Beveiliging is een gebied waar, als er eenmaal schade geleden is, ‘geen maatregel te duur is’ (of achteraf gesproken geweest was). Maar waar, zolang de zon nog schijnt, het best lastig is om budgetten los te krijgen – want het kan relatief gesproken om astronomische bedragen gaan, en een Fort Knox-model zal lang niet altijd een business case hebben.

De business case is voor beveiligingsmaatregelen ook lastig te maken: we kunnen alleen werken met Verzekeringsreclame-achtige zaken zoals ‘zonder antivirusprogramma is de kans op besmetting in 1 maand 10% en de schade per geval xxx Florijnen’. Nu is in dit voorbeeld, met vrij goedkope tools, ook relatief snel een goede casus te maken; maar in terreinen zoals een Security Officer-afdeling, een eigen Security Incident Desk, een superstreng wachtwoordbeleid of een redundant offsite datacentrum wordt het toch een stuk lastiger. Helemaal als het risico’s zijn met een zeker gehalte aan ‘modieus elkaar angst aanpraten’; dat hebben we o.a. gezien met Denial of Service-aanvallen, ransomware, social engineering-aanvallen en intrusion detection. Even een hype, even een grote populariteit voor tools en projekten die speciaal die risico’s afdekken, en dan ebt het weer weg omdat andere risico’s toch wat een betere kosten/baten-afweging kennen,

Endpoint security, met als veel PR-wind vangende standaards Cisco’s Network Admission Control en Microsoft Network Access Protection, is zo’n gebied waarvan het nog moeilijk zeggen of het hype is of een blijvertje. De angst hier is niet in direkte zin voor virussen en wormen die onze bedrijfs-servers of werkstations besmetten, want die machines zetten we al via tooling dicht. Het gaat hier om angst voor machines, bijvoorbeeld notebooks met wisselende lokaties en contacten, die als ze in ons LAN belanden ‘achter de firewall een aanval inzetten’. Dus erin slagen om, via hun eigen besmetting of zelfs door een eigenaar-met-kwade-bedoelingen, om andere servers of werkstations te besmetten. Want laten we wel zijn: firewalls aan onze slotgracht, de DMZ, zijn er primair voor doelbewuste aanvallen van buitenaf: website-hackers, medewerkers die aangezet worden tot spyware-download of e-mails krijgen met attachments die ze niet snel zullen vergeten (en de beheerder nog veel minder). En dat zijn aanvallen die toch iets minder snel mogelijk zijn vanuit het LAN zelf, zelfs als het een notebook gaat dat ongewild een rootkit/zombie aan boord gekregen heeft.

Dit alleen maar om de oplettende RI te helpen om de factoren “kans op besmetting” en “schade per geval” wat meer te kwantificeren. Want ook die schade zou zich moeten beperken tot de slecht gepatchte servers, behalve bij zero-day attacks maar die zijn juist vrij onwaarschijnlijk binnen het LAN.
Is er ondanks deze waarschuwingen toch een endpoint-probleem in de organisatie van de opdrachtgever mét vermoedelijk een business case, dan zijn er nog wat voetangels en klemmen. Het is namelijk een markt met zich snel opvolgende ontwikkelingen, en een gerede kans op lock-in rond produkten die later toch weer doodlopende wegen blijken. Een paar algemene tips dus:
· Vermijd aanschaf van nieuwe ‘zwarte doos’ hardware, dus switches en routers, als dat alleen is omdat de endpoint-tools daarom zouden vragen. Het kan de business case snel doen instorten!
· Begin voorzichtig met instapniveau-tools. Dus bijvoorbeeld afdwingen van compliance door een DHCP-adres te weigeren voor noncompliant workstations; het kent beperkingen maar is vrij goedkoop in te richten.
· Overweeg ook een strategie met netwerkzonering: plaats op kernpunten in het LAN intrusion detection/prevention devices, en/of appliances die noncompliant workstations niet doorlaten. Meer botte-bijl dan checks op alle switches, maar wederom simpeler.
· Voor de gekozen tools, zorg voor een roadmap van co-existentie met de Microsoft NAP standaard. Dat sluit server-technieken zoals Cisco NAC of Trusted Network Connect/802.1x niet uit, en gaat simpelweg zorgen voor een redelijk standaard interfacing van endpoint-tools op Windows XP/Vista.

Ergo conclusio: Fort Knox is voor de meeste organisaties veel te duur en zwaar, en bij een markt-met-snelle-beweging en hoog hypegehalte zoals endpointbescherming worden RI-professionaliteit en klantbelang-denken hoog gewaardeerd!

<Erik>