Don Eijndhoven: cyberaanvallen verplaatsen zich meer naar de supply chain

Don Eijndhoven, security specialist en CEO van cyberbeveiligingsbedrijf Argent Consulting, opent de Dutch IT Security Day met een keynote over ‘Weaponizing supply chains’. Zijn boodschap is tweeledig: cyberaanvallen verplaatsen zich allereerst steeds meer naar de supply chain - aanbieders van clouddiensten of -capaciteit – van organisaties en hebben zo steeds meer impact. En ten tweede: iedereen zal waarschijnlijk een keer geraakt worden door een cyberaanval. “Maar je kunt die kans en de impact beperken. Zorg ervoor dat je security-tools op orde zijn en als het dan toch mis gaat: wissel informatie uit zodat andere partijen hiervan kunnen leren. Zo wapen je ook jezelf beter tegen cybercriminaliteit.”

Eijndhoven loopt al een flink aantal jaren mee in de security-sector. Hij is onder meer oprichter van De Dutch Cyber Warfare Community, een online genootschap bestaande uit leden met een zeer diverse achtergrond, die werken, wensen te werken of geïnteresseerd zijn in het relatief nieuwe domein van digitale conflicten (ook wel Cyber Warfare). Verder is hij bestuurslid van Stichting Connect2Trust, een cross-sectoraal samenwerkingsverband tussen (inter)nationale, in Nederland, actieve bedrijven.

Hoewel hij de hele dag in de ‘securityklei’ staat met zijn voeten, kijkt Eijndhoven breder naar het concept van security. “Mijn passie ligt op het geopolitieke vlak. Momenteel zijn de Pandora Papers – opvolger van de Panama Papers – bijvoorbeeld een hot item. De rijken der aarden, die wij zouden moeten kunnen vertrouwen, blijken het niet zo nauw te nemen met de belastingregels waar wij allemaal aan moeten voldoen.”

Eijndhoven denkt dat deze onthullingen enorm veel impact hebben op de lange termijn, en één van die gevolgen heeft te maken met ontological security. “Daarnaast ben ik momenteel zélf master student aan de Universiteit Leiden en dáár behandelden we afgelopen blok het concept Ontological Security. Ontologische veiligheid gaat over een gevoel van orde en continuïteit met betrekking tot de beleving van de wereld door het individu. Ontological security gaat over beveiliging van de geest, niet zozeer over beveiliging van het lichaam, als dat helpt. Dus ook over vertrouwen in leiderschapsfiguren in zakenleven en bij overheden. Wordt dat vertrouwen beschadigd, dan heeft dat ook gevolgen voor je gevoel van veiligheid en uiteindelijk de stabiliteit van de samenleving zelf.”

Cybersecurity-klei
Terugkerend naar de klei van de cybersecurity, merkt Eijndhoven op dat hij na al die jaren begint te zien dat hoe meer er verandert, hoe meer er ook hetzelfde blijft. “Als je kijkt naar nieuwe vectoren – hoe cyberbesmettingen en -aanvallen plaatsvinden – dan is daar de afgelopen jaren niet echt iets fundamenteel nieuws bij gekomen.”

Wel veranderen de aanvallen van richting, ziet de security-specialist. “Naarmate meer bedrijven richting de cloud gaan, zal je zien dat cloud-aanbieders een steeds groter doelwit op hun rug krijgen. Een mooi relatief recent voorbeeld is de SolarWinds aanval (aanbieder van IT management software & remote monitoring). Dat was een supply chain aanval richting onder andere de Amerikaanse overheid en krijgsmachtonderdelen via de netwerk management software Orion, gemaakt door Solarwinds. Dergelijke supply chain-aanvallen - aanvallen op de leveranciers van cloud infrastructuur en services in enige vorm - worden steeds meer een hot topic en dat zal ook nog wel even blijven.”

Enorme impact
In zijn keynote gaat Eijndhoven dan ook verder in op de Solar Winds-aanval, volgens hem echt een van de meest spraakmakende aanvallen van het moment. “De schaalgrootte is enorm. Er is software gehackt die alleen gebruikt wordt bij grote infrastructuren, waarbij de impact dus ook enorm is.”

Het is ook een mooie casus als je kijkt naar hoe de hack ontdekt is. Dat was volgens Eijndhoven puur toeval, een oplettende werknemer van FireEye die meteen actie ondernam en de gecompromitteerde cybersecurity-specialist FireEye inlichtte. “Die hebben er toen enorm veel resources tegenaan gegooid, het was niet makkelijk om de hack te achterhalen. En het is nog altijd niet duidelijk hoe ver reikend de impact was. Ook in Nederland bijvoorbeeld zijn er overheidsinstanties en gemeenten die diensten van SolarWinds via MSP’ers gebruiken.”

Drieledige aanpak
De manier om met dit soort problematiek te dealen – voor zover mogelijk – is volgens Eijndhoven drieledig. Allereerst: investeer nou gewoon in de juiste security-tooling. Preventie is beter dan achteraf repareren. En zorg dat je je informatiebeveiligingsbeleid op orde hebt. Daar stel je zaken in waarmee je je supply chain ook dwingt om bepaalde security-normen te halen. Ga dan ook niet in zee met bedrijven in je supply chain die niet dergelijke certificeringen kunnen tonen, zeker als het gaat om applicaties voor je bedrijfskritieke processen. Vraag er echt naar.”

Eijndhoven vindt het ook belangrijk om, als je dan toch gecompromitteerd bent, dit te delen met de buitenwereld. “Het lijkt wel zo’n heilig huisje om dat niet te doen. Zeker tegenwoordig zal het iedereen wel een keer overkomen. Als zelfs al een FireEye niet meteen doorheeft dat ze gecompromitteerd zijn, waarom heb je dan de illusie dat jij wel beter af zal zijn? Dus ga ervan uit dat het een keer gebeurt. Deel die ervaring dan, zodat anderen daarvan kunnen leren.”

Informatie delen als uitgangspunt
Initiatieven zoals Connect2Trust hebben zo’n beleid om informatie te delen als uitgangspunt. Connect2Trust biedt een platform aan waarop deelnemende partijen veilig informatie op het gebied van digitale veiligheid met elkaar en gespecialiseerde cybersecuritypartijen kunnen delen. “Dit zijn organisaties die elkaar kennen en vertrouwen. We komen letterlijk bij elkaar op de koffie. En ook daar wordt echt niet alles met iedereen gedeeld, maar wel datgene wat relevant kan zijn, of binnen groepen die je vertrouwt.”

Het Nationaal Cyber Security Centrum (NCSC) ziet het belang van een dergelijke uitwisseling, vertelt Eijndhoven, en heeft het platform per april 2021 benoemd als schakelorganisatie (OKTT) binnen het landelijk dekkend stelsel. Het LDS is een structuur waarbinnen publieke en private partijen, zoals CERTs (computercrisisteams), sectorale en regionale samenwerkingsverbanden, het NCSC en het Digital Trust Center (DTC), samenwerken om informatie en kennis uit te wisselen met als doel digitale ontwrichting te voorkomen én Nederland cyber weerbaarder te maken.

Vereenvoudigde samenwerking
“Inmiddels werken we aan de oprichting van een zogeheten Nationaal Clearing House, als onderdeel van de nationale anti-DDoS-coalitie, om de samenwerking op dit gebied te vereenvoudigen. Daar gaat alle cyber threat intelligence heen en die zal met een soort verdeelsleutel gedeeld worden met relevante partijen. Er zijn ontzettend veel threat intelligence stromen, waarom die dan niet bundelen? Zo kun je organisaties in Nederland beter wapenen tegen cyberdreigingen.”

Eijndhoven toont zich enthousiast over het initiatief en is naar eigen zeggen optimistisch over de slagingskans ervan. “Informatie over cyberdreigingen wordt inmiddels al automatisch gedeeld met aangesloten organisaties, het komt terecht in hun firewalls, hun EDR-toepassingen (endpoint protection & response). Het draait al en het kan echt enorm gaan helpen wanneer dit op grote schaal wordt toegepast.”

Auteurs: Martijn Kregting en Witold Kepinski