Het moet eenvoudiger worden om forensisch onderzoek te doen naar gehackte VPN's en firewalls, zo vindt het Britse National Cyber Security Centre (NCSC). De overheidsinstantie wil dat 'forensische zichtbaarheid' de norm voor netwerkapparatuur wordt, aangezien het nu nog vaak lastig is om onderzoek te doen. "Te vaak moeten verdedigers gebruikmaken van geïmproviseerde technieken, reverse engineering of zelf zerodaylekken om te begrijpen wat erop een gehackt apparaat is gebeurd. In feite beschikken ze vaak over minder tools dan de aanvaller", aldus het Britse NCSC.

Firewalls, VPN's en andere netwerkapparatuur zijn al jaren een geliefd doelwit voor aanvallers. Volgens het Britse NCSC moeten organisaties betrouwbare manieren hebben om te begrijpen wat er precies op een gehackt apparaat is gebeurd en of een apparaat nog wel te vertrouwen is. Fabrikanten zouden daarom features moeten inbouwen waardoor dit soort onderzoeken mogelijk zijn, aangezien die nu grotendeels nog ontbreken.

"Forensische zichtbaarheid houdt in dat verdedigers betrouwbare manieren krijgen om te begrijpen wat een apparaat doet, wat het heeft gedaan en of het na een incident nog wel te vertrouwen is. Het gaat onder andere om telemetrie, logging, configuratiestatus en de mogelijkheid om forensische data van zowel geheugen als opgeslagen data te verzamelen", legt de Britse overheidsdienst uit. Toch blijkt in de praktijk dat forensisch onderzoek naar netwerkapparatuur zeer lastig is.

Fabrikanten zouden dan ook mechanismes moeten toevoegen waardoor het systeem betrouwbare informatie aan onderzoekers kan aanbieden, die lastig door aanvallers is aan te passen. "Zichtbaarheid gaat er uiteindelijk om dat verdedigers hun werk goed kunnen doen", zo laat het Britse NCSC weten. Dat voegt toe dat er een belangrijke rol voor organisaties en bedrijven is weggelegd. Die kunnen fabrikanten namelijk onder druk zetten om dit soort features toe te voegen.