23/01/2023
E-commerce Berlin Expo 2023
Op 23 februari aanstaande neemt Cyso samen met de CysoGroup deel aan de E-commerce Berlin Expo.
Blog
Alle deuren wel helemaal beveiligd met drie dikke sloten erop, maar vergeten dat de ramen gewoon opengeschoven kunnen worden? Een hele dikke kluis voor waardevolle bezittingen, maar geen goede inventaris van alle sleutels? Het zijn goedbedoelde beveiligingsmaatregelen, maar situaties waar helaas niet goed genoeg over het totaalplaatje is nagedacht.
In de IT heet dat totaalplaatje security by design. Wat betekent dat nu in de praktijk? Het is al jaren een begrip dat iedere provider en ontwikkelaar zou moeten gebruiken bij het ontwerpen van applicaties en platformen. Het zijn eveneens woorden die passen bij en gebruikt worden door partijen met een ISO 27001 certificering of een andere vorm van security bewustzijn in de dagelijkse bedrijfsvoering. Het klinkt daarnaast volstrekt logisch en voor de hand liggend. Maar hoe doe je dat precies?
Security by design houdt in dat bij het ontwerp van de grond af aan is nagedacht over veiligheid. Pogingen tot misbruik worden als vanzelfsprekend beschouwd en er wordt voor gezorgd dat de gevolgen minimaal zijn als er kwetsbaarheden in de beveiliging worden ontdekt of er op malafide wijze van de dienst gebruik wordt geprobeerd te maken. Databeveiliging wordt traditioneel gedefinieerd door drie pilaren die de veiligheid bepalen: vertrouwelijkheid, integriteit en beschikbaarheid. Alle maatregelen die komen kijken bij security by design zijn terug te vertalen naar deze drie concepten. Security by design betekent dat er niet verschillende losse maatregelen worden genomen, maar een geheel aan design principes die samen de veiligheid verhogen.
Deze security design principes zijn onder meer door het Open Web Application Security Project (OWASP) op een rij gezet en dienen ter inspiratie bij het ontwerpen en inrichten van platformen, systemen en applicaties. Wij hanteren dezelfde concepten en vullen dit aan met eigen aandachtspunten en richtlijnen. Hieronder volgt een bloemlezing van door ons veel genomen maatregelen. Ieder platform en applicatie is echter uniek en vraagt om een aanpak op maat.
Een van de design principes die vaak als eerste wordt genoemd en vooral dient ter preventie van security incidenten is het verkleinen van de attack surface van het platform en de applicatie. Hoe minder contactoppervlak er met het internet is, hoe minder er aangevallen kan worden en hoe kleiner de kans op misbruik. Cyso brengt dit ook in de praktijk door het nemen van verschillende maatregelen. Denk hierbij aan diensten en (beheer)interfaces die geen publieke toegang vereisen achter een (SSL) VPN te zetten of in een niet-publiek VLAN te plaatsen.
Firewalls dienen ook voor het verkleinen van de attack surface en zetten we zowel globaal als lokaal in om alleen noodzakelijke communicatiekanalen open te zetten. Een andere keuze die vaak gemaakt wordt is om een load balancer als reverse proxy in te zetten en daarmee een extra scheiding te creëren tussen de applicatie en het publieke internet.
Meer lezen over de attack surface: Het verkleinen van je attack surface
Een streng toegangsbeleid behoort eveneens tot de preventieve maatregelen die wij nemen. Hoe minder personen toegang hebben tot applicaties en systemen, hoe kleiner de kans dat via één van die gebruikers beveiligingsincidenten ontstaan; ofwel door menselijke fouten ofwel door misbruik door derden. Voor de eerdergenoemde VPN-verbindingen gebruiken we strenge access lists om alleen de noodzakelijke gebruikers en personen toegang te verlenen; het liefst met two-factor authentication. Niet iedereen mag uiteraard wijzigingen in die lijst gebruikers en hun rechten aanvragen; daar gelden nóg strengere criteria voor.
Wachtwoorden zetten wij nooit direct in een e-mailtje. Wij hebben intern een tool ontwikkeld om logingegevens eenmalig veilig te kunnen verstrekken aan onze klanten. Zelfs als een e-mailtje op een verkeerde plek terecht zou komen, is de informatie die erin staat ongevaarlijk.
Als een gebruiker eenmaal toegang heeft gekregen, werken we ook met een zo klein mogelijke lijst met rechten. Dit betreft het concept van ‘least privilege’; de basisrechten zijn nul en op verzoek worden specifieke rechten verleend. Zowel voor de protocollen en applicaties die gebruikt worden voor de toegang als de specifieke functionaliteit die beschikbaar wordt gemaakt, is dit van toepassing. Indien mogelijk, worden gebruikers ook per applicatie of dienst aangemaakt; mocht iemand zich toch ongeautoriseerd toegang tot het account verschaffen, kan deze alleen kwaad doen op die ene plaats.
Meer lezen: De implementatie van Identity & Access Management
Goede afscherming is natuurlijk een belangrijke vereiste voor de beveiliging, maar als de software zelf onveilig is, heeft dat allemaal bar weinig zin. Beveiligingslekken in de software zelf kunnen ervoor zorgen dat alle andere maatregelen direct omzeild kunnen worden. Wij letten daarom extra streng op welke software er gebruikt wordt.
Hier kunnen we kort over zijn. Ga ervan uit dat aanvallers volledige kennis hebben. Het verstoppen van zwakke plekken in de beveiliging is geen goede oplossing omdat ze op een gegeven moment toch wel gevonden worden. Dicht het gat gewoon en los het probleem echt op.
Hoe goed je de preventieve maatregelen ook zijn, je zal er evengoed rekening mee moeten houden dat er iemand een gaatje vindt. Soms zal direct duidelijk zijn wanneer dat het geval is geweest, maar soms wordt dit pas later (of helemaal niet duidelijk). Maar je wilt het wel weten. We zorgen daarom voor goede, veilige en liefst centrale logging zodat verdachte activiteiten gedetecteerd kunnen worden en erop kan worden ingegrepen.
Het monitoren van systemen en services is niet alleen een manier om de beschikbaarheid en performance te controleren, maar kan ook breder ingezet worden. Zo controleren wij onder meer de status van SSL-certificaten en doen wij inhoudelijke checks op de inhoud van een website om zo bijvoorbeeld eventuele defacements of andere hacks automatisch te kunnen detecteren. Bij het ontwerp en implementatie van een platform bespreken onze architecten de mogelijkheden om specifieke security monitoring voor uw dienstverlening in te richten.
Zoals gezegd: dit is slechts een selectie uit de manieren waarop wij kijken naar security by design. Zeker naarmate platformen en applicaties groter worden, wordt de set maatregelen uitgebreid. Bij iedere case die wij onder ogen kijken, zoeken wij de juiste oplossing. Wilt u weten hoe wij naar de veiligheid van uw applicatie en platform zouden kijken, neem dan gerust contact op om van gedachten te wisselen.
