De moderne werkplek ondergaat een heuse metamorfose. De focus op het bedrijfsnetwerk is afgenomen omdat de afhankelijkheid van internet voor bedrijven is toegenomen. Te danken aan de pandemie, die van werken op afstand de nieuwe norm heeft gemaakt. Het gevolg is dat het aanvalsoppervlak voor cybercriminelen is uitgebreid.
Onderzoek naar de staat van het aanvalsoppervlakte van bedrijven, gebaseerd op wereldwijde gegevens verzameld tussen februari 2020 en april 2021, toont inderdaad aan dat die ruimte is meegegroeid toen het werken op afstand mogelijk werd gemaakt. Uit het rapport blijkt dat EMEA leidend is ten opzichte van Noord- en Zuid-Amerika en APAC-regio in termen van algehele blootstelling, met een gemiddelde van 283 blootgestelde servers en 52 blootgestelde cloud-instances.
Vertrouwd
Van alle cyberbeveiligingstrends en buzzwords van de afgelopen jaren, heeft zero trust aantoonbaar potentie om de grootste impact op het cyberlandschap te hebben. In wezen draait zero trust om het idee dat, of het nu binnen of buiten het netwerk is, niets zomaar mag worden vertrouwd. Alles is schuldig totdat de onschuld is bewezen, en alles moet worden geïnspecteerd om het niveau van onschuld te bewijzen.
Een belangrijk uitgangspunt voor zero trust is dat bedrijven moeten reduceren wat ze op internet tonen. Neem een onkosten-registratiesysteem voor een groot bedrijf. Het team maakt een inlogportal op internet en daar mogen alleen degenen met de juiste inloggegevens toegang krijgen. De portal wordt echter wel gepresenteerd en is toegankelijk voor iedereen op internet, niet alleen voor degenen die er met de juiste intentie gebruik van willen maken.
Zelfs een vpn die wordt gebruikt om toegang te krijgen tot applicaties op het interne netwerk, heeft een interface die openstaat voor aanvallen. Vpn-aanvallen zijn een serieus probleem. In oktober 2020 gaf de NSA een lijst vrij van de 25 belangrijkste beveiligingsproblemen die Chinese hackers uitbuiten. Vpn’s en remote desktop protocols (rdp’s) vormen de helft van die lijst.
Blootstelling
Door de blootstelling van een onderneming op internet te reduceren, kunnen bedrijven hun aanvalsoppervlak dus ook verkleinen. Door al het verkeer te inspecteren en toegangscontrole af te dwingen voordat ze toegang krijgen tot applicaties, zouden ze veel beter zijn beschermd.
Als we een hypothetische wereld creëren waarin elk bedrijf een zero trust-aanpak heeft aangenomen en heel weinig blootstelt aan internet, waar richten de cybercriminelen zich dan op? Hoewel bedrijven misschien niet worden blootgesteld, wordt internet altijd door de infrastructuur ondersteund: routers, dns-infrastructuur, enzovoort. We hebben het eerder gezien met de dns-aanvallen in Zwitserland in 2019, en we zullen dit vaker gaan zien in een zero trust-wereld.
Sleutels van het koninkrijk
Dan is er nog één element dat geen enkele technologie kan oplossen: de gebruikers. Zelfs zero trust kan niet op tegen iemand die vrijwillig de sleutels van het koninkrijk overhandigt en daardoor een bepaald niveau van vertrouwen weggeeft. Meer, het verkrijgen van vertrouwen kan het specifieke doel van deze aanvallen worden. Dit kan veel lichtere, gerichte malware of zelfs het gebruik van algemeen beschikbare en vertrouwde applicaties beteken in plaats van de zware, multifunctionele malware die wordt gebruikt voor ransomware en andere veelvoorkomende aanvalsvectoren.
Beide aanvalsstijlen hebben een hoge drempel om binnen te komen, zowel wat betreft vaardigheden als middelen. Social engineering is een moeilijke vaardigheid om onder de knie te krijgen en moet op grote schaal werken om effectief te zijn. Waar dit uiteindelijk op neerkomt, is dat die kleinere cybercriminelen zullen moeten samenwerken met anderen om te overleven. De financiële oplichtingsorganisaties hebben deze schaal en vaardigheid al, dus het lijkt slechts een kwestie van tijd voordat ze deze mogelijkheid opnieuw gebruiken om vertrouwen te winnen. Alleen deze grotere, beter georganiseerde en mogelijk door de staat gesponsorde groepen zullen met enige doeltreffendheid kunnen werken.
Ondernemingsrisico
Hoewel dit een negatief beeld van zero trust lijkt te schetsen, is dit allesbehalve waar. Zero Trust lost veel van de problemen op die we nu hebben en vermindert het ondernemingsrisico aanzienlijk. Door veel van de incidentele of brede aanvalsvectoren tot een punt te dwingen waarop ze niet langer financieel levensvatbaar zijn, zal enorm veel opleveren. Maar niet iedereen zal de sprong wagen, en dit is een proces dat tijd kost, dus het zal ook een interessante tweedeling creëren tussen bedrijven die zero trust gebruiken en bedrijven die dat niet doen.
Er is een oude grap: hoe snel moet je zijn om een beer te ontlopen? Waarop het antwoord is: sneller zijn dan je vrienden. De bedrijven die geen zero trust-aanpak volgen, zullen de langzaamste in de groep zijn en het makkelijke doelwit worden van cybercriminelen die de waarde uit hun huidige toolset halen.
Het is een interessant raadsel, maar met het implementeren van zero trust worden cyberaanvallen steeds moeilijker en kost het voor de cybercriminelen meer tijd en mankracht. Zo maken we van de wereld een steeds betere plek.
