De meeste infecties op het web vinden plaats via lekke software, iets waar zowel thuisgebruikers als websites voor verantwoordelijk zijn, dat zegt Wolfgang Kandek in een interview met Security.nl. Kandek is Chief Technical Officer van beveiligingsbedrijf Qualys. Wij vroegen hem naar de grootste risico's op het web, hoe consumenten veilige websites kunnen herkennen, of lekke websites verantwoordelijk voor infecties zijn en welke waarde website-zegels hebben.

Drive-by downloads zijn een groot probleem voor internetgebruikers. Kun je iets over het percentage infecties zeggen die door deze aanvallen worden veroorzaakt, in verhouding tot andere vectoren, zoals AutoRun, e-mailbijlagen en het downloaden van bestanden?
Kandek: We schatten dat ongeveer 70% van de aanvallen via deze vectoren plaatsvindt. Zeven jaar geleden waren botnet en netwerk-wormen de grootste boosdoeners, maar nu het besturingssysteem veiliger wordt, gaan aanvallers verder. De voornaamste vectoren zij nu websites die browser-lekken misbruiken, zoals Flash, PDF en sommige Office bestandsformaten zoals XLS en DOC. De volgende vector is social engineering, waar mensen worden verleid tot het uitvoeren van kwaadaardige code. Aanvallen via e-mailbijlagen en AutoRun zijn voor slechts een klein gedeelte verantwoordelijk.

Wat is de oplossing voor drive-by downloads: Verwachten dat consumenten hun software updaten, dat softwareontwikkelaars betere update-tools ontwikkelen of dat websites veiliger worden?
Kandek: Het beschermen van consumenten kun je het beste vanuit meerdere invalshoeken bekijken. Gebruikers moeten worden onderwezen om hun machines up-to-date te houden, en geen willekeurige programma's te downloaden en installeren. Websites moeten hun aanvalsvectoren beter in kaart brengen om ervoor te zorgen dat ze niet worden gehackt en ze moeten uit voorzorg hun websites op aanvallen monitoren. Iedereen moet een steentje bijdragen om de veiligheid te verbeteren.

Denk je dat gehackte websites verantwoordelijk zijn voor het besmetten van hun bezoekers?
Kandek: Wij vinden dat websites proactief actie moeten ondernemen om de kans op een infectie te voorkomen. Of ze nu wel of niet verantwoordelijk zijn voor het besmetten van hun bezoekers, het is slechte reclame voor de website en zorgt ervoor dat consumenten hun website niet bezoeken.

Qualys lanceerde onlangs een scan-oplossing voor websites, denk je dat meer wetgeving nodig is om de beveiliging van websites te regelen?
Kandek: We weten dat hackers altijd systemen zullen proberen aan te vallen, ongeacht welke security-tools beschikbaar zijn, en we weten dat hackers vaak samenwerken. Het is belangrijk voor leveranciers, de industrie, gemeenschappen en overheidsfunctionarissen om samen te werken en al het mogelijke te doen om aanvallen te voorkomen en cybercrime te bestrijden.

Is een automatische scan van een website wel betrouwbaar en veilig. Is het mogelijk om alles af te dekken?
Kandek: Het automatisch scannen is een betrouwbare en effectieve voorzorgsmaatregel om het risico op een aanval te verkleinen. Net zoals het op slot doen van je deur of het inschakelen van een inbraakalarm, het verkleint je risico. Het biedt extra veiligheid, maar kan niet absoluut garanderen dat een gemotiveerde aanvaller niet binnenkomt.

Gecontroleerde websites ontvangen een Go Secure zegel. Is zo'n zegel ook een garantie voor de eigenaar van de website en zijn bezoekers?
Kandek: Bezoekers kunnen aan de hand van een zegel zien dat de website een rigoureus, proactief beveiligingsprogramma volgt om de kans op aanvallen te verkleinen.

Wat denk je van de ControlScan fraude, een bedrijf dat ook beweerde websites te scannen, hier geld voor vroeg en zelfs uitgaf, maar uiteindelijk niet bleek te scannen?
Kandek: We hopen dat bedrijven van dit voorbeeld leren om naar bewezen oplossingen te zoeken die hen helpen met het nemen van maatregelen om het risico van infecties op hun website te verkleinen.

Hoe slaat Qualys de gegevens van gescande websites op? Waarom een website hacken als je één bedrijf kunt hacken om zo de lekken van tientallen websites te bemachtigen?
Kandek: Wij slaan al onze gegevens in ons beveiligde datacentrum op. Hier zijn de laatste beveiligingsmaatregelen en procedures aanwezig om ervoor te zorgen dat klantgegevens veilig en beschermd zijn. Daarnaast wordt alle informatie zowel tijdens transport als in ruste versleuteld en is het alleen toegankelijk voor gebruikers die met hun geldige en unieke inloggegevens inloggen.

Hoe blijf je up-to-date met de nieuwste aanvallen? Aanvallers ontwikkelen altijd nieuwe aanvallen, het is dus mogelijk dat aanvallers iets vinden waarop je eerst niet scande. Scan je dan al je klanten opnieuw of trek je hun zegels in?
Kandek: Onze technologie laat ons aanvallen detecteren voordat ze zelfs gevonden worden. Aangezien we niet van signatures afhankelijk zijn, kunnen we nieuwe, oude en onbekende aanvallen identificeren. Ons systeem is volledig op gedrag gebaseerd en op die manier kijken we naar slechte dingen die gebeuren, in plaats van een lijst met slechte dingen die al geïdentificeerd zijn. Aangezien we de mogelijkheid hebben om op dagelijkse basis sites te scannen, doen we dit ook en trekken we zegels in als blijkt dat we problemen vinden die websites niet oplossen.