Nederland wil mee in de vaart der volkeren en een militaire organisatie oprichten die ons land en de bondgenoten ook op het digitale slagveld kan beschermen. Defensie denkt daarbij aan het vertalen van de traditionele taken van het leger naar het digitale domein. In het geval van een "buitenlandse missie" zal er samen met militaire bondgenoten een operatie worden opgezet, waarbij ook het Nederlandse leger mee wil kunnen doen. Nederland verdedigen tegen buitenlandse digitale aanvallen hoort volgens Defensie ook tot haar taken.

Omdat veel ICT-platformen tegenwoordig aan het internet hangen en er daar geen grenzen bestaan, is het lastig om te definiëren wat nu precies het buitenland is en wat niet. Ook bepalen of iets een oorlogshandeling, een terroristische daad of een gewone criminele actie is, is lastig op het internet vast te stellen. Als je achteraf kijkt kan je met de gegevens die je dan hebt misschien de bron van een aanval achterhalen, maar een inbraakpoging of een denial of service gebeurt over het algemeen niet vanaf een systeem van de aanvaller zelf. In die gevallen kun je dus niet zeggen of een land een oorlogshandeling aan het uitvoeren is. Defensie heeft nog geen oplossing hoe het hiermee moet omgaan.

Hackers
Defensie wil zelf cybersoldaten in dienst nemen. Het ziet daar twee verschillende oplossingen voor, die het allebei wil gaan uitvoeren. De eerste is de beroepssoldaat. Een persoon die net als "gewone" soldaten een militaire training volgt en eventueel ook mee gaat op missie naar het buitenland. Los daarvan zal deze soldaat ook getraind worden in het aanvallen van IT-systemen, het verdedigen daarvan en ongetwijfeld ook in digitale forensics. Het tweede soort soldaat is een "reservist". Deze soldaat zal normaal als beveiligingsdeskundige in het bedrijfsleven werken, maar regelmatig voor kortere of langere periodes worden opgeroepen om te "oefenen" bij het leger.

De vraag is hoe Defensie dat in de praktijk ziet? De gemiddelde hacker is iemand die zelf nadenkt, beslissingen neemt en zich vooral niets aantrekt van de bestaande beperkingen, normen en waarden. Je moet nu eenmaal anders denken en doen dan de meeste andere mensen om een beveiligingsfout te vinden die anderen over het hoofd zien. Zo iemand zal niet klakkeloos een doel aanvallen. Je zal met orders geven weinig uithalen; je moet ze overtuigen van het nut van de actie, anders zal de hacker z'n best niet doen en zal je weinig succes boeken bij je aanval. Los daarvan, hoe ga je mensen werven om voor een salaris wat niet hoger ligt dan in het bedrijfsleven, waarschijnlijk zelfs lager, in een organisatie als het leger te werken?

Je zal ze enthousiast moeten maken over wat ze te doen krijgen, of over het goede doel wat je nastreeft. Vaderlandsliefde is tegenwoordig met het internet, de Europese unie en het bijna uitsluitend opereren in internationale samenwerkingsverbanden niet echt een sterke drijfveer, zeker niet voor mensen wier beleveniswereld zich voor een groot deel op het internet plaatsvindt. Beroepssoldaten kan je nog inzetten voor geheime missies, zoals het hacken van servers van terroristische organisaties of het onderzoeken van gegevensdragers die tijdens missies zijn buitgemaakt, maar wat doe je met die reservisten? Tijdens het congres op 27 juni waar deze plannen werden gepresenteerd stelde ik deze vraag.

Burgerbaantje
Defensie ging er van uit dat reservisten net zo zijn in te zetten als beroepssoldaten, zolang ze bij de screening maar voldoende opletten dat er geen personen in dienst worden genomen die niet te vertrouwen zijn. Ik vraag me echt af of dat wel zo werkt. Cybersoldaten zullen strategische en tactische kennis hebben over hoe er gewerkt wordt, wat de capaciteiten en beperkingen zijn.

Zulke mensen kun je hun bewapening niet op de kazerne laten afgeven, want alles zit in hun hoofd. De gemiddelde landmachtreservist zal z'n wapens netjes inleveren en weer teruggaan naar z'n burgerbaantje, zonder uitgebreid kennis te hebben van de operationele sterkte en geheime wapens van het leger. Dat is nogal een verschil.

Of je met al deze omstandigheden nog genoeg mensen met de juiste capaciteiten gaat krijgen is volgens mij nog maar de vraag. Er is al een behoorlijke schaarste aan goede specialisten en voor veel van die mensen zal om allerlei redenen Defensie geen interessante werkgever zijn, reservist of beroeps. Het kleine groepje technisch capabele mensen wat je overhoudt wat wel solliciteert, zal je ook nog eens zwaar moeten screenen, waarbij er ook nog wel een aantal zal afvallen. Wat je dan overhoudt zal voor een deel ook afhaken omdat ze er gaandeweg achter komen dat cybersoldaat toch niet is wat zij dachten dat het zou zijn, of het bedrijfsleven zal met een veel hoger salaris mensen wegkopen. Een overschot aan cybersoldaten zal dat niet snel opleveren lijkt me zo.

Aanvallen
Een ander groot vraagstuk is hoe je het cyberleger gaat bewapenen en hoe je ze laat oefenen? Ga je 0-day attacks inkopen en die binnen een aantal maanden in waarde zien verdampen omdat er een patch voor uitkomt? Ga je ze zelf zoeken? Ga je ze wel of niet delen met je bondgenoten? Ga je oefenen op "live" targets, of laat je soldaten uitsluitend op zelfgebouwde oefentargets in je eigen netwerk oefenen? Hoe gaat het leger zorgen dat de Infrastructuur van Nederland en haar bondgenoten beschermd wordt? Een paar soldaten bij het hek van een datacenter zetten gaat niet veel uithalen tegen hackers.

Nationale firewalls en WAFs neerzetten en die door het leger laten beheren is ook geen technisch haalbare oplossing. Al dit soort vragen zijn al wel gesteld, maar Defensie heeft er nog geen praktische invulling aan gegeven. Op een aantal van deze vragen zullen we nooit antwoord krijgen, want zeker met dit soort dingen is het van belang dat de vijand niet weet wat je capaciteiten zijn, of het nou aanvallend of verdedigend is.

De manier waarop je op dit moment antwoord krijgt, geeft wel reden om aan te nemen dat er nog veel stappen te nemen zijn, want er wordt nu gesproken over toekomstige samenwerking met GOVCERT en de AIVD en het verdelen van de taken tussen de diverse overheidsdiensten.

Nederland is wakker geworden en realiseert zich dat het land, de samenleving en de wereld tegenwoordig ook op digitaal vlak kwetsbaar zijn. Er worden -niet alleen bij Defensie- initiatieven ontplooid om er voor te zorgen dat kwaadwillenden door te hacken, cracken, of DDoSsen zo min mogelijk schade kunnen berokkenen. Zoals we van de overheid gewend zijn worden dingen wel erg simpel voorgesteld en zullen er in de toekomst nog de nodige tegenvallers en vertragingen te verwerken zijn. Het zal dus nog wel even duren voordat we als land ook op digitaal gebied niet eenvoudig onder de voet worden gelopen en we van ons af kunnen bijten als dat nodig is.

Homme Bitter is consultant bij Sogeti en speelt regelmatig mee met hackwedstrijden. Tevens is hij actief op het forum en het Certified Secure IRC-kanaal.