Ministerie van Volksgezondheid maakt scantool KAT open source
Het ministerie van Volksgezondheid heeft de zelfontwikkelde scantool KAT open source gemaakt, zo laat minister Kuipers in een brief aan de Tweede Kamer weten. KAT staat voor Kwetsbaarheden Analyse Tool en is software die allerlei bestaande tools integreert, alsmede diverse nieuw ontwikkelde securitytests bevat. De tool is te gebruiken voor het scannen van kwetsbaarheden in apps, software en infrastructuren en kan de uitslagen hiervan aan elkaar verbinden.
KAT kan systemen continu scannen en controleren of eraan beveiligingseisen en andere eisen wordt voldaan. ""Waar nodig worden kwetsbaarheden en wijzigingen automatisch gemeld voor opvolging door medewerkers. Tijdrovende noodzakelijke handelingen worden geautomatiseerd en daardoor sneller uitgevoerd. Zo krijgen de betrokken informatiebeveiligingsexperts met KAT gemakkelijk de juiste context aangereikt om keuzes te maken", zo liet toenmalige minister De Jonge van Volksgezondheid vorig jaar weten.
Volgens De Jonger zorgt KAT ervoor dat de overheid minder afhankelijk wordt van externe factoren en snel kwetsbaarheden kan vinden. "Snelheid is in deze tijd ook belangrijk om in te grijpen op mogelijke aanvallen, misstanden of onjuistheden. Zo scannen we elke dag alle testaanbieders die zijn aangesloten op CoronaCheck. Dit om te kunnen blijven garanderen dat de dienstverlening die wordt aangeboden zo min mogelijk risico’s kent en voldoet aan gestelde eisen en normen. Hiermee hebben we al honderden kwetsbaarheden gedetecteerd en samen met de stelselpartners opgepakt."
KAT wordt sinds vorig jaar specifiek binnen het zorgdomein toegepast. Het open source maken van de tool zou volgens De Jonge pas het begin zijn. "Want met meer ogen zien we ook meer. Met die gedachte hoop ik dat KAT een beweging op gang brengt bij een grotere community van bedrijven, (semi-)overheden en experts op het gebied van security en compliancy."
"Sinds december 2021 is samen met een brede community binnen de Rijksoverheid maar ook daarbuiten, zoals met decentrale overheden en andere enthousiastelingen, gewerkt aan het optimaliseren en verder uitbreiden van KAT. Ik ben verheugd u te schrijven dat KAT vanaf 1 juli 2022 open source beschikbaar en door iedereen die dat wenst te gebruiken is", schrijft Kuipers in een brief aan de Tweede Kamer. De minister nodigt organisaties uit om KAT zelf ook toe te passen. "Zodat mede hierdoor een beweging op gang wordt gebracht bij een grotere community van bedrijven, (semi-)overheden en experts op het gebied van security en compliancy."
Eerder stelde minister De Jonge dat hij KAT wil blijven ondersteunen voor de informatieveiligheid van onder meer zijn eigen ministerie, de Rijksoverheid en de zorg.
Nogmaals, goed initiatief maar zou eerder verwachten dat dit vanuit het NCSC of Logius voort zou komen.
Nogmaals, goed initiatief maar zou eerder verwachten dat dit vanuit het NCSC of Logius voort zou komen.
er is helemaal geen garantie dat KAT ook degelijke software is omdat het open source is, net zoals close source software bijna zeker ''net genoeg maar nooit geweldige software" is.
Er is net zo min een welke garantie dat als er zich een kudde IT techneuten aan waagt er een degelijke oplossing uit de bus komt.
Onder andere. En Nessus, Qualis, je log server, je CMDB, je fuzzer, en openbronnen als KVK , whois, DNS, Kadaster, enz enz. Resultaten hou je allemaal bij in een (forensisch geborgde) temporal database, en koppel je aan business rules. Zodra een business rule word geschonden krijg je een alarm, en weet je ook sinds wanneer het is.
Tijd niet, noodzaak wel. Project is dan ook juist tijdens de pandemie gestart omdat de markt het liet afweten.
Geen Docker expert maar weet niet of dit verstandig is:
https://github.com/minvws/nl-kat-coordination/blob/main/docker-compose.yml#L56
Onder andere. En Nessus, Qualis, je log server, je CMDB, je fuzzer, en openbronnen als KVK , whois, DNS, Kadaster, enz enz. Resultaten hou je allemaal bij in een (forensisch geborgde) temporal database, en koppel je aan business rules. Zodra een business rule word geschonden krijg je een alarm, en weet je ook sinds wanneer het is.
1) euh niet met de 'boefjes' die ik in git heb kunnen zien
2) hoe groot en dik mocht die db dan worden? hoe schaalt dat netwerk en storage wise dan met het aantal servers in je omgeving? alles is leuk en aardig als je <100 machines hebt om te monitoren, maar het wordt echt anders met >500 machines hoor! en over dit soort schalingen heb ik nog niet gevonden in de docs persoonlijk...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
