- WannaCry brak uit in mei 2017, verspreidde zich wereldwijd via het EternalBlue-lek in verouderde Windows-versies en raakte onder meer de Britse gezondheidszorg.
- De pijnlijkste les: de patch die de uitbraak had kunnen voorkomen bestond al vóór de uitbraak. Het was geen technisch probleem, maar een organisatieprobleem.
- Drie lessen die vandaag nog net zo gelden: patch-discipline als proces in plaats van goed voornemen, netwerksegmentering die verspreiding indamt, en meld- en reactiesnelheid die het verschil maakt tussen incident en crisis.
- De vraag is niet of jouw organisatie WannaCry kent, maar of ze de les heeft ingebouwd in afspraken.
Sommige incidenten verdienen het om elk jaar opnieuw verteld te worden, niet uit nostalgie maar omdat de les nog steeds niet overal is geland. WannaCry is er zo een. Negen jaar later kom ik in organisaties nog precies de omstandigheden tegen die deze uitbraak mogelijk maakten: verouderde systemen “die we volgend kwartaal echt aanpakken”, platte netwerken en medewerkers die niet weten bij wie ze een raar scherm moeten melden.
Eerst de reconstructie, sober en bij de feiten. Daarna de drie lessen waar je morgen iets mee kunt.
Wat er in mei 2017 gebeurde
In mei 2017 begon ransomware genaamd WannaCry zich razendsnel over de wereld te verspreiden. Het bijzondere zat in het verspreidingsmechanisme: WannaCry gebruikte EternalBlue, een lek in verouderde Windows-versies, om zichzelf van machine naar machine te bewegen. Eén kwetsbaar systeem in een netwerk was genoeg om buursystemen te besmetten, zonder dat daar nog een klik van een mens voor nodig was.
De gevolgen waren wereldwijd zichtbaar. Een van de bekendste slachtoffers was de Britse gezondheidszorg, waar de verstoring direct het primaire proces raakte: zorg verlenen. De verspreiding kwam uiteindelijk grotendeels tot stilstand toen een onderzoeker een domeinnaam registreerde die in de code bleek te fungeren als kill switch.
En dan het detail dat dit verhaal zijn blijvende waarde geeft: de patch voor het misbruikte lek bestond al vóór de uitbraak. Organisaties die hun systemen hadden bijgewerkt, waren voor dit verspreidingsmechanisme niet kwetsbaar. WannaCry was daarmee geen verhaal over geniale aanvallers, maar over achterstallig onderhoud op grote schaal.
Les 1: patchen is een proces, geen voornemen
Vrijwel elke organisatie “doet aan patchen”. Het verschil zit in hoe. Bij de ene organisatie is patchen een belegde verantwoordelijkheid met een vast ritme, een actueel overzicht van systemen en een escalatieroute voor updates die niet kunnen wachten. Bij de andere is het iets dat de beheerder doet “als er tijd is”, met uitzonderingen die niemand meer op een rij heeft.
De lastige gevallen zijn altijd de uitzonderingen: die ene machine waar verouderde software op moet blijven draaien omdat een leverancier het zo wil, dat systeem dat niemand durft te herstarten. Die uitzonderingen zijn soms onvermijdelijk, maar dan moeten ze bekend, gedocumenteerd en extra afgeschermd zijn. Een uitzondering waarvan niemand meer weet dat hij bestaat, is precies het systeem waar een uitbraak begint.
Stel in het volgende overleg één vraag: “Welke systemen draaien bij ons op software die geen updates meer krijgt, en wie heeft daar een lijst van?” Als het antwoord stilte is, heb je je eerste actiepunt. Niet om iemand af te rekenen, maar om de blinde vlek zichtbaar te maken.
Les 2: segmentering bepaalt hoe ver de brand komt
WannaCry liet zien wat er gebeurt in een plat netwerk: als alles met alles mag praten, wordt één besmet systeem een besmet netwerk. Segmentering, het opdelen van je netwerk in compartimenten die elkaar alleen bereiken waar dat nodig is, verandert de aard van een incident. Niet “kan er iets binnenkomen” maar “hoe ver komt het daarna” is de vraag die de schade bepaalt.
Dit klinkt als een puur technisch onderwerp, maar er zit een gedragskant aan die ik vaak mis in de discussie. Segmentering is in de praktijk lastig vol te houden omdat hij schuurt met gemak: een uitzondering hier voor een koppeling, een opengezette verbinding daar “voor even”. Elke uitzondering is een gat in een compartimentwand. De werkafspraak die daarbij hoort: uitzonderingen hebben een eigenaar en een einddatum. “Voor even” zonder einddatum betekent voor altijd.
Een incident wordt pas een crisis op het moment dat het zich ongehinderd kan verplaatsen, door je netwerk én door je organisatie.
Verspreiding is de echte vijand
Les 3: de eerste melding is goud waard
Bij een uitbraak die zich zelfstandig verspreidt, telt elke minuut tussen het eerste vreemde scherm en de eerste tegenmaatregel. En die eerste minuten zijn vrijwel nooit van de IT-afdeling: ze zijn van de medewerker die iets geks ziet. Een bestand dat niet opent, een melding die hij niet kent, een computer die zich vreemd gedraagt. Wat die persoon vervolgens doet, bepaalt het verloop.
- Maak de meldroute belachelijk simpel. Eén nummer of één knop, bekend bij iedereen, ook bij de receptie en de avondploeg. Wie eerst moet zoeken hoe melden werkt, meldt later of niet.
- Beloon vals alarm. De medewerker die tien keer onnodig belt en één keer terecht, heeft je organisatie gered. Wie ooit een zucht kreeg na een loze melding, belt de volgende keer niet meer.
- Oefen het loskoppelen. Spreek af wat iemand zelf mag doen bij een verdacht scherm: netwerkkabel eruit of wifi uit mag, zelf herstarten of “even doorwerken” niet. Die ene afspraak moet niet op het moment zelf bedacht hoeven worden.
- Evalueer op snelheid, niet op schuld. Na elk incident of elke oefening is de eerste vraag: hoe lang zat er tussen zien en melden, en wat maakte dat korter of langer?
De WannaCry-vraag voor jouw organisatie
Het ongemakkelijke aan WannaCry is dat de uitbraak vermijdbaar was met middelen die er al waren. Geen nieuwe technologie nodig, geen groot budget: een patch die klaarstond, en organisatorische discipline die ontbrak. Dat maakt het verhaal tot een spiegel in plaats van een spookverhaal.
Mijn voorstel: agendeer deze drie vragen voor het eerstvolgende overleg tussen IT en management. Welke systemen kunnen we niet patchen, en weet iedereen dat? Als één werkplek besmet raakt, wat kan die dan bereiken? En hoe snel hoort de juiste persoon het als een medewerker nu iets vreemds op zijn scherm ziet? Wie die drie vragen zonder haperen kan beantwoorden, heeft de les van 2017 echt geleerd. Wie wil weten hoe dit soort gijzelsoftware tegenwoordig binnenkomt en wat je er als mens tegen kunt doen, leest verder bij ransomware; de voorkant van veel van die aanvallen is en blijft social engineering.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.