Bedrijven worden aan de lopende band gehackt, het is dan ook tijd om anders over security na te denken, bijvoorbeeld door het overstappen naar kleine, gesegmenteerde netwerken. Daarvoor pleiten beveiligingsexperts Dan Kaminsky en Richard Bejtlich. Volgens Kaminsky hanteren de meeste bedrijven het mantra om te doen wat anderen doen, of het nu werkt of niet. "Het gaat niet om overleven, het gaat erom dat je 'due diligence' kunt claimen. Dat is prima als je je baan wilt behouden, maar slecht als je een technisch probleem probeert op te lossen."

Kaminsky stelt dat niemand op dit moment weet hoe je een veilig netwerk maakt. "Er is geen klip-en-klaar antwoord dat we niet volgen omdat we lui zijn." Het installeren van een intrusion detectie of preventie systeem (IDS/IPS) en het gebruik van een firewall en virusscanner zijn al lang niet meer voldoende.

Phishing
Veel bedrijven weten vaak niet eens dat ze gehackt zijn. Gemiddeld wordt een hack pas na 416 dagen ontdekt, gaat Bejtlich in een interview met Wired verder. En zelfs als de aanval wordt ontdekt en de malware van machines wordt verwijderd, volgen er vaak allerlei golven van nieuwe phishingaanvallen om binnen te komen.

Het Oak Ridge National Laboratory in Tennessee was het doelwit van zo'n aanval. Een e-mail die van personeelszaken afkomstig leek werd naar 530 werknemers gestuurd, ongeveer 11% van het totaal aantal werknemers.

In het bericht konden de ontvangers meer informatie over hun pensioen vinden als ze de meegestuurde link zou openen. De geopende website misbruikte een zero-day lek in Internet Explorer. De aanval werd vrij snel opgemerkt. Toch openden 57 werknemers de link en raakten twee computers besmet met de malware.

Eilanden
Bejtlich stelt dat in het geval van een aanval het bedrijf eerst een vertrouwde omgeving moet opstellen en waar niemand toegang toe heeft. Door uitgebreid al het netwerkverkeer te monitoren wordt vervolgens naar de aanvallers op andere delen van het netwerk gezocht. "Het doel is om ze zo snel te vinden, dat voordat ze je gegevens kunnen stelen, je ze er al uit hebt getrapt."

Kaminsky pleit voor het verkleinen van netwerken om de schade te beperken. "In plaats van een groot serverpark, wil je kleine eilanden maken, zo klein als operationeel mogelijk is. Als je je perimeter verkleint, moet je met mensen buiten je perimeter communiceren en een manier vinden om dat veilig te doen, zoals het gebruik van encryptie en authenticatie."

Daardoor kunnen machines niet meer ongehinderd met elkaar communiceren. "Het verandert de spelregels. Je kunt niet zeker weten dat je ontwikkelmachines of supportmachines niet zijn gehackt." Zo'n opzet is echter niet voor iedereen haalbaar. Bij sommige bedrijven is incident detectie respons dan ook een continu bedrijfsproces, stelt Bejtlich. "Ze hebben geleerd ermee te leven."