Onderwerp: UWV & Achmea laten racks openstaan...

Oorspronkelijk geplaatst door BsHosting

blabla

Ik gaf voorbeelden van de overheid die enorm laks omgaat met beveiliging. De taak van een journalist is o.a. dit soort maatschappelijke problemen aan de kaak te stellen. Door hoog van de toren te blazen in de media tik je de overheid op zn vingers en dwing je ze er toe maatregelen te nemen.

En dát, die tik op de vingers, is waar het hier helemaal om draait. Gelukkig zijn er journalisten die dat doen, want binnen de overheid zelf malen ze er blijkbaar niet om. Het feit dat een commercieel bedrijf als Achmea hier direct op springt en maatregelen neemt, en de UWV die zegt "wat kan mij het schelen" doet jou he-le-maal niks?!

Bovendien wil ik je vragen om termen als "nep journalist" en "publiciteitsgeile journalist" achterwege te laten. Ik snap even niet wat dat toevoegt aan de discussie omtrent het aan de kaak stellen van de beveiliging.

Dat de overheid laks is met beveiliging dat weten we allemaal, maar in deze case is het beveiligd, iemand hoort nl niet binnen te komen daar, maar met een valse smoes van zijn compagnon is ie dus binnengekomen.

Dat ie sowieso al met een camera er in kan is al een kwalijke zaak, maar dat ie ook nog kasten opentrekt en aan de servers zit zoals op de foto's al overduidelijk is heeft niks meer met de beveiliging te maken maar met de persoon zelf.

Een goede journalist komt op eerlijke wijze aan zijn materiaal en dat is hier niet gebeurd.
Kijk als meneer nu zelf alleen voor het DC stond en zonder dat ie daar iets te zoeken had zou rond kunnen kijken zou ik zeggen het klopt.

Maar meneer is binnengeloodst door iemand, die per direct opgepakt zou moeten worden.

Heb jij gezien wat Achmea gedaan heeft, nee papier is o zo geduldig.

En op je laatste punt in te haken, ik heb geen problemen met journalisten oa Alberto die het op manier vastleggen zodat duidelijk is dat er inderdaad wat mis is, maar zie jij hem zelf deuren openbreken om dan naderhand te zeggen die stonden open.

Ik heb maar 1 conclusie dat is strafrechterlijk vervolgen alle 2.

Oorspronkelijk geplaatst door eMiz0r

Ik gaf voorbeelden van de overheid die enorm laks omgaat met beveiliging. De taak van een journalist is o.a. dit soort maatschappelijke problemen aan de kaak te stellen...

Gelukkig nog iemand met een gezonde reactie. Het gedrag van "shoot the messenger" gaf me al verdomd veel zin dit forum te verlaten.

Ik weet ook niet hoe erg het eigenlijk is, maar in de security moet je op ALLE details letten. Dus doet het er niet toe hoe de journalist er binnen geraakt is, of hij met z'n vingers aan de switch gezeten heeft en al of niet zelf de deur open gedaan heeft. Die reactie van "huidzuren" en "statische lading" was er trouwens heel erg over. Niemand binnen de sector gaat op die overdreven manier met apparatuur om, dus kan je dat zeker niet van een buitenstaander verwachten.

Het naakte feit is dat het kon. Dat is voldoende. Daarvoor moeten de eigenaars van de servers nu ook niet meteen gekruisigd worden, maar hun reactie bij de melding ervan zegt veel over hun security mindset.

Negeren van een probleem is nooit een goede oplossing. Als dat een technisch probleem is, zal iedereen hier wel akkoord gaan. Maar qua security zetten velen hun stekels op ipv hun hersenen te gebuiken. Jammer.

Oorspronkelijk geplaatst door eMiz0r

Het draait om de zwakke (of geen) maatregelen die het UWV wil nemen en daarnaast niet eens verantwoordelijkheid accepteert. Dat vind ik pas op zn minst belachelijk te noemen.

UWV heeft het uitbesteed dus haar treft geen blaam.

Als je hieraan twijfelt dien je de je auto voordat je hem een grote beurt geeft naar ANWB keurstation te brengen en vertellen wat je voornemen is en na de grote beurt weer, kost wat, maar dan weet je dat als je iets uit besteed dat het niet altijd (en in dit geval vrijwel nooit) goed gebeurd.

Verder is er niets inhoudelijks aangetoond, het is niet zo dat DC ook open stond en dat iedereen zomaar zonder afspraak, zonder legitimatie, zonder begeleiding van een andere klant daar naar binnen mocht.

