Dat de preventieve ingreep nodig was, kwam door een verstoring van het reguliere updateproces, beschrijft Roland Van Rijswijk-Deij, hoogleraar Datagedreven Internetbeveiliging. ‘Normaal verlopen dit soort updates soepel, volgens een strak stramien. Ook nu werkten de ontwikkelaars van PHP al aan een zogenoemde patch, een update die het lek moest dichten. Het probleem was dat een van de betrokken partijen het nieuws over het lek op dinsdag al naar buiten bracht voordat die update klaar was. Om te voorkomen dat kwaadwillenden daar in de tussentijd al van profiteerden besloten veel organisaties, waaronder de UT, om alles preventief af te schermen.’
Snelle respons
Henk Swaters, Chief Information Security Office, beschrijft hoe LISA op dat nieuws reageerde. ‘Dinsdagavond 20 oktober kwam het nieuws naar buiten. Woensdagmorgen om zes uur beoordeelden we dat en schaalden meteen op. Om negen uur zat er een crisisteam bij elkaar om te bepalen welke systemen gevaar liepen en om elf uur namen we preventieve maatregelen en informeerden iedereen hierover.’
Studenten Net Twente (SNT) was zelfs nog eerder. Zij beheren de 125 websites van de studie- en studentenverenigingen van de UT. Voorzitter Eli Saado: ‘Bij ons was het een kwestie van een druk op de knop. Om tien uur zaten alle websites aan de achterkant op slot. Ze waren dus nog wel via eduroam en eduVPN te bekijken, maar tijdelijk niet te bewerken voor beheerders, omdat het lek in het uploadgedeelte zou zitten. Daarover informeerden we alle betrokkenen tijdig. Dat is het voordeel van ons als studenten, we zijn niet gebonden aan een negen-tot-vijf. Het is fijn dat we die autonomie ook krijgen binnen de UT.’
Onderdeel van de snelle respons van de UT was in kaart brengen welke websites en platforms die de UT gebruikt allemaal draaien op PHP. ‘Omdat we niet alles zelf kunnen bouwen en onderhouden, gebruiken we veel software van derde partijen,’ weet Van Rijswijk-Deij. ‘Om te voorkomen dat we via die partijen gevaar lopen, maken we vooraf duidelijke afspraken over wat we van ze verwachten in dit soort situaties.’
Tentamens uitgevallen
Als gevolg van de maatregelen waren verschillende UT-gerelateerde websites alleen toegankelijk via eduVPN. De leverancier van het digitale toetsingsplatform Remindo besloot uit voorzorg de dienst offline te halen, volgens afspraak. Daardoor vielen er drie tentamens uit. ‘Dat is vervelend, maar een relatief kleine impact,’ zegt Van Rijswijk-Deij. ‘Het weegt niet op tegen de schade van een eventuele hack.’
Volgens hem zijn dit soort problemen ook maar moeilijk te voorkomen. ‘Cryptisch gezegd: je weet niet wat je niet weet, dus kun je je daar ook niet op voorbereiden. Het gaat erom hoe je erop reageert.’
Hij beschrijft dat de stichting die de PHP-programmeertaal beheert momenteel verdrinkt in kwetsbaarheidsmeldingen die met AI gevonden worden. ‘Dat komt niet doordat de software slecht is, maar doordat AI allerlei theoretisch mogelijke problemen vindt. Die moeten ze allemaal controleren.’
Volgens Saado van SNT reageerden de websitebeheerders mild. ‘Ze begrepen het wel. Sommigen maakten van de nood een deugd. Toen de patch beschikbaar kwam, spraken een aantal webbeheerders van de verenigingen af in de Vestingbar om onder het genot van een biertje gezamenlijk de updates uit te voeren.’
Niet de laatste keer
Swaters geeft aan dat het waarschijnlijk niet de laatste cybercrisis is. ‘Er komen steeds nieuwe kwetsbaarheden met een grote impact tevoorschijn. Dat komt doordat applicaties worden gemaakt met veel hergebruikte componenten. Zowel beveiligingsonderzoekers als kwaadwillenden onderzoeken die steeds vaker met AI op zwakke plekken.’
Voor de studentenverenigingen zit er volgens Saado een potentieel probleem in de doorstroom van websitebeheerders. ‘Soms bouwt een systeembeheerder bij een vereniging zelf mooie extensies voor de website. Maar als diegene afstudeert en weg is, blijft er iets achter waar de zittende vereniging niets mee kan of zelfs niet eens weet dat het er nog is. Daar kan in potentie een probleem ontstaan.’
Van Rijswijk-Deij benadrukt het belang van een stevige crisisstructuur. ‘Je kunt niet van tevoren patchen, maar wel procesmatig paraat staan. Daarom houden we elke twee jaar de OZON-oefening, de Oefening Zonder Officiële Naam, waarin we met alle hoger onderwijsinstellingen testen hoe goed crisisteams en IT-diensten samenwerken bij dit soort crisissen.’
Volgens Swaters richt LISA zich niet alleen op het installeren van updates, maar houdt ze alles strak in de gaten om meer inzicht in systemen en afhankelijkheden te krijgen. ‘Zo kunnen we sneller vaststellen welke systemen worden geraakt en welke maatregelen nodig zijn.’
Regie behouden
Een hack of preventief offline, is het resultaat voor de gebruiker niet hetzelfde, namelijk geen toegang? Volgens Van Rijswijk-Deij niet. ‘Als een kwaadwillende binnendringt en data verzamelt of gegevens gijzelt, ben je veel verder van huis. Een preventieve uitschakeling doe je wanneer je weet dat de oplossing nabij is.’ Volgens Saado was dat maar goed ook. ‘Op onze sites werd al actief naar lekken gezocht.’
Van Rijswijk-Deij sluit af: ‘Weerbaarheid is niet dat je honderd procent online bent, maar dat je in dit soort situaties de juiste keuze maakt. Wat mij betreft heeft de UT dat uitstekend gedaan.’
