Nieuws
Kamervragen over de afhankelijkheid van een enkele cloudleverancier
Illustratie bij dit bericht.
Kamerleden willen opheldering over de afhankelijkheid van een enkele cloudleverancier. De vragen zijn gesteld naar aanleiding van berichtgeving van de afgelopen week.
Eerdere vragen over hetzelfde onderwerp leidden tot een toezegging die volgens de indieners nog niet is nagekomen.
Hoe het werd ontdekt
Het kabinet heeft toegezegd de vragen binnen drie weken te beantwoorden.
De vragenstellers willen weten welke waarborgen er zijn en of aanvullende regels nodig zijn.
24 reacties
Kamervragen zijn leuk, maar wat gebeurt er met het antwoord?
Dit speelt al jaren en er verandert structureel weinig.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Aanvullend: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Goed punt, maar De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
Niet helemaal. Ik heb het hier net getest en kan het bevestigen.
Iedereen roept zero trust, maar in de praktijk hangt er nog een plat netwerk achter de firewall.
Dank, dat verklaart wel het een en ander. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Dat valt in de praktijk tegen. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Dank, dat verklaart wel het een en ander. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Aanvullend: Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Wat mij vooral opvalt: geen woord over hoe lang de aanvallers binnen zaten. Dat zegt meestal genoeg.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Reageren kan na registratie.
Inloggen
Meer nieuws