Het is iets wat ons allemaal overviel, de inmiddels ruim bekende kwetsbaarheid in Log4j: Log4Shell. Als lezer zul je het waarschijnlijk ook al wel weer een beetje gehad hebben met alle nieuwssites die hierover rapporteren. Desondanks voel ik me verplicht om hier toch nog een artikel aan te wijden.

Thomas van den Nieuwenhoff schreef deze week een blog over package afhankelijkheden en de risico’s. Enkele uren later wordt de wereld opgeschrikt door één van de grootste exploits van de afgelopen tien jaar: Log4Shell. Log4Shell komt van de naam Log4j, een zeer populair

Het gebruiken van externe packages in je applicaties om het leven makkelijker te maken is iets wat we allemaal doen, maar waar we vaak de gevaren niet goed van voor ogen hebben. Het grote voordeel van open source code uit de community zou moeten zijn dat we op het werk van anderen kunnen leunen én erop kunnen vertrouwen dat andere mensen de code op veiligheid controleren.

Business Insider bracht op 10 november het volgende artikel naar buiten: “Thuiswerkers zijn weer welkom op kantoor, hackers niet – 4 tips voor de cybersecurity van bedrijven”. Ze schrijven dat na een lange periode thuiswerken de terugkeer naar kantoor een gevaar voor de cybersecurity op kan leveren. De stap naar thuiswerken vereiste namelijk snelle veranderingen die nu niet meer teruggedraaid kunnen worden. Ze hebben de vier belangrijkste punten op een rij gezet, die ik hier graag herhaal, omdat het een probleem is waar veel organisaties mee zullen zitten.

Het is zo langzamerhand een eigen nieuwscategorie aan het worden: cyberaanvallen. Je hoeft je niet lang af te vragen wie het volgende slachtoffer zal zijn of de artikelen stromen alweer binnen. De ene keer is het een autofabrikant en de andere keer een hogeschool. Het lijkt criminelen niet uit te maken wie hun doelwitten zijn, als er maar geld te halen valt.

Vorige week kwam naar buiten dat er weer eens een WordPress plug-in gigantische gaten in websites veroorzaakt. John Leyden (journalist voor The Daily Swig) schrijft hier het volgende over: “Kwetsbaarheden in OptinMonster, een plug-in voor e-mailmarketing voor WordPress, lieten meer dan een miljoen websites open voor misbruik, waarschuwen beveiligingsonderzoekers van Wordfence.” De plug-in laat aanvallers gevoelige informatie exporteren en kwaadaardige JavaScript toevoegen aan kwetsbare sites, naast andere exploits.

Een paar dagen geleden kwam ik het artikel “Vaker outsourcing van detectie & respons dankzij wildgroei aan cybersecurity-tools” van Trend Micro (via AG Connect) tegen. Het cybersecurity bedrijf schrijft dat Security Operations Centers (SOC’s) naar onderzoek wereldwijd elk gemiddeld 29 verschillende securitymonitoringoplossingen gebruiken. Hun conclusie is logischerwijs dat dit grote aantal tools, het werk van de SOC-teams enorm lastig maakt. Deze systemen genereren allemaal bakken vol alerts, die geprioriteerd en opgelost moeten worden.

Security-specialisten zijn schaars. Ontwikkelaars zijn vaak aangewezen op de kennis die zij al hebben (of juist niet hebben) om een applicatie veilig te bouwen. Het resultaat is dat er helaas vaker kwetsbaarheden in applicaties ontstaan, terwijl met de juiste kennis

Dutch IT-channel plaatste op 28 september jongstleden een interessant interview met Dirk Jan Jannink (F-Secure) over proactieve cybersecurity. De redactie schrijft: “Reactieve cybersecurity, zonder proactief de IT-omgeving af te speuren op kwetsbaarheden en onwenselijk gedrag, is zo lek als een mandje.”

Softwareontwikkelaars bij veel organisaties geven aan dat zij niet over de kunde en/of tijd beschikken om applicaties veilig te bouwen. In dit artikel, een nieuwe rol die de balans tussen functie en beveiliging beter kan waarborgen.

In een tijd waar software steeds vaker in slecht daglicht komt te staan door beveiligingslekken en databreuken, lijkt het kennisniveau van beveiliging structureel te laag. Lees hier waarom.

Cyber security lijkt in veel ontwikkelteams een optionele eis te zijn die pas aan eind van een traject wordt meegenomen. Benieuwd hoe dit komt en anders kan? Lees het hier.

Cyber security is binnen digitale transformatie en innovatie vaak een ondergeschoven kindje, onnodig en zelfs wellicht onlogisch. Lees in dit artikel waarom het tegendeel waar is.

Threat Modeling: hoe eerder hoe beter, maar nooit te laat In de traditionele manier van softwareontwikkeling vinden securityactiviteiten vaak aan het einde plaats: tussen de test- en uitrolfase. In dit scenario worden security issues weliswaar opgemerkt en verholpen, maar is

Toename datalekken in webapplicaties​ Het komt steeds vaker in het nieuws: datalekken in webapplicaties. Eén van de meest recente gevallen is een gegevenslek in de webshop van Blokker. Door het ordernummer in de URL aan te passen was het maandenlang