Cisco waarschuwt voor misbruik van kritiek lek in Identity Services Engine

Hmm, zo’n lek waar al actief misbruik van wordt klinkt niet bepaald als iets dat je rustig na de vakantie kunt oppakken. Hopelijk hebben organisaties hun Cisco-spullen een beetje op orde, want updates blijven toch vaak liggen tot het echt misgaat.

Bij roottoegang moet je niet denken: patch geïnstalleerd, klaar. Een aanvaller kan al accounts, netwerkregels of andere systemen hebben aangepast, dus na patchen horen ook wachtwoord- en sleutelrotatie, loganalyse buiten ISE en zo nodig forensisch onderzoek erbij; anders plak je alleen het gat dicht terwijl de inbreker nog binnen zit.

Dit is precies waarom “de firewall staat ertussen” geen beveiligingsstrategie is. Een API die authenticatie overslaat, maakt van je toegangscontrole een decorstuk; kwantumfysica toont aan dat grenzen in een netwerk uiteindelijk informatievelden zijn en geen muren. Patchen dus, maar vooral niet doen alsof een schone log betekent dat er niets is gebeurd.

Het lastige is vaak niet de patch zelf, maar weten welke ISE-instanties je überhaupt nog hebt draaien en wie ze beheert. In grote organisaties staan zulke appliances soms jaren buiten beeld bij een oud netwerkteam; een kwetsbaarheidsmelding zonder duidelijke inventarisatie-instructies is dan half werk.

Veel organisaties draaien ISE niet eens direct aan internet, maar wel via beheerinterfaces, VPN’s of een managementnetwerk dat ooit “tijdelijk” opengezet is. Daar zit de angel: één vergeten uitzondering in een firewallregel en je zero-trustverhaal is gewoon legacy code met een logo erop.

Vanuit mijn praktijk zie ik steeds weer hetzelfde patroon: organisaties investeren miljoenen in techniek, maar vergeten de menselijke laag eromheen. Een beheerder die onder druk werkt, meldingen wegklikt of geen tijd krijgt om logs veilig buiten het systeem te bewaren, is óók onderdeel van het risicobeeld. Patchen is nodig, maar echte heel-wording zit in rust, eigenaarschap en een netwerk dat niet op één kwetsbare schakel leunt.