Door Anoniem: niet dat het alles goed praat, maar ik zit hier bij een uni waar het mail systeem ook overhoop gehaald wordt en waarbij het dagelijkse gebruik de alleen maar moeilijker gemaakt wordt. en ja ik ben dus ook hard aan het twijfelen of ik niet van al het gezeik van mail filters en gebrekkige support en stuff in quarantaines etc. te omzeilen door een gmail account maar te gaan gebruiken. laten we wel wezen, veiligheid gaat niet boven alles want als een systeem onbruikbaar wordt, is er ook geen rede voor al die veiligheid (die fake is want elke dinsdag is het wel weer raak met een of andere CVE in exchange). hetzelfde is te strenge wachwoord policies die ervoor zorgen dat het ww op een post-it aan het scherm zit. we blijven mensen en we moeten niet alles pot dicht continue willen hebben zeker als daar niet overal de noodzaak voor is.
kortom ik snap het wel ergens met deze heren...
Nee dit is niet goed te praten in geen enkel geval. Bij ons wordt je meteen de deur uitgezet als we erachter zouden komen. We drillen het erbij al onze gebruikers in en ze tekenen een overeenkomst dat ze *niet* op het reguliere corporate network mogen voor privé zaken nog verbinden naar ongerelateerde services en sites. We hebben daar een gescheiden netwerk voor compleet andere IP range compleet lostaande hardware.
Dat geldt voor iedereen van stagiaire tot directie en er is geen uitzondering mogelijk en ik blaf je uit op welk niveau je ook zit al zit je boven mijn salaris. Want als puntje bij paaltje komt als de organisatie door een gebruikersfout die had voorkomen worden data verliest dan gaan er meer koppen rollen dan als ik niet zou blaffen verliezen de aandeelhouders heel wat centen en wordt ik alsnog aangekeken erop dat ik mijn werk niet heb gedaan.
Helaas durft niet iedereen dat in de management laag want als iemand bij de overheid op management niveau meteen zijn mond open had gedaan was het klaar geweest. Dit krijg je als je een angst cultuur hebt binnen je organisatie waar het volgen van protocol en aanspreken erop wordt afgestraft maar het niet naleven juist weer geen juridsche gevolgen heeft.
Jaren terug meegemaakt met een niet nader te noemen overheidsonderdeel waar cruciale back-ups van server configuraties nog op floppy disk gedaan werden. Niemand had echter een beleid opgesteld om die floppydisks regelmatig te kopieren en te testen want de kans dat ze ooit nodig waren was nihiel dus die lagen in een kluis bewaard. Melding van gemaakt werdt afgedaan als niet zo gevaarlijk door de opdrachtgever waarop ik heb besloten per direct mijn handen van de audit af te trekken want als je klant niet wil luisteren dan is er geen verbetering mogelijk. Die rapportage is waarschijnlijk toen ook uit angst ergens in een laadje verdwenen. Kan je zeggen er draait nog steeds sht bij een overheidsorgaan tot deze dag waar herstel enkel mogelijk is met floppydisks. Ergens 2030 hopen ze het eruit te hebben is wat ik van oude contacten heb gehoord.
Er is een reden waarom die filters en quarantaine er is omdat eindgebruikers niet de kennis bezitten om juiste beslissingen te maken over wat je wel en niet moet aanklikken.
Dat is de realiteit de gemiddelde eind gebruiker weet niet wat een echt mailtje is en wat nep is. En dat is geen verwijt dat is gewoon hoe goed tegenwoordig phising en de distributie in elkaar zit. Zou je geen filters erop donderen met score berekeningen als bayes, Neuralnetwork learning, DCC, Pyzor, Razor, IP reputation checks en nog heel scala aan middelen is het praktisch game over voor je organisatie.
Vroeger kon je spam herkennen aan hoe slecht het geschreven was. Toen kwam de domeinnamen die leken op echte. Tegenwoordig liften ze gewoon mee op legitieme netwerken die niet worden herkend als onveilig in de meeste gevallen en je afhankelijk bent van de kleinste afwijkingen om de score berekening zo te krijgen dat het wordt tegengehouden.
Criminelen huren tegenwoordig vervals bedrijven in die targets bestuderen en exact de communicatie namaken of voorbeelden pakken uit aangeleverde datalekken. Zelfs zulke brutale meegemaakt die onder mom van mogelijke samenwerking graag de namen wouden weten van onze accountmanagers. We hebben ze daarop bait gegeven door paar namen erin te donderen die niet bij ons werkte en kleine maand later was het raak. Dat waren trouwens keurig Nederlands sprekende mensen die de social engineering deden allleen wel met een spoofed nummer.
Dus ja daarom zijn er al die baricades die als problematisch worden beschouwd.
Dat betekend helaas ook heel veel false positives want je kan al lang niet mee je eigen domein whitelisten nog je relaties want je weet nooit hoe goed je relaties hun systemen hebben beveiligd en je creeert daarmee false sense of security.
Geen onderwerp, te veel spaties waar een enter hoort, te veel spelfouten false positive, onbekende bijlage namen, encapsulated archive zoals winmail.dat. En zo nog een paar duizend identifiers die in allerlei combinaties false positives kunnen veroorzaken.
Wachtwoord beleid zou echt geen probleem meer mogen zijn. Je geeft alle gebruikers een monitored wachtwoordkluis je geeft ze een gedeelde kluis waar nodig. Je laat ze 1 master password onthouden in combinatie van een MFA als apparaat of token. Je gooit de toegang tot de wachtwoord kluis dicht met IP, MAC registratie en bij meer dan 5 verkeerde masterkey pogingen gooi je alert op en gooit de toegang tijdelijk uit. Je draait een weekelijkse rapportage uit en je monitored alle opgeslagen diensten, domeinen op geregistreerde datalekken en gooit een wachtwoord reset de deur uit bij bevestigd lek.
Verder kun je alle wachtwoord regels vergeten als eindgebruiker. Geen wachtwoord aanpassingen om X dagen, Geen wachtwoordzin bullcrap of minimale entropie geen wachtwoord hints. Wat je wilt is iets dat te onthouden is voor de eindgebruiker de rest van inlog gegevens moeten pseudorandom gegenereert worden en geautomatiseerd en alle overige handmatige beslissingen liggen bij je IT security team.
De noodzaak is er helaas het internet is geen vriendelijke plek het is plek waar eigenlijk continue oorlog gaande is.