Beveiliging en Microsoft: een kwestie van DNA

 
In Europa duurt het wel 400 dagen alvorens een bedrijf doorheeft dat het een slachtoffer is van cybercriminaliteit. In tijden waarin iedereen beseft dat alles gehackt kan worden, is dat vreselijk lang. Zowat alle organisaties investeren in een steeds hogere digitale beveiligingsmuur terwijl er te weinig aandacht gaat naar wat er moet gebeuren wanneer een crimineel toch over die muur raakt. Zelfs Microsoft geeft dezer dagen toe dat geen beveiliging echt onfeilbaar is. De focus van een goed securitybeleid mag niet alleen op preventie liggen: detectie en respons zijn minstens even belangrijk. Microsoft komt daaraan tegemoet door op de drie pijlers in te zetten in Windows 10 en Office 365.
 
De Windows-bouwer profileert zich graag als partner in beveiliging, met een portfolio aan producten waarin security zit verwerkt. Een uniek intelligencesysteem dat 450 miljard authenticaties per maand op één miljard Windows 10-toestellen in het oog houdt en miljarden e-mails kan analyseren, houdt een oogje in het zeil. Beveiligingsspecialisten houden zelfs het dark web in het oog om je bijvoorbeeld te waarschuwen wanneer je Office 365-login op straat ligt.

 

Blaster en Slammer

Ook Pieter Wigleven, Technisch specialist bij Microsoft, merkt tijdens het Microsoft Security-seminarie op dat de wereld verhardt. “In tijden van Windows XP waren er vooral vervelende virussen zoals Blaster en Slammer. Vanaf 2005 heeft de georganiseerde misdaad het licht gezien. Malware en ransomware dient voor hen als bron van inkomsten.” Nu ook staten zich moeien, en complexe hacks van hen uitlekken en op straat terecht komen, is een goede beveiligingsstrategie belangrijker dan ooit.
 
“Windows 10 heeft pre-breach- en post-breach-verdediging aan boord”, aldus Wigleven. Onder pre-breach verstaan we de muren. Het heeft nog steeds nut om een aanval zo moeilijk mogelijk te maken voor cybercriminelen. Windows-as-a-Service is daarbij onontbeerlijk. Waar Microsoft vroeger pas na ten vroegste drie jaar met een nieuw OS op de proppen kwam, krijgt Windows 10 twee keer per jaar een grote update die je in essentie kan bekijken als een nieuwe Windows-versie. Denk aan de Anniversary Update en de Creators Update.
 

Virtualisatie

Wigleven gaat in op enkele van de belangrijkste beveiligingsfuncties die Windows 10 vandaag bezit. Zo is er het alomgekende Smartscreen, dat zo’n 95 procent van de malware tegenhoudt door de reputatie van een bepaald bestand online na te gaan. Minder gekend is de virtualisatie. Met Virtualization Based Security draait de kern van het Windows 10 OS in een afzonderlijke virtuele machine via Hyper-V. Als gebruiker merk je daar niets van, maar onder de motorkap zorgt de techniek er voor dat malware het hart van je besturingssysteem niet kan infecteren.

 
De virtualisatietechniek gaat nog een stuk verder. In de volgende Windows 10-update krijgt Edge de Application Guard-functionaliteit. Daarmee open je verdachte websites automatisch in een browservenster dat in een virtuele machine draait. Die virtuele computer verdwijnt wanneer je het venster sluit, samen met alle malware en ransomware die je eventueel per ongeluk binnenhaalde. Bedrijven kunnen aan de hand van Policies instellen dat enkel vertrouwde url’s niet geopend worden in Application Guard, en alle andere links waarop een werknemer klikt wel. Dat komt de beveiliging van je netwerkinfrastructuur drastisch ten goede.
 
Microsoft kijkt ook naar de meest gebruikte authenticatiemethode: het wachtwoord. “Een wachtwoord is symmetrisch”, vertelt Wigleven. “Jij weet het, en je computer of een website vergelijkt het met een eventueel versleutelde versie van het wachtwoord.” Dat zet de deur open voor hackers. Bovendien zijn we collectief niet erg goed in het kiezen van een veilig wachtwoord. “Met Microsoft geloven we in biometrische beveiliging”, aldus Wigleven. “Alle Windows 10-toestellen hebben een TPM-chip, die biometrische gegevens opslaat.” Zo kan je je gezicht of een vingerafdruksensor aan een toestel koppelen, en daarmee op een eenvoudigere, maar toch veiligere manier inloggen. Microsoft noemt de technologie Hello. “Ook Edge biedt ondersteuning voor Hello”, weet Wigleven, “Al moeten ontwikkelaars er wel in meegaan.”
 