Als alle mensen ervoor kiezen om huisregels te negeren en de wet met voeten te treden dan is het hek van de dam, dat is pas een maatschappelijk probleem.

Oorspronkelijk geplaatst door BsHosting

En op je laatste punt in te haken, ik heb geen problemen met journalisten oa Alberto die het op manier vastleggen zodat duidelijk is dat er inderdaad wat mis is, maar zie jij hem zelf deuren openbreken om dan naderhand te zeggen die stonden open.

Ik heb maar 1 conclusie dat is strafrechterlijk vervolgen alle 2.

Met schiphol heeft Alberto wel een pasjes print machine gekocht en een pasje vervalst, dat dat mogelijk is spreekt van zelf, maar dat je dat doet om een punt te bewijzen is not done.

Bij eerste Schiphol verhaal werkte een collega van Alberto al enige tijd op Schiphol, dus kennis procedures en toegang tot verschillende locaties was van vanzelfsprekend.

Dat Alberto uiteindelijk met deze kennis en diens pasje op het platform kon komen is eigenlijk niet zo bijzonder, zoals ik al eerder schreef er is kilometers aan open terrein waar je gehuld in Schiphol kleding (wat dankzij Alberto nu bekend is, je gewoon platform op kunt komen.

Journalisten mogen de wet niet overtreden voor hun verhaal, zodra dat wel mogelijk is zal ik onderzoeksjournalist worden heb genoeg kennis om de rest van me leven wekelijks een (echte) scoop te produceren.

Oorspronkelijk geplaatst door cyrano

Ik weet ook niet hoe erg het eigenlijk is, maar in de security moet je op ALLE details letten.

Je dient alle risico's te overzien, vervolgens maak je een wel over kosten/baten om een risico weg te nemen of te verminderen.

(info) Security gaat over het managen van risico's niet om 100% veiligheid/continuïteit te kunnen garanderen want dat is naast onmogelijk ook onbetaalbaar. (een voorbeeld in TwinTowers zat een DC en een heel belangrijke exchange points, geen enkel middel had kunnen voorkomen dat deze punt offline ging)

Mensen klagen nu al over dure tickets op Schiphol die in eerste instantie door het doorberekenen van (niet 100%) beveiligingskosten, wie denk je dat de kosten gaat betalen voor "nog meer" security.

Nogmaals er lopen op verschillende plekken in het land kabels in de grond die je na 1 meter graven kunt benaderen, hierbij overtreed je geen enkele huisregel of wet. (tenminste niet met graven of fotograferen)

Inbrekers maken er nu al gebruik van om voeding, telefoon kabels door te knippen zodat alarm niet afgaat. (wekelijks wel ergens waar dit gebeurd)

Dien je dan ook je kabels te beveiligen? Hoe wil je dat doen? Je kunt ze in een betonnen buis leggen naast kosten word het alleen maar LASTIGER om er bij te kunnen.
Je kunt om de 50 meter een bewaker neer zetten. Naast kosten zijn die om te kopen, af te schieten etc.. etc..

100% beveiliging is een illusie.

Brenno gaat er vanuit dat die kast indepth beveiliging is terwijl dat niet zo is als je naar FIPS-140 kijkt (waar hij niet op in ging omdat hij dat niet wist) dan weet je dat er langer dan 10 jaar een gecertificeerde standaard bestaat die 100% beveiliging op hardware garandeert (tenminste hardware is niet meer bruikbaar als je er ongeautoriseerd iets mee probeert te doen).

Maar dan nog heb je met mensen te maken en die zijn gevoelig.... voor lood bijvoorbeeld.

"100% beveiliging is een illusie."

Wederom: onzin. Natuurlijk is 100% beveiliging mogelijk. Er zijn dan alleen een paar factoren die je moet vergeten/uitsluiten. Uiteindelijk is alles mogelijk tegen de juiste kosten. Gezien er altijd klanten zijn die het zullen eisen en willen betalen zal het er ook altijd zijn.

Dat Achmea niet dermate hoge kosten wil maken, en dus haar applicaties gaat housen in een shared ruimte, is niet zo zeer het probleem van het datacenter maar eerder van Achmea.

Brenno had dit ook heel anders kunnen aanpakken (iets volwassener?) en niet alsof het 'undercover in Nederland' betreft...

Oorspronkelijk geplaatst door pdu

Als alle mensen ervoor kiezen om huisregels te negeren en de wet met voeten te treden dan is het hek van de dam, dat is pas een maatschappelijk probleem.

Als iedereen de wet naleeft, hebben we geen politie nodig, geen rechtbanken en geen security. Dat is dus een heel zwak argument.

