Aanval Albert Heijn toont belang van snelle detectie én kordat mandaat
Na de preventieve uitschakeling van IT-systemen bij Albert Heijn, Etos en Gall & Gall pleiten cybersecurity-experts voor een scherpere focus op vroege detectie en heldere besluitvorming bij bedrijven. Volgens Marcel Ruijken, Lead Auditor bij certificeerder DNV, laat het incident zien dat het tijdig herkennen van verdacht netwerkverkeer en het snel durven 'doorknippen' van verbindingen cruciaal zijn om ergere schade te voorkomen.
Sinds zondagmiddag 11 oktober kampen de winkelketens van moederbedrijf Ahold Delhaize met ernstige IT-storingen. Beveiligers merkten verdacht aanvalsverkeer op, waarna werd besloten om onderdelen van de infrastructuur uit voorzorg af te schakelen. Dit leidde tot stilstaande distributiecentra, onbereikbare apps en lege schappen. Hoewel de precieze oorzaak en eventuele betrokkenheid van ransomware nog onbekend zijn, benadrukken experts dat het incident twee belangrijke lessen bevat.
Mandaat net zo belangrijk als techniek
De eerste winst zit volgens Ruijken, die dit in een uitgebreide blog beschrijft, in het feit dat het netwerkverkeer überhaupt is opgemerkt. De tweede, vaak onderbelichte prestatie is organisatorisch: "Er was iemand die mocht besluiten de stekker eruit te trekken, op het slechtst denkbare moment van de week, zonder eerst drie escalaties af te wachten." Dit mandaat om op een kritiek moment in te grijpen ontbreekt bij veel organisaties, waardoor incidenten pas aan het licht komen wanneer ransomware de systemen al heeft versleuteld.
Bij grote organisaties beginnen aanvallen zelden met complexe kwetsbaarheden, maar met het misbruik van geldige inloggegevens of sessiecookies via phishing. Omdat reguliere endpoint-beveiliging dit niet altijd opmerkt, is het analyseren van verdacht gedrag — zoals het instellen van afwijkende mailboxregels, ongeautoriseerde OAuth-toestemmingen of ongewoon uitgaand netwerkverkeer — essentieel.
Isoleren in plaats van uitschakelen
Wanneer verdachte activiteit wordt waargenomen, adviseert de expert om systemen via de beveiligingssoftware te isoleren van het netwerk in plaats van fysiek uit te schakelen. Door apparaten aan te laten staan, blijft het werkgeheugen behouden. Dit bevat vaak cruciale informatie over de aanval, zoals actieve processen en encryptiesleutels, die anders verloren gaat voor het forensisch onderzoek.
Daarnaast wordt aangeraden om bevoegdheden en identiteiten direct aan te pakken:
- Trek actieve sessies direct in en reset niet alleen wachtwoorden.
- Schakel onbekende OAuth-toestemmingen uit.
- Isoleer back-ups onmiddellijk van het gecompromitteerde netwerk.
- Schakel voor het crisisoverleg over op een extern communicatiekanaal, om te voorkomen dat aanvallers binnen het eigen netwerk meelezen.
Voorbereiding op wetgeving
Met de inwerkingtreding van de Cyberbeveiligingswet (Cbw) op 15 augustus en de strengere rapportage-eisen onder de AVG, neemt de druk op organisaties toe om incidenten snel te melden en af te handelen. Volgens DNV schuilt de waarde van normen zoals ISO 27001 en de Cbw niet in het papierwerk zelf, maar in het vooraf vastleggen van de juiste procedures.
Organisaties moeten niet pas op zondagmiddag bespreken wie de bevoegdheid heeft om systemen plat te leggen, maar moeten dit mandaat vooraf instellen en de detectie op orde hebben.
Meer over cybercrime
Over Witold Kepinski