Verdediging na de aanval

Tot slot demonstreert Wigleven de Credential Guard-functie in de Enterprise-editie van Microsoft. Die functie beschermt een netwerk tegen een zogenaamde ‘pass the hash’-aanval, waarbij een cybercrimineel een toegangskenmerk van een netwerkbeheerder kan buitmaken om zo de controle over een gans netwerk te krijgen. Met Credential Guard wordt zo’n aanval verleden tijd.
 
Ondanks alle voorzorgsmaatregelen herhaalt ook Wigleven dat het onvermijdelijk is dat een hacker vroeg of laat een gaatje vindt waar hij door past. Windows Defender Advanced Threat Protection (ATP), een nieuwe optionele beschermingsfunctie van Windows 10, detecteert verdacht gedrag wanneer een aanvaller zijn weg voorbij de verdedigingsmuur heeft gevonden. ATP is complementair bij Windows Defender of een andere antivirusoplossing, en kijkt niet alleen naar malware. De tool gaat op zoek naar verdacht gedrag van applicaties die hackers of malware vaak misbruiken, zoals de krachtige powershell-omgeving.

 
“ATP kan meer dan alarm slaan”, vertelt Wigleven. “De tool kan bijvoorbeeld een besmette machine isoleren van het netwerk en een pakketje met forensisch bewijs samenstellen.” Administrators kunnen met ATP nakijken langs waar malware is binnengekomen, hoe een virus zich eventueel heeft verspreid en waar zwakke plekken zitten.
 

Office 365

De verdediging van Windows 10 zelf werkt hand in hand met nieuwe verdedigingsfuncties in Office 365. An Lenders van Technology Solutions Professional Productivity & Office 365 bij Microsoft, doet met enkele visuele demo’s uit de doeken hoe het classificatiesysteem van Office 365 bestanden beschermd. Werknemers binnen organisaties kunnen bestanden classificaties geven zoals ‘Geheim’ en ‘Zeer Geheim’. Vanuit je bedrijf kan je vervolgens bepaalde policies aan documenten met die classificaties koppelen. Zo kan je verhinderen dat werknemers ze per ongeluk delen, en kan je via een log ontdekken wie voor een lek verantwoordelijk is, moest er toch iets mislopen. De functie gaat onder de naam Azure Data Governance.
 
Met de Advanced Data Governance kan je dan weer policies doorvoeren die er voor zorgen dat data niet zomaar gedeletet wordt, wanneer je bijvoorbeeld wettelijk verplicht bent die bij te houden. Beide diensten staan los van elkaar, maar zullen in de toekomst wel naar mekaar vloeien.
 
Office 365 heeft bovendien zijn eigen vorm van ATP, die mooi in tandem werkt met de versie van Windows 10. De Office ATP probeert malafide links en bijlages al te blokkeren nog voor een gebruiker ze binnenhaalt.
 

Windows 10-uitrol

David Biot van Xylos sluit het Security-seminarie af met enkele best practices voor een overstap van Windows 10. Hij begeleidt de uitrol van het nieuwe OS in zowel kleine KMO’s als grote enterprise-omgevingen. “Het is belangrijk dat je Windows 10 niet uitrolt zoals Windows 7”, weet Biot uit ervaring. Door het hele Windows-as-a-Service-verhaal is een andere visie nodig, waarbij updates frequenter zijn. Biot hamert op het gebruik van een pilootgroep die updates eerst krijgt, waarna ze na enkele maanden worden uitgerold naar de rest van het bedrijf.
 
Hij vindt het een goed idee om, in tegenstelling tot Windows 7, zoveel mogelijk standaardimages te gebruiken, zonder drivers of andere software die al inbegrepen is. “De meest recente cumulatieve Windows-update brengt je image toch in één klap up-to-date, zodat het niet de moeite is om een aangepast bestand aan te maken.”
 
Biot geeft toe dat je meer moet updaten, maar denkt dat de hele ervaring na een kleine mentaliteitswijziging een stuk vlotter is voor gans het bedrijf. Belangrijker dan dat: door altijd up-to-date te zijn, kan je aan de slag met de meest recente beveiligingsfeatures van Microsoft, zodat je zo goed mogelijk beschermd bent tegen de harde cyberrealiteit van vandaag. Een goede beveiliging is immers meer dan een hoge muur. Ze moet verweven zitten in het DNA van de software die je gebruikt. Dat DNA moet bovendien snel mee muteren om de nieuwste beveiligingen de kop in te drukken. Dat betekent misschien iets meer updaten, maar in ruil krijg je een goede beveiliging.