Staat u ook op de lijst van gehackte sites?
Volgens Belsec, een Belgische blogsite, zijn het afgelopen jaar meer dan 2500 Belgische websites gehackt. Tv-zender VTM, de mobiele operator Jim Mobile, de autoproducent Opel en samen met hen vele anderen werden het slachtoffer van een defacement of digitale graffiti.
De vandaal besmeurt dus niet een muur met een nieuwe Dalí of Picasso, maar kladt een website vol. Een politieke slogan of een pornografisch getinte afbeelding op een bekende webpagina valt natuurlijk direct op en dat is nu juist de bedoeling van een vandaal of hacker.
Meestal slaagt een hacker in zijn opzet door een gekende kwetsbaarheid in het besturingssysteem van de webserver, in de webserversoftware of de webapplicatiesoftware te misbruiken. Een bijkomend probleem is dat de webapplicatie op een gedeelde server draait, waardoor ook andere websites in de klappen delen. Dat resulteert uiteraard in een grote hit list.
Hackers houden statistieken bij in de underground website www.zone-h.org over de sites die gehackt zijn, de manier waarop dat gebeurde en wie erachter zat. Natuurlijk wordt de identiteit van de hacker niet vrijgegeven, want het blijft een illegale daad. En net zoals bij elk ander misdrijf staan ook daar straffen op. Het is duidelijk dat Belsec daar de mosterd gehaald heeft, want anders is het moeilijk te achterhalen welke websites door een hacker aangevallen zijn.
Laten we het ook eens hebben over balanced scorecards en key performance indicators (KPI). De enige manier om na te gaan hoe het met de beveiliging gesteld is, is het aantal incidenten tellen. Dat is alleen maar mogelijk door effectief te meten over welke hacking-incidenten het gaat: virusinfecties, omzeilen van security policy, calamiteiten, … Maar dat is natuurlijk niet evident. Het vereist meldingen van het personeel, monitoring van het surfverkeer, intrusion detection, log monitoring van kritische systemen en ga zo maar door. De meeste bedrijven zijn daar momenteel nog niet aan toe, en zeker de kmo’s niet.
Organisaties zijn zich vaak niet eens bewust van misbruiken, totdat ze de KPI’s gaan opvolgen. De impact van een incident is ook niet in cijfers uit te drukken. Hoeveel kost het om een incident te verhelpen, om de pers de mond te snoeren, om duizenden pc’s te patchen en de continuïteit van kritische systemen te garanderen? Dat valt niet te definiëren, noch te voorzien.
En het is een typisch Belgische situatie: pas als er een incident heeft plaatsgevonden, gaat men over de beveiliging nadenken en de nodige budgetten voorzien.
