Belangrijkste punten
- Een beveiligingspolicy voor browsers bepaalt hoe bedrijfsbrowsers binnen een organisatie worden goedgekeurd, geconfigureerd, beveiligd en gecontroleerd.
- Door automatische updates af te dwingen en de browserversies op alle endpoints bij te houden, worden bekende beveiligingslekken het snelst gedicht.
- Voor het beheer van extensies zijn goedkeurings- en blokkeerlijsten nodig, evenals regelmatige controles van de machtigingen om onnodige toegang te beperken.
- Beveiligde browserinstellingen beperken de opslag van wachtwoorden, beperken de synchronisatie van browser en vereisen toestemming van de gebruiker voor uitzonderingen op websitemachtigingen.
- Beveiligingsfuncties voor veilig surfen blokkeren de toegang tot schadelijke websites en beperken risicovolle of niet-geverifieerde downloads voordat deze schade kunnen aanrichten.
- Integriteitscontroles van de browser controleren in realtime of aan de policy wordt voldaan om te bepalen of een gebruiker volledige, beperkte of geen toegang krijgt.
De meeste beveiligingsprogramma’s voor bedrijven zijn gericht op de bescherming van servers, endpoints en netwerken. Hierdoor blijven browsers drukbezochte maar kwetsbare toegangspunten tot het bedrijf, aangezien medewerkers zich via deze kanalen aanmelden bij SaaS-tools, identiteitsproviders, e-mail, bestandsopslag, interne portalen, AI-assistenten, financiële platforms, klantendossiers en de beheerconsole met beheerdersrechten. Met de standaardinstellingen bieden browsers individuele gebruikers meer controle, onder meer over welke extensies worden geïnstalleerd, of wachtwoorden lokaal worden opgeslagen en of er via synchronisatie bedrijfsgegevens naar een persoonlijk account worden overgezet.
Om deze kloof te dichten, zouden IT-teams moeten beschikken over een checklist voor een browserbeveiligingspolicy, waarmee het browsergedrag niet afhangt van de gebruiker zelf maar iets is dat kan worden gedefinieerd, afgedwongen en gecontroleerd. Het moet betrekking hebben op updates, extensies, wachtwoorden, synchronisatie, downloads en toegangsrechten voor websites, zodat de toegang tot gevoelige systemen niet afhangt van wie er op dat moment achter het toetsenbord zit.
Wat is een beveiligingspolicy voor browsers en waarom is het belangrijk?
Een beveiligingspolicy voor browsers is een reeks regels die bepaalt hoe browsers binnen een organisatie worden goedgekeurd, geconfigureerd, beveiligd en gecontroleerd. In feite maakt de policy het mogelijk voor IT-teams om hun eigen voorkeuren op het gebied van governance en beveiliging af te dwingen en te meten voor alle beheerde devices, telewerkers, gedeelde computers en functies met een hoger risico.
Een goede policy moet op de volgende punten ingaan:
- welke browsers en versies goedgekeurd zijn voor gebruik
- hoe updates automatisch worden geïnstalleerd
- regels voor het toestaan of blokkeren van extensies
- vereisten wat betreft beheerde profielen en browsersynchronisatie
- hoe omgaan met wachtwoorden en automatisch invullen
- bescherming tegen kwaadaardige websites en onveilige downloads
- beheer van toestemmingen en uitzonderingen op de website
- rapportage om te bevestigen dat al het bovenstaande daadwerkelijk werkt
Zonder deze structuur worden browsers een van de gemakkelijkste manieren om toegang te krijgen tot een organisatie. Verouderde versies blijven soms onbeveiligd, extensies kunnen ongewenste toegang krijgen, bedrijfsgegevens kunnen worden gesynchroniseerd met persoonlijke accounts en oude uitzonderingen kunnen veel te lang blijven bestaan. Dit alles kan door amateur-aanvallers worden misbruikt. Hieruit blijkt dat het surfgedrag in browsers moet worden gestandaardiseerd, net zoals bij het beveiligen van elk ander endpoint.