Dat de verslaggever de wet overtreden heeft, is m.i. helemaal niet zeker. Dat zou ik wel eens voor de rechtbank bevestigd willen zien. Regels van een colocation center zijn geen wet. Een bordje "verboden toegang voor onbevoegden" ook niet en 't heeft nog nooit een inbreker tegengehouden.

100% beveiliging is inderdaad heel waarschijnlijk niet haalbaar, mede gezien het kostenplaatje. Maar daarom je kop in het zand steken is 100% zeker niet de goede strategie.

Een rack op slot doen, is in mijn ogen gewoon gezond boerenverstand en kost quasi niks. Het zal een vastberaden inbreker zeker niet tegenhouden, maar vertraagt 'm toch weer een beetje. En het is vooral de houding die telt. Nu vindt men het bij de eigenaars van de servers niet eens de moeite om er correct op te reageren. Een antwoord in de trant van "We kijken dat even na en zullen zien wat we eraan kunnen doen", is dan al veel correcter, ook al betekent het in de realiteit mogelijk niks.

En de verslaggever blaast het inderdaad wel wat op, maar dat is nu ook niet meteen een reden om 'm af te schieten. Vaak moet je een probleem een beetje opblazen om mensen geïnteresseerd te krijgen. Anders verval je in droge, wetenschappelijke berichtgeving en leest geen kat het bericht.

De IT sector heeft tot nu toe alleen maar te maken gehad met amateurs. Ik weet zeker dat dat snel gaat veranderen. De georganiseerde misdaad is al een tijd bezig uit te vissen waar ze geld kunnen mee verdienen. En grote lijsten met persoonlijke gegevens zijn geld waard. Veel geld.

Wetgeving zoals in Duitsland, waar bezit van veel netwerk tools (sniffers, pen-testers...) illegaal is voor iedereen, brengt dus alleen maar het foute resultaat op. Kennis gaat erop achteruit. Je kan je eigen netwerk niet eens meer legaal testen met bv. Nessus. Dat is voor mij zeer zorgwekkend, want wie sowieso in de illegaliteit opereert heeft er natuurlijk geen last van.

Oorspronkelijk geplaatst door cyrano

100% beveiliging is inderdaad heel waarschijnlijk niet haalbaar, mede gezien het kostenplaatje.

Als het dat kost om die specifieke data optimaal te beschermen, dan zijn die kosten dat waard. Waar het dan met name op neerkomt is: zijn die kosten realistisch en niet 'opgefokt' omdat de veiligheid wordt misbruikt om de prijs op te drijven (wat vaak het geval is). Als een klant ziet wat het concreet kost, wat de marges zijn (open calculatie/begroting) dan is hij best bereid dat ervoor te betalen. 'Te duur' bestaat niet in deze.

Oorspronkelijk geplaatst door cyrano

Wetgeving zoals in Duitsland, waar bezit van veel netwerk tools (sniffers, pen-testers...) illegaal is voor iedereen, brengt dus alleen maar het foute resultaat op. Kennis gaat erop achteruit. Je kan je eigen netwerk niet eens meer legaal testen met bv. Nessus. Dat is voor mij zeer zorgwekkend, want wie sowieso in de illegaliteit opereert heeft er natuurlijk geen last van.

En toch is dat juist 1 van de zaken waardoor 100% veilig in Nederland vrijwel niet mogelijk is. Iemand die echt gevoelige data heeft op te slaan ontkomt bijna niet aan meekijkende webhosters, ISP's of anderen zoals stagiaires die 'spannende' mails of bestanden langs zien komen... Het zogenaamde 'sniffen' van je eigen netwerk is helemaal niet in het belang van dergelijke klanten.

Ook het plaatsen van racks in ruimtes waar nog honderden of tientallen andere personen toegang toe hebben is een factor die het optimaal beveiligen gewoon uitsluiten in (vrijwel alle) datacenters.

Uiteindelijk blijft het natuurlijk wel de eindverantwoordelijkheid van de betreffende klant (zoals nu het UWV en Achmea) om zelf te controleren wat ze inkopen. Het is lachwekkend om soms te zien wat op websites en offertes wordt aangeboden en wat het in werkelijkheid is...

