Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Een ontwikkelaar heeft per ongeluk een configuratiebestand met een API-sleutel voor een clouddienst naar een openbare Git-repository gecommit. Toen hij het merkte, committe hij meteen een wijziging die het bestand verwijderde. Wat is daarna de meest passende reactie?

  1. AEr is een verwijdering gecommit, dus niemand kan de sleutel nog zien en er hoeft verder niets te gebeuren
  2. BDe sleutel blijft in de geschiedenis staan en kan al zijn verzameld, dus de sleutel meteen intrekken, door een nieuwe vervangen en in de gebruiksregistratie nagaan of er misbruik is geweest
  3. CNa het hernoemen van de repository is de oude inhoud die onder de vorige naam is gepubliceerd niet meer toegankelijk, dus de uitgelekte sleutel kan gewoon in gebruik blijven
Antwoord en toelichting tonen

Antwoord: B. De sleutel blijft in de geschiedenis staan en kan al zijn verzameld, dus de sleutel meteen intrekken, door een nieuwe vervangen en in de gebruiksregistratie nagaan of er misbruik is geweest

In Git blijven eerdere versies in de geschiedenis staan, ook nadat een wijziging die een bestand verwijdert is gecommit, en iedereen kan ze ophalen. Openbare repository's worden binnen korte tijd automatisch doorzocht door programma's die naar inloggegevens zoeken, dus een sleutel moet als uitgelekt worden beschouwd vanaf het moment dat hij is gepubliceerd. De belangrijkste stap is de sleutel intrekken en door een nieuwe vervangen; daarna wordt de gebruiksregistratie gecontroleerd en wordt de sleutel zo nodig ook uit de geschiedenis verwijderd. Om herhaling te voorkomen, worden inloggegevens in een dienst voor geheimenbeheer bewaard en wordt een mechanisme gebruikt dat geheimen vóór het committen detecteert (secret scanning).

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. Bij vier incidenten in een organisatie waren de tijd van optreden tot detectie en de tijd van detectie tot inperking: 10 uur en 4 uur bij incident 1, 30 uur en 2 uur bij incident 2, 2 uur en 6 uur bij incident 3, en 6 uur en 4 uur bij incident 4. Welke combinatie van de gemiddelde tijd van optreden tot detectie (MTTD) en de gemiddelde tijd van detectie tot inperking (MTTC) is juist?
  2. Voor schade door ransomware wordt het verlies per incident (SLE) geschat op 40 miljoen yen en het jaarlijkse aantal voorvallen (ARO) op 0,5. Maatregel A kost 6 miljoen yen per jaar en verlaagt het aantal voorvallen tot 0,2 per jaar. Maatregel B kost 3 miljoen yen per jaar en verandert het aantal voorvallen niet, maar versnelt het herstel, waardoor het verlies per incident daalt tot 24 miljoen yen. Met de jaarlijkse verliesverwachting ALE = SLE × ARO en ROSI = (daling van de ALE − jaarlijkse kosten van de maatregel) ÷ jaarlijkse kosten van de maatregel: welke combinatie van de maatregel met de grootste ROSI en de waarde daarvan is juist?
  3. Een IDS onderzoekt 1 miljoen verbindingen per dag, waarvan er 100 echte aanvallen zijn. Het IDS detecteert 99% van de aanvallen en beoordeelt 0,1% van de verbindingen die geen aanval zijn ten onrechte als aanval. Welke waarde ligt het dichtst bij het aandeel van de door het IDS gegeven alerts dat een echte aanval is?
  4. Bij een SOC geeft het SIEM 1440 alerts per dag, gelijkmatig verdeeld over de dag. De geautomatiseerde verwerking van SOAR handelt 75% van de alerts af zonder controle door een analist, en elke overige alert vraagt gemiddeld 10 minuten werk van een analist. Wat is, als analisten zonder pauzes kunnen werken, het minimale aantal analisten dat voortdurend dienst moet hebben om het tempo bij te houden waarin de alerts binnenkomen?
  5. De Cyber Kill Chain die Lockheed Martin in 2011 presenteerde, verdeelt het verloop van een gerichte aanval in zeven fasen. Welke volgorde van de fasen is juist?