Netwerkrand Versterken: Five Eyes-advies voor Bedrijven over Bescherming Kritieke Apparaten

Met de toename van aanvallen op edge-apparaten die verdere inbreuk door aanvallers in enterprise-netwerken mogelijk maken, is het tijd voor iedereen om hun beveiligingsspel te verbeteren, zeggen bureaus in de Five Eyes-alliantie.

De nationale inlichtingendiensten van vijf landen hebben enterprises advies gegeven over het verslaan van spionnen hun eigen spel in een reeks documenten bedoeld om hen te helpen netwerk-randapparaten en -apparatuur te beschermen zoals firewalls, routers, VPN (virtuele private netwerken) gateways, internet of things (IoT) apparaten, internet-gerichte servers, en internet-gerichte OT (operationele technologie) systemen tegen cyberaanvallen.

De Five Eyes-alliantie brengt de inlichtingendiensten van Australië, Canada, Nieuw-Zeeland, het VK en de VS bijeen. De verschillende bureaus hebben elk de uitdaging van het beveiligen van de netwerkrand vanuit een andere hoek benaderd, hun rapporten vrijdag vrijgegeven.

"Vijandige buitenlandse machten exploiteren routinematig softwarekwetsbaarheden in netwerk-randapparaten om kritieke infrastructuurnetwerken en systemen te infiltreren. De schade kan duur, tijdrovend en reputatievernietigend zijn voor publieke en private sectororganisaties," zei de US Cybersecurity and Infrastructure Security Agency (CISA) in haar inleiding tot de richtlijnen. "Deze richtlijndocumenten beschrijven diverse overwegingen en strategieën voor een veiliger en veerkrachtiger netwerk zowel voor als na een inbreuk."

De nieuwe documenten zijn een aanvulling op de VS-richtlijnen die fabrikanten helpen apparaten te bouwen die secure by design zijn. Het Canadese Centre for Cyber Security (CCCS) was de lead op Security Considerations for Edge Devices, wat niet alleen een gedetailleerde lijst met to-dos voor corporate IT biedt, het linkt ook naar specifieke richtlijnen over beveiliging voor remote workers en organisaties met bring your own device (BYOD) modellen, alsook richtlijnen voor fabrikanten van edge-apparaten.

Een opgelost probleem

In een niet zo subtiele aanval op fabrikanten van producten met slecht beveiligde netwerkmanagementinterfaces (NMIs) merkte het ook op, "Het is mogelijk voor vendors om hun producten te versterken zodat ze veilig blijven met NMIs blootgesteld aan het internet. Dit is een opgelost probleem, en klanten zouden vendors moeten vragen hun apparaten te versterken om NMIs te beveiligen."

Digital Forensics Monitoring Specifications for Products of Network Devices and Applications, geleid door het VK's National Cyber Security Centre (NCSC-UK), richt zich op minimumeisen voor forensische zichtbaarheid. Het beschrijft wat gelogd moet worden, hoe de logs opgeslagen en beveiligd moeten worden, en de eisen voor forensische data-acquisitie in geval van een incident.

"Door de minimumniveaus van observeerbaarheid en digitale forensische baselines die in deze richtlijn zijn uiteengezet te volgen, zullen apparaatfabrikanten en hun klanten beter toegerust zijn om kwaadaardige activiteit tegen hun oplossingen te detecteren en identificeren," stond er. "Apparaatfabrikanten moeten het ook gebruiken om een baseline van standaardfuncties vast te leggen om in de architectuur van netwerkapparaten en -apparatuur op te nemen, om forensische analyse voor netwerkverdedigers te faciliteren."

Australië nam de lead op twee documenten: Mitigation Strategies for Edge Devices: Executive Guidance en Mitigation Strategies for Edge Devices: Practitioner Guidance. Deze gidsen, geleid door het Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC), bieden een samenvatting van mitigatiestrategieën en best practices voor het beveiligen, versterken en beheren van edge-apparaten effectief, en technische details over zeven mitigatiestrategieën voor operationele, inkoop- en cybersecurity-medewerkers om te implementeren om risico's voor edge-apparaten te reduceren.

"Het Australian Signals Directorate (ASD)'s Australian Cyber Security Centre (ACSC) heeft een zorgenwekkende toename genoteerd in het aantal incidenten met edge-apparaat-inbreuken," zei de practitioner guidance. "Edge-apparaten zijn internet-blootgesteld, doorgaans moeilijk te monitoren en in staat om toegang te krijgen tot andere assets op het netwerk, wat een aantrekkelijke ingangspunt en doel biedt voor kwaadaardige actoren."

Het laatste document, geleid door CISA, is een update van een 2023-gids over Secure-by-Design-principes voor fabrikanten met links naar bronnen over implementatie.

"Producten ontworpen met Secure by Design-principes prioriteren de beveiliging van klanten als een kern zakelijke vereiste, in plaats van het slechts als een technisch kenmerk te behandelen," zei de introductieve webpagina. "Tijdens de ontwerpfase van de ontwikkelingscyclus van een product, zouden bedrijven Secure by Design-principes moeten implementeren om het aantal uitbuitbare fouten aanzienlijk te verlagen voordat ze ze op de markt brengen voor wijdverspreid gebruik of consumptie. Out-of-the-box moeten producten veilig zijn met additionele beveiligingsfuncties zoals multi-factor authenticatie (MFA), logging en single sign-on (SSO) beschikbaar zonder extra kosten."

Een grote zaak... als apparaatfabrikanten nakomen

De richtlijnen voor fabrikanten zijn met name opwindend voor Frank Dickson, IDC's group vice president voor security and trust. "Dit is een super grote zaak," zei hij. "Het is legitiem enorm, vooral als apparaatfabrikanten instemmen en nakomen met deze vereisten."

"Deze apparaten zijn mission-critical," voegde hij toe. "en sommige van deze apparaten hebben een ridiculed hoeveelheid kwetsbaarheid in termen van hoeveelheid data [die erdoor stroomt]." Ondanks dat, merkte hij op, bieden veel geen zichtbaarheid in wat er binnen gebeurt, zodat klanten niet kunnen beoordelen of de fabrikant een goed werk doet bij het updaten van firmware en proactief zijn.

Katell Thielemann, distinguished VP analyst bij Gartner, is ook tevreden met de richtlijnen, maar merkte op dat het slechts een begin is.

"De advisories zijn positief in dat ze tonen dat de Five Eyes-gemeenschap samenwerkt om best practices naar voren te brengen," zei ze. En ze blijven "de gemeenschap herinneren dat alles wat internet-verbonden is standaard blootgesteld is en een potentiële doelwit."

OT is niet IT

Echter, ze vindt niet dat het samenvoegen van internet-verbonden firewalls, routers, IoT-apparaten en OT-systemen in een advisory nuttig is voor de gemeenschap, "en het noemen 'edge devices' ook niet, omdat het assumpt dat enterprise IT het centrum van het universum is en de 'rand' ergens buiten is."

"Dat mag waar zijn voor firewalls, routers en VPN-gateways, maar niet voor OT-systemen," vervolgde ze. "Deze OT-systemen zijn Cyber-Physical Systems (CPS) die waardeschopping productie en mission-critical omgevingen ondersteunen. Ze zijn niet de rand; ze zijn de kern van operaties."

Velen zijn internet-verbonden ter ondersteuning van remote operaties en onderhoud, merkte ze op, dus "het doel daar zou moeten zijn om advies te geven over hoe veilig in die systemen te remoten, en de toon van de advisories gericht te zijn op de productierealiteiten waar IT-beveiligingstools en -processen niet altijd een goed idee zijn."

Dickson ook vindt de richtlijnen een goede eerste stap, maar voegde toe, "als we logging en zichtbaarheid voor digitale forensica toestaan, zou het ook fijn zijn, als er een issue was, dat we eigenlijk in staat waren om remediëring op dat apparaat te doen, een soort interdictie."

"Het is al lang een massaal probleem," zei hij. "Het feit dat er een grote, gecoördineerde actie is over meerdere Five Eyes-landen is extreem significant. Het is sterk, het is luid, het is passend, het zijn alle goede dingen. Eerlijk gezegd, ik was zo onder de indruk dat ze dit aankondigden, dat ik dacht, 'Thank God, we adresseren deze issue eindelijk.'

"Al wat we hoeven te doen is een paar echt grote organisaties de richtlijnen implementeren als vereiste voor het kopen van sommige van deze edge-apparaten in de toekomst en [het probleem] zal opgelost zijn."

SCHRIJF JE IN VOOR ONZE NIEUWSBRIEF

Van onze redactie rechtstreeks in je inbox

Begin met het invoeren van je e-mailadres hieronder.