Cyber security en de Parkerian Hexad

IT beveiliging is een steeds belangrijkere uitgavenpost voor bedrijven, zo blijkt uit het onderzoek De Toekomst van de IT-afdeling onder 200 Europese CIO’s. In 2018 lag het budget voor IT beveiliging drastisch hoger dan in 2017. Reden te meer voor het organiseren van een kennisavond rondom cyber security en secure programming, die onlangs plaatsvond in Antwerpen.

Interessante inzichten op gebied van cyber security werden gedeeld door onder andere Chris Adriaensen, Lead Solutions Engineer bij Auth0 en expert op gebied van digital identity & privacy. Hij introduceerde het publiek in de Parkerian Hexad – een manier om je risico’s voor cyberaanvallen in kaart te brengen en waar je als cyber security specialist van gehoord moet hebben. Naast aanvallen analyseren, kan je het namelijk ook gebruiken om je beveiliging op alle vlakken te controleren. Want wat heeft het voor zin om je voordeur op slot te doen als je de achterdeur vergeet?   

Lees ook: Rapport Bescherm je bedrijf tegen cyberaanvallen: inzicht in de wereld van cybersecurity

Wat doet de Parkerian Hexad voor Cyber security?

De Parkerian Hexad is een meer volledige versie van het traditionele en welbekende CIA model, iets wat je in elk boek of cursus rond cyber security (of cryptografie) terugvindt. CIA staat voor Confidentiality, Integrity en Availability. Deze 3 fundamentele elementen worden door iedere cyber security expert in het domein erkend en vormen een solide basis om over cyber security te redeneren.

Onderdelen Parkerian Hexad; CIA en meer

Confidentiality

Confidentiality gaat in essentie over de zichtbaarheid van informatie. Alleen de juiste partijen hebben toegang tot bepaalde informatie. Dit lijkt simpel, maar het blijft één van de grootste uitdagingen. Een bekend voorbeeld is het gebruik van HTTPS als je een website met gevoelige informatie bezoekt, zoals die van je bank. De verbinding met je gegevens is vercijferd en waardoor aanvallers niet kunnen meekijken.

Integrity

Integrity richt zich op de veranderlijkheid van informatie alsook van systemen. Met andere woorden: niemand mag in staat zijn om informatie of systemen ongeoorloofd aan te passen. Als dit wel het geval is, kan men er namelijk niet op de informatie vertrouwen en verliest het zijn waarde. Een bekend voorbeeld hiervan is het digitaal ondertekenen van informatie. Hierdoor kan niemand deze wijzigen zonder dat de handtekening correct blijft.

Availability

Availability lijkt op het eerste gezicht niets met cyber security te maken te hebben, maar kan aanzienlijke schade met zich meebrengen. Zeker in onze huidige wereld waar steeds meer met het internet verbonden is; van zeer onschuldige dingen zoals broodroosters, tot zeer gevoelige zoals krachtcentrales, handelsbeurzen en auto’s. Iedereen kent vast wel de CAPTCHA, wat ervoor zorgt dat aanvallers de systemen niet kunnen overbelasten.

Cyber security next level: Uitbreiding van het CIA model

Volgens velen is het CIA model echter te beperkt en zijn sommige elementen niet goed afdekt. Daarom voegde Parker er drie elementen aan toe: Authenticity, Controllability en Utility. Recente gebeurtenissen bewijzen dat aanvallers steeds meer op deze laatsten mikken dan de traditionele.

Authenticity

Authenticity is het onderdeel waar aanvallers zich vandaag de dag op focussen. Het overlapt deels met integriteit, maar gaat verder omdat het ook op de authenticiteit slaat van de gebruikers en machines. Authenticity is zo makkelijk, dat het alle andere beveiliging nutteloos maakt. Vandaar dat het als een afzonderlijk element beschouwd moet worden.

Je hebt vast wel eens een code moeten doorgeven na het inloggen, die je via SMS of email ontvangen hebt. Dit zorgt ervoor dat aanvallers niet enkel met je wachtwoord je account kunnen overnemen.

Controllability

Controllability heeft ook een overlap met integriteit, maar gaat verder omdat het ook voor andere - vaak lucratieve - doeleinden kan worden gebruikt (wat niet noodzakelijk de integriteit aantast). Als aanvallers bijvoorbeeld een dienst willen overbelasten, gaan ze op zoek naar een grote hoeveelheid machines vanwaar ze hun aanval simultaan kunnen uitvoeren. Ze maken hiervoor vaak gebruik van bekende problemen in systemen. Deze kan je dus mogelijk vermijden door altijd je systemen up-to-date te houden en een virus-/malware scanner te gebruiken.

Utility

Utility heeft wat weg van beschikbaarheid, maar verschilt fundamenteel omdat het de informatie of systemen onbruikbaar wil maken (wat niet hoeft te betekenen dat ze niet beschikbaar zijn). Bekende voorbeelden hiervan zijn het defacen van een website of het gebruik van een cryptolocker. Deze laatste vercijferd al je informatie en indien je deze terug wil ontcijferen moet je losgeld betalen. Dit kan je opnieuw mogelijk vermijden door systemen up-to-date te houden en een virus-/malware scanner te gebruiken.

Dit artikel werd geschreven in samenwerking met Chris Adriaensen, Lead Solution Engineer bij Auth0.


Security specialist en op zoek naar een spannende job? Upload je cv.