Verschillende Defensiemedewerkers ontvingen de afgelopen weken USB-sticks met de opdracht die op meerdere werkplekken binnen de Rijksoverheid aan te sluiten. Ook werden er verschillende phishingmails
ontdekt die Defensiepersoneel vroegen om op een nagemaakte Defensiesite in te loggen. Een geraffineerde aanval door een buitenlandse mogendheid? Nee, ondanks de waarschuwing op het intranet van Defensie die sommige werknemers deed vermoeden dat het om een echte aanval ging, bleek het een zogeheten 'Red Team' test te zijn.

Via de test wilde Defensie kijken hoe kwetsbaar de organisatie voor spionageaanvallen is. Daarbij werden in totaal zeven scenario’s bedacht, zo laat luitenant-kolonel Hans Edelhausen tegenover Security.NL weten. Edelhausen werkt bij de afdeling Beveiligingsautoriteit van Defensie. Hij bedacht het project, dat onderdeel van het Rijksbrede onderzoek KWAS is, wat staat voor Kwetsbaarheidsanalyse Spionage.

“We wilden ook een keer gaan kijken hoe het met de beveiliging ervoor stond”, merkt Edelhausen op. “Dat was de context voor deze Red Team test.” Uniek aan deze test was dat slechts twee mensen binnen Defensie hiervan op de hoogte waren. “Dat is al uniek, want dit soort activiteiten doen wij periodiek zelf, maar er zijn altijd meer mensen bij betrokken. Het moest een realistische test zijn.” Ook vanuit Justitie was de voorwaarde gesteld dat zo weinig mogelijk mensen van de test afwisten.

Scenario’s
De test bestond in totaal uit 7 scenario’s die over een periode van drie maanden werden uitgewerkt. Het ging om een aanval via per post verstuurde USB-sticks, social engineering per telefoon, een phishingmail gekoppeld aan een nepsite, footprinting van netwerken, netwerkhacking, een fysieke beveiligingstest met een mystery guest en als uitsmijter een gecompromitteerde discobal.

Het betrof een volledig functionerende USB-discobal die was gemanipuleerd en van extra onderdelen voorzien. Die onderdelen startten een sessie zodra het apparaat op de computer werd aangesloten.

Bij het kiezen van de scenario’s werd gekeken hoe potentiële spionnen te werk zouden kunnen gaan. Hoewel er aanvallen via USB-sticks bekend zijn, hebben deze zover Edelhausen weet nog niet in het echt tegen Defensie plaatsgevonden.

Een ander uniek kenmerk van de test was dat een aantal scenario’s tegelijkertijd werd uitgevoerd, om te zien hoe de organisatie hierop reageerde. “We wilden ook de reactietijd van de hele organisatie testen als er verschillende aanvallen plaatsvinden. Dat is op deze wijze en schaal nog nooit getest.”

Voor de phishingsite werd de nepsite rijksauditdiensten.nl geregistreerd, terwijl de echte website op auditdienst.nl te vinden is. Hier werd werknemers gevraagd om met de gegevens voor de MULAN-omgeving (Mijn Uniforme Logische Aansluiting op het Net) in te loggen. Dit is de standaard ICT-werkomgeving van Defensie.

Edelhausen schrijft het succes van de verdedigers onder andere toe aan de awarenesstrainingen die personeel moeten volgen. Alle verstuurde USB-sticks werden netjes door de aangeschreven medewerkers bij de lokale veiligheidsfunctionaris ingeleverd. Voor de ‘aangevallen’ werknemers was het de eerste keer dat ze met een geprepareerde USB-stick te maken kregen. “Phishing kenden ze al van thuis, maar een USB-stick was een geheel nieuw facet voor deze mensen”, stelt Edelhausen.

Bij het social engineering scenario werden mensen op hun werkadres gebeld en werd er geprobeerd gevoelige informatie te ontfutselen. Iets wat de social engineers niet lukte. Soms ook omdat Defensiepersoneel vergat terug te bellen. “Er zijn geen medewerkers geweest die privacygevoelige informatie over collega’s hebben verstrekt.”

Defensiemedewerkers hebben de mogelijkheid een e-learning module te volgen waar verschillende dreigingen aan bod komen, waaronder cyber. “Daarom zijn alle scenario’s ook niet gelukt, omdat de awareness bij de mensen goed werkte.”

Toch zijn er ook verbeterpunten, zoals de logistiek en communicatie tussen betrokkenen. Het gaat dan om het overbrengen van de verdachte apparatuur naar de CERT van Defensie voor verder onderzoek. Daarnaast is er ook nog ruimte om de procedures aan te scherpen, bijvoorbeeld bij het bepalen van prioriteiten als er meerdere aanvallen tegelijkertijd plaatsvinden.

Uiteindelijk verscheen er op het Intranet van Defensie een waarschuwing dat er aanvallen plaatsvonden. Een medewerker van Defensie tipte vervolgens Security.NL dat er aanvallen gaande waren. Zowel deze werknemer als de werknemer die het bericht op Intranet had geplaatst wisten niet dat het om een Red Team test ging.

Aanvallers
De test werd door mensen buiten Defensie uitgevoerd, wat betekende dat de ‘aanvallers’ alleen over basisinformatie beschikten. De test moest namelijk zo realistisch mogelijk zijn. “Ze wisten niet precies hoe ons netwerk eruitziet”, laat Edelhausen weten.

Dat had bijvoorbeeld gevolgen voor de test met de USB-sticks. Die gebruikten Autorun en PuTTy om via een bepaalde poort een verbinding naar een zogenaamd kwaadaardige website op te zetten. "Maar of bij Defensie de poorten open of dicht zijn weten de kwaadwillenden van buiten niet.”

Discobal
Aangezien de doelstelling voortijdig werd gehaald was het niet meer nodig om de discobal in te zetten. In totaal werden er vier USB-sticks en vier USB-discoballen gemaakt. De USB-sticks werden naar specifiek uitgezochte Defensiemedewerkers gestuurd. De USB-discobal was volgens Edelhausen ideaal voor een gerichte aanval.

“Ik hem zelf op een testlaptop aangesloten. Hij draait en geeft licht, dat is de afleiding, maar je ziet dus niet dat er een sessie in de achtergrond wordt opgebouwd. Een heel gemeen ding, een ideale backdoor dus.”