Onderwerp: UWV & Achmea laten racks openstaan...

Doe de groetjes aan m'n collega Randy, altijd gezellig met die jongens van Reasonnet :P.

Oorspronkelijk geplaatst door XBL

Doe de groetjes aan m'n collega Randy, altijd gezellig met die jongens van Reasonnet :P.

Ik sta met de racks rechtsreeks bij Tele2, niet bij RSN. Al ga ik er wel eens een kop koffie drinken.
RSN zit ook niet in 0.23. Volgens mij hebben ze niets op de begane grond staan.

Grappige foto Randy zie onder de meest rechtse afbeelding.

Oorspronkelijk geplaatst door jandirkse

Grappige foto Randy zie onder de meest rechtse afbeelding.

Ik heb een hekel aan dergelijke icoontjes en Duitsers die zeggen dat je geen foto's mag maken.

Ik ben benieuwd of er iets veranderd is aan de situatie. Vanavond zal ik het zien. Mijn racks zitten dicht aan de voorkant dus daar is Berno niet geweest. Aan de achterkant is een defect slot, maar wel eem deurmelder op de APC Infra en hier zag ik geen gekke dingen. In mijn geval gaat het om e-commerce waar toch wel veel persoonlijke gegevens te halen zijn (Wie heeft nu die 82" plasma van 20K besteld en wat is zijn creditcardnummer?) en dus wel voorzorgsmaatregelen genomen zijn.

Velen weten dat ik naast conmsultant ook nog werk als verslaggever/journalist. Het valt me tegen hoeveel shit Berno over zich heen krijgt in dit topic. Veel ongenuanceerde en ondoordachte dingen. Turlijk hoort een datacentrum beveiligd te zijn, maar zodra webhosters met te strikte beveiliging geconfronteerd worden schreeuwen veel mensen. Ik niem het topic van Interconnect laatst, waarbij je je legitimatiebewijs moest afgeven gedurende de periode dat jij binnen bent. Of de prijzen voor een cage, waarbij je een minimaal CDR van 8 cabinets hebt en met 5000 euro (tele2) setupkosten zit.

Beveiliging is altijd een afweging. Ik heb een PAC voor vrijwel alle corporate datacentra. Maar in het geval van Tele2 mag ik buiten beveiligingsuren (7.00-22.00 uur) nog steeds bellen voor de opening van de deur. Je leest het goed, dit DC kent geen 24/7 fysieke beveiliging. Gek is dan, dat ik wél een vingerafdruk moest achterlaten, maar deze nergens kan gebruiken. Ook niet als verificatie als ik 's avonds bij de deur sta. Van mij hoeft er geen 24/7 fysieke beveiliging te zijn (wie gaat dit betalen?) en heeft de hoster wel degelijk een eigen verantwoordelijkheid. Maar iemand anders kan een andere keuze maken. Eenmaal binnen, loop je met alles naar buiten en wordt er nergens naar gekeken.

Als ik bij DCA ben (CapGemini) mag ik ieder onderdeel aanmelden omdat ze anders de mantrap niet doorkomen. Hier loop je dus niet mer servers of switches naar buiten zonder deze vooraf aan te melden. Bij een snelle vervanging kan dit lastig zijn (spareserver in de kofferbak).

Zomaar even een verschil tussen twee willekeurige datacentra.

Nog een betere:

@Randy: Ik weet dat je geen klant bent, wij hebben niets te zoeken in de gewraakte 0.23 .

Het datacenter kent overigens niet bijzonder veel eigen colo klanten, laat staan dat die er in het weekend en 's nachts zijn. Ik zie ze zelden (en ben er elk weekend). Vandaar de beperkte beveiliging (alle toegang wordt dus gecheckt door jouw belletje, ze zien je hoofd dan ook op de camera). Ook wordt er zeer regelmatig gesurveilleerd, waarbij de bewaking ook binnen kijkt. Laat niet weg dat ik liever 24/7 bewaking had gezien en wat ik heb begrepen deelt Reasonnet die mening.

Oorspronkelijk geplaatst door pdu

UWV heeft het uitbesteed dus haar treft geen blaam.

Was het maar zo! Mn netwerk heb ik ook uitbesteed aan een leverancier, als die down is komen klanten (terecht) bij mij klagen en hebben helemaal geen snuit met mn leverancier te maken. Ik draag die verantwoording naar mijn klant, niet de netwerkprovider.

@BSHosting en pdu, als brenno dit lekker voor zichzelf had gehouden en niets had gepubliceerd hadden wij het er nu niet over en was er NIETS veranderd. Niets, totdat er daadwerkelijk een kwaadwillend persoon bij belangrijke gegevens komt en hiermee aan de haal gaat. Net zoals Alberto Stegeman zijn dit soort artikelen bedoelt om bedrijven eens flink te laten nadenken over bepaalde zaken, in dit geval beveiliging dus.

En feitelijk doet het zn werk ook nog, want de discussie verplaatst zich nu naar de zwakke beveiliging van sommige DC's

Oorspronkelijk geplaatst door Rik

"100% beveiliging is een illusie."

Wederom: onzin. Natuurlijk is 100% beveiliging mogelijk.

In de infosec kan dat alleen door de informatie op een flyer te zetten en bij iedereen in de bus te doen.

Er zijn dan alleen een paar factoren die je moet vergeten/uitsluiten.
Uiteindelijk is alles mogelijk tegen de juiste kosten. Gezien er altijd klanten zijn die het zullen eisen en willen betalen zal het er ook altijd zijn.

Er zijn een paar aspecten die je niet kunt uitsluiten, zoals natuurrampen, terrorisme daar kun je je niet op wapenen.

Als er in Noord Holland op twee strategische plekken dijken doorbreken staan de meeste DC's onder water.

Oorspronkelijk geplaatst door cyrano

Als iedereen de wet naleeft, hebben we geen politie nodig, geen rechtbanken en geen security. Dat is dus een heel zwak argument.

Doordat de meeste mensen zich wel aan regels houden en/of sociaal gedrag vertonen hebben we in Nederland relatief gezien weinig narigheid.

Dat de verslaggever de wet overtreden heeft, is m.i. helemaal niet zeker. Dat zou ik wel eens voor de rechtbank bevestigd willen zien. Regels van een colocation center zijn geen wet. Een bordje "verboden toegang voor onbevoegden" ook niet en 't heeft nog nooit een inbreker tegengehouden.

Het is en blijft privé terrein, maar ik ben ook een voorstander dat deze hele zaak aan een rechter word voorgelegd.

Nu vindt men het bij de eigenaars van de servers niet eens de moeite om er correct op te reageren. Een antwoord in de trant van "We kijken dat even na en zullen zien wat we eraan kunnen doen", is dan al veel correcter, ook al betekent het in de realiteit mogelijk niks.

Dat zijn de afnemers/gebruikers van de functionaliteit, de daadwerkelijke eigenaars en/of beheerders zullen wel balen door dit verhaal.

De IT sector heeft tot nu toe alleen maar te maken gehad met amateurs. Ik weet zeker dat dat snel gaat veranderen. De georganiseerde misdaad is al een tijd bezig uit te vissen waar ze geld kunnen mee verdienen. En grote lijsten met persoonlijke gegevens zijn geld waard. Veel geld.

De georganiseerde misdaad waren de eerste die de pioneers achterna gingen echter die laten zich niet tegenhouden door een afgesloten kast als ze al toegang hebben tot de DC....

Was het maar waar dat je misdaad kunt bestrijden door sleutel om te draaien.

Verder dien je niet te vergeten dat meeste mensen een prijs hebben die vaak goedkoper is dan dat je denkt. Er zal heus wel iemand zo gek zijn dat hij voor een ton (of veel minder) door jou te selecteren informatie op een usb stick zal zetten.

Doet me denken aan gevangenissen in Nederland, wist je dat de straffen op een uitbraak heel licht zijn en dat je KUNT uitbreken, dit ter bescherming van het personeel. In dit geval zou je liever hebben dat ze zich langs camera's bewegen en legitimeren en hun ongein in een DC doen dan via een anonieme weg via een corrupte medewerker.

Oorspronkelijk geplaatst door XBL

Ter info: ik kom zonder gecheckt te worden Nikhef binnen, daar is het altijd wel feest met de beveiliging.

Is dat nog steeds zo, ben er zeker 9 jaar niet meer geweest.

Toen was het normaal dat sleutels er gewoon in zaten of niet afgesloten was.

Ik heb nog nooit gehoord dat daar iets fout is gegaan (ook niet bij SARA).

Oorspronkelijk geplaatst door Randy

Als ik bij DCA ben (CapGemini) mag ik ieder onderdeel aanmelden omdat ze anders de mantrap niet doorkomen. Hier loop je dus niet mer servers of switches naar buiten zonder deze vooraf aan te melden. Bij een snelle vervanging kan dit lastig zijn (spareserver in de kofferbak).

Zomaar even een verschil tussen twee willekeurige datacentra.

Tijd voor DC test, vragen lijstje opstellen en zoveel mogelijk mensen verzoeken deze in te vullen en op een site zetten, zodat je naast de standaard verhaal (stroom, carriers, brandblusinstallatie en koeling) ook pragmatische dingen kunt zien.

Oorspronkelijk geplaatst door eMiz0r

Ik draag die verantwoording naar mijn klant.

UWV draagt die verantwoording ook uit niets is gebleken dat er informatie van klanten daar hebben gestaan als ook uit de verklaring van UWV blijkt dat.

Mensen die voor de overheid hebben gewerkt als ook een enkele post hier WETEN dat je in externe DC's geen gevoelige gegevens zult vinden bij (semi) overheid gerelateerde servers.

DNS /MAIL leuk en aardig. Het is niet hun interne exchange (of whatever) server.

@BSHosting en pdu, als brenno dit lekker voor zichzelf had gehouden en niets had gepubliceerd hadden wij het er nu niet over en was er NIETS veranderd.

Is er nu wel iets veranderd? Buiten het feit om dat heel veel mensen nu weten waar die servers staan en dat er mogelijk iets te halen valt dankzij een sensationeel verhaal ? Als ook op het idee zijn gekomen dat je in DC's kennelijk ook (semi) overheid en andere leuke dingen kunt vinden die voor het oprapen liggen. Immers in de meeste DC's kun je voor minder dan 100 euro colo regelen.

Niets, totdat er daadwerkelijk een kwaadwillend persoon bij belangrijke gegevens komt en hiermee aan de haal gaat.

Ik denk dat jij niet weet dat er een hele economie is waar veel geld in om gaat bedrijfspionage/information brokerage.

De mensen die er geld voor over hebben om iets van een ander te weten (ongeacht wat) kan dat gewoon kopen hoor dat is niets nieuws, zelfs overheden houden zich daar mee bezig.

Net zoals Alberto Stegeman zijn dit soort artikelen bedoelt om bedrijven eens flink te laten nadenken over bepaalde zaken, in dit geval beveiliging dus.

Stegeman heeft twee soort programma's de een waarbij hij op internet op zoek gaat naar vage mensen (kinderporno, wapens, vuur etc...) dat dient een nut zodat de mensen in de Haagse ivoren toren weten wat er te gaande is.

De andere programma over Schiphol slaat gewoon nergens op.

In 1 maand werden er op Schiphol twee cocaïne smokkel bende's opgerold die voornamelijk bestond uit mensen die er werkten. In de afgelopen jaren zijn er meerdere mensen die er werkten gepakt voor smokkel.

Stel die mensen krijgen een ander impuls dan financieel (b.v. religieus) dan hoeven ze er alleen maar te solliciteren om hun doel te bereiken. Er is geen enkele manier om de intentie van iemand vooraf te toetsen.

Als je te lui bent om te solliciteren en enige tijd te werken, dan kan je gewoon langs Schiphol wandelen en over 15 kilometer het terrein op komen zonder dat iemand je aanspreekt.

Een paar jaar geleden werd er gewoon een vliegtuig met diamanten overvallen.... Je kunt een groot terrein gewoon niet waterdicht (letterlijk) beveiligen (ik heb aflevering op militaire basis niet gezien, maar daarvoor geldt het zelfde, zie ook incidenten waarbij mensen een F16 beschadigden). Je kunt slechts doen aan risico beheersing.

En feitelijk doet het zn werk ook nog, want de discussie verplaatst zich nu naar de zwakke beveiliging van sommige DC's

Wat kan een DC er aan doen dat slot niet dicht zat? Ik las ergens dat er geen 24/7 beveiliging is, dus is er waarschijnlijk ook niemand die regelmatig alle kasten controleert en waar nodig met master sleutel op slot draait.

Maar dan nog, ik zie regelmatig op kerstnacht en nieuwjaarsochtend dat er maar 1 beveiliger aanwezig is en dc's uitgestorven is. Moeten we feestdagen daarom maar afschaffen omdat er mogelijk een kast niet op slot staat ? (niet alleen Brenno kan overdrijven met zijn "scoop").
Misschien is dat wel het moment om toe te slaan, onderbezetting bij hulpdiensten, meldkamers die onderbezet zijn, procedure van meldkamer van beveiligingsdienst zijn vrij simpel en zit amper een fysieke controle op (in camera spreken vanuit een veilige kamer) en vervolgens master key afhandig maken en je kunt overal bij.

Overigens is dat wel nieuwswaardig indien je bij een DC in powerroom kunt komen als onbevoegde. Een DC uit zetten voor 5 minuten is wel overtuigend.

Nu de discussie weer inhoudelijk is, hoop dat een reactie nu gewoon op materie wordt beoordeeld. Hij is nu bijster interessant en gezond in mijn ogen.

Oorspronkelijk geplaatst door pdu

UWV draagt die verantwoording ook uit niets is gebleken dat er informatie van klanten daar hebben gestaan als ook uit de verklaring van UWV blijkt dat.

DNS /MAIL leuk en aardig. Het is niet hun interne exchange (of whatever) server.

Ehh... ik vrees van wel van wat ik begrepen heb ....

Ik denk dat jij niet weet dat er een hele economie is waar veel geld in om gaat bedrijfspionage/information brokerage.

Dat is het centrale punt. Laat ik net zo'n zaak onderzoeken.

De mensen die er geld voor over hebben om iets van een ander te weten (ongeacht wat) kan dat gewoon kopen hoor dat is niets nieuws, zelfs overheden houden zich daar mee bezig.

Daarom moet je simpele drempels opwerpen. Mensen zijn snel omgekocht (helaas).

De andere programma over Schiphol slaat gewoon nergens op.

Jawel. Hij bracht alleen niet dat je vanaf die achterpoort ook door kunt naar de kisten. Vul je achterbak met nare materiaal en wacht tot ElAl voorbij komt. De Marechaussee rijdt mee tot je regulier taxiet. Genoeg mensen die kwaad willen.

Stel die mensen krijgen een ander impuls dan financieel (b.v. religieus) dan hoeven ze er alleen maar te solliciteren om hun doel te bereiken. Er is geen enkele manier om de intentie van iemand vooraf te toetsen.

Nou ze toetsen wel, maar niet diep genoeg. Mohammed B. had op Schiphol gewerkt als beveiliger. Zijn pas lag klaar. Hij besloot alleen Theo van Gogh te vermoorden.

Een paar jaar geleden werd er gewoon een vliegtuig met diamanten overvallen.... Je kunt een groot terrein gewoon niet waterdicht (letterlijk) beveiligen (ik heb aflevering op militaire basis niet gezien, maar daarvoor geldt het zelfde, zie ook incidenten waarbij mensen een F16 beschadigden). Je kunt slechts doen aan risico beheersing.

Ja daarom ga je voor quick fixes.

Maar dan nog, ik zie regelmatig op kerstnacht en nieuwjaarsochtend dat er maar 1 beveiliger aanwezig is en dc's uitgestorven is. Moeten we feestdagen daarom maar afschaffen omdat er mogelijk een kast niet op slot staat ? (niet alleen Brenno kan overdrijven met zijn "scoop").

Nee dan had ik het niet gepubliceerd en niet onderzocht. Dat is een duidelijk en niet structureel. Dit oversteeg een periode van minimaal een maand.

Overigens is dat wel nieuwswaardig indien je bij een DC in powerroom kunt komen als onbevoegde. Een DC uit zetten voor 5 minuten is wel overtuigend.

Mag ik je dan vragen een foto te nemen en dat niet te doen. Dat is namelijk een wereld van verschil. Dat hoort al in te slaan als een bom.

Overigens heb ik heel bewust het DC niet genoemd in het stuk, want die zijn niet verantwoordelijk of hun klanten slim omgaan met hun kasten. Zij hoeven niet afwegingen voor hun klanten te maken.

Zo, weer thuis. Grappig genoeg stond Achmea vandaag gewoon nog open. 9292OV en CWI lijken wel wat geleerd te hebben. Deze komende week eens verwerken. Nu eerst wat slaap bijhalen. Straks begint de werkdag weer als om 13.37 uur mijn wekker gaat.

Oorspronkelijk geplaatst door Randy

Zo, weer thuis. Grappig genoeg stond Achmea vandaag gewoon nog open.

Dank voor het melden. Dat is nu nog geen nieuws, tenzij het verhaal nog een week aanhoudt. De voorlichter is net gebeld en ik heb gevraagd om nu toch eindelijk actie te ondernemen.