Hoe voorkom ik infostealer-infecties?

Het voorkomen van infostealer-infecties valt uiteen in twee belangrijke stappen. De eerste stap is meestal relatief eenvoudig, de tweede is vaak een stuk lastiger.

Goed beveiligde beheerde apparaten
Beheerde apparaten binnen organisaties zijn doorgaans uitgerust met professionele beveiligingsoplossingen zoals EDR/XDR (Endpoint/Extended Detection and Response). Deze systemen zijn ontworpen om zowel bekende als nieuwe infostealers snel te detecteren en onschadelijk te maken. Zorg er wel voor dat je bestaande beveiligingsmaatregelen up-to-date zijn en optimaal werken. Is er ruimte voor verbetering? Versterk dan je beveiligingslagen om nieuwe dreigingen voor te blijven.‍

1. Geen toegang vanaf unmanaged devices tot interne omgevingen
   ‍Dit is vaak een complexer en lastiger vraagstuk. Privélaptops van medewerkers en computers van externe leveranciers hebben vaak toegang tot interne systemen, maar missen de strenge beveiliging van beheerde apparaten. Daardoor vormen deze apparaten een zwakke plek die moeilijk te controleren is. Unmanaged devices zijn kwetsbaarder voor infostealer-infecties, wat het risico op datalekken vergroot.

Zolang toegang vanaf unmanaged devices niet volledig is uitgesloten, blijft de organisatie kwetsbaar voor infostealer-infecties. Er zijn wel verschillende maatregelen waarmee je dit risico flink kunt verkleinen.

‍

Beperk toegang vanaf apparaten (VDI of Secure Browser)

Een effectieve maatregel om de risico's van infostealers te verkleinen, is het invoeren van een Virtual Desktop Infrastructure (VDI), zoals Citrix of VMware. Met VDI werken medewerkers en externe partijen via een virtuele omgeving. Er is dan geen directe toegang tot interne systemen vanaf het lokale apparaat; de toegang verloopt via de VDI. Het grootste voordeel is dat sessies niet naar het lokale apparaat kunnen worden overgezet, waardoor het risico op session hijacking sterk afneemt.

Hoeveel bescherming VDI tegen infostealers biedt, hangt wel sterk af van de configuratie. Factoren zoals gegevensopslag op lokale apparaten en de instellingen voor sessiebeheer zijn bepalend voor de effectiviteit van deze oplossing.

Daarnaast bieden Secure Browsers, zoals Amazon Workspaces Secure Browser, een extra beschermingslaag tegen infostealers. Net als bij VDI hangt het beschermingsniveau af van hoe de secure browser is geconfigureerd. De browser beperkt het risico door infecties binnen een gecontroleerde omgeving te houden, zonder directe toegang tot lokale systemen of bedrijfssystemen.

Verkort de geldigheid van sessies

Een andere manier om de impact van infostealers te beperken, is het verkorten van de geldigheidsduur van session tokens. Session tokens worden verhandeld op infostealer-marktplaatsen, omdat aanvallers er zonder wachtwoord mee toegang krijgen tot systemen. Hoe korter een sessie geldig is, hoe kleiner de kans dat aanvallers gestolen tokens met succes kunnen gebruiken.

Voor session tokens van applicaties die op apparaten zijn geïnstalleerd, kun je aanvullende maatregelen nemen om de geldigheid van tokens te beperken op basis van geografische locatie en tijd. Microsoft biedt hiervoor verschillende sterke beveiligingsopties, zoals token protection en het beperken van hergebruik van tokens tot specifieke netwerkomgevingen. Deze maatregelen verkleinen het risico dat aanvallers tokens buiten geautoriseerde omgevingen misbruiken. Meer weten? Lees dan dit artikel van Microsoft. Let wel: deze maatregelen gelden niet voor session replay-aanvallen met browsergebaseerde sessies.

Infostealer-monitoring‍

Ook met al deze beveiligingsmaatregelen kunnen sommige infostealers onopgemerkt blijven en toegang krijgen tot interne systemen. Daarom is het cruciaal om continu te monitoren of geïnfecteerde apparaten worden verkocht op infostealer-marktplaatsen, zoals Passguard aanbiedt. Door infostealer-marktplaatsen te monitoren, zie je wanneer gestolen gegevens te koop worden aangeboden. Zo kunnen organisaties geïnfecteerde apparaten vroeg opsporen en vaststellen welke toegang of gegevens zijn gecompromitteerd. Dat geeft je de kans om snel te reageren voordat er grotere schade ontstaat.

Bewustwording

Neem de menselijke kant van infostealer-risico's mee in je bewustwordingscampagnes. Veel medewerkers zijn zich niet bewust van de risico's van privéapparaten die ze zakelijk gebruiken. Een goede bewustwordingscampagne helpt medewerkers deze gevaren te begrijpen. Het is belangrijk om ze te wijzen op de risico's van het downloaden van illegale software en van inloggen op bedrijfssystemen met privéapparaten.

Conclusie

Zolang toegang vanaf unmanaged devices niet volledig is uitgesloten, blijft je organisatie kwetsbaar voor infostealer-infecties. Gelukkig zijn er verschillende maatregelen om het risico te verkleinen, zoals VDI, secure browsers, kortere sessieduur en token protection. Daarnaast biedt infostealer-monitoring een manier om continu te toetsen of je beveiligingsmaatregelen effectief zijn.

Infostealer-monitoring is waardevol omdat het inzicht geeft in de effectiviteit van je beveiliging. Treden er na het invoeren van maatregelen weinig nieuwe infecties op, of zie je geen verdachte activiteit vanaf nieuwe apparaten? Dan is dat een goed teken dat je beveiligingsstrategie werkt. Kom je wel ernstige infecties tegen, dan is dat een duidelijk signaal om aanvullende maatregelen te overwegen en je beveiliging verder te verbeteren. Het is aan jou om de juiste balans te vinden tussen risico's verkleinen en functionaliteit behouden binnen je organisatie