Gehackt beheeraccount op een core-router: wat doet u de eerste 24 uur?

Waarom dit scenario lastig is

Bij een storing kunt u tellen: hoeveel gebruikers, hoe lang. Bij een gestolen beheeraccount kan dat niet. Er is geen uitval en soms is nog niets misgegaan. De vraag is dan wat er had kúnnen gebeuren, en dat is precies waar de wet naar vraagt.

Het scenario

Dit is een fictief voorbeeld. Het bedrijf Voorbeeldnet bestaat niet. Alle tijden en aantallen zijn bedacht.

Voorbeeldnet is een kleine ISP met 8.000 gebruikers volgens de eigen vastgelegde telling. Op een woensdag om 07:50 ziet een engineer iets vreemds op de centrale logserver. Om 03:12 is iemand ingelogd op een core-router met het gedeelde account noc, vanaf een onbekend IP-adres. Daarna is een lokale gebruiker aangemaakt en is verkeer van een uplink gespiegeld naar een andere poort. Er is niets uitgevallen. Er zijn geen klachten.

De afweging: geen getal, wel een norm

De getallen uit artikel 8 van de Regeling cyberbeveiliging EZK helpen hier niet. Er is geen onderbreking (onder a). Het alarmnummer werkt (onder c). Vertrouwelijkheid van klantverkeer is misschien geraakt, maar met 8.000 gebruikers haalt Voorbeeldnet de ondergrens van 10.000 niet (onder b).

Dan blijft de algemene regel. Een incident is significant als het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of als het anderen aanzienlijke schade berokkent of kan berokkenen (artikel 25, tweede lid, Cbw). De toelichting bij de regeling noemt dit een vangnet voor gevallen buiten de criteria. De memorie van toelichting zegt dat het ook gaat om gevolgen die zich nog niet hebben voorgedaan, maar mogelijk wel gaan plaatsvinden.

De wet geeft hier geen rekenregel. U moet dus zelf wegen. Onderstaande indeling is een voorbeeld van zo'n afweging, geen wettelijke indeling.

Voorbeeld van een afweging bij misbruik van beheertoegang

Wat u vindt	Weging	Vervolg
Alleen mislukte inlogpogingen	Bijna-incident: het is voorkomen	Register, vrijwillig melden kan (artikel 33 Cbw)
Geslaagde login op een testrouter zonder klantverkeer, geen verdere stappen	Incident, waarschijnlijk niet significant	Besluit vastleggen, onderzoek afmaken
Geslaagde login met alleen leesrechten op een productierouter	Hangt af van wat zichtbaar was, zoals wachtwoorden en sleutels	Snel uitzoeken, herbeoordelen
Volledige rechten op de core en gewijzigde configuratie	Pleit sterk voor significant	Vroegtijdige waarschuwing

Voorbeeldnet valt in de laatste rij. De aanvaller kon routering aanpassen, de hele core platleggen en verkeer meekijken. De directeur besluit daarom: significant. Hij noteert ook waarom, in drie zinnen.

De eerste 24 uur

1. 07:50, signaal. De engineer noteert het tijdstip en vraagt collega's of iemand dit heeft gedaan. Tijdig detecteren en analyseren staat in artikel 8, tweede lid, Cbb.
2. 08:25, bevestigd. Niemand was het. Dit is een incident. Voorbeeldnet legt deze tijd vast als voorzichtig startpunt voor de termijnen, ook al is de significantie nog niet beoordeeld.
3. 08:30, eerst vastleggen. Actieve sessies, de lopende configuratie, de lokale gebruikers en de logbestanden worden gekopieerd naar een veilige plek. Na een herstart zijn sommige gegevens weg. Logbestanden moeten beschermd zijn tegen wijziging (artikel 8, zesde lid, Cbb).
4. 08:50, indammen. De sessie wordt verbroken. Het account gaat dicht, de nieuwe gebruiker en de spiegeling verdwijnen. Beheertoegang kan tijdelijk alleen vanaf het beheernetwerk. Dit valt onder reageren en beperken (artikel 8, tweede lid, onder c, Cbb).
5. 09:30, besluit. De directeur stelt vast dat het incident significant is.
6. 10:15, vroegtijdige waarschuwing via MijnNCSC. Vermoedelijk kwaadwillig: ja. Gevolgen over de grens: niet bekend. Contactgegevens van de verantwoordelijke (artikel 26, tweede lid, Cbw). Vermoedelijke aanvang 03:12, wat merkbaar is, en de genomen maatregelen (artikel 24 Cbb). Hersteltijd is niet van toepassing, want er is geen uitval.
7. Middag, breder kijken. Alle routers worden vergeleken met de laatste goede configuratie. Gedeelde geheimen worden vervangen: wachtwoorden, SNMP-communities, RADIUS- of TACACS-sleutels en BGP-wachtwoorden. Een aanvaller die de configuratie heeft gezien, kent die mogelijk.
8. Middag, gegevens. De privacyverantwoordelijke beoordeelt of persoonsgegevens zijn geraakt. Het gespiegelde verkeer kan daarvoor van belang zijn (artikel 11.3a Telecommunicatiewet). Zie datalek en cyberincident melden.
9. Einde dag, klanten. Artikel 30 Cbw vraagt klanten te informeren over significante incidenten die de dienst nadelig kunnen beïnvloeden, en over maatregelen die zij zelf kunnen nemen bij een significante cyberdreiging. Voorbeeldnet legt vast of en wat het meldt.
10. Donderdag 07:00, overdracht. De nachtdienst geeft de stand door aan de dagdienst. De melding van artikel 27 Cbw komt binnen 72 uur, met indicatoren zoals het IP-adres van de aanvaller.

De stappen 3, 4 en 7 zijn een praktische invulling, geen letterlijke wettelijke eis.

Waar het ook om gaat: de oorzaak

Het gedeelde account is hier geen detail. De regeling vraagt dat rechten op systeembeheer zoveel mogelijk geïndividualiseerd worden toegekend en dat voor beheeraccounts sterke authenticatie geldt (artikel 6, tweede lid, Regeling EZK). Een gedeeld account maakt het ook lastig om vast te stellen wie wat heeft gedaan. Neem dit mee in het eindverslag bij de grondoorzaak (artikel 29, eerste lid, onder b, Cbw). Zie ook MFA en beheertoegang.

Wat doet u morgen?

• Controleer of logbestanden van routers op een aparte server staan die een aanvaller op de router niet kan wissen.
• Stel een alarm in op nieuwe lokale gebruikers en op spiegelpoorten.
• Maak een lijst van alle gedeelde geheimen, zodat u ze snel kunt vervangen.
• Doe de zelfscan om te zien waar uw grootste gaten zitten.

Veelgestelde vragen

Moet ik melden als er niets is uitgevallen?

Dat kan. De algemene regel kijkt ook naar wat een incident kan veroorzaken. Beoordeel wat de aanvaller had kunnen doen en leg uw besluit vast.

Telt 10.000 gebruikers precies?

De toelichting zegt dat werknemers van een zakelijke klant als afzonderlijke gebruikers kunnen tellen. Uw aantal kan dus hoger zijn dan uw aantal aansluitingen. Weet u het niet precies, dan maakt u een schatting.

Ik twijfel. Wat nu?

Blijft u twijfelen of het significant is, dan kunt u altijd vrijwillig melden bij het CSIRT (artikel 33 Cbw). Is het wel significant, dan is alleen een vrijwillige melding niet genoeg. U kunt de meldklok en sjablonen in het portaal 30 dagen gratis proberen, zonder betaalgegevens.