Blog

Een slecht jaar voor IT-beveiliging

Aanbevelen

Gepubliceerd:18-01-2010 om 08:45 Auteur:Roger A. Grimes

Nog een keer blikken we terug op het jaar 2009. Ondanks dat het beter ging met patchen en mailbeveiliging, wordt er nog weinig progressie geboekt in het stoppen van cybercriminaliteit.

Laten we beginnen met het goede nieuws: de meeste computers en software zijn vorig jaar veiliger geworden. Steeds meer leveranciers nemen beveiliging en patchen serieus. Bedrijven maken kritieke patches sneller beschikbaar dan in voorgaande jaren. Ook updaten eindgebruikers in toenemende mate hun besturingssysteem en software. Meer computers hebben recente patches geïnstalleerd.

Het slechte nieuws? Dat er nog steeds zoveel browsers, besturingssystemen en andere populaire programma’s (bijvoorbeeld van Adobe) patches nodig hebben. Niemand verwacht dat perfecte software ontwikkeld wordt zonder kwetsbaarheden, maar het zou toch wel leuk zijn als patches ontwikkelen wat minder vaak hoeft.

Ongepatchte software = kwetsbaar

De gemiddelde computergebruiker heeft 12 ongepatchte applicaties op zijn of haar machine geïnstalleerd staan. Een besturingssysteem patchen wordt regelmatig gedaan, maar vooral browser-updates of -toevoegingen worden in de regel vergeten. Dit zijn juist de onderdelen die kwetsbaar zijn voor een infectie met malware ontstaat.

Het goede nieuws voor browsers is dat de ontwikkelaars ervan vaker anti-phishing en anti-malware detectors aan de software toevoegen. Niet alle implementaties zijn daarmee perfect, maar het is gelukkig wel een vorm van gratis bescherming. Ook hebben alle browsers beveiliging ingebouwd gekregen tegen cross-site scripting (XSS). Firefox verdient daarnaast mijns inziens een pluim voor het waarschuwen van gebruikers die verouderde add-ons geïnstalleerd hebben staan.

Mijn oordeel over spam is niet eenduidig. Spam, als percentage van het wereldwijde e-mailverkeer, is hoger dan ooit. Maar liefst 80 procent van alle verstuurde mailtjes kan worden aangemerkt als spam. Toch krijgen de meeste gebruikers slechts een handjevol spam in hun inbox. Als je meer ontvangt, heb je niet de goede anti-spam tools ingezet.

Geen grote uitbraken

Het is goed dat we in 2009 geen wijd verspreide virussen gezien hebben. Conficker was een malwareprogramma dat meer dan 10 miljoen machines infecteerde, maar het is niets vergeleken met wormen als MS-Blaster of SQL-Slammer, die we nog kennen van enkele jaren terug. Patches zijn vaak voor zulke virussen zijn meestal voor uitbraak al beschikbaar, maar worden door gebruikers niet tijdig geïnstalleerd.

Zoals verwacht zijn sociale netwerksites in 2009 een aantrekkelijker doelwit voor hackers geworden. De grootste aanvallen werden gericht op MySpace, Facebook en Twitter. Deze trend zal waarschijnlijk worden voortgezet in het nieuwe jaar.

Het positieve is dat de gevreesde grote uitbraak van malware voor de mobiele telefoon nog steeds niet heeft plaatsgevonden. Natuurlijk, er waren een paar wormen en trojans, maar we hebben daarover meer verhalen gelezen dan er daadwerkelijk besmettingen waren.

Cybercriminaliteit viert hoogtij

De harde realiteit is dat gebruikers meer dan ooit zijn misbruikt door de verspreiders van frauduleuze software. Veel computeraars zijn verleid door malware in de vorm van patches, codecs en (opvallend genoeg) antivirussoftware.

Bijna geen cybercrimineel wordt gepakt. Berichten die daarover in de media verschijnen, dat een hacker gepakt zou zijn, blijken bijna nooit op de waarheid te berusten. De criminelen die wel gepakt worden zijn slechts kleine spelers. Als zij veroordeeld worden, krijgen ze vaak een kleine boete en telt alleen het voorarrest als gevangenisstraf.

De makers van bot-nets kunnen ongestoord hun gang gaan. Het is tegenwoordig zelfs zo erg dat criminele cyberbendes er meerdere Wikipedia-lemma’s op nahouden. Iedereen kan lezen wat de Russian Business Network allemaal uitvreet. Het is meer bewijs dan we ooit tegen een maffiaorganisatie gehad hebben en toch is nooit één lid van RBN veroordeeld. Trojaanse paarden die bankgegevens stelen, stijgen intussen gestaag in populariteit.

Helaas heb ik nog geen oplossingen kunnen ontdekken die deze misdaden in 2010 gaan bestrijden. Ik verwacht dat eindgebruikers nog honderden miljoenen euro’s zullen verliezen aan criminele hackers.

Oplossingen

Maar ik ga toch een aantal oplossingen geven. Kijk bijvoorbeeld naar standaarden van Microsoft en de Trusted Computing Group waarmee je het veiligheidsrisico kan terugdringen. Het kost veel moeite om het allemaal toe te passen, dat geef ik toe. Verder ben ik enthousiast over de cyber security-plannen van president Obama. Maar helaas verloopt zo'n traject via de overheid nog trager dan in de commerciële sector, waar geen sprake is van publiek protest.

Voorlopig moeten we blijven vechten tegen hackers en malware. De lezer van dit artikel kan ik hierbij drie tips meegeven voor de eigen computer:

1. Installeer nooit zomaar software. Als je hier goed mee omgaat, hoef je verder bijna niks anders te doen.
2. Blijf niet ingelogd staan als administrator of root.
3. Zorg dat je besturingssysteem en applicaties de meest recente patches krijgen.

Als je jezelf aan deze drie adviezen houdt, ben je veiliger bezig dan pakweg 99 procent van de rest van de computerwereld. Sla je deze adviezen in de wind, dan zal geen firewall, anti-malwareprogramma, of IDS je volledig kunnen beschermen. Ik hoop van harte dat 2010 mij op het gebied van security in positieve zin zal verbazen.