Zero (0)-day Attacks: Regels om aanvalsmogelijkheden zo veel mogelijk verminderen.

1. Altijd patches (+updates en upgrades)z.s.m aanbrengen voor alle in gebruik zijnde software (deze zitten meestal vol met security gerelateerde verbeteringen);
2. Let op afwijkend gedrag in systemen en/of netwerken (hiervoor is software te krijgen);
1. kijk niet alleen naar virus of malware signatures (“handtekekeningen”),
2. maar ook naar afwijkende verkeerspatronen (ook en/of met name uitgaand verkeer (gebruik hiervoor outbound proxies on bij voorbeeld te voorkomen, dat Trojan “naar huis bellen”)),
3. onverwachte toegangsaanvragen, etc.;
3. Limiteer de connecties, die een systeem binnen het totale netwerk, naar buiten en naar binnen kan maken,
1. dit kan bij voorbeeld door segmentatie van het LAN, door gebruik te IP toegangslijsten,
2. door systeemtechnische functionele scheidingen aan te brengen, e.d.,
3. limiteer inbound en outbound verbindingen in ook hun functionaliteit, ook hier segmenteren,
4. maak eventueel gebruik van Vlan opstellingen,
5. naast de VPN verbindingen,
6. gebruik WPA i.p.v. WEP voor encryptie van de WiFi verbindingen;
4. Filter en limiteer aantal en type e-mail attachments, check afzenders; is er één van deze twee ook maar enigzins verdacht of niet toegestaan of onbekend: rücksichtslos deleten, zonder te openen (dit geldt ook voor .doc, .pdf, .xls, .gif, .wmv, .jpg en andere attachment-types van onbekende afzenders, of van bekende afzenders maar eigenlijk niet verwacht {ook van binnen het netwerk}); eigenlijk alleen maar attachments van bekende afzenders toestaan, als dat attachment van te voren (e.v. in een separate e-mail) is aangekondigd. Dit lijkt overdreven en onwerkbaar. De afweging echter is aan het management. Hoe meer restricties hierbij, des te minder kans op zero-day attacks;
5. GEEN html e-mail accepteren. Standaard alle e-mail instellen (ontvangen EN versturen) op plain tekst;
6. Default DENY (uitsluiten) instelling gebruiken in firewalls. Alleen specifiek toegestaan, gecontroleerd en vertrouwd verkeer, URL’s e.d. toestaan. Eventueel een tijdje in- en uitgaand verkeer monitoren en loggen, voordat de standaard deny regel met de uitzonderingen daarop in gebruik wordt gesteld;
7. Content filtering gebruiken in de Firewall;
8. Alle communicatie poorten standaard blokkeren, alleen, die welke absoluut noodzakelijk zijn voor bepaalde applicaties open zetten. Dit geeft overigens geen garantie, want de nieuwere Trojan Horses gebruiken ook al poort 80 en 443 (Http en Https verkeer resp.), Skype poorten worden al misbruikt enz.;
9. GEEN privé e-mail en surfing toestaan op de werkplek, geen Instant Messaging (Chat), geen openbare gratis VoIP, anders dan via de ISP’s aangeboden diensten. Bedrijven, die dit wel toestaan worden meer dan 3.5 maal zo vaak getroffen door narigheid, als bedrijven, die het niet toestaan;
10. Creëer een z.g. quarantaine omgeving in een netwerk (liefst er los van), waar niet vertrouwde e-mails kunnen worden geopend, waar verdacht verkeer kan worden gevolgd, waar niet vertrouwde systemen kunnen worden doorgelicht, voordat ze toegelaten worden, etc., etc.;
11. End-point (eindgebruiker) beveiliging desnoods afdwingen, als het gaat om telewerkplekken (ook hier is software voor);
12. Restricties voor alle andere gebruikers op afstand, ev. klanten en/of leveranciers, voor wat betreft toegang, functionaliteit, verkeerstypen, sessie lengte en e.v. tijdstip, bandbreedte, toegestane poorten, etc., etc.

Deze regels geven geen absolute garantie, maar, naar mate er meer van worden gehanteerd, zullen de aanvalsmogelijkheden meer dan lineair dalen!

Wij zullen overigens binnenkort overgaan tot publicatie van een aantal beveiligigngsconcepten voor het MKB, alsook een aantal voorbeelden van implementaties. Alles gebaseerd op relatief simpele en goedkope of-the-shelf verkrijgbare componenten (hardware en software).

9 April 2007, Robert A. van Donkelaar.