Een backdoor of twee
Inmiddels is het nieuws van een backdoor in SolarWinds een week oud. Berichten over een tweede backdoor doen sinds een paar dagen de ronde. Er zijn nu al de nodige analyses die goed beschrijven wat er mis is gegaan, wie de doelwitten waren en gelukkig ook hoe dit probleem aan de klantzijde is te verhelpen.
Maar het is niet genoeg. We zijn – en worden – geconfronteerd met een verdraaid goed opgezette aanval. Met enig gevoel voor drama kan worden geroepen dat dit de perfecte storm is. Niet een enkel bedrijf of ministerie, maar een onbekend groot aantal was kwetsbaar. En dat omdat een software pakket dat bedoeld is om te monitoren op veiligheid zelf lek is.
Ronduit verontrustend is dat de omgevingen van partijen als Microsoft en netwerkleveranciers als Cisco schijnbaar ook verzwakt of geïnfiltreerd kunnen zijn. Hierdoor is de totale impact van het lek of de backdoor(s) gewoon niet te overzien.
Een vergelijkbaar probleem is tot zover ook nooit eerder vastgesteld. Voor velen is het ook een eerste ervaring met een kwetsbaarheid elders in de IT keten waar ze geen zeggenschap over hebben.
Voorspellingen
Terwijl de ophef en vragen over SolarWinds blijven aanhouden gaan andere bedrijven door het met afgeven van voorspellingen. Of het nu om hardware vendoren gaat, software huizen of security bedrijven. Iedereen heeft het thuiswerken als “the new normal” veel aandacht. Ook in 2021 moet daar rekening mee gehouden worden. Dat niet alleen omdat het eisen stelt aan de hardware en applicaties. Een werkplek die fysiek echt remote is en niet het eigendom van een werkgever veilig maken kan ook best een uitdaging zijn.
De echte uitdaging voor 2021 gaat echter waarschijnlijk iets anders worden. De aanval op SolarWinds heeft een zwaktes blootgelegd die door maar weinigen werden voorzien. Dat de MSP een perfecte steppingstone is, werd al in een aantal voorspellingen voor 2020 aangegeven. Niemand heeft echter het handjevol leveranciers van software voor dit soort bedrijven als kritieke schakel durven te benoemen.
Daarmee zijn veel van de 2021 voorspellingen vooral een bewijs dat we simpelweg niet in staat zijn de toekomst te voorspellen. Ook – of juist – als het om IT security gaat, blijken de aanvallende partijen keer op keer slimmer dan we voor mogelijk houden.