zoeken Nieuwsbrief
      Linkedin    Twitter   
  
nieuws
 

Vijf adviezen voor het managen van SSH-sleutels

14 december 2015 - Het National Institute on Standards & Technology (NIST) publiceerde het rapport: ‘Security of Interactive and Automated Access Management Using Secure Shell (SSH)’. Dit mede met Venafi  geschreven rapport is bedoeld om bedrijven bewuster te maken van de risico’s gerelateerd aan het gebruik van SSH-certificaten.

Het bevat tevens praktische richtlijnen voor betere bescherming tegen certificaatmisbruik.  



Driekwart Global 2000 organisaties heeft geen SSH-bescherming
Uit onderzoek van Venafi en het Ponemon instituut blijkt dat drie van de vier Global 2000-organisaties geen securityoplossing hebben voor SSH. Daardoor staat de deur mogelijk open voor root-level toegang en informatiediefstal door cybercriminelen. Verder verandert vrijwel de helft van alle onderzochte bedrijven nooit de gebruikte SSH-sleutels. Als deze worden gestolen en misbruikt, kunnen criminelen hun netwerken, servers en cloud-omgevingen overnemen.    

Voorbeelden van SSH-misbruik
 
  • In 2014 onthulde Kapersky Labs operatie The Mask (Careto). Daarbij werd duidelijk dat criminelen vanuit Spanje zeven jaar lang meervoudige APT-stijl aanvallen hebben gebruikt, om informatie van overheden en bedrijven te stelen. Deze groep richtte zich vooral op SSH-sleutels voor het authentiseren van administrators, servers, virtuele machines en cloud services.
  • In juni 2015 kondigde Cisco aan dat ze standaard SSH-sleutels op drie beveiligingsapparaten hebben toegepast. Daardoor lopen klanten het risico dat ongeautoriseerde remote gebruikers verkeer onderscheppen, of met root-rechten toegang krijgen tot kritische systemen.
Meest voorkomende SSH-kwetsbaarheden
Uit het NIST-rapport blijkt dat de volgende SSH-kwetsbaarheden regelmatig voorkomen:
 
  • Zwakke SSH-implementaties
  • Incorrect geconfigureerde toegangsrechten
  • Gestolen, gelekte, nagemaakte en niet-beëindigde SSH-sleutels
  • Backdoors (ongecontroleerde gebruikerssleutels)
  • Onbedoeld gebruik van sleutels
  • Pivoting
  • Gebrek aan kennis en menselijke fouten
Vijf adviezen voor het managen van SSH-sleutels
1. Definieer policies en processen voor de hele levenscyclus van SSH-sleutels. Het configureren van toegang tot een account voor interactieve gebruikers en geautomatiseerde processen moet een bewuste beslissing zijn. Daarbij moet de balans tussen toegangsbehoefte en risico’s zorgvuldig worden afgewogen, waaronder het toegangsniveau.
2. Creëer processen voor continu monitoren en auditen, om te controleren dat processen voor uitgifte, beheer en beëindiging daadwerkelijk worden toegepast en ongeautoriseerde of verkeerd geconfigureerde SSH-sleutels te ontdekken.
3. Inventariseer en saneer aanwezige SSH-servers, -sleutels en vertrouwensrelaties. Oude sleutels vertegenwoordigen een groter risico en maken een risicoanalyse complexer als ze niet worden begrepen. Daarom is het aan te bevelen een complete inventarisatie te maken van alle SSH-sleutels (locatie en toepassing) en de vertrouwensrelaties die daarop zijn gebaseerd, om deze allemaal te kunnen afwegen tegen de gedefinieerde policies.
4. Automatiseer processen. Het automatiseren van de beheerprocessen voor SSH-sleutels, draagt in belangrijke mate bij aan verbetering van de beveiliging, efficiency en beschikbaarheid.
5. Train het management. De meeste managers zijn zich niet bewust van de cruciale rol die SSH-sleutels spelen in het dagelijks gebruik van kritische infrastructuren en systemen en de mogelijke gevolgen van misbruik. Zonder security- en businessmanagers op te leiden, ontsporen initiatieven om het beheer van SSH-sleutels te verbeteren door andere prioriteiten. Met als gevolg dat organisaties kwetsbaar blijven.

Worst case scenario’s
"Misbruik van een encryptietechniek of SSH-sleutel, behoren tot de worst case scenario’s die bedrijven kunnen meemaken," zegt Kevin Bocek, Vice President Security Strategy & Threath Intelligence bij Venafi. "Als een aanvaller root-level toegang krijgt, kunnen ze namelijk complete netwerken en systemen overnemen en voor elk doel misbruiken. Bij Venafi adviseren wij klanten al meer dan tien jaar SSH-sleutels goed te beschermen en te monitoren. Daarom hebben wij graag meegewerkt aan dit waardevolle rapport, om security professionals te informeren over de risico’s gerelateerd aan onbeschermde SSH-sleutels en te adviseren over mogelijke verbeteringen."

Policies en processen
"Omdat SSH zo’n belangrijke rol speelt in het beveiligen en administreren van de geautomatiseerde toegang tot verschillende systemen in organisaties van elke omvang, zijn de policies en processen daarvoor kritisch," zegt Matthew Scholl, chief van de National Institute of Standards & Technology computer security divisie. "Maar ook regelmatige beveiligingscontroles voor het correct managen van alle gebruikte SSH-sleutels en hun instellingen". "Veel IT- en securityprofessionals realiseren zich onvoldoende dat SSH-sleutels root-level toegang kunnen bieden en nooit verlopen," vult Bocek aan. "Zodra een aanvaller zo’n SSH-sleutel heeft gestolen, wordt er voor de eeuwigheid een achterdeur opengezet. Daarom is het zo belangrijk dat organisaties snel actie ondernemen om hun SSH-sleutels beter te beschermen op basis van de NIST-richtlijn."

 
 Doorsturen   Reageer  

 

Laatste nieuws

 Drie manieren om ‘bad hires’ te voorkomen
 De top tien meest schaarse beroepen in Europa
 De twintig populairste steden deze zomervakantie het populairste
 

Gerelateerde nieuwsitems

 Bedrijven verliezen klanten door onbetrouwbare sleutels en certificaten
 IT Security Pros negeren risico’s van vervalste certificaten
 Maak een effectiviteitslag met een sterke ICT-afdeling
 Combinatie data, technologie en organisatie sleutel voor succes
 
 
reacties
 
Er zijn nog geen reacties.

REAGEREN

Naam:
Emailadres:
URL: (niet verplicht) http:// 
 
Reactie/Opmerking:
Ik wil bericht per e-mail ontvangen als er meer reacties op dit artikel verschijnen.
 
Als extra controle, om er zeker van te zijn dat dit een handmatige reactie is, typ onderstaande code over in het tekstveld ernaast. Is het niet te lezen? Klik hier om de code te wijzigen.
advertorial
Leer in 2 dagen ontspannen en overtuigend te presenteren
Spreekangst wordt ontrafeld en geëlimineerd. Ruim 14.000 professionals volgden eerder de 'Sneltraining ‘Spreken in het openbaar’ van Pieter Frijters. Rebels, open en ‘out of the box’. Kijk op Spreek.nl of bel 0182 631 232.
Lees verder
Meer dan 100 gratis checklists voor ondernemers. Op Brisk Magazine, internetmagazine voor ondernemers.
Een zakelijke lening afsluiten bij de bank? Bereid u goed voor
Last van ongedierte in en rondom het bedrijfspand? Deze maatregelen kun je treffen!
reacties
Wat leert Maarten van der Weijden ons over doelen stellen? (1) 
Tien excuses bij het aanhoren van klachten (2) 
Hoog tijd om aan de slag te gaan met het Klimaatakkoord (1) 
Vijf tips om customer feedback van vijfsterrenkwaliteit te krijgen (1) 
De kracht van stilte (1) 
Kan IT de populariteit van Virtual Reality bijhouden?  (2) 
Hostingbranche ziet public cloud niet als bedreiging (1) 
top10
De klant is koning, ook als u op vakantie gaat
Werkgever speelt belangrijke rol in gezondheid medewerkers
Ontwikkeling authentiek leiderschap gebaat bij mindfulness
Een op de vijf leidinggevenden start liefst morgen bij nieuwe werkgever
Angst voor baanverlies in financiële dienstverlening groeit met ruim 500 procent
Hoeveel tijd kost toezichthouden echt?
Bedrijven vertrouwen te veel op cloud-providers voor security
Zomervakantie van start: goed voorbereid op autovakantie
Persoonsgegevens in gevaar: kwart zorgverleners maakt zich zorgen om privacy cliënten
Negen van de tien Nederlanders heeft geen idee hoe om te gaan met digitale munten
meer top 10