"Netwerken die relatief open zijn bieden dus meer mogelijkheden voor hackers om in te breken dan andere netwerken die meer gesloten zijn. De hacker heeft zoveel verschillende toegangspunten, dat überhaupt het oppikken van signalen in een vroeg stadium van een aanval al laat zien dat een organisatie de boel goed op orde heeft. Het is onmogelijk om hackers altijd buiten de deur te houden. Wat je wel kan doen is je systemen beschermen. Door middel van patches en door je bewust te zijn van de kwetsbaarheden van de technologie. Maar er zijn altijd dingen die je niet kunt controleren. Zoals bijvoorbeeld gebruikers die op een link klikken.”

Er wordt weleens gezegd dat gebruikers de zwakste schakel van een systeem zijn, klopt dat?

“Daar zijn de meningen over verdeeld. In ons onderzoek zien we wel dat gebruikers in zekere zin een zwakke schakel kunnen zijn, maar aan de andere kant ook een enorme hulpbron. Als je naar de data kijkt, dan zie je dat mensen organisaties ook kunnen redden, door bijvoorbeeld acties te rapporteren. Maar gebruikers maken ook fouten, zoals we allemaal doen, ik zelf ook. Ik weet zeker dat ook de mensen die zich bewust zijn van cyberveiligheid soms fouten maken. Je ontvangt een email, je klikt op een link, dat kan gebeuren.

Of je daardoor kan zeggen dat de gebruiker de zwakke schakel is: ik vind dat nogal oneerlijk. Het is niet aan de gebruiker om de organisatie te beschermen. We kunnen onze systemen instrumenten geven die het makkelijker maken voor de gebruiker om goede beslissingen te nemen en voorzichtig te zijn wanneer diegene met het systeem werkt. Verder dan dat moet je niet willen gaan wat betreft het lastigvallen van gebruikers dat ze alles veilig moeten houden. Er is altijd een risico. Het is belangrijker om goed voorbereid te zijn en te weten wanneer er iets aan de hand is.”

Wat zijn de gevolgen voor organisaties die getroffen worden?

“Dat hangt af van het doel van de aanval. Het kan zijn dat het een willekeurige inbraak is op afstand, die door een automated agent is gestart. Het kan ook een aanval zijn die stopt bij de scan of in een heel vroeg stadium. Maar cyberaanvallen kunnen zich ontwikkelen, afhankelijk van het doel van de hacker. Die kan bepaalde acties ondernemen. Lateral movement is daar een belangrijk voorbeeld van. De hacker dringt binnen via een eerste punt, maar kan zich daarna lateraal door de organisatie gaan verplaatsen, dat wil zeggen: naar andere systemen binnen hetzelfde netwerk. Vanuit daar kan het naar andere netwerkniveaus springen, om het netwerk te verkennen.

Dat begin is een belangrijk onderdeel van een geplande cyberaanval. Met serieuze consequenties, die betrekking kunnen hebben tot het onttrekken van data, of het plaatsen van ransomware of achterdeurtjes. Het eerste punt van toegang is niet het laatste stadium dat de hacker wil bereiken. Door zich door het netwerk te bewegen, dingen uit te proberen en te ontdekken, privileges toe te kennen en zich voor te doen als verschillende gebruikers kan hij zijn doel proberen te bereiken. Dat doel kan zijn om rustig in het systeem te blijven zitten en voor een langere periode te observeren wat er gebeurt. Het kan ook zijn om de data heel langzaam, beetje bij beetje uit het systeem weg te laten sijpelen om onder de radar de blijven. Soms gaat het met veel bombarie en plaatst de hacker een grote ransomware-bit in het systeem dat de hele organisatie infecteert en alles versleutelt. Het hangt allemaal af van de hacker. Spionage-gerelateerde aanvallen zijn vaak heel onopvallend, hackers verwijderen hun sporen en blijven langere tijd onder de radar.”

Terwijl ze met ransomware dus juist de voordeur intrappen?

“Ransomware hoeft niet super snel te zijn. Het is niet zo dat cyberaanvallen die de beschikbaarheid van data beïnvloeden - zoals ransomware, wipers en dat soort malware - meteen worden opgemerkt zodra de hacker binnen is. Soms blijft het een tijdje stil. Aan sommige malware zijn condities gekoppeld. Wanneer die condities optimaal zijn binnen het systeem, dan pas slaat het toe. Dit zijn allemaal kenmerken van redelijk geavanceerde aanvallen. Ik bedoel daar niet mee dat de hackers vindingrijk zijn, maar wel goed voorbereid.”  

Het netwerk uit de lucht halen is dus een manier om een hacker tegen te houden om nog verder het systeem in te komen?

“Het dient het doel om de hacker van het netwerk af te sluiten. Afhankelijk van wat die tot dan toe heeft gedaan, ontneemt het de hacker een hoop mogelijkheden. Dat betekent niet dat als een hacker erin is geslaagd om een autonome agent in het systeem te installeren voor hij uit het netwerk werd gegooid, die agent niet meer werkt. Die kan wel in het netwerk blijven zitten en als die zich door het netwerk heen moet bewegen zal die dat ook doen. Maar dit soort aanvallen zijn normaal gesproken nogal ‘luidruchtig’.