De dag begint goed hier in het Security Operations Centre. Er ligt een bericht van de NCTV dat niet nader benoemde randfiguren het voorzien hebben op kwetsbare systemen van organisaties, mogelijk zelfs in ons land. Nadere details ontbreken, maar de coördinator nationale veiligheid zal ons aanstonds op de hoogte brengen zodra dit spannende verhaal nieuwe ontwikkelingen vertoont.

Ik zit op het puntje van mijn stoel.

Uit de Deepsight dienst blijkt dat er een aantal kwetsbaarheden is ontdekt in een PHP script en een aanzienlijk aantal defecten in Microsoft software, waar vooralsnog geen patches voor zijn. Naar verluidt wordt één van de defecten in het wild gebruikt voor aanvallen. Voor de andere is geen informatie over daadwerkelijke aanvallen bekend. De defecten zitten in ieder geval in een aantal nieuwere versies van gangbare producten, zowel in Windows 2008 in alle versies behalve één, en in een aantal niet nader aangeduide Office 2010 producten. Over de mogelijke impact op oudere software in de extended support wordt niet gerept. De verwachting is dat de volgende patch Tuesday een ingrijpende wordt, maar het is niet zeker dat alle defecten gefixed worden.

Afwachten dus.

Deepsight meldt verder dat er erg veel gescand wordt op TCP 3389, die gebruikt wordt door Microsoft Remote desktop. De PKI groep op LinkedIn meldt dat er een ontwerpfout zit in het SCEP protocol, en dat deze in veel implementaties voorkomt. Het Internet Storm Centre zegt dat 2,9% van alle poortscans op poort 3389 gericht is. Het ISC ziet echter wel een spike in TCP 23682 verkeer. Mja. Bittorrent.

Dat is heel bedreigend. Jaja.

Maar goed, volgens Deepsight is de wereldwijde status groen. Volgens ISC ook. Volgens de Nederlandse overheid ook. Hoewel de laatste update al weer van een week geleden is.

Dus het is niet bedreigend. Ook goed.

Op Full Disclosure is een heftig debat van onduidelijke kwaliteit gaande tussen de vaste gasten over een denial of service die eventueel zou kunnen leiden tot een stack overflow in een browser die op veel mobiele devices geïnstalleerd is.

Zucht.

In de firewall logs zie ik dat een Belgische host continu een half open connect doet naar een bridgehead mailserver in de DMZ, en de IDS laat zien dat er vanuit een aantal Chinese netwerken connects worden opgezet met een aantal developersystemen in het netwerk van een dochterbedrijf. Maar ja, dat zit ook in een joint venture met een Chinese toko, dus of dat wat betekent?

Informatie, informatie. Héél véél informatie. En dat moet allemaal geclassificeerd worden. Saai werk, maar de schoorsteen moet roken.

Het NCTV bericht vind ik niet specifiek genoeg; ik zie geen reden dat het ónze organisatie zou kunnen raken en daarom zet ik hem op ‘laag, laag’. Dat staat voor: waarschijnlijkheid laag, impact laag. Dat PHP script dat ken ik niet en ik weet niet of we dat ergens gebruiken. ‘Laag, laag’ dan ook maar. Gaten in Microsoft: of dat speelt in de versies met de patchlevels die we hier hebben, kan ik niet bepalen. Ik gooi hem op ‘laag, midden’. Want ja, we hebben vast wel iets van die spullen. SCEP? Nooit van gehoord. Laag, laag. Wat zal ik eens met die Chinezen doen?

De vraag hier luidt: wat is het nut van classificeren van bedreigingen? De theorie ken ik, het gekozen Security Framework schrijft dit voor, opdat we de actuele bedreigingsniveaus kunnen bewaken. Deze worden getoond op het 100 inch scherm op ‘de brug’, ons management dashboard waarop iedereen in één oogopslag kan zien hoe veilig het is. Groen betekent veilig, oranje staat voor bedreigingen die niet acuut zijn. En rood… nou ja, je begrijpt me wel.

Dat scherm hangt er nu ongeveer een jaar en vormt inmiddels een vast punt bij iedere rondleiding. Er verschijnen vaak hele delegaties mannen in pak op de tribune achter de brug, soms zelfs mannen in uniform. Security is nu eenmaal een hot topic en het management dashboard is een goede methode om ‘het’ zichtbaar te maken. Het is wellicht zelfs de enige methode, want hoe laat je een mogelijke aanval op een niet nader bekende host zien?

Sommige cynici in ons team noemen het dashboard managementporno. Dat kan ook, maar wat ik zelf zo merkwaardig vindt is dat dit dashboard alleen maar verklikkerlichtjes heeft, en geen stuur. Als ik een paar bedreigingen op ‘hoog, hoog’ zet, of zelfs maar op ‘midden, hoog’, wat dóen de bestuurders ‘op de brug’ van dit beveiligingsapparaat dan?

Een tijdje terug kreeg ik het antwoord op de vraag. Mijn collega Threat Analysts en ik hadden een paar zaken tegelijk op ‘midden, hoog’ en ‘midden, midden’ gezet en jawel, direct lichtte het grote scherm omineus oranjerood op. Een enorme heisa barstte los, de brug liep vol zorgelijke stropdassen en volgens mij zag ik zelfs een minister met haar neus tegen de ruit gedrukt staan dus dan is er echt iets aan de hand. Dat was tot daar aan toe, maar iedereen moest vervolgens in de buurt blijven; Alle Hens Aan Dek en Alle Verloven Ingetrokken. Een typerende uiting van bestuurlijke daadkracht. Alsof de IPS-en beter werken als wij maar goed naar de web interface blijven kijken. Ik bedoel maar, we kunnen niets aan de verdediging veranderen zonder een change proces van een paar weken te doorlopen, dus meer dan naar het scherm turen zat er niet in.

Ik zet dus nooit meer iets op midden en al helemaal niet op hoog. Sommige collega’s doen dat wel, maar dat is dan omdat ze een bepaald project willen of omdat ze van hun account manager een paar collega’s binnen moeten hengelen. So much voor classificatie.

Dus, volgende vraag: wat betekent besturen van beveiliging, eigenlijk? Hoe sturen de bestuurders de veiligheid? Ze hebben niet eens een stuur. In de praktijk hebben ze alleen een gaspedaal en een rem meer of minder mensen inzetten en een dodemansknop alle verbindingen dichtzetten waar een heel groot bord bij hangt dat misbruik gestraft wordt.

Wat doet zo’n bestuurder dan zoal, de hele dag? Zit dat daar maar een beetje verantwoordelijk te zijn en een naventante schaal op te strijken? Ron, de nachtchef hier op de brug, geeft dat gewoon toe, als er niemand bij is tenminste, dat security management eigenlijk een heel nikserig beroep is. Paniekvoetbal of rust maar niets daartussen, zoals hij het zegt.

Dit fenomeen speelt overal volgens mij. Zo las ik dat security held Ronald Prins van Fox IT ziet dat de digitale veiligheid ook van rijkswege niet gestuurd wordt. Ja, logisch toch? Besturen bij de overheid is ook alleen een kwestie van een gaspedaal en een rem? Ik bedoel maar zo: gaat er iets mis, dan gaat er meer geld heen en gaat het niet meer echt fout, dan halen ze dat geld weer terug. Gas en rem. Maar ze noemen het sturen. De enige bestuurder die zo kan rijden is een treinbestuurder en zijn spoor ligt van tevoren vast. Dat kun je van IT security niet zeggen. Wij hebben geen rails liggen. Nee, ook al die hoogdravende claims van de systeemdenkers met de imposante slidedecks van methode XYZ of ABC vormen geen rails.

De governance crisis waar Ronald het over heeft speelt wereldwijd, niet alleen bij de Nederlandse overheid. Daarom verliezen we de strijd tegen de ‘bad guys’. De IT security verkeert in een existentiële crisis; we krijgen meer geld en daardoor steeds meer specialisten die kunnen adviseren hoe een ander het moet doen, maar tot meer dan een kakofonie van adviezen leidt dat niet. En de bestuurders, die geven nog maar eens wat gas of die remmen maar weer eens wat bij.

Je lost het niet op door te doen wat de specialisten zeggen, want zij zeggen allemaal wat anders. Het lijkt er toch op dat bestuurder bij gebrek aan beter maar luistert naar de persoon die het verhaal het best kan inpakken in een elevator pitch of het verhaal dat het beste past bij de overtuigingen die de bestuurder toch al heeft. Net als bij de economische crisis dus, want ook economen zeggen weer allemaal wat anders en zo zijn we hard op weg naar de triple dip. Meer geld naar die en minder geld naar die – pappen en nathouden is het, meer besturing is er niet.

Met bestuurders die niet weten waar je heen moet, kom je nergens. Besturen is blijkbaar de kunst van het laveren tussen wat de goeroes te vertellen hebben. Voorwaar geen geringe opgave; daar zouden ze eens een procedure voor moeten schrijven. Wat mij het meest beangstigt, is dat het de meeste bestuurders niet eens is opgevallen dat ze geen stuur in handen hebben.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Laatste 10 columns