NCSC verwacht grootschalig misbruik van kritieke Check Point vpn-lekken

Het punt is juist dat patchen alleen niet genoeg is. Zo’n VPN staat aan de voordeur van je hele bedrijf; segmentatie, goede logs en een noodplan zijn minstens zo belangrijk, want één gemiste update en je ligt plat. En wie nog denkt dat “geen misbruik gemeld” hetzelfde is als veilig, die slaapt wel héél rustig aan, sjön.

Dit soort lekken maakt heel concreet hoe snel een digitale voordeur ineens wagenwijd open kan staan. Bij een kleine stichting waar ik ooit hielp, bleek niemand precies te weten wie de vpn beheerde of wanneer er voor het laatst was gepatcht; geen onwil, gewoon te weinig mensen en tijd. Een meldpunt, betaalbare hulp en samen oefenen zouden daar veel meer veiligheid geven dan nóg een waarschuwing per mail. Veiligheid begint ook met verbinding en elkaar durven vragen om hulp.

Die juridische zorg klopt, maar “we wisten het niet” is niet automatisch een kansloze verdediging: bepalend zijn onder meer de verantwoordelijkheid, de beschikbare patchinformatie en of er een redelijke termijn is geboden om te handelen. Hier ligt die termijn wel verdacht kort, dus organisaties die hun internet-facing vpn niet vandaag inventariseren en patchen nemen gewoon een enorm risico.

Bij een organisatie waar ik ooit mee werkte bleek na zo’n melding niemand eigenaar van de vpn-inventarisatie te zijn: IT dacht security, security dacht de leverancier. Die gaten worden door aanvallers wél snel gevonden, dus wijs één verantwoordelijke aan en leg patchtijd plus controle vast. Logging achteraf is geen securityplan.

Eerst de digitale voordeur dicht. Daarna pas filosoferen over de cloud. Wachten met patchen is geen eigen onderzoek, maar gewoon roekeloos.

Dat achterdochtige gedoe helpt nu niemand. Op de werkvloer zie ik vooral organisaties die maanden treuzelen met een kritieke patch, terwijl zo’n VPN rechtstreeks naar hun hele netwerk leidt; eerst updaten, daarna controleren wat er precies draait en welke toegang openstaat. Blind vertrouwen is dom, maar wachten op een perfect onafhankelijk onderzoek is nóg dommer.

Dat Excelbestand is niet eens het grootste probleem: bij een kritieke VPN moet allang bekend zijn welke systemen eraan hangen en wie verantwoordelijk is!!! Het echte risico zit nu in organisaties die blijven uitstellen, terwijl aanvallers zo’n lek binnen no-time geautomatiseerd kunnen misbruiken — patchen én controleren of er al binnengekomen is, niet alleen vinkje zetten en klaar!!!

Back-ups en een alternatief beheerpad zijn verstandig, maar bij dit soort vpn-lekken is snelheid óók onderdeel van de beveiliging. Eerst dagenlang een perfect plan optuigen terwijl de toegangspoort openstaat, kan gevaarlijker zijn dan gecontroleerd patchen en daarna pas de rest netjes afmaken.

Dat “kleine clubs jaren niks doen” is precies de luie aanname die je hier niet kunt maken. Deze kwetsbaarheden worden actief misbruikt, dus ook grote organisaties met netjes patchbeleid kunnen binnenlopen als hun internet-facing VPN niet direct is geïdentificeerd en getest; asset inventory en een noodprocedure zijn belangrijker dan bedrijfsgrootte.