatregelen getroffen om het betalingsverkeer veiliger te maken. En met succes.  Dat werd op de RSA-conferentie vorige week ook benadrukt. Bijna 95 % van de aanvallen wordt succesvol onderschept. Van de resterende 5% is nog maar weinig succesvol. De fraude-opbrengsten zijn 0.021% van het totale betalingsverkeer, nog altijd te veel, maar volgens deskundigen acceptabel.

Dat was het goede nieuws. Er zijn ook minder goede berichten uit de beveiligingswereld te melden. De professionaliteit groeit en de technieken worden steeds geavanceerder. Was het eerst een afweging tussen investering en potentiële opbrengst, nu zijn er groepen die het niet meer ‘gewoon’ als een commercieel bedrijf opzetten. Kosten en opbrengst zijn veranderd. De opbrengst is waardevolle informatie, of informatie waarmee andere kostbare informatie verkregen kan worden. Informatie over de beveiliging bij een ander. Een keten van aanvallen op weg naar de echte grote slag.

Constante dreiging
De uitdaging is dat deze nieuwe partijen geld, kennis, techniek, geduld, organisatie en uithoudingsvermogen hebben. Ze willen ‘ergens’ gewoon een keer binnendringen. Het maakt niet uit hoe lang dat duurt en op welke wijze het precies gebeurt. In vaktermen een APT,  een “Advanced Persistent Threat”. Een constante geavanceerde dreiging die continu aanwezig is. En dat vraagt een ander soort beveiliging. Een radar die continu scant wat er in je bedrijf of organisatie gebeurt. Een soort virtueel camerasysteem dat je aan kunt zetten als je iets verdachts ziet of ontdekt. Een registratiesysteem dat continu vastlegt wie, wat en waar iets doet. Het herkennen van berichten, vooral ‘vreemde’ berichten, in stukken opgeknipte informatie, files met een onlogische extensie. Kortom, een beveiligingssysteem dat 24 x 7 x 365 alle onderdelen van het digitale informatiesysteem kan waarnemen.

Het probleem is dat je als gebruiker onverwacht in de meest ongure achterbuurt van internet terecht kan komen. Met een enkele klik sta je in een omgeving met allerlei ongure types om je heen. Een e-mail openen van een schijnbaar bekende, die via een sociaal netwerk je vrienden kent, kan al een besmetting betekenen. En spam bestaat niet meer uit onhandig geschreven mails, maar uit saaie, bedrijfsmatig ogende mails die je zonder argwaan opent. Als dat je als ‘brave’ internetgebruiker overkomt, ben je blij dat die ‘klik’ op tijd door strikte beveiliging wordt geblokkeerd. Of dat je snel weer de veilige wereld in wordt geleid. En dat je apparatuur constant wordt gecontroleerd op mogelijke besmetting.

Gezond verstand
Geen enkele medewerker wil zijn werkgever of organisatie compromitteren. Maar dat doe je wel, als je jezelf niet in de hand houdt. Als je via sociale media interne zaken prijs geeft. Als je onbeveiligd onveilige internetomgevingen bezoekt. Als je te makkelijk al je mails maar opent en op alles klikt wat gevraagd wordt. Sociale media maken het je ook wel makkelijk. Wilt u dit spelletje spelen . . . dan moet u ‘even’ deze info invullen, even uw creditcard nummer geven, even uw adres invullen, ‘even’  . . .   . We lopen er met open ogen in, zo makkelijk wordt het gemaakt.  Veiligheid begint met terughoudendheid en gezond verstand.

Tweehonderd miljoen computers zijn wereldwijd besmet met virussen, keyloggers en spyware. Niet alleen gewone huis-computers maar ook bedrijfslaptops en interne desktops. Berichten, passwords, overboekingen, login-informatie, dit alles is dan eenvoudig door derden te volgen en te verkopen op de zwarte markt. Medewerkers vermelden op LinkedIn wat voor interessant werk ze doen, op Facebook praten ze over hun hobby’s en hun huisdier. Op stamboom-sites is de meisjesnaam van hun moeder te vinden. Kortom, op vele geheime vragen die onze passwords beschermen, staat op internet het antwoord. Deze zijn te ontdekken als je de techniek hebt om goed te zoeken en je de tijd en de wil hebt. Als je dus persistent bent in je aanval. Helaas komt dat steeds vaker voor. Een gewaarschuwd mens telt voor twee. Want, er bestaan maar twee soorten bedrijven in de wereld: “Zij die aangevallen zijn en dit weten en zij die zijn aangevallen, maar het nog niet weten.”
 
Hans Timmerman (CTO EMC Nederland)