Belangrijkste punten
- Veel aanvallen via de browser slagen omdat browsers niet goed worden beheerd, waardoor inloggegevens, extensies en sessiegegevens kwetsbaar worden.
- Vijf veelvoorkomende beveiligingslekken in browsers zijn onbeheerde extensies, ongecontroleerde profielsynchronisatie, gebrekkig wachtwoordbeheer, inconsistente updates en beperkt inzicht in de browser.
- Een beheerde browserpolicy zorgt voor consistente controles binnen een omgeving, waaronder het beheer van extensies, profielregels, wachtwoordopslag, het afdwingen van updates en het monitoren van browsers.
- De browserpolicy werkt het beste wanneer deze is afgestemd op de bestaande beveiligingsinfrastructuur, zodat de beveiligingsmaatregelen elkaar versterken in plaats van met elkaar in conflict te komen.
- Geef prioriteit aan het beheer van gebruikers met beheerdersrechten, teams met een hoog risico en onbeheerde devices, voordat u het bereik uitbreidt naar systemen met een lager risico.
Via browsers krijgen medewerkers toegang tot de tools, systemen en platforms die ze nodig hebben om hun werk te doen. De gemiddelde werknemer besteedt 85% van zijn of haar werkdag in de browser. Ondanks hun belang voor de dagelijkse bedrijfsvoering vormen browsers echter ook potentiële toegangspunten voor sessiekaping, kwaadaardige extensies en aanvallen waarbij inloggegevens worden gestolen.
De meeste aanvallen via de browser slagen niet vanwege een geavanceerde, technisch uitgedachte exploit, maar simpelweg omdat de browser niet goed werd beheerd. In deze handleiding worden enkele best practices voor browserbeheer besproken om u te helpen de kwetsbaarheden te verhelpen waar aanvallers actief naar op zoek zijn en misbruik van maken.
Waarom beveiligingsbeheer bij het surfen belangrijk is
Veel organisaties beschikken over goed uitgewerkte beveiligingsmaatregelen voor endpoints, identiteitsbeheer en netwerktoegang, maar laten de browser – waar het grootste deel van het werk daadwerkelijk plaatsvindt – over aan het oordeel van de gebruiker. Browsers bewaren inloggegevens, bieden toegang tot SaaS-toepassingen en communiceren met diensten van derden binnen één sessie, waardoor ze een gemakkelijk doelwit vormen voor aanvallers.
Zonder degelijk beheer is het moeilijk om in browsers in de gaten te houden en te controleren wat er is geïnstalleerd, hoe gegevens worden verwerkt en tot welke gegevens er tijdens sessies toegang wordt verkregen. Met een strategie voor browserbeheer kunt u binnen uw hele organisatie policies afdwingen, zodat extensies, profielen, wachtwoorden, updates en monitoring allemaal volgens uw wensen functioneren.
Tip #1: zorg voor een policy voor beheerde browsers voor extensiebeheer
Extensies zijn eenvoudig te installeren en verhogen de productiviteit van de eindgebruiker. Ze worden echter na de installatie zelden gecontroleerd. Een extensie die met uitgebreide toegangsrechten werkt, kan onopgemerkt pagina-inhoud lezen, inloggegevens vastleggen, de browsergeschiedenis inkijken en activiteiten via externe servers omleiden.
Houd rekening met het volgende om extensies goed te beheren:
- een lijst met goedgekeurde en geblokkeerde extensies bijhouden en centraal handhaven
- van IT-teams eisen dat zij installatieverzoeken van extensies beoordelen en goedkeuren
- strengere beperkingen wat betreft extensies opleggen voor teams en afdelingen met een hoog risico
- de lijst met extensies regelmatig controleren en ongebruikte extensies verwijderen
Effectief extensiebeheer is geen strategie die u eenmaal instelt en vervolgens kunt vergeten. Het moet deel uitmaken van een doorlopende workflow voor het beheer van de browserpolicy.
Tip #2: stel beveiligingsregels voor de browser in met betrekking tot profielen en synchronisatie
In de meeste moderne browsers kunnen gebruikers zich met meerdere accounts aanmelden, waarbij browsergegevens – zoals wachtwoorden, extensies, bladwijzers en automatisch invullen – automatisch tussen devices worden gesynchroniseerd. Hoewel dit handig is voor eindgebruikers, leidt het tot een aanzienlijke blinde vlek in de controle voor IT-teams.
