Relaties in het cybertijdperk
Het tijdperk van de Advanced Persistent Threat (APT) is aangebroken. Aanvallen komen steeds vaker voor en de mate van schade neemt in ernst toe. Als CISO’s moeten we ons voorbereiden op het APT-tijdperk. We moeten ons inzetten om onze houding te veranderen en niet alleen geavanceerde technologische tools inzetten.
De huidige bewustwording is niet voldoende voor dit tijdperk, en in dit artikel deel ik mijn ervaring in het vergroten van het vermogen om APT’s in te dammen vanuit een tactisch strategisch relatieperspectief (TSR).
“Als CISO’s moeten we ons voorbereiden op het APT-tijdperk.”
Lateral Move is een ware kunstvorm geworden die door aanvallers wordt toegepast. Ze werken volgens een gereguleerd Play Book en elke actie is zorgvuldig berekend om onder de radar te blijven. Door gebruik te maken van obfuscation tools en het snel verwijderen van sporen van elke operatie, wordt het voor cyberbeveiligingssystemen zeer moeilijk om deze te detecteren.
Enkele doelen van Lateral Move zijn het verkrijgen van controle over bevoorrechte accounts, maar zoals ieder mens maken ook aanvallers soms fouten. Een willekeurige, onregelmatige actie kan algemene (maar onvoldoende) argwaan wekken die het incident koppelt aan een vijandige cyberaanval.
Helaas zijn de huidige bewustwordingsplannen die door een wereldwijd opererend bedrijf met duizenden werknemers worden toegepast, niet effectief bij een dergelijke aanval. Professionele, voortdurende relaties met strategische partners binnen en buiten je organisatie moeten worden opgebouwd om abnormale activiteit te koppelen aan een APT-aanval en het cyberincident snel in te dammen.
Ondanks mijn ruime ervaring ben ik geen groot relatie-expert en zal ik waarschijnlijk de rest van mijn leven blijven leren. Maar ik weet wel dat er een aantal basiselementen zijn in elke relatie die verplicht zijn voor succes.
“Er zijn een aantal basiselementen in elke relatie die verplicht zijn voor succes.”
Een Partner Kiezen
Ik geef als eerste prioriteit aan het kiezen van de partner waarmee ik een relatie wil opbouwen. Tijd is kostbaar; we kunnen niet veel relaties opbouwen, zeker niet in een organisatie met tienduizenden medewerkers, honderden afdelingen en vestigingen over de hele wereld.
We moeten zorgvuldig de relaties selecteren die we willen aangaan. Ik zou ze kiezen op basis van hun kritiek voor de organisatie en hun nabijheid tot de gebieden waarvan we weten dat ze het meest kwetsbaar zijn voor aanvallen. Soms bevinden deze partners zich buiten de organisatie.
Een belangrijke overweging is bijvoorbeeld leveranciers die we in de Battle Zone moeten inzetten. IR-teams en Threat Hunting-teams zijn afhankelijk van deze diepgaande, professionele relaties, anders lijden ze onder een lange curve van ineffectiviteit.
Investering
Als we willen dat een relatie slaagt, moeten we erin investeren. Als we besluiten te investeren, hebben we uiteraard de juiste middelen nodig. Creëer eerst een dialoog met het management van de afdeling. Doe moeite om hun business te begrijpen en bouw relaties op met sleutelmedewerkers.
Neem deel aan en organiseer gezamenlijke bijeenkomsten om een continue, wederzijdse afstemming op een gemeenschappelijk doel te waarborgen: het beschermen van de organisatie. Benadruk het belang van het letten op zaken die ongewoon lijken. Word een adviseur om het aantal false positives te verminderen. En blijf volhouden. Zonder regelmatige aandacht kun je ervan uitgaan dat zelfs een sterke, goed opgebouwde relatie een APT-incident niet zal herkennen of indammen.
Routine
Routine is de vijand van elke relatie. In een routine vervallen zorgt voor een soort gevoelloosheid die apathie en gebrekkige paraatheid veroorzaakt. Houd relaties daarom levendig. Cyberaanvallen worden bijna dagelijks gemeld en zijn een bron van interesse voor mensen.
Wij als CISO’s kunnen medewerkers informeren en hen de tools geven om een cyberaanval thuis of op kantoor te voorkomen. Plan “Lunch and Learn”-sessies. Nodig je leveranciers uit om te presenteren. Deze activiteiten creëren wederzijdse meerwaarde en helpen je het uiteindelijke doel te bereiken: een werkplek behouden die veiligheid biedt voor de organisatie, haar medewerkers en hun families.
Er zijn zeer weinig signalen dat je wordt aangevallen door een APT. Wanneer je het ontdekt, moet je snel en slim reageren. Door een tactisch strategische relatie met sleutelspelers te onderhouden, kun je hen snel waarschuwen en mobiliseren.
En wanneer je een IR-professionele leverancier in de Battle Zone “dropt”, zal deze effectiever zijn in een kortere tijd. Het eindresultaat is indamming en dat is te danken aan de TSR’s die je hebt opgebouwd en onderhouden.
“Door een tactisch strategische relatie met sleutelspelers te onderhouden, kun je hen snel waarschuwen en mobiliseren.”
Vandaag de dag is de rol van de CISO complexer dan ooit; we moeten een veerkrachtig en snel herstelproces creëren bij een cyberaanval. De impact van een cyberaanval is aanzienlijk in termen van geld en tijd. Als we om ons heen kijken, zien we dat organisaties tegenwoordig tientallen miljoenen dollars en meer verliezen aan dit soort incidenten.
Hersteltijden zijn lang, waardoor de kosten verder oplopen. Een blijvende investering in tactisch strategische relaties met specifieke IT/Business-teams en leveranciers helpt ons sneller te handelen en de schade van deze next-generation aanvallen te beperken.
Veelgestelde Vragen
Risicobeheer cyberbeveiliging is een strategische aanpak die organisaties gebruiken om potentiële bedreigingen voor hun digitale bezittingen, zoals hardware, systemen, klantgegevens en intellectueel eigendom, te identificeren, beoordelen en prioriteren. Het omvat het uitvoeren van een risicobeoordeling om de meest significante bedreigingen te identificeren en een plan op te stellen om deze aan te pakken, wat preventieve maatregelen zoals firewalls en antivirussoftware kan omvatten. Dit proces vereist ook regelmatige monitoring en updates om nieuwe bedreigingen en organisatorische veranderingen mee te nemen. Het uiteindelijke doel van risicobeheer cyberbeveiliging is het beschermen van de informatie-assets, reputatie en juridische positie van de organisatie, waardoor het een cruciaal onderdeel is van elke overkoepelende risicobeheerstrategie.
De belangrijkste onderdelen van een risicobeheerprogramma voor cyberbeveiliging zijn risico-identificatie, risicobeoordeling, risicobeperking en continue monitoring. Het omvat ook het ontwikkelen van een cyberbeveiligingsbeleid, het implementeren van beveiligingsmaatregelen en het uitvoeren van regelmatige audits en beoordelingen.
Organisaties kunnen cyberbeveiligingsrisico’s beperken via diverse strategieën. Dit omvat het implementeren van sterke toegangscontroles zoals robuuste wachtwoorden en multi-factor authentication, het regelmatig updaten en patchen van systemen om bekende kwetsbaarheden te verhelpen, en het trainen van medewerkers om potentiële dreigingen te herkennen. Het gebruik van beveiligingssoftware, zoals antivirus- en anti-malwareprogramma’s, kan helpen bij het detecteren en elimineren van bedreigingen, terwijl regelmatige back-ups schade door datalekken of ransomware-aanvallen kunnen beperken. Het hebben van een incident response plan kan de schade tijdens een cyberincident minimaliseren, en regelmatige risicobeoordelingen kunnen potentiële kwetsbaarheden identificeren en aanpakken. Tot slot kan naleving van industriestandaarden en regelgeving, zoals de Cybersecurity Maturity Model Certification (CMMC) en National Institute of Standards and Technology (NIST) standaarden, organisaties verder helpen bij het beperken van cyberbeveiligingsrisico’s.
Een risicobeoordeling is een cruciaal onderdeel van risicobeheer cyberbeveiliging. Het omvat het identificeren van potentiële bedreigingen en kwetsbaarheden, het beoordelen van de potentiële impact en waarschijnlijkheid van deze risico’s, en het prioriteren ervan op basis van hun ernst. Dit helpt bij het ontwikkelen van effectieve strategieën om deze risico’s te beperken.
Continue monitoring is een essentieel onderdeel van risicobeheer cyberbeveiliging en biedt realtime observatie en analyse van systeemcomponenten om beveiligingsafwijkingen te detecteren. Dit maakt onmiddellijke dreigingsdetectie en -respons mogelijk, waardoor schade kan worden voorkomen of beperkt. Het zorgt ook voor naleving van cyberbeveiligingsnormen en regelgeving, zodat organisaties snel eventuele niet-naleving kunnen aanpakken. Door systeemprestaties te volgen, helpt continue monitoring bij het identificeren van potentiële kwetsbaarheden, terwijl de verzamelde data besluitvorming ondersteunt over resource-allocatie, risicobeheerstrategieën en beveiligingsmaatregelen.