Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Bij een onderzoek naar een inbraak worden de logs van twee servers met elkaar vergeleken. De webserver logt in gecoördineerde wereldtijd (UTC), en zijn klok was via NTP correct gelijkgezet. De bestandsserver logt in Japanse tijd (UTC+9 uur), en zijn klok liep 4 minuten vóór op de juiste tijd. Het log van de webserver vermeldt een verdachte aanmelding om 01:52 (UTC), en het log van de bestandsserver vermeldt het massaal lezen van bestanden om 10:58 (Japanse tijd). Hoeveel minuten na de verdachte aanmelding werden de bestanden in werkelijkheid gelezen?

  1. A2 minuten later
  2. B6 minuten later
  3. C10 minuten later
Antwoord en toelichting tonen

Antwoord: A. 2 minuten later

De klok van de bestandsserver liep 4 minuten vóór, dus 4 minuten aftrekken van de gelogde 10:58 geeft de juiste Japanse tijd van 10:54. De Japanse tijd loopt 9 uur vóór op UTC, dus in UTC is dat 01:54, 2 minuten na de verdachte aanmelding om 01:52. Zonder correctie van de klokafwijking geeft 10:58 − 9 uur = 01:58 een verschil van 6 minuten, en corrigeren in de verkeerde richting geeft 11:02 − 9 uur = 02:02, dus 10 minuten; in beide gevallen wordt de tijd tussen de gebeurtenissen verkeerd ingeschat. Om zulke fouten te voorkomen, worden de klokken van alle apparaten met NTP gesynchroniseerd, worden tijden gelogd in een vorm waaruit de tijdzone blijkt (zoals UTC), en worden de logs verzameld en bewaard op een aparte, tegen manipulatie beschermde plek.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. In dezelfde week zijn patches uitgebracht voor drie kwetsbaarheden. Het beheerpersoneel kan maar één patch per dag toepassen. Welke combinatie van de patch die als eerste moet worden toegepast en de reden is het meest passend?
  2. Welke beschrijving van de verschillen tussen kwetsbaarheidsscans, penetratietests en red-teamoefeningen als manieren om de verdediging van een organisatie te controleren, is juist?
  3. Een externe beveiligingsonderzoeker heeft een nog niet openbaar gemaakte kwetsbaarheid in een product van een bedrijf gevonden. Welke werkwijze is het meest passend volgens het idee van gecoördineerde openbaarmaking van kwetsbaarheden (Coordinated Vulnerability Disclosure)?
  4. Wat is het belangrijkste doel van het opstellen en bijhouden van een SBOM (software bill of materials)?
  5. Een bedrijf gebruikt een alleen intern gebruikte bibliotheek met de naam acme-utils, die in zijn interne pakketrepository (private registry) staat. Een aanvaller registreerde in een openbare pakketrepository een pakket met dezelfde naam, acme-utils, en een hoger versienummer, en het bleek dat de interne buildomgeving, afhankelijk van de buildinstellingen, het pakket van de aanvaller kon binnenhalen. Welke tegenmaatregel tegen deze „dependency confusion” is het meest passend?