Tweetalige printerversie Eentalige printerversie

Schriftelijke vraag nr. 5-8995

van Nele Lijnen (Open Vld) d.d. 13 mei 2013

aan de staatssecretaris voor Ambtenarenzaken en Modernisering van de Openbare Diensten, toegevoegd aan de minister van Financiën en Duurzame Ontwikkeling, belast met Ambtenarenzaken

Cybercrime - Gerichte cyberaanvallen - Websites van de federale overheid - Wateringhole-techniek - Beveiliging - Restricties

computercriminaliteit
elektronische overheid
gegevensbescherming
computerpiraterij
internetsite
centrale overheid
computervirus

Chronologie

13/5/2013Verzending vraag
12/6/2013Antwoord

Ook gesteld aan : schriftelijke vraag 5-8991
Ook gesteld aan : schriftelijke vraag 5-8992
Ook gesteld aan : schriftelijke vraag 5-8993

Vraag nr. 5-8995 d.d. 13 mei 2013 : (Vraag gesteld in het Nederlands)

In een recent rapport stelt het Amerikaanse bedrijf Symantec dat het aantal gerichte cyberaanvallen in 2012 met 42% is toegenomen. Het hoofddoel van deze aanvallen is het stelen van intellectuele eigendom, waarbij kmo's, de industrie en de overheidssector vooral aangevallen worden. Is het doel van de criminelen niet per se om info te stelen van die bedrijven, dan fungeren de bedrijven als slachtoffer in een poging om grotere bedrijven of de overheid aan te vallen. Dit via de zogenaamde "watering hole" techniek. Een cybercrimineel plant hierbij een "exploit" op een gekozen website die veel bezocht wordt door gebruikers van de site die hij eigenlijk wil treffen. Nietsvermoedende bezoekers van de geïnfecteerde site installeren zo bijvoorbeeld een "trojan" of "malware". Vervolgens kan de crimineel in de pc's of de website van de organisatie die hij eigenlijk wilde binnendringen. Het bedrijf waarvan de website wordt aangevallen is dus slechts een onwetende tussenpersoon. Het is zeer goed mogelijk dat de criminelen in een adem ook bijvoorbeeld bankgegevens of intellectuele eigendommen stelen van de bedrijven. Het doel is dus niet om zoveel mogelijk slachtoffers te maken, wel om enkele zeer specifieke targets te bereiken.

Bedrijven hebben aldus geen weet van hun rol in dit proces. Ze denken dat cybercriminelen hen met rust laten en eerder de overheid of multinationals aanvallen. Dit klopt dus niet. In de Verenigde Staten (VS) is niet langer de overheid, wel de nijverheidssector het primaire slachtoffer. Wanneer criminelen gegevens (bijvoorbeeld bankgegevens, contracten, persoonlijke gegevens, …) nodig hebben, vallen ze niet de beter beveiligde grote bedrijven aan, maar wel de kleinere die nauw met hen samenwerken en dus veel gegevens over hen hebben. Om die reden worden ook niet de leiders van deze bedrijven aangevallen, maar wel de administratie die toegang heeft tot de documenten.

Graag had ik de ministers/staatssecretaris volgende vragen gesteld:

1) Zijn in het verleden al websites van de federale overheid het slachtoffer geworden van de zogenaamde "watering hole" techniek, waarbij de overheid het target was? Zijn websites van de federale overheid reeds gebruikt als "tussenpersoon", of zijn gevallen bekend waarbij overheidspc's werden besmet na het bezoeken van een besmette website?

2) Zo ja, kan dit worden toegelicht met cijfers over de afgelopen vijf jaar?

3) Zo niet, zijn de diensten die waken over de veiligheid van deze websites in staat om dergelijke inbreuken zoals de watering hole techniek vast te stellen?

4) Is het een wijdverspreide praktijk bij de overheid om het aantal te bezoeken websites te beperken, of kan het overheidspersoneel in het algemeen zowat alle websites bezoeken? Kan dit worden toegelicht?

5) Indien er restricties zijn, is dit omwille van de cyberveiligheid of de productiviteit?

6) Is het een wijdverspreide praktijk bij de overheid om regelmatig het paswoord van de computers te resetten, waardoor een nieuw moet worden gekozen door de gebruiker? Zijn de ministers/staatssecretarissen hier voorstander van?

7) Wanneer op een pc van de overheid een "trojan", "malware", … wordt ontdekt die kan wijzen op potentiële (gevaren met betrekking tot) inbreuken, is het dan de standaardpraktijk om op die pc een nieuw wachtwoord in te stellen?

Antwoord ontvangen op 12 juni 2013 :

1) Voor wat toepassingen van de Federale Overheidsdienst Informatie- en Communicatie Technologie (FEDICT) betreft, hebben we geen kennis van dergelijke incidenten. In diverse inkomende mails vinden we wel pogingen om de gebruiker aan te moedigen verdachte sites te bezoeken.

Computer Emergency Response Team (CERT) CERT.be kan niet antwoorden voor het geheel van de federale websites, omdat het niet over volledige statistieken in dit verband beschikt. De administraties zijn niet verplicht de aanvallen op hun infrastructuur aan CERT.be te melden.

2) Deze vraag is niet van toepassing.

3) Een beveiliging en detectie zijn nooit sluitend. Wij kunnen dus niet uitsluiten dat we ooit slachtoffer of tussenschakel geweest zijn. Zowel op het gebied van beveiliging als detectie zijn diverse maatregelen genomen bij de configuratie van de servers:

  1. Mail relay systemen die verdachte mails isoleren en blokkeren

  2. Intrusion prevention systemen voor alle applicaties van Fedict

  3. Web-application firewalls die ons beter moeten beschermen tegen kwetsbare toepassingen

  4. De toepassingen worden beschermd door een reverse-proxy ketting. Deze proxies vormen een bijkomende beschermingslaag voor sommige types aanvallen.

  5. toepassingen kunnen nooit met (ongedeclareerde) systemen op Internet spreken

  6. toepassingen worden periodiek gescand op kwetsbaarheden

Kwetsbaarheden langs de client kant (PC’s en menselijk klikgedrag) openen meestal het venster van waaruit de serverinfrastructuur aangevallen wordt.

4 en 5) Het behoort tot de autonomie van elke Federale Overheidsdienst om een veiligheidsbeleid uit te werken en toe te passen. Binnen de ruime waaier van veiligheidsbeleidsdomeinen en van de cyberveiligheid in het bijzonder is het beperken van de toegang tot bepaalde websites één van de mogelijkheden. De productiviteit van de medewerkers is eerder een bevoegdheidsdomein van de stafdiensten Personeel en Organisatie, die voor onderwerpen gerelateerd aan informatietechnologie daartoe de dialoog kan aangaan met de respectieve stafdiensten ICT.

6) De authenticatie van de gebruikers is een kernonderdeel van een geïntegreerd veiligheidsbeleid. Bij toepassing van gebruikersnaam en wachtwoord is het aangewezen om wachtwoorden periodiek te wijzigen, indien dit op een oordeelkundige wijze gebeurt. Zo niet ontstaan er andere veiligheidsrisico’s, zoals onder meer het noteren van paswoorden. Daarom is een regelmatig bewustmakingsproces van de risico’s een belangrijke schakel in het algemeen beveiligingsbeleid van elke Federale Overheidsdienst.

7) De antivirussoftware signaleert elke gekende besmetting aan de helpdeskverantwoordelijke en aan specialist binnen het ICT-team. De besmette pc wordt uit het netwerk genomen en krijgt een behandeling die aangepast is aan de aard van de besmetting. Wanneer malware ontdekt wordt moet zelfs het volledige netwerk als geïnfecteerd beschouwd worden. Het instellen van een nieuw wachtwoord is slechts een klein onderdeel van een set van gecoördineerde acties op netwerkniveau. Enkel een wachtwoord opnieuw instellen is absoluut onvoldoende.