Waarom de ‘Patchpocalypse’ onmiddellijke aandacht vereist

Jarenlang konden organisaties vertrouwen op traditionele patchcycli: een kwetsbaarheid werd ontdekt, beoordeeld en vervolgens binnen een acceptabel tijdsbestek verholpen. Die aanpak voldoet niet langer. Elke configuratiefout of ontbrekende patch kan vrijwel direct een ingang vormen voor aanvallers.

Veel organisaties proberen deze nieuwe realiteit te bestrijden op basis van inmiddels verouderde beveiligingsmodellen. Deze modellen komen uit een tijd waarin aanvallen voornamelijk handmatig werden uitgevoerd. Het tijdperk van de ‘Patchpocalypse’ vraagt echter om een compleet andere aanpak.

Waarom alleen patchen niet meer voldoende is

Traditionele beveiligingsmodellen zijn gebaseerd op menselijke snelheid. Wanneer kwetsbaarheden werden gevonden, hadden IT-teams doorgaans voldoende tijd om patches te testen en uit te rollen. Door een combinatie van een constante stroom aan nieuwe kwetsbaarheden en geautomatiseerde exploitatie wordt het onmogelijk om patches op menselijke snelheid te blijven uitrollen.

Voor organisaties met een verouderde infrastructuur is dit een extra uitdaging. Denk aan kritieke productie-installaties die nog draaien op een 40 jaar oude VAX/VMS mainframe of een energienetwerk dat beheerd wordt door een Windows 98/NT-systeem. Zulke systemen kunnen vaak niet zomaar offline voor onderhoud. Soms zijn er zelfs geen patches beschikbaar meer. Terwijl deze systemen wel vaak essentieel zijn voor de continuïteit van een bedrijf.

Daarom is het niet langer realistisch om ervan uit te gaan dat iedere kwetsbaarheid tijdig kan worden gepatcht. De focus moet verschuiven van preventie naar het beperken van de impact wanneer een systeem toch wordt gecompromitteerd.

Zero Trust als antwoord

Een logische eerste stap is het verkleinen van het aanvalsoppervlak door alles van het internet te halen. Systemen die niet rechtstreeks via het internet beschikbaar hoeven te zijn, zouden dat ook niet moeten zijn. Door applicaties en systemen af te schermen en te segmenteren, wordt het voor aanvallers aanzienlijk moeilijker om kwetsbaarheden uit te buiten.

Publiek toegankelijke applicaties kunnen worden beschermd met Web Application Firewalls (WAF’s) of vergelijkbare beveiligingsdiensten. Voor alle andere systemen is een moderne toegangsarchitectuur belangrijk, waarbij applicaties alleen toegankelijk zijn voor geautoriseerde gebruikers en apparaten.

De sleutel tot overleven in het tijdperk van machinesnelheid is het adopteren van een Zero Trust-strategie. Daarbij krijgt iedere gebruiker en ieder apparaat uitsluitend toegang tot de applicaties en diensten die ze mogen gebruiken en waar ze expliciete toestemming voor hebben, ook wel bekend als het least privilege-principe. Niet het netwerk staat centraal, maar de individuele applicatie of dienst. Dit beperkt de mogelijkheden voor laterale beweging zodra een aanvaller er toch in slaagt een systeem binnen te dringen.

Waarom OT en IoT-omgevingen extra kwetsbaar zijn

De noodzaak van Zero Trust is nergens zo groot als binnen operationele technologie (OT) en SIM-verbonden (IoT-)apparaten. Deze systemen communiceren rechtstreeks via het internet of krijgen via mobiele netwerken toegang tot bedrijfsnetwerken. Zonder goede segmentatie ontstaan daardoor onnodige risico’s. Binnen deze groep spelen drie grote uitdagingen.

De eerste uitdaging heeft te maken met de fysieke dienstverlening. IoT- en OT-apparaten sturen bijvoorbeeld productielijnen, verkeersinstallaties of andere fysieke processen aan. Downtime is kostbaar en kan grote veiligheidsrisico’s veroorzaken. Omdat deze processen niet zomaar stilgelegd kunnen worden, worden patches vaak uitgesteld. Een ransomware-aanval op een slimme klepcontroller in een petrochemische fabriek kan echter catastrofaal zijn voor de fysieke veiligheid van omwonenden en het milieu.

Ten tweede hebben deze apparaten een afwijkende levenscyclus. Ze worden geleverd door gespecialiseerde leveranciers, draaien op propriëtaire software en blijven soms tientallen jaren operationeel. Daardoor sluiten ze slecht aan op regulier IT-beheer en patchprocessen.

Ten derde ontbreekt regelmatig en centraal beheer. Apparaten worden buiten de IT-afdeling om aangesloten, waarna brede netwerktoegang wordt verleend om de continuïteit te waarborgen. Dit leidt echter op grote schaal tot schaduw-IT en vergroot de kans op succesvolle cyberaanvallen.

De beste oplossing voor deze uitdagingen is segmentatie. Wanneer ieder apparaat als een afzonderlijk beveiligd domein wordt behandeld, blijft een aanval beperkt tot dat ene systeem of apparaat. Zonder directe netwerktoegang wordt het voor aanvallers veel moeilijker om door de organisatie heen te bewegen. Bovendien levert deze aanpak cruciale operationele tijd op die gebruikt kan worden om complexe systemen te beheren, beveiligen en moderniseren.

Zero Trust-volwassenheid

Een volwassen Zero Trust-aanpak begint met volledig inzicht in alle verbonden systemen. Dit omvat niet alleen laptops en servers, maar ook OT-, IoT- en andere IP-verbonden apparaten. Pas wanneer deze inventaris compleet is, kan effectieve segmentatie plaatsvinden.

Vervolgens moeten organisaties per systeem het bedrijfsrisico beoordelen. Welke systemen zijn bedrijfskritisch? Welke kunnen eenvoudig worden vervangen? Welke zijn nauwelijks nog te patchen?

Op basis daarvan kunnen prioriteiten worden gesteld. Sommige systemen hebben directe aandacht nodig vanwege hun hoge risico, terwijl andere beter langdurig geïsoleerd kunnen blijven totdat modernisering mogelijk is. Zo ontstaat een beveiligingsstrategie die aansluit bij de daadwerkelijke risico’s in plaats van uitsluitend bij de beschikbaarheid van patches.

Conclusie

AI heeft het speelveld fundamenteel veranderd. Kwetsbaarheden worden sneller ontdekt én sneller misbruikt dan ooit tevoren. Daardoor is patchen alleen niet langer voldoende als verdedigingsstrategie.

Organisaties moeten er rekening mee houden dat kwetsbaarheden onvermijdelijk zijn. De vraag is niet alleen hoe snel een patch kan worden uitgerold, maar vooral hoe groot de impact is wanneer een aanval toch succesvol is.

Door systemen te segmenteren, toegang strikt te beheren en Zero Trust consequent toe te passen, kunnen organisaties die impact aanzienlijk verkleinen. Daarmee winnen zij precies wat in het AI-tijdperk het meest onder druk staat: tijd.

Door: Nathan Howe (foto), SVP Innovation and Product bij Zscaler