Expert: IE-verbod geeft vals gevoel van veiligheid
Zowel de Franse als Duitse overheid raden vanwege een ernstig lek het gebruik van Internet Explorer af, maar volgens een beveiligingsexpert is dit kortzichtig en geeft het een vals gevoel van veiligheid. Eén van de Trojaanse paarden die aanvallers bij de recente aanval op Google gebruikten, was via een zero-day lek in Internet Explorer op het systeem geplaatst.
Wat betreft het gebruik van Internet Explorer 6 bij Google, is dit eerder regel dan uitzondering, zegt McAfee CTO George Kurtz. Volgens hem wordt de bejaarde browser in bijna alle ondernemingen gebruikt. Er zijn veel zakelijke applicaties die alleen met IE werken, wat upgraden lastig maakt. Het advies van de Franse en Duitse overheid vindt hij niet terecht. Ook andere browsers, applicaties en besturingssystemen zijn te hacken, zeker door gemotiveerde aanvallers die een doel en voldoende middelen hebben.
Anti-virus is dood
Volgens Andrew Storms van nCircle leert deze aanval dat anti-virus software morsdood is. "Het is al een tijd de minst effectieve zakelijke IT-security tool, omdat het alleen tegen bekende malware werkt. Er is slechts één aangepast malware exemplaar nodig om je netwerk te infiltreren." Kurtz wil de virusscanner nog niet dood verklaren, wat vanuit McAfee gezien begrijpelijk is, toch zijn er aanvullende technologieën. Met name whitelisting zou bij dit soort zero-day aanvallen helpen. "Bedrijven moeten echt hun blacklisting met whitelisting beveiligingsmaatregelen aanvullen."
Veiligste browser
Cliff Evans, beveiligingschef van Microsoft UK, laat tegenover de BBC weten dat ondanks het lek in IE6, Internet Explorer 8 de veiligste browser op de markt is. Hij baseert zich hierbij op een rapport waaruit blijkt dat IE8 de meeste phishing en malware-sites herkent. Veel meer dan Firefox en Google Chrome. Toch genereert het hele "Aurora-incident" veel negatief publiciteit voor Microsoft, terwijl Google hier mogelijk van kan profiteren, besluit Rory Cellan-Jones. Hieronder een video van Kurtz over de aanval op Google.
Google maakt er echter een drama van, terwijl mijn pc met rotzooi van Facebook was geinfecteerd
door mytattoons, dan hoor je geen hond er over door die misleidende facebook reclame!
Ook hier geldt: wat is veilig? Een auto met ABS, airbags en wat niet allemaal meer is veiliger. Maar alleen indien de bestuurder zich aan het wegenverkeersregelement houdt, oplet, het onderhoud van de auto op peil houdt en ook alle andere weggebruikers dit doen.
In alle andere gevallen geldt niet, de auto is veilig, maar de auto is MINDER ONVEILIG. Dat geldt voor alles. IE is niet per definitie onveilig, maar je moet wel het onderhoud doen, i.e. patchen, upgraden, nadenken bij het surfen en klikken.
Add-ons van andere browsers kunnen dingen blokkeren, maar zijn op zich niet getest en dus mogelijk weer onveilig. Dat lijkt dan op het gebruik van winterbanden en vervolgens denken, dat je niet kunt slippen. Dus JA het gebruik van "veilige" browsers genereert schijnveiligheid, zoals een "veilige" auto dit ook doet.
Je snapt het niet. De 'veilige' auto waar je het over hebt is potentieel net zo onveilig als de auto die je weg doet.
Immers bevatten alle browsers vulnerabilities. Denk je echt dat deze aanval niet plaats had kunnen vinden, met behulp van andere vulnerabilities, wanneer de bedrijven Mozilla Firefox of Google Chrome hadden gebruikt als browser in plaats van Internet Explorer ?
Verder is een produkt per definitie onveilig indien je verouderde versies gebruikt, en security updates niet installeert. In Operation Aurora is daar gebruik van gemaakt, en indien je je applicaties niet up to date houdt, dan ben je per definitie kwetsbaarder.
Je kunt een risk assessment maken om te bepalen welke browser het minst onveilig is, maar geen enkele browser biedt volledige veiligheid tegen dit soort aanvallen, en iedere browser bevat fouten op basis waarvan zero day exploits geschreven kunnen worden.
"Is het niet opzet van Google om Microsoft imago beschadig van Internet Explorer."
Nee. Google werd aangevallen, net zoals enkele tientallen andere bedrijven. Of denk je dat die andere bedrijven (inclusief concurrenten van Google) hier soms in meegaan om Google een dienst te bewijzen ?
Er is een woordje weg gevallen het moet zijn:
Hij baseert zich hierbij op een Microsoft rapport waaruit blijkt dat IE8 de meeste phishing en malware-sites herkent. Veel meer dan Firefox en Google Chrome.
Nu klopt het wel weer.
Je toont aan dat een systeem niet penetreerbaar is, of wel maar lost dan het probleem op, maar na een dag kan er een nieuwe exploit zijn en kan er wéér ingebroken worden.
In hoeverre is een (dure) penetration test dan zinvol?
http://www.sophos.com/blogs/sophoslabs/?p=8227
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
