NCSC adviseert organisaties om Webex-vergaderingen opnieuw in te plannen
Het Nationaal Cyber Security Centrum (NCSC) adviseert organisaties om hun Cisco Webex-vergaderingen opnieuw in te plannen. Aanleiding zijn kwetsbaarheden in het videovergaderplatform. Eerder deze week werd bekend dat onderzoekers toegang tot metadata van allerlei overheidsvergaderingen hadden gekregen. Cisco stelde dat de "bugs" op 28 mei zijn verholpen en alle klanten ingelicht. Dat bleek niet zo te zijn. Daarnaast ontdekte het NCSC een afgeleide kwetsbaarheid in oude Webex-vergaderingen.
De overheidsinstantie merkt op dat het probleem met het verkrijgen van metadata alleen aanwezig was in de cloudversie van Cisco Webex, niet in de on-premise versie. Wat betreft de aanvullende kwetsbaarheid staat het NCSC hierover in contact met Cisco en adviseert organisaties om vergaderingen die vóór 4 juni zijn aangemaakt, te verwijderen en opnieuw in te plannen. "Deze eerder aangemaakte vergaderingen zijn nog steeds kwetsbaar", aldus het NCSC. De overheidsinstantie hanteert hier een veiligheidsmarge van enkele dagen tussen 4 juni en 28 mei, de dag dat Cisco aangeeft de kwetsbaarheden te hebben verholpen.
Daarnaast adviseert het NCSC organisaties de standaard hygiënemaatregelen voor alle online vergaderingen te hanteren, namelijk het instellen van een wachtruimte zodat deelnemers expliciet tot de vergadering toegelaten moeten worden, het altijd gebruiken van een wachtwoord of pincode voor vergaderingen, het controleren van aanwezige deelnemers en het niet bespreken van hoog gevoelige of -vertrouwelijke informatie in online vergaderingen. "Door het hanteren van deze hygiënemaatregelen ondervangt u het risico dat een persoon ongeoorloofd toegang krijgt tot uw vergaderingen", aldus het advies.
En ja dan doen sommige cloud diensten het neit, maar het is wel de veiligste methode waarbij iedereen een app nodig heeft en de browser versie niet werkt.
Daarnaast kun je, als meetings alleen binnen jouw organisatie gehouden worden, externe connecties per definitie uitsluiten in de security settings tijdens het plannen van de vergadering.
Een andere methode, gebruiken wij veel, is het niet standaard meesturen van het meeting wachtwoord en deze vervolgens via een alternatief kanaal (chat app bijvoorbeeld) aan de deelnemers te verstrekken. Nee, niet ook per e-mail.
Lobby functionaliteit voor meetings staat standaard uit bij de rijksoverheid als ik het mij goed kan herinneren.
Waarom de Rijksoverheid Webex gebruikt is prima uitlegbaar: binnen 6 weken na het begin van de corona crisis, eerste golf, is dit rijksbreed uitgerold omdat er niets anders was.
Pas ruim daarna zijn ministeries, waarschijnlijk onder druk van kennisloos top management, massaal ook Teams gaan implementeren (vooral tegen uitkomsten van DPIA's in).
Dit is dan, omdat dit vaker gebeurd wereldwijd, de reden waarom je tegenwoordig op Cisco Boards ook aan Teams meetings kan deelnemen. Alle ministeries staan vol met Cisco Board series devices (mooi spul overigens).
Waarom de Rijksoverheid Webex gebruikt is prima uitlegbaar: binnen 6 weken na het begin van de corona crisis, eerste golf, is dit rijksbreed uitgerold omdat er niets anders was.
Pas ruim daarna zijn ministeries, waarschijnlijk onder druk van kennisloos top management, massaal ook Teams gaan implementeren (vooral tegen uitkomsten van DPIA's in).
Dit is dan, omdat dit vaker gebeurd wereldwijd, de reden waarom je tegenwoordig op Cisco Boards ook aan Teams meetings kan deelnemen. Alle ministeries staan vol met Cisco Board series devices (mooi spul overigens).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
