NCSC adviseert organisaties om Webex-vergaderingen opnieuw in te plannen
Het Nationaal Cyber Security Centrum (NCSC) adviseert organisaties om hun Cisco Webex-vergaderingen opnieuw in te plannen. Aanleiding zijn kwetsbaarheden in het videovergaderplatform. Eerder deze week werd bekend dat onderzoekers toegang tot metadata van allerlei overheidsvergaderingen hadden gekregen. Cisco stelde dat de "bugs" op 28 mei zijn verholpen en alle klanten ingelicht. Dat bleek niet zo te zijn. Daarnaast ontdekte het NCSC een afgeleide kwetsbaarheid in oude Webex-vergaderingen.
De overheidsinstantie merkt op dat het probleem met het verkrijgen van metadata alleen aanwezig was in de cloudversie van Cisco Webex, niet in de on-premise versie. Wat betreft de aanvullende kwetsbaarheid staat het NCSC hierover in contact met Cisco en adviseert organisaties om vergaderingen die vóór 4 juni zijn aangemaakt, te verwijderen en opnieuw in te plannen. "Deze eerder aangemaakte vergaderingen zijn nog steeds kwetsbaar", aldus het NCSC. De overheidsinstantie hanteert hier een veiligheidsmarge van enkele dagen tussen 4 juni en 28 mei, de dag dat Cisco aangeeft de kwetsbaarheden te hebben verholpen.
Daarnaast adviseert het NCSC organisaties de standaard hygiënemaatregelen voor alle online vergaderingen te hanteren, namelijk het instellen van een wachtruimte zodat deelnemers expliciet tot de vergadering toegelaten moeten worden, het altijd gebruiken van een wachtwoord of pincode voor vergaderingen, het controleren van aanwezige deelnemers en het niet bespreken van hoog gevoelige of -vertrouwelijke informatie in online vergaderingen. "Door het hanteren van deze hygiënemaatregelen ondervangt u het risico dat een persoon ongeoorloofd toegang krijgt tot uw vergaderingen", aldus het advies.
En ja dan doen sommige cloud diensten het neit, maar het is wel de veiligste methode waarbij iedereen een app nodig heeft en de browser versie niet werkt.
Daarnaast kun je, als meetings alleen binnen jouw organisatie gehouden worden, externe connecties per definitie uitsluiten in de security settings tijdens het plannen van de vergadering.
Een andere methode, gebruiken wij veel, is het niet standaard meesturen van het meeting wachtwoord en deze vervolgens via een alternatief kanaal (chat app bijvoorbeeld) aan de deelnemers te verstrekken. Nee, niet ook per e-mail.
Lobby functionaliteit voor meetings staat standaard uit bij de rijksoverheid als ik het mij goed kan herinneren.
Waarom de Rijksoverheid Webex gebruikt is prima uitlegbaar: binnen 6 weken na het begin van de corona crisis, eerste golf, is dit rijksbreed uitgerold omdat er niets anders was.
Pas ruim daarna zijn ministeries, waarschijnlijk onder druk van kennisloos top management, massaal ook Teams gaan implementeren (vooral tegen uitkomsten van DPIA's in).
Dit is dan, omdat dit vaker gebeurd wereldwijd, de reden waarom je tegenwoordig op Cisco Boards ook aan Teams meetings kan deelnemen. Alle ministeries staan vol met Cisco Board series devices (mooi spul overigens).
Waarom de Rijksoverheid Webex gebruikt is prima uitlegbaar: binnen 6 weken na het begin van de corona crisis, eerste golf, is dit rijksbreed uitgerold omdat er niets anders was.
Pas ruim daarna zijn ministeries, waarschijnlijk onder druk van kennisloos top management, massaal ook Teams gaan implementeren (vooral tegen uitkomsten van DPIA's in).
Dit is dan, omdat dit vaker gebeurd wereldwijd, de reden waarom je tegenwoordig op Cisco Boards ook aan Teams meetings kan deelnemen. Alle ministeries staan vol met Cisco Board series devices (mooi spul overigens).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!