Expert: IE-verbod geeft vals gevoel van veiligheid
Zowel de Franse als Duitse overheid raden vanwege een ernstig lek het gebruik van Internet Explorer af, maar volgens een beveiligingsexpert is dit kortzichtig en geeft het een vals gevoel van veiligheid. Eén van de Trojaanse paarden die aanvallers bij de recente aanval op Google gebruikten, was via een zero-day lek in Internet Explorer op het systeem geplaatst.
Wat betreft het gebruik van Internet Explorer 6 bij Google, is dit eerder regel dan uitzondering, zegt McAfee CTO George Kurtz. Volgens hem wordt de bejaarde browser in bijna alle ondernemingen gebruikt. Er zijn veel zakelijke applicaties die alleen met IE werken, wat upgraden lastig maakt. Het advies van de Franse en Duitse overheid vindt hij niet terecht. Ook andere browsers, applicaties en besturingssystemen zijn te hacken, zeker door gemotiveerde aanvallers die een doel en voldoende middelen hebben.
Anti-virus is dood
Volgens Andrew Storms van nCircle leert deze aanval dat anti-virus software morsdood is. "Het is al een tijd de minst effectieve zakelijke IT-security tool, omdat het alleen tegen bekende malware werkt. Er is slechts één aangepast malware exemplaar nodig om je netwerk te infiltreren." Kurtz wil de virusscanner nog niet dood verklaren, wat vanuit McAfee gezien begrijpelijk is, toch zijn er aanvullende technologieën. Met name whitelisting zou bij dit soort zero-day aanvallen helpen. "Bedrijven moeten echt hun blacklisting met whitelisting beveiligingsmaatregelen aanvullen."
Veiligste browser
Cliff Evans, beveiligingschef van Microsoft UK, laat tegenover de BBC weten dat ondanks het lek in IE6, Internet Explorer 8 de veiligste browser op de markt is. Hij baseert zich hierbij op een rapport waaruit blijkt dat IE8 de meeste phishing en malware-sites herkent. Veel meer dan Firefox en Google Chrome. Toch genereert het hele "Aurora-incident" veel negatief publiciteit voor Microsoft, terwijl Google hier mogelijk van kan profiteren, besluit Rory Cellan-Jones. Hieronder een video van Kurtz over de aanval op Google.
Google maakt er echter een drama van, terwijl mijn pc met rotzooi van Facebook was geinfecteerd
door mytattoons, dan hoor je geen hond er over door die misleidende facebook reclame!
Ook hier geldt: wat is veilig? Een auto met ABS, airbags en wat niet allemaal meer is veiliger. Maar alleen indien de bestuurder zich aan het wegenverkeersregelement houdt, oplet, het onderhoud van de auto op peil houdt en ook alle andere weggebruikers dit doen.
In alle andere gevallen geldt niet, de auto is veilig, maar de auto is MINDER ONVEILIG. Dat geldt voor alles. IE is niet per definitie onveilig, maar je moet wel het onderhoud doen, i.e. patchen, upgraden, nadenken bij het surfen en klikken.
Add-ons van andere browsers kunnen dingen blokkeren, maar zijn op zich niet getest en dus mogelijk weer onveilig. Dat lijkt dan op het gebruik van winterbanden en vervolgens denken, dat je niet kunt slippen. Dus JA het gebruik van "veilige" browsers genereert schijnveiligheid, zoals een "veilige" auto dit ook doet.
Je snapt het niet. De 'veilige' auto waar je het over hebt is potentieel net zo onveilig als de auto die je weg doet.
Immers bevatten alle browsers vulnerabilities. Denk je echt dat deze aanval niet plaats had kunnen vinden, met behulp van andere vulnerabilities, wanneer de bedrijven Mozilla Firefox of Google Chrome hadden gebruikt als browser in plaats van Internet Explorer ?
Verder is een produkt per definitie onveilig indien je verouderde versies gebruikt, en security updates niet installeert. In Operation Aurora is daar gebruik van gemaakt, en indien je je applicaties niet up to date houdt, dan ben je per definitie kwetsbaarder.
Je kunt een risk assessment maken om te bepalen welke browser het minst onveilig is, maar geen enkele browser biedt volledige veiligheid tegen dit soort aanvallen, en iedere browser bevat fouten op basis waarvan zero day exploits geschreven kunnen worden.
"Is het niet opzet van Google om Microsoft imago beschadig van Internet Explorer."
Nee. Google werd aangevallen, net zoals enkele tientallen andere bedrijven. Of denk je dat die andere bedrijven (inclusief concurrenten van Google) hier soms in meegaan om Google een dienst te bewijzen ?
Er is een woordje weg gevallen het moet zijn:
Hij baseert zich hierbij op een Microsoft rapport waaruit blijkt dat IE8 de meeste phishing en malware-sites herkent. Veel meer dan Firefox en Google Chrome.
Nu klopt het wel weer.
Je toont aan dat een systeem niet penetreerbaar is, of wel maar lost dan het probleem op, maar na een dag kan er een nieuwe exploit zijn en kan er wéér ingebroken worden.
In hoeverre is een (dure) penetration test dan zinvol?
http://www.sophos.com/blogs/sophoslabs/?p=8227
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.