Vijf controles om uit te voeren
1. Browserupdates en versiebeheer
Veel kwetsbaarheden in populaire browsers zijn terug te voeren op verouderde versies. Patches dichten bekende kwetsbaarheden zodra ze bekend worden gemaakt, dus hoe snel een organisatie updates implementeert, kan rechtstreeks van invloed zijn op hoe lang een bekende kwetsbaarheid misbruikt kan worden.
In een policy voor versiebeheer moet het volgende worden vastgelegd:
- welke browsers en versies goedgekeurd zijn voor gebruik
- automatische updates zijn standaard ingeschakeld: gebruikers hoeven zich hier niet specifiek voor aan te melden
- een maximaal toegestane vertraging voordat een update als achterstallig wordt beschouwd
- een snellere procedure voor kritieke of noodpatches
- verwijdering of blokkering van browsers die niet langer door de aanbieder worden ondersteund
- regelmatige rapportage, zodat de IT-afdeling inzicht heeft in de versiestatus op alle endpoints
Dat laatste punt is belangrijk, want zonder rapportage is een policy slechts een reeks voornemens en kan de IT-afdeling pas weten of devices daadwerkelijk aan de regels voldoen als er iets misgaat. Dit gaat volledig in tegen het doel waarvoor de regels in de eerste plaats zijn opgesteld.
2. Beheer van browserextensies en uitbreidingen
Extensies zijn handig omdat ze diepgaande toegang bieden tot wat er in de browser gebeurt. Ze kunnen de inhoud van webpagina’s lezen, browseractiviteiten registreren en ingrijpen in authenticatieprocessen. Dit maakt ze erg risicovol wanneer niemand bijhoudt wat er is geïnstalleerd en waarom. Dit laat zien hoe belangrijk het is om extensies goed te beheren, vooral binnen een bedrijfsomgeving.
Extensiebeheer moet het volgende omvatten:
- lijsten met goedgekeurde en geblokkeerde extensies
- een aanvraagprocedure voor extensies die nog niet op de goedgekeurde lijst staan
- beoordeling van toegangsrechten vóór de installatie is toegestaan
- een gedocumenteerde zakelijke reden voor elke extensie in gebruik
- een vast tijdschema om regelmatig te controleren wat er is geïnstalleerd
- een duidelijk proces voor het verwijderen van extensies die niet langer nodig zijn
- regels met betrekking tot gesideloade extensies of extensies in ontwikkelaarsmodus
Let goed op de machtigingen, want sommige extensies hebben toegang tot alle bezochte websites, kunnen de browsergeschiedenis lezen, downloads beïnvloeden of hebben toegang tot het klembord. Dit moet bepalen in welke mate elk toegangsverzoek grondig wordt onderzocht alvorens het wordt goedgekeurd.
3. Beveiligde browserinstellingen: wachtwoorden, synchronisatie en toegangsrechten voor websites
Twee van de belangrijkste manieren waarop bedrijfsgegevens ongemerkt via de browser naar buiten lekken, zijn opgeslagen inloggegevens die buiten goedgekeurde tools om worden bewaard en machtigingen voor websites die ooit zijn verleend maar nooit meer zijn gecontroleerd. Het is belangrijk om beide gebieden goed te beveiligen door de browser te behandelen als elk ander systeem dat toegang biedt tot gevoelige gegevens.
Zorg ervoor dat de browserinstellingen het volgende bevatten:
- of de browser überhaupt wachtwoorden mag opslaan
- een vereiste wachtwoordbeheerder in plaats van de ingebouwde opslag
- beperkingen op automatisch invullen, waar nodig
- synchronisatie beperkt tot beheerde accounts
- regels voor gebruik van persoonlijke profielen op beheerde devices
- sessies wissen op gedeelde workstations
- machtigingen voor camera, microfoon en locatie
- regels voor cookies en tracking door derden
- toegang tot het klembord, USB en Bluetooth
- pop-up- en omleidingsgedrag
- lijsten met toegestane en geblokkeerde websites
Uitzonderingen moeten altijd worden gecontroleerd. Verouderde of bedrijfskritische applicaties hebben namelijk soms uitgebreidere machtigingen nodig om te kunnen functioneren, maar deze uitzonderingen blijven meestal langer van kracht dan de initiële reden voor hun bestaan. Het is belangrijk dat elke uitzondering een benoemde verantwoordelijke en een vervaldatum heeft, zodat deze volgens een vast schema kan worden gecontroleerd.
