Het rapport is binnen. Vier bevindingen: één kritiek, twee hoog, één laag. Er staat een code bij die begint met CVE, gevolgd door een jaartal en een getal. En bij één bevinding staat “beheerpaneel bereikbaar via internet”, wat je eigenlijk niet zo verontrustend vindt, want dat paneel gebruik je zelf ook.
Hoe lees je zo’n rapport? Wat betekenen die labels, waar komen ze vandaan en wat doe je als eerste? Dit artikel is een leeswijzer voor iedereen die geen IT-achtergrond heeft, maar wel de knopen moet doorhakken.
Wat er in een bevinding staat
Een goed rapport beschrijft elke bevinding in vier delen. Zo ziet dat er in de praktijk uit.
Wat is het. Een korte omschrijving in gewone taal. Bijvoorbeeld: “Op de mailserver draait een versie van de software met een bekende beveiligingsfout.” Of: “Poort 3389 staat open, waardoor de server van buitenaf te benaderen is.”
Waarom is het een risico. Wat een aanvaller ermee zou kunnen. Bij dat beheerpaneel: iemand die het wachtwoord raadt of een gelekt wachtwoord gebruikt, heeft daarna volledige controle over de server. Dat het paneel voor jou handig is, maakt het voor een aanvaller precies even handig.
Hoe urgent is het. Het label: kritiek, hoog, gemiddeld of laag. Daarover zo meer.
Wat moet er gebeuren. De concrete actie. Een update installeren, een poort sluiten, het paneel alleen bereikbaar maken via een beveiligde verbinding. Liefst zo geformuleerd dat je IT-leverancier er direct mee aan de slag kan.
Die code: wat is een CVE?
Bij veel bevindingen staat een code als CVE-2024-21413. CVE staat voor Common Vulnerabilities and Exposures: een wereldwijd register van bekende beveiligingslekken. Zodra een onderzoeker of leverancier een fout ontdekt en meldt, krijgt die een uniek nummer. Het jaartal is het jaar waarin dat nummer is toegekend, het getal erna is een volgnummer.
Het nut van zo’n code is dat iedereen ter wereld het over hetzelfde lek heeft. Jouw IT-leverancier kan het opzoeken en ziet direct om welke software het gaat, welke versies kwetsbaar zijn en welke update het oplost. Je hoeft de code zelf niet te begrijpen. Je hoeft alleen te weten dat er een oplossing voor bestaat, want anders had het geen nummer.
En dat is meteen de keerzijde. Zodra een lek een CVE-nummer heeft, is het publiek. Aanvallers lezen dezelfde lijsten en bouwen geautomatiseerde programma’s die het internet afzoeken naar systemen waar de update nog niet is gedraaid. Een CVE in jouw rapport betekent dus: de wereld weet het, en jij nu ook.
Waar het label vandaan komt
Kritiek, hoog, gemiddeld of laag is geen onderbuikgevoel. Elk gepubliceerd lek krijgt een score van 0 tot 10 op een internationale schaal die kijkt naar vragen als:
- Kan het lek via het internet worden misbruikt, of alleen door iemand die al binnen is?
- Is er een wachtwoord of interactie van een gebruiker voor nodig, of werkt het vanzelf?
- Hoe groot is de schade als het lukt: alleen meelezen, of volledige controle?
Een score van 9 of hoger heet kritiek. Denk aan een lek waarmee een aanvaller zonder wachtwoord, van buitenaf, code kan uitvoeren op jouw server. Hoog zit daar net onder. Laag is bijvoorbeeld informatie die onnodig zichtbaar is, zoals een versienummer, maar waarmee op zichzelf nog niets kapot kan.
Daarnaast weegt een goed rapport mee wat er bij jou speelt. Een kritiek lek in een testomgeving die niemand gebruikt, is anders dan hetzelfde lek in je klantenportaal. Daarom staat er naast de score ook een prioriteit die op jouw situatie is afgestemd.
Wat je als eerste aanpakt
De volgorde is eenvoudiger dan je denkt.
- Kritiek: vandaag. Dit zijn de lekken waar aanvallers actief op jagen. Bel je IT-leverancier of laat ons het oppakken. Niet aan het eind van de week, vandaag.
- Hoog: deze week. Ernstig, maar meestal is er een extra stap nodig voordat een aanvaller er iets mee kan. Plan het in en volg het op.
- Gemiddeld en laag: bij het volgende onderhoud. Niet negeren, wel plannen. Losse lage bevindingen zijn zelden een probleem, maar een aanvaller combineert graag drie kleine zwakheden tot één grote.
- Daarna: opnieuw scannen. Een update kan mislukken, een poort kan per ongeluk weer opengaan. Pas als de nieuwe scan schoon is, is het echt opgelost.
Wat je vooral niet moet doen: het rapport in een map zetten en wachten tot het volgende jaar. Het gevaarlijkste rapport is een rapport dat wel is gemaakt, maar niet is opgevolgd. Als er ooit iets misgaat, ligt er dan zwart op wit dat je het wist.
Het rapport als bewijs
Er is nog een reden om het rapport en de opvolging goed te bewaren. Klanten, accountants en auditors vragen steeds vaker of je je beveiliging actief test. Onder NIS2 en de AVG ben je verplicht om je maatregelen regelmatig te beoordelen, en bij een ISO 27001-traject is kwetsbaarhedenbeheer een standaardonderdeel.
Een reeks rapporten, met per bevinding wat er is gedaan en wanneer, is precies de bewijsvoering waar zij naar zoeken. Niet omdat er nooit iets gevonden mag worden, maar omdat je laat zien dat je kijkt en handelt.
Bij Orange Warriors zorgen wij dat het rapport leesbaar is, dat de prioriteiten kloppen en dat er iemand meekijkt bij het oplossen. In Guardian scannen wij jaarlijks, in Sentinel elk kwartaal. Wil je zien hoe zo’n rapport er voor jouw bedrijf uitziet? Dan scannen wij gratis een eerste keer.
Bronnen en verder lezen
- CVE Program: hoe CVE-nummers worden toegekend.
- FIRST: CVSS: de scoremethode achter kritiek, hoog, gemiddeld en laag.
- NVD, National Vulnerability Database: CVE’s opzoeken met score en getroffen versies.
