Skip to main content

Dit zijn geleerde lessen uit XZ kwetsbaarheid

De Linux wereld schrok onlangs op van nieuwe kwetsbaarheid in de XZ libraries, onderdeel van nogal wat Linux distributies. Dat dergelijke kwetsbaarheden blijven terugkeren, verwondert nauwelijks. Wat wel verbaast, is dat organisaties zo weinig ondernemen om zich te wapenen tegen dit type kwetsbaarheden en achterpoortjes. Het ligt niet aan een gebrek aan tools, wel aan een gebrek aan visie en beleid.

Hoewel de XZ kwetsbaarheid minder impact heeft dan Log4J, kent deze case wel een aantal merkwaardige eigenschappen. Zo blijkt dat de ontwikkelaar die de kwetsbaarheid inbouwde, zelf meewerkte aan het ontwikkelen en onderhouden van componenten van de XZ library. Dat liet deze persoon toe vertrouwen te wekken in de Linux wereld, waarna die kans zag achterpoortjes te gaan inbouwen. Bovendien had de ontwikkelaar een langetermijnvisie. Wie het tv format De Mol? kent, weet dat de mol meestal na acht afleveringen ontdekt wordt. Deze XZ mol slaagde erin zich anderhalf jaar schuil te houden. Net als alle deelnemers aan genoemd programma verdacht zijn, kan nu plots iedereen uit de Linux ontwikkelaarsgemeenschap een potentiele schurk zijn. Wie weet wat een ontwikkelaar tussen de vele lijnen code weggemoffeld heeft?

Uit deze nare cybercrime episode kunnen we een aantal lessen trekken.

  • Weet dat het eraan komt

Solarwinds, Kaseya, Log4J, XZ,… De nieuwe bedreigingen voor de cybersecurity volgen elkaar in hoog tempo op. Zeker in de huidige geopolitieke omstandigheden kan je er donder op zeggen dat Russen, Chinezen, Iraniers en Noord Koreanen, en wellicht ook Amerikanen, Engelsen en Nederlanders, ergens wat regels code aan het schrijven zijn die overheidsinstanties, bedrijven en zelfs het hele internet plat kunnen leggen. Merk op dat 99 procent van internet draait op Linux, er zijn vast nog wat veelgebruikte libraries die niet helemaal safe zijn. Ga dus niet op je lauweren rusten nadat je Log4J of XZ aangepakt hebt. In de security wereld ben je nooit klaar.

  • Voer een proactief beleid rond cybersecurity

De meeste aanvallen komen binnen via een onbeveiligde endpoint. We kunnen niet genoeg benadrukken hoe belangrijk het is elk endpoint te inventariseren en constant van de nodige updates en upgrades te voorzien. Wanneer een organisatie vertelt dat ze alle pc s geinventariseerd hebben, dan geldt de raad ze altijd nog eens te tellen. We weten immers: schaduw it zit overal. En zodra een afdeling een eigen budget kan besteden, ontstaat schaduw it. Daarom is het belangrijk om een tool in te zetten die alle endpoints kan ontdekken, inventariseren en controleren op patches en upgrades.

Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

In 5 stappen naar een succesvolle GAP-analyse van de BIO
: Een GAP-analyse geeft snel inzicht in hoeverre jouw gemeente voldoet aan de normen van de BIO. Het laat zien wat al goed geregeld is en waar nog verbeteringen nodig zijn. Maar hoe voer je een GAP-analyse effectief uit? In deze blog ontdek je het aan de hand van een praktisch stappenplan.
Wat is ethisch hacken en waarom is het belangrijk?
Stel je voor dat je een inbreker bent, maar dan eentje met goede bedoelingen. Je zoekt naar zwakke plekken in een huis om de eigenaar te waarschuwen, zodat hij ze kan repareren. Dat is precies wat ethical hackers doen, maar dan met computers en netwerken. In deze blog neem ik je mee in hun wereld.
Applicatiebeheer en de AVG: wat moet je weten?
Als applicatiebeheerder beheer je alle applicaties waarin persoonsgegevens worden verwerkt binnen de gemeente. Maar hoe zorg je dat deze applicaties voldoen aan de vereisten van de AVG?

Meer recente berichten

CISO s spelen steeds grotere rol in bestuurskamer
Verder lezen
AP bezorgd over gezichtsherkenning aan balie
Verder lezen
Privacybudgetten dalen in 2025
Verder lezen
Gegevensinbreuk bij Volkswagen bewijst dat regelgevingskader NIS2 nodig is
Verder lezen
Europese Commissie komt met actieplan cyberveiligheid ziekenhuizen
Verder lezen
Europese AI act: nieuwe plichten voor gemeenten
Verder lezen
Datalek kostte in 2024 gemiddeld 4,88 miljoen dollar
Verder lezen
Cybersecurity 2025 in 10 voorspellingen
Verder lezen
Cyber resilient storage is integraal onderdeel van data security
Verder lezen
Nieuw datalek in Amersfoort
Verder lezen