Voor iedereen die twijfelt over zichzelf. Ben je wel goed genoeg? Of kan je iets wel? Weet dat er online altijd mensen jaloers op je zijn. Jaloers op de toegang die jij hebt binnen je organisatie. Jaloers op de zorgdata van anderen waar jij bij kan. Onze online tegenstander wil jou kunnen zijn op het internet.
In het schaakspel heb je spelregels. Of er op het internet ook spelregels zijn, hangt af van wie je het vraagt. Bij schaken mag jij enkel je eigen speelstukken verplaatsen. Het zou knap lastig zijn om bij schaken te winnen van iemand die valsspeelt en ook jouw stukken zou verplaatsen. Maar dit is precies wat onze online tegenstander wil. Door vals te spelen, willen ze 'jou worden'.
Op het internet ben jij vaak een gebruikersnaam + een wachtwoord. Voordat je nu zucht en stopt met lezen van de zoveelste blog die je gaat vertellen over hoe jij met wachtwoorden dient om te gaan, geen zorgen. Deze blog gaat over iets anders. Namelijk over de manieren waarop onze online tegenstander kan valsspelen. De tactiek Credential Access uit het MITRE ATT&CK framework beschrijft hoe gebruikersnamen en wachtwoorden gestolen kunnen worden.
Maar is het valsspelen als de techniek het toelaat? Je kunt wel zeggen “Hé, dat mag niet!” als iemand jouw wachtwoord weet te raden door het heel vaak te mogen gokken (Brute Force). En is het valsspelen als alle wachtwoorden van medewerkers op een centrale plaatst staan en een aanvaller hier eenvoudig bij kan? (OS Credential Dumping) En kun je het een collega kwalijk nemen dat hij of zij wordt misleid? Door het inloggen op een webpagina, met werkende tweefactorauthenticatie, en die zo echt lijkt dat het niet meer te onderscheiden is van normaal? (Adversary-in-the-Middle, Multi-Factor Authentication Interception).
De sleutel tot succes is dat jij jouw werklaptop en werktelefoon laat beheren door je organisatie. Dat je organisatie kan controleren dat enkel de werklaptop en werktelefoon toegang heeft en niet de computer van onze online tegenstander (Conditional Access Policies).
Wees niet enkel een gebruikersnaam en wachtwoord, laat je organisatie de spelregels bepalen. Of speel je graag vals en ben jij juist de grootste dreiging?
Al met al input voor een gesprek tijdens de koffiepauze.
Volgende blogpost in deze reeks: Deel 8: Defense Evasion