Redactie - 25 november 2011

Opinie: Uw website onder vuur


Professionele dieven hoeven geen muren te beklimmen, gaten in vloeren aan te brengen en laseralarmen te ontduiken als een soort van James Bond. Vandaag de dag kunnen cybercriminelen bedrijven in luttele minuten bestelen door gebruik te maken van kwetsbaarheden in websites.

Dell SecureWorks identificeerde in 2010 gemiddeld 42.000 aanvalspogingen op de websites van de 552 kredietcoöperaties die we in dat jaar beveiligden. De meeste van deze aanvallen waren gericht op de internettoepassingen die voor de websites van deze instellingen werden gebruikt.

De grootste schade wordt door cybercriminelen aangericht door het toevoegen van een soort van informatietrechter, zoals een zoekveld of invoervelden voor gebruikersnamen en wachtwoorden.

Dergelijke informatievelden en andere onderdelen van internetpagina's worden door computerprogrammeurs gecreëerd met behulp van programmeercode of computertalen zoals HTML.

Als programmeurs hun code niet op veilige wijze schrijven, kunnen er problemen optreden. Of uw website nu intern is ontwikkeld of door een extern internetbureau, u moet uw code altijd laten analyseren en testen. Op deze manier kunt u er zeker van zijn dat deze programmatuur geen kwetsbaarheden bevat, zodat cybercriminelen uw website niet kunnen hacken om toegang te krijgen tot uw bedrijfsnetwerk.

Eén van de meest voorkomende technieken die worden gebruikt om internettoepassingen te hacken, is het misbruik maken van kwetsbaarheden om SQL-code in de internettoepassingen te injecteren. Op deze manier kunnen cybercriminelen hun eigen SQL-code uitvoeren binnen de database van de internettoepassing. De gevolgen van een dergelijke aanval kunnen sterk variëren. Aanvallers kunnen op deze manier gevoelige informatie in de database bemachtigen, wijzigen of vernietigen. Dit kan bijvoorbeeld gaan om de aanmeldingsgegevens van gebruikers en beheerders of financiële informatie. Cybercriminelen kunnen ook kwaadaardige code in de database injecteren om gegevens van de gebruikers van de internettoepassingen te verkrijgen.

De afgelopen jaren werden tal van financiële instellingen getroffen door geruchtmakende gegevenslekken die het gevolg waren van SQL-injectie. Helaas gaan veel organisaties ervan uit dat het programmeren volgens de gangbare internetstandaarden automatisch inhoudt dat hun website goed beveiligd is.

Bedrijven moeten eerst de beveiliging aanpakken en dan pas de naleving van de wet- en regelgeving. Compliance staat namelijk niet per definitie garant voor veiligheid. Een goede beveiligingsconsultant kan u helpen om alle maatregelen in kaart te brengen die u moet treffen om uw website veilig te houden en te voldoen aan alle normen en richtlijnen.

Er zijn een groot aantal beveiligingslagen vereist om aanvallen door cybercriminelen af te kunnen slaan.

Het eerste wat een kredietcoöperatie moet doen, is een expert op het gebied van informatiebeveiliging inhuren om de broncode van alle pagina's van zijn website te evalueren. Als u uw website heeft uitbesteed, moet u erop toezien dat het internetbureau deze controle uitvoert. Elke keer dat de broncode van uw website wordt gewijzigd, bijvoorbeeld om nieuwe functionaliteit toe te voegen, moet de nieuwe code door een beveiligingsexpert worden geanalyseerd.

Laat een beveiligingsexpert proberen om in te breken in uw website met behulp van uiteenopende hackertechnieken. Controleer minimaal elk kwartaal de beveiliging van uw internettoepassingen, en elke keer dat er nieuwe code aan uw website wordt toegevoegd. Als u kwetsbaarheden aantreft, moet u de code zo snel mogelijk (laten) aanpassen.

Kredietcoöperaties moeten net als alle andere financiële instellingen een firewall voor internettoepassingen installeren om te voorkomen dat deze toepassingen door cybercriminelen worden geïnfiltreerd. Deze firewalls moeten voortdurend door een beveiligingsexpert worden bewaakt en onderhouden.

Ten slotte moeten kredietcoöperaties de logbestanden voor hun servers en firewalls 24 uur per dag, 365 dagen per jaar in real time laten bewaken door beveiligingsexperts. Als dit slechts een paar keer per dag gebeurt, is de kans groot dat aanvallen door hackers te laat worden gesignaleerd en cybercriminelen er reeds met de persoonlijke en financiële gegevens van uw organisatie vandoor zijn gegaan.

Door Don Smith van Dell SecureWorks


Copaco | BW 25 maart tm 31 maart 2024 Trend Micro BW BN week 10-11-13-14-2024
Copaco | BW 25 maart tm 31 maart 2024