@Rik: 100% beveiliging kan simpelweg niet (en factoren uitsluiten is natuurlijk onzin; dan is zelfs een gouden horloge midden op straat veilig, zolang je de rest van de wereld maar als 'factor' uitsluit). Mensen maken fouten en het zijn doorgaans die fouten die de boel in gevaar brengen (denk aan usb sticks in huurauto's, computers met ongewiste hardeschijven bij het grofvuil). Maar al zou je dat procudereel helemaal dicht kunnen timmeren, dan zou iemand met een beetje wil alsnog bij je data kunnen komen. Iemand die zorgt dat hij op de juiste positie werkt of iemand die een leger in huurt (bij wijze van). Ter info: ik kom zonder gecheckt te worden Nikhef binnen, daar is het altijd wel feest met de beveiliging.

Verder: in principe werkt beveiliging van wat dan ook altijd hetzelfde. Of je nou data beschermd, of wat dure diamanten. Je hebt een aantal lagen en hoopt dat iemand uiteindelijk gestopt wordt door een laag, het liefst de eerste. Hoeveel en hoe omvangrijk die lagen zijn, hangt af van de waarde van wat je hebt. Je huis heeft misschien een alarm systeem, een datacenter heeft een beveiliger. In dit geval is het gewoon gruwelijk mis gegaan door het feit dat een onbekende naar binnen kon, die deur open kon met het pasje, dat de servers op een shared vloer staan en dat die racks open stonden.

Even de rackjes dicht en T2 schoppen dat ze nu eindelijk zones moeten aanmaken voor de verschillende pasjes had deze ongein voorkomen. Een eigen cilinder in het slot had het zelfs nog beter gemaakt.

Enfin, persoonlijk vind ik dat je wel mag uitstralen dat je je best doet om de boel ook fysiek te beveiligen. Een rack op slot doen is van de beheerderskant imo al voldoende. Een eigen cilinder moet je maar mogen doen, mocht het rack niet jouw eigendom zijn. En eventueel zelfs van de shared vloer gaan, mocht het hele waardevolle data zijn.

Regels van een colocation center zijn geen wet. Een bordje "verboden toegang voor onbevoegden" ook niet en 't heeft nog nooit een inbreker tegengehouden.

De regels van een DC zijn geen wet maar op het moment dat jij daar binnen wilt tellen die REGELS dus wel degelijk ook wettelijk gezien, loop maar eens binnen zonder toestemming kijken of jij met oom agent mee mag.

Verboden toegang voor onbevoegden is wel degelijk een wet art 461 wetboek van strafrecht.

@ XBL:

Alles is uit te sluiten. Als een relatie alleen zelf toegang heeft tot zijn ruimte in een datacenter, dus verder geen derden (ook personeel van het datacenter niet) en deze persoon maakt buiten door verlies van een USB o.i.d. een fout, dan is dat aan de klant zelf daar iets aan te doen, niet het datacenter. Ook dat soort fouten zijn uit te sluiten (niks fysiek mee naar buiten nemen) etc. Dat is een discussie op zich

Uiteindelijk kan alles, maar dan moet je zeer strikt gaan werken, nooit een uitzondering maken en hele uitgebreide protocollen gaan hanteren.

Zeggen dat iets niet kan is nog steeds onzin in mijn ogen, alles kan als je maar bereid bent te betalen.

Zelfs als je 100% iets zou dichttimmeren kan je nog lekken hebben.

Er is altijd meer dan 1 man op de hoogte van alles dus daar heb je de belangrijkste factor al de mens.
Je kan het alleen doen maar als er wat fout gaat is er niemand die het kan oplossen behalve jijzelf.

Zelfs de best bewaakte gevangenis van Amerika waar je niet uit kan ontsnappen is niet 100% veilig te noemen.

@Rik: ik plaats over dat onderwerp nog 1 post, omdat ik het eigenlijk zonde vind om mezelf te blijven herhalen. 100% beveiliging kan NIET. Simpel gezien: als ik een leger meeneem kom ik wel bij jouw spullen. Mocht dat niet voldoende zijn, dan dwing ik jou persoonlijk wel om mij bij jouw spullen te laten. 99% of 99,9% of nog meer negens kan vast en zeker, 100% kan niet. Vergelijk het met beveiligen van je webserver (via internet toegang - niet fysiek), ook niet 100% mogelijk - tenzij je de stekker eruit trekt. Tevens: we hebben altijd nog te maken met mensen die rare sprongen kunnen maken mocht er iets interessants op het spel staan (een leven (die van jezelf, je vrouw, je kinderen), een grote zak geld, een nog grotere zak geld). In het echt is het nog makkelijker dan in de film.

Ook van die grappige borden altijd in datacentra. Vannacht moet ik voor een migratie weer in de bewuste 0.23 ruimte zijn. Ik zal voor de grap eens kijken of de racks nu wel afgesloten zijn en/of er andere maatregelen genomen zijn.