Log4j: Wat hebben we tot nu toe geleerd?

In een nieuwe blog bespreekt Hugo Leisink, specialist in informatiebeveiliging en privacy en senior adviseur bij NCSC, de recente ontwikkelingen rondom Log4J en de tot nu toe geleerde lessen. Zero Trust is onmisbaar voor een goede beveiliging, maar daar moeten nog grote stappen worden gemaakt. 

Ik hoor het mezelf nog denken op vrijdag 10 december. Er zit een kwetsbaarheid in Log4j, maar er is ook al een patch beschikbaar. Wat is precies het probleem? Nou, dat probleem werd al vrij snel duidelijk en dus mocht ik een groot deel van het weekend samen met collega s aan het werk in het inmiddels opgerichte calamiteitenteam. Het waren lange en drukke dagen, ook voor velen buiten het NCSC. Maar met de gezelligheid van mijn collega s en de goede zorg vanuit het NCSC had ik niets te klagen. Op de woensdag in de week erna mocht ik mijn zondag inhalen en gingen andere collega s vanuit het calamiteitenteam aan de slag met de Log4j-uitdaging. Dat gaf mij tijd om eens rustig na te denken, want er is nu al heel wat te leren. 

Softwareontwikkeling

Eigenlijk best bizar, hoe een softwarefout tot zoveel gedoe kan leiden, maar tegelijkertijd verbaast het mij ook weer niet. 10 jaar geleden werkte ik in de softwareontwikkeling. Ik vind dat als je iets doet, je het goed moet doen. Met mijn hackers-mindset deed ik dan ook mijn uiterste best om veilige software te schrijven. Echter, ik merkte toen dat niet iedereen hier hetzelfde over denkt. Neem bijvoorbeeld het gebruik van open source repositories. Dit zijn websites waar je software-onderdelen kan downloaden om jouw applicatie met specifieke functionaliteit uit te breiden, bijvoorbeeld met log-functionaliteit. Dat scheelt tijd, want waarom code schrijven als anderen dat al gedaan hebben? Maar hoe veilig is die code van anderen eigenlijk? En welke ongewenste functionaliteiten sleep ik daarmee mijn applicatie in? Ik was dus zeer terughoudend in het gebruik van open-source software. Maar genoeg ontwikkelaars die deze kritische houding niet hadden en, zoals gezegd, vooral het gemak zagen. Gezien de grootte van het Log4j-gebeuren, is er in de afgelopen 10 jaar blijkbaar niet zoveel veranderd. De Log4j-kwetsbaarheid is een knaller van een klassieke injection, nummer 3 in de OWASP Top 10. Bizar dat dit al die jaren onopgemerkt is gebleven, toch?

Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

De impact van de nieuwe ISO27002 op de BIO
Met de komst van de nieuwe ISO27002 zal ook de BIO veranderen. Wat is de impact van deze verandering? Lees het in de blog.
Applicatiebeheer in relatie tot de BIO
De implementatie van de BIO is niet alleen specifiek de verantwoording van de CISO. Het is een samenspel van diverse specialisten uit verschillende vakgebieden, waaronder ook applicatiebeheer.
Zó hack je een stad!
Elke organisatie is te hacken. Met de e-guide ‘Zo hack je een stad’ van Den Haag kan iedere gemeente nu een eigen variant organiseren.

Meer recente berichten

Google Analytics binnenkort verboden?
Verder lezen
Besluitvormers weten niet hoe ze proactiever kunnen zijn op het gebied van cybersecurity
Verder lezen
Maak van cybercriminaliteit een echt misdrijf
Verder lezen
Deel patienten weigert e health wegens privacy zorgen
Verder lezen
HUB privacy en gegevensdeling beschikbaar
Verder lezen
Week van de Digitale Ethiek
Verder lezen
Cybersecurity: de trends van nu
Verder lezen
Privacy of veiligheid? Defensie wil tijdelijke aanpassingen sleepwet voor cyberaanvallen
Verder lezen
Digitale identiteit met al je persoonsgegevens? Als het aan Nederland en de EU ligt wel
Verder lezen
Cyberaanval tegen Defensie legt mailverkeer al vier weken plat
Verder lezen