Citrix waarschuwde begin oktober voor actief misbruik van een nieuw beveiligingslek in NetScaler. Aanvallers maken er al gebruik van voordat veel organisaties de kans hebben gehad om bij te werken. Onder de getroffen partijen: de Rijksoverheid en meerdere Finse organisaties. NetScaler is geen obscuur systeem. Het is precies het soort voorziening dat bedrijven gebruiken om medewerkers vanaf thuis of onderweg bij interne systemen te laten komen.
Voor veel directeuren voelt dit als nieuws over een ander bedrijf, ergens anders. Maar als jouw organisatie extern werken mogelijk maakt via een vergelijkbare toegangspoort, is de vraag die ertoe doet heel concreet: weet je of dit jou raakt, en hoe snel kun je dat vaststellen.
Wat er precies speelt
NetScaler fungeert als de voordeur tussen het internet en de systemen binnen een bedrijf. Medewerkers loggen er bijvoorbeeld op in om vanaf een andere locatie bij hun werkomgeving te komen. Juist omdat dit soort systemen vanaf buiten bereikbaar moet zijn om te kunnen werken, zijn ze ook het eerste waar aanvallers naar zoeken.
Citrix meldt dat het nieuwe lek al actief wordt gebruikt om binnen te dringen bij organisaties die nog geen update hebben doorgevoerd. Dat is een ander scenario dan een kwetsbaarheid die in theorie misbruikt kan worden. Hier loopt het misbruik al, terwijl veel beheerders nog aan het uitzoeken zijn of hun systeem geraakt is.
Waarom dit meer is dan een patch
Er komt dit jaar niet voor het eerst een waarschuwing over een extern toegankelijk systeem. Eerder gingen we in op vergelijkbare situaties rond andere leveranciers. Het patroon is steeds hetzelfde: een leverancier meldt actief misbruik, en bedrijven moeten binnen uren uitzoeken of ze het betreffende systeem draaien, welke versie erop staat, en wie verantwoordelijk is voor het bijwerken.
Die uitzoektocht is het echte probleem. Niet het lek zelf, want lekken zijn onvermijdelijk in software die continu wordt ontwikkeld. Het probleem is dat veel bedrijven bij elk nieuwsbericht opnieuw vanaf nul moeten beginnen met uitzoeken of ze kwetsbaar zijn. Dat kost tijd, en tijd is precies wat ontbreekt zodra een lek al actief wordt misbruikt.
Overzicht voordat je kunt reageren
Wij geloven dat je geen beleid kunt maken over iets wat je niet in beeld hebt. Dat begint bij een helder antwoord op een paar vragen. Welke systemen van jouw bedrijf zijn vanaf het internet bereikbaar? Welke versies draaien daarop, en wanneer is dat voor het laatst gecontroleerd? Wie is verantwoordelijk voor het bijwerken, en hoe snel gebeurt dat in de praktijk?
Veel bedrijven denken dit overzicht te hebben, maar het zit vaak verspreid over hoofden van losse mensen, oude documentatie of een leverancier die het ooit heeft ingericht. Dat is geen structureel overzicht, dat is giswerk met een geruststellend gevoel erbij. Het verschil wordt pas zichtbaar op het moment dat het ertoe doet: wanneer een leverancier een waarschuwing afgeeft en je binnen een dag moet weten of je kwetsbaar bent.
Beleid komt voor techniek
Zodra het overzicht er is, volgt de volgende stap vanzelf. Niet meteen een nieuwe technische maatregel, maar afspraken. Wie mag extern toegang hebben tot welke systemen, en onder welke voorwaarden? Wat gebeurt er standaard zodra een leverancier een kritieke waarschuwing afgeeft: wie wordt geïnformeerd, binnen welke termijn wordt er gepatcht, en wie neemt die beslissing?
Daarbij hoort ook dat je mensen meeneemt voordat je iets verplicht stelt. Als extern werken tijdelijk anders verloopt vanwege een update, werkt dat beter als medewerkers begrijpen waarom, dan wanneer ze voor een dichte deur staan zonder uitleg.
Wat je deze week kunt doen
Begin met een simpele inventarisatie van alles wat vanaf internet bereikbaar is: VPN-oplossingen, toegangspoorten zoals NetScaler, firewalls en vergelijkbare systemen. Leg per systeem vast welke versie erop draait en wanneer die voor het laatst is bijgewerkt. Spreek vervolgens af wie verantwoordelijk is voor het volgen van leveranciersmeldingen, en binnen welke termijn een kritieke waarschuwing tot actie leidt.
Dit is geen eenmalige actie die je afvinkt. Het is de basis waarmee je, de volgende keer dat een leverancier waarschuwt, binnen een uur weet waar je staat in plaats van binnen een week.
Een paar vragen die we vaak krijgen
Wij gebruiken geen NetScaler, moeten we dan toch iets doen?
Als je geen NetScaler gebruikt, is dit specifieke lek niet relevant voor jou. Het onderliggende probleem wel: elk bedrijf met extern toegankelijke systemen loopt tegen dit soort waarschuwingen aan, ongeacht de leverancier. Het overzicht dat we hier beschrijven is bruikbaar voor elk systeem dat vanaf internet bereikbaar is, niet alleen voor Citrix.
Hoe weet ik of ons systeem de kwetsbare versie heeft?
Dat vraagt om twee dingen: weten welke versie er daadwerkelijk draait, en die vergelijken met wat de leverancier als kwetsbaar aanmerkt. Veel bedrijven weten het eerste niet met zekerheid, omdat niemand structureel bijhoudt welke versies waar draaien. Dat is precies het overzicht waar dit artikel om draait.
Onze ICT-leverancier regelt dit toch automatisch?
Soms wel, maar vaak alleen voor systemen die expliciet in het beheercontract staan. Juist toegangspoorten die ooit apart zijn ingericht, vallen daar geregeld buiten. Het is de moeite waard om dit expliciet na te vragen in plaats van ervan uit te gaan.
Hoe vaak moet ik dit overzicht bijwerken?
Een vast overzicht veroudert vanzelf zodra er nieuwe systemen bijkomen of oude verdwijnen. Behandel het daarom als een lopend proces met een vaste eigenaar, niet als een document dat je eenmaal maakt en vervolgens laat liggen.
Wil je weten wat er vanuit jouw bedrijf naar buiten open staat? Wij brengen dat voor je in kaart en helpen je om er structureel grip op te houden, zodat je bij het volgende lek niet opnieuw bij nul begint.
