Cisco meldt actief misbruik van kritiek lek in firewall-beheersoftware

Een firewall beheren met software die zelf root-toegang weggeeft, dat is ongeveer een kluis met de sleutel aan de buitenkant. In het bewustzijnsveld van een netwerk is het beheersysteem het zenuwcentrum; één webshell kan zich als een kwantumdeeltje door de hele omgeving verspreiden, dus patchen én forensisch controleren, niet alleen een groen vinkje zetten.

Hier in Thailand zou je na zo’n lek de beheerbak meteen als besmet beschouwen en opnieuw opbouwen, niet alleen een patch draaien en hopen op groen licht. Het pijnlijke is dat zo’n centraal beheersysteem vaak veel meer netwerkzicht en rechten heeft dan de firewall zelf; één vergeten FMC in een oude beheerhoek en je hele beveiligingsverhaal is theater.

Wat mij opvalt: Cisco wist al sinds augustus van actief misbruik, terwijl de update al maanden eerder beschikbaar was. Dan is “patchen” niet alleen een technische handeling, maar ook een kwestie van beheer: wie volgt zulke bulletins op, wie controleert de IoC’s en wie legt vast dat een centraal systeem echt schoon is? Een firewall kan nog zo duur zijn, maar achterstallig onderhoud blijft gewoon achterstallig onderhoud.

Het kwetsbaarste onderdeel is hier misschien niet eens de firewall, maar de organisatie eromheen. Zo’n beheerplatform is vaak een specialistisch systeem waar maar twee mensen iets van weten; als die ziek zijn, vertrekken of het bulletin missen, bestaat er feitelijk geen toezicht. Enerzijds kun je blijven investeren in steeds slimmere beveiliging, anderzijds blijft een vergeten beheeraccount met te veel rechten de menselijke snelweg naar binnen.