4. Instellingen voor veilig surfen, downloads en waarschuwingen
De meeste moderne browsers beschikken over ingebouwde beveiligingsmaatregelen tegen phishingpagina’s, kwaadaardige websites en onveilige downloads, maar die werken alleen als gebruikers deze niet uitschakelen. IT-teams moeten ervoor zorgen dat deze beveiligingsmaatregelen ingeschakeld blijven.
Deze controles moeten bevatten:
- veilig surfen of een gelijkwaardige bescherming tegen schadelijke websites
- Site-isolatie, indien de browser dit ondersteunt
- waarschuwingen vóór het voltooien van risicovolle downloads
- beperkingen op onveilige inhoud en verouderde protocollen
- strengere beschermingsmaatregelen voor gebruikers met een hoger risico
- beperkingen op de toegang tot niet-gecategoriseerde of risicovolle websites
Het is ook belangrijk om rekening te houden met het feit dat iemand door een waarschuwing heen kan klikken. IT-teams moeten bepalen wie, indien van toepassing, de bevoegdheid moet behouden om een waarschuwing te negeren. Dit moet vervolgens worden geregistreerd wanneer het voorvalt, zodat de actie niet onopgemerkt in de browsergeschiedenis verdwijnt.
5. Vereisten voor de integriteitscontrole van de browser
IT-teams moeten altijd kunnen controleren of de policy daadwerkelijk wordt nageleefd en daar komen integriteitscontroles bij aan te pas. In plaats van er zomaar vanuit te gaan dat een browser aan de vereisten voldoet, alleen omdat er een policy bestaat, kan een integriteitscontrole de daadwerkelijke, actuele status van de browser verifiëren vóór of tijdens de toegang tot gevoelige gegevens.
Bij een integriteitscontrole moet het volgende worden gecontroleerd:
- goedgekeurde browsertypen en -versies
- updatestatus
- status van het beheerde profiel
- vergelijking van extensie-inventaris met goedgekeurde lijsten
- instellingen voor wachtwoordopslag
- synchronisatiestatus
- instellingen voor toegangsrechten op de site
- instellingen voor downloadbeveiliging
- devicestatus en gebruikersidentiteit
- status van eventuele actieve uitzonderingen
Evalueer na de controle altijd de resultaten. Een gebruiker kan volledige toegang, beperkte toegang, geïsoleerde toegang, alleen-lezen of helemaal geen toegang krijgen. Hierdoor fungeert de controle als een actieve beveiliging voor gevoelige systemen. Bovendien moet de frequentie van de beoordelingen ook in verhouding staan tot het risico.
Bedenk hoe vaak elk gebied moet worden gecontroleerd:
- dagelijkse of constante aandacht voor kritieke controles voor zover de apparatuur dit toelaat
- wekelijkse of maandelijkse controles van de versies en updates
- maandelijkse evaluaties van extensies
- driemaandelijkse controles van uitzonderingen
- jaarlijkse controles van de volledige policy of na elke ingrijpende wijziging van het platform.
De browserpolicy afdwingbaar maken
De browser is tegenwoordig een van de meest gebruikte toegangspunten tot bedrijfssystemen, waardoor het een cruciaal toegangspunt is dat strategisch moet worden beheerd. Zorg dat teams hier controle over houden: leg updates, extensies, inloggegevens, synchronisatie en sitemachtigingen vast in een policy en vertrouw niet blind op de standaardinstellingen. Uiteraard zijn integriteitscontroles nodig om die policy dagelijks te kunnen afdwingen, zodat verouderde versies, niet-gecontroleerde extensies en vergeten uitzonderingen worden opgespoord voordat ze tot incidenten leiden. Als deze policy consequent wordt toegepast en regelmatig wordt bekeken, blokkeