FME: Verhoog digitale weerbaarheid met oog op oorlog in Oekraïne

Bedrijven in Nederland moeten hun digitale weerbaarheid dringend verhogen met het oog op de oorlog in Oekraïne. Deze oproep is afkomstig van de FME. Hoewel er geen concrete aanwijzingen zijn voor gerichte Russische cyberaanvallen op Nederlandse bedrijven, is een verhoogde waakzaamheid volgens FME van groot belang.

FME waarschuwt voor mogelijke ‘spillover effecten’ van digitale aanvallen in Oekraïne in Nederland. Denk echter ook aan directe aanvallen op Nederlandse organisaties. Bijvoorbeeld als vergelding voor door de Nederlandse overheid opgelegde sancties.

Wipermalware

Al langer waarschuwen beveiligingsbedrijven voor cyberaanvallen in relatie met de oorlog in Oekraïne. Zo waarschuwde beveiligingsonderzoekers van het bedrijf ESET voor IsaacWiper en HermeticWiper. Dit zijn twee vormen van zogeheten wipermalware. Dit is malafide software die specifiek is ontwikkeld om systemen volledig te wissen, met als doel het veroorzaken van schade.

IsaacWiper is direct na de start van de Russische invasie in Oekraïne veel ingezet. De cybercriminelen achter deze malware lijken hun pijlen specifiek te richten op de Oekraïnse overheid. In de code van de malware is echter een verwijzing gevonden naar de datum 19 oktober 2021. Indien deze datum klopt, zou dit betekenen dat de malware al maanden vooraf aan de invasie in gebruik was.

HermeticWiper is eerder al ingezet, in de aanloop naar de invasie. Deze malware bestaat uit drie componenten. HermeticWiper richt zich op het wissen van data van geïnfecteerde systemen. HermeticWizard verzorgt de verspreiding van de malware op lokale netwerken. Zo kan de besmetting van PC naar PC springen. HermeticRansom is volgens ESET component dat als afleidingsstrategie wordt ingezet. De wipermalware lijkt zich hierdoor te gedragen als ransomware. Ransomware is veelvoorkomende malafide software die data op systemen in gijzeling neemt. Cybercriminelen die ransomware inzetten eisen doorgaans vervolgens losgeld van slachtoffers die hun data weer toegankelijk willen maken.

Ook Nationaal Cyber Security Centrum is alert

Het Nationaal Cyber Security Centrum (NCSC) monitort de situatie in Oekraïne en gerelateerde cyberdreigingen. Het NCSC is een publiek-private organisatie die sinds begin 2012 actief is. Het centrum heeft als doel de digitale weerbaarheid van de Nederlandse samenleving te vergroten. Het vormt het centrale informatieknooppunt en expertisecentrum voor cybersecurity in Nederland. Op een webpagina deelt het centrum de laatste informatie.

Het centrum heeft vooralsnog geen concrete aanwijzingen dat digitale aanvallen in relatie tot de oorlog in Oekraïne impact hebben op Nederland. Het NCSC sluit eventuele gevolgen en aanvallen in Nederland in de toekomst echter niet uit.

‘Met name meldingen van DDoS-aanvallen en wipermalware

Momenteel wordt internationaal met name melding gemaakt van DDoS-aanvallen en aanvallen met de eerder genoemde wipermalware. Ook zijn diverse internationale hackersgroepen bij de oorlog betrokken. Het NCSC waarschuwt dat deze betrokkenheid kan leiden tot een toename van digitale aanvallen. En dat deze aanvallen in de toekomst mogelijk ook impact hebben op Nederlandse organisaties.

Het NCSC adviseert Nederlandse organisaties daarom hun digitale weerbaarheid op orde te brengen. Het adviseert onder meer in ieder geval de NCSC-basismaatregelen op te volgen. Het gaat daarbij onder meer om het up-to-date houden en back-uppen van systemen, toepassen van multi-factorauthentificatie en adequate toegangsbeheer. Denk echter ook aan netwerksegmentatie, het in kaart brengen van apparaten en diensten die via internet bereikbaar zijn en het versleutelen van gevoelige informatie.

Ook adviseert het NCSC Nederlandse partijen de publicatie Aandachtspunten crisismanagement en crisiscommunicatie bij digitale incidenten te bestuderen. Dit document bevat praktische informatie voor crisismanagement en crisiscommunicatie. Deze informatie helpt organisaties bij digitale incidenten hun respons zo goed mogelijk te organiseren. Op zijn website verzamelt het NCSC daarnaast in chronologische volgorde alle aanvallen gerelateerd aan het conflict in Oekraïne.

Advies van het NCSC

Tot slot geeft het NCSC ook enkele adviezen voor de korte termijn:

• Zorg dat updates geïnstalleerd zijn. Dit is van toepassing op alle systemen die een directe koppeling met internet hebben.
• Doorloop uw incident-response plannen en stel zeker dat deze up-to-date zijn.
• Maak contactenlijsten ok offline beschikbaar. Denk hierbij ook aan externe contacten zoals dienstverleners.
• Stel uw medewerkers op de hoogte van wie binnen de organisatie zij moeten en kunnen bereiken indien zij verdachte signalen waarnemen.
• Test bestaande back-ups. Maak daarnaast een offline back-up, ook als u dit normaal niet doet.
• Zorg dat logische en fysieke netwerktekeningjen offline beschikbaar zijn.
• Verbeter de veiligheid van e-mailservers door het toepassen van technieken als SPF, DKIM en DMARC.
• Ga voor de belangrijkste informatie en informatiesystemen nu al na wat u zou willen weten in het geval van een aanval en zorgt dat de daarvoor benodigde logging op orde is.

Ook richting leveranciers deelt het NCSC enkele adviezen:

• Breng in kaart van welke leveranciers u afhankelijk bent voor uw primaire dienstverlening.
• Maak uw overzicht met contactpersonen bij leveranciers up-to-date.
• Let in communicatie met leveranciers extra op eventuele desinformatie.
• Vraag leveranciers om systemen die zij voor u beheren na te lopen op ernstige beveiligingsproblemen.
• Controleer of u gebruik maakt van software van Russische en Oekraïense leverancier. En breng in kaart wat de impact van de oorlog is op de levering, ondersteuning en garantie van en op deze software.

Veel van de bovenstaande adviezen gelden ook voor industriële organisaties met primaire processen die zwaar leunen op operationele technologie. Wat betreft operationele technologie deelt het NCSC daarnaast enkele specifieke adviezen:

• Zorg voor adequate beveiliging van systemen die toegang bieden tot netwerken waarmee operationele technologie verbonden is. Denk hierbij aan VPN’s en firewalls.
• Controleer of de toegang tot omgevingen met operationele technologie afdoende is afgeschermd. Bijvoorbeeld door het gebruik van netwerksegmentatie.
• Wees extra alert op het gebruik van gegevensdragers in omgevingen waar operationele technologie aanwezig is. Gegevensdragers kunnen besmet zijn met malware en zo operationele technologie besmetten. Denk bij gegevensbeschermers aan USB-sticks, maar ook aan smartphones en laptops.

Tot slot stelt het NCSC de Checklist Beveiliging van ICS/SCADA en het rapport Succesfactoren voor digitaal veilige OT beschikbaar met aanvullende maatregelen.

Auteur: Wouter Hoeffnagel