“We patchen wel een keer deze maand” is in veel kleinere bedrijven de facto het patchbeleid, en jarenlang ging dat ook wel goed. Het probleem is dat een flink deel van de kwetsbaarheden die nu worden misbruikt, binnen dagen na bekendmaking al actief wordt aangevallen door geautomatiseerde scans die het hele internet doorzoeken naar kwetsbare systemen. Tegen die snelheid is een vast, maandelijks onderhoudsmoment simpelweg te langzaam voor de systemen die er het meest toe doen.
Internet-facing systemen krijgen voorrang
Niet elk systeem is even urgent. Een kwetsbaarheid in een interne applicatie die alleen op het eigen netwerk bereikbaar is, is vervelend, maar een aanvaller moet eerst al binnen zijn om er misbruik van te maken. Een kwetsbaarheid in een systeem dat rechtstreeks vanaf het internet bereikbaar is, zoals een VPN-gateway, een firewall of een beheerinterface, is een heel ander verhaal: die staat letterlijk open voor iedereen die ernaar zoekt. Op deze site is dat een terugkerend patroon: actief misbruikte kwetsbaarheden zitten keer op keer in precies dit soort apparatuur, vaak van grote, bekende fabrikanten. Dat is geen toeval. Dit soort systemen is nu eenmaal het eerste wat een aanvaller van buiten kan vinden en proberen.
Een eenvoudig prioriteringsmodel
Een ingewikkeld systeem is niet nodig om goed te prioriteren. Begin met een lijst van alles wat vanaf het internet bereikbaar is, van de VPN tot de webserver en elke beheerinterface die per ongeluk toch extern openstaat. Alles wat op die lijst staat én als kritiek wordt aangemerkt door de leverancier of het NCSC, patch je zo snel mogelijk, idealiter binnen dagen, niet binnen weken. Kritieke kwetsbaarheden op interne systemen volgen daarna, en de rest kan prima meelopen in een regulier, maandelijks onderhoudsvenster. Dat venster is uitstekend voor routine-updates, maar geen plek om een actief misbruikte kwetsbaarheid op een extern systeem te laten wachten tot de volgende geplande datum.
Behapbaar houden met een klein team
Een klein IT-team kan dit prima bijhouden zonder een dure tool aan te schaffen. Houd een actuele lijst bij van wat er extern bereikbaar is, want prioriteren van iets wat je niet weet te bestaan is onmogelijk. Abonneer je op de beveiligingsadviezen van de belangrijkste leveranciers en op de meldingen van het NCSC, zodat een kritieke kwetsbaarheid vanzelf binnenkomt in plaats van dat er actief naar gezocht moet worden. Zet waar mogelijk automatische updates aan voor systemen waar dat veilig kan, en bewaar de handmatige aandacht voor de systemen waar dat niet kan. Zo’n aanpak hoeft geen volledig team te kosten, wel een vaste gewoonte om kritieke, extern bereikbare kwetsbaarheden nooit op de normale wachtlijst te zetten.
Wat betekent dit voor jouw bedrijf?
Maak een lijst van alle systemen die vanaf het internet bereikbaar zijn en patch kritieke kwetsbaarheden daarin met voorrang, los van het reguliere onderhoudsvenster. Abonneer je op leveranciers- en NCSC-advisories, zodat een kritieke kwetsbaarheid je bereikt zonder dat je er zelf actief naar moet zoeken.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.