In Bring Your Own Device (BYOD)-omgevingen kunnen de browsergegevens van een bedrijfsaccount per ongeluk worden gesynchroniseerd met een persoonlijk profiel, waardoor deze buiten de controle en het toezicht van de organisatie vallen. Dit kan ertoe leiden dat wachtwoorden op persoonlijke devices terechtkomen of dat extensies worden gesynchroniseerd naar niet-beheerde devices.
Om dit te voorkomen, moet in uw browserpolicy het volgende worden vastgelegd:
- of persoonlijke profielen zijn toegestaan op bedrijfsdevices
- of gebruikers zich moeten aanmelden met bedrijfsaccounts
- welke gegevenstypen mogen, indien van toepassing, tussen devices worden gesynchroniseerd?
- hoe browsergegevens worden verwerkt en verwijderd tijdens de offboarding
Door duidelijke grenzen te stellen tussen werkgerelateerd en privégebruik van de browser blijft bedrijfsinformatie binnen de kaders van uw policy voor beheerde browsers.
Tip #3: de veiligheid bij het surfen op het web verbeteren door middel van instellingen voor wachtwoorden en automatisch invullen
Browsers beschikken over ingebouwde functies voor het opslaan van wachtwoorden en automatisch invullen, zodat u uw inloggegevens niet steeds opnieuw hoeft in te voeren. Deze werkwijze kan echter in strijd zijn met best practices voor wachtwoordpolicy, met name in omgevingen met een goedgekeurde wachtwoordbeheerder.
Wanneer medewerkers hun inloggegevens in hun browser opslaan, verliest u de controle en het overzicht over de opslag, beveiliging en bewaartermijn. Automatisch invullen maakt de situatie nog erger doordat inloggegevens en gevoelige gegevens automatisch worden ingevuld, waardoor deze op phishingpagina’s of ongeautoriseerde websites terecht kunnen komen.
Aanbevolen werkwijzen voor wachtwoorden en automatisch invullen zijn onder meer:
- geef duidelijk aan of er gebruik moet worden gemaakt van de wachtwoordopslag van de browser of van een speciale wachtwoordbeheerder voor bedrijven
- schakel de opslag van wachtwoorden voor accounts met speciale rechten uit
- beperk het automatisch invullen voor gevoelige velden en velden met een hoog risico
- vereis multi-factor authenticatie (MFA) voor bedrijfskritische applicaties
Hoewel scholing bijdraagt aan een beter wachtwoordbeheer, moet de policy waar mogelijk toch worden gehandhaafd, aangezien zelfs goed opgeleide gebruikers fouten kunnen maken.
Tip #4: beschouw browserupdates als een onderhoudsproces waarover niet onderhandeld kan worden
Gebruikers bezoeken dagelijks onbetrouwbare websites en een verouderde browser vergroot dit risico. Bekende kwetsbaarheden in browsers waarvoor nog geen patch beschikbaar is, worden actief in kaart gebracht. Dit betekent dat aanvallers geen nieuwe technieken hoeven te bedenken, zeker niet als de oude nog steeds werken.
Er ontstaan meestal problemen met updates doordat gebruikers het opnieuw opstarten van hun browser na een patch uitstellen en verouderde browsers kunnen op oudere systemen blijven staan. Zonder gecentraliseerde monitoring weet u niet welke browserversies er binnen uw omgeving op uw systemen draaien.
Toch zouden policies voor beheerde browsers het volgende moeten doen:
- automatische updates inschakelen
- minimale vereisten voor de browserversie vaststellen
- rapportage over devices die niet compliant zijn, opnemen
- instellingen voor veilig surfen en anti-phishing in de hele omgeving standaardiseren
Naast verouderde browserversies kunnen ook inconsistente beveiligingsinstellingen, zoals te ruime machtigingen voor de camera of microfoon en onbeheerd downloadgedrag zelfs een volledig bijgewerkte browser kwetsbaar maken.
Tip #5: zorg voor meer inzicht in uw beveiligingsstrategie voor browsers
De browser verwerkt dagelijks inloggegevens, uploads van bestanden en toegang tot SaaS-diensten, maar de meeste organisaties nemen dit niet op in hun audits. En toch, ondanks dat gebrek aan toezicht, worden er nog steeds inloggegevens, bestandsuploads, toegang tot SaaS-toepassingen en gevoelige gegevens verwerkt.
Deze blinde vlek heeft een aanzienlijke invloed op uw vermogen om te reageren op incidenten die in de browser plaatsvinden. Zo is er bijvoorbeeld na het signaleren van een beveiligingsincident vaak geen spoor om te volgen en geen context om op te handelen.
Om de zichtbaarheid van uw omgeving in de browser te verbeteren, is het belangrijk om:
- een browser- en extensie-inventaris bij te houden op alle beheerde devices
- browserversies te controleren en devices die niet compliant zijn, te markeren
- meldingen aan IT-servicemanagement (ITSM)-platforms of beveiligingsworkflows te koppelen
- duidelijke runbooks op te stellen voor bedreigingen via de browser
Zichtbaarheid biedt u een duidelijk beeld van de activiteiten van uw browser binnen de hele omgeving, waardoor u problemen vroegtijdig kunt opsporen, adequaat kunt reageren en kwetsbaarheden kunt verhelpen voordat er misbruik van wordt gemaakt.
Hoe ondersteunt een policy voor beheerde browsers de bedrijfsbeveiliging?
De vijf best practices in deze handleiding vormen samen de basis van uw browserpolicy. Door een policy voor beheerde browsers op te stellen, zorgt u ervoor dat deze maatregelen op alle beheerde devices op een consistente manier worden toegepast.
Door de handhaving van deze controles te centraliseren, stapt u over van configuratie op deviceniveau naar een standaardnorm, waarbij afwijkingen, uitzonderingen en blinde vlekken worden aangepakt voordat deze uitgroeien tot incidenten.
Bovendien werkt een browserpolicy het beste wanneer het is ontworpen als aanvulling op de bestaande beveiligingstools en -regels, zodat er niets door de mazen van het net glipt. Een organisatie die bijvoorbeeld wel een goedgekeurde wachtwoordbeheerder heeft, maar geen policy voor wachtwoordopslag, vertoont nog steeds een tekortkoming, aangezien medewerkers hun inloggegevens nog steeds via hun browser kunnen opslaan.
Het doel is om een browseromgeving te creëren die standaard veilig is, waarin de beveiliging consequent wordt gehandhaafd en die samenhangend is, zodat gebruikers geen tijdelijke oplossingen hoeven te bedenken die nieuwe risico’s met zich mee kunnen brengen.
Prioritering van beveiligingslekken in browsers
Het wordt afgeraden om alle vastgestelde kwetsbaarheden in de browser in één keer te verhelpen, aangezien niet alle kwetsbaarheden hetzelfde risico met zich meebrengen. In plaats daarvan moet u prioriteit geven aan gebieden met het hoogste risico op blootstelling aan kwetsbaarheden.
Dat betekent dat gebruikers die met gevoelige gegevens werken of buiten de bestaande endpointbeveiliging om opereren prioriteit hebben. Hieronder vallen beheerders met beheerdersrechten, teams met een hoog risico en BYOD-gebruikers.
Streef daarna naar een breder bereik, waarbij ook verouderde webapplicaties en workflows voor de overdracht van grote hoeveelheden bestanden worden meegenomen. Ga dan pas verder met de segmenten van de omgeving die minder risico’s met zich meebrengen.
Beveilig de browser via browserbeheer
De browser is waar het werk plaatsvindt, maar toch blijven ze in veel omgevingen ongecontroleerd en vormen ze een onbeheerde toegangspoort voor mogelijke misbruiken. De vijf best practices in deze gids helpen u dat te voorkomen door policy vast te stellen, dit consequent te handhaven en de browser te beschouwen als een beheerd beveiligingsoppervlak.
Een gestructureerde aanpak van browserkwetsbaarheden bestaat erin om eerst de gebruikers met het hoogste risico aan te pakken en zo de meest kwetsbare problemen eerst op te lossen. Pas dan kan er worden overgegaan op gebruikers met een lager risico.
Verwante onderwerpen:
