Patch management: voorkom onnodige risico’s en patch op tijd

Het moment dat nieuws over beveiligingslekken in de grote media verschijnt is vaak ook pas het moment dat veel mensen hiervan kennisnemen. Om dit lek te verhelpen was er al ruim een maand een patch beschikbaar, maar blijkbaar hadden veel bedrijven deze nog niet geïnstalleerd. Die bedrijven liepen onnodige risico’s.

Patch management bij Cyso: wij maken voor onze klanten ook gebruik van FortiGate apparatuur en van de VPN-functionaliteit. Sommige klanten van Cyso vroegen zich terecht af of wij op de hoogte waren en of hun systemen beschermd waren tegen dit lek. Cyso heeft hierin haar klanten gerust kunnen stellen dat we er al eerder kennis van hadden genomen en dat hun systemen niet kwetsbaar waren (het lek zat in oudere versies van de software).

Voorkom dat kwetsbaarheden lang open blijven staan: patch op tijd

Het mag duidelijk zijn dat het een slechte zaak is als het lang duurt voordat ernstige gaten in software worden gedicht. Hoe langer je wacht met het installeren van de vereiste patch, hoe groter de kans op misbruik. Zorg er dus voor dat je op de hoogte bent en de juiste processen hiervoor hebt ingericht.

• Patch management: richt een maandelijks terugkerend updateproces in.

  Het creëren van een vast updateproces voorkomt dat systemen te lang niet worden bijgewerkt. Bij Cyso hebben wij vaste, maandelijkse onderhoudsvensters waarin wij zoveel mogelijk alle besturingssystemen voorzien van de laatste updates.

• Abonneer je op security lijsten van vendoren en anderen.

  Lang niet alle software bevindt zich in Linux repositories of de maandelijkse Microsoft updates. Voor onder meer vendor-specifieke software is het belangrijk om op de hoogte te worden gesteld als er kwetsbaarheden aan het licht komen. Zorg dus voor een goede software inventory van alle software die bij je actief is meld je aan op relevante mailing lists. En lees deze dan ook echt.

• Zorg voor een goede risico-inventarisatie als er kwetsbaarheden aan het licht komen.

  Voor veel beveiligingsupdates is het overdreven om stante pede alle servers te gaan updaten en rebooten. De overlast die het creëert voor klanten en gebruikers is in veel gevallen onevenredig groot (zeker als beschikbare updates nog niet goed genoeg getest zijn en de werking van je systemen kunnen beïnvloeden). Updates meenemen in reguliere onderhoudsvensters volstaat in de meeste gevallen. Maar bij ernstige kwetsbaarheden waarbij de kans op misbruik groot is, is vaak wel tussentijds patches gewenst. Voorkom daarom paniekvoetbal en doe een analyse waarbij je impact versus risico tegen elkaar uitzet. Bepaal daaruit de te nemen acties.

Wanneer licht Cyso haar klanten in? En wanneer niet?

Er worden dagelijks kwetsbaarheden in software ontdekt. Sommige klein, sommige groot. Bij Cyso kiezen we ervoor om onze klanten gericht te informeren over kwetsbaarheden die voor hen van toepassing zijn of er een andere goede reden is om informatie over het lek met hen te delen. Wij willen voorkomen dat we ze bestoken met berichten die voor hen niet relevant zijn.

Bij het bekend worden van de FortiGate-VPN kwetsbaarheid hebben wij direct een inventarisatie van alle FortiGate omgevingen gedaan en geconstateerd dat het geen impact had op onze klanten omdat wij up-to-date versies van de software gebruikten. Wij hebben daarom gekozen om niet een bericht hierover te sturen. Toen het eenmaal landelijk in het nieuws was, ontstonden er alsnog vragen omdat onze klanten niets van ons gehoord hadden. Als wij een kristallen bol zouden hebben, hadden we die informatie achteraf uiteraard wel direct pro-actief gedeeld.

<h2

Je wapenen tegen bekende kwetsbaarheden moet je uiteraard doen, maar wat doe je tegen de onbekende? Er bestaan altijd (nog) onbekende lekken in software waar nog geen patch voor is. Hoe voorkom je misbruik daarvan? Gelukkig kan je door het toepassen van security by design en het nemen van aanvullende securitymaatregelen het risico op misbruik verkleinen.

Wil je met Cyso sparren over de staat van jouw security? Neem contact op met de medewerkers van onze verkoopafdeling verkoopafdeling voor het maken van een afspraak of kijk op onze security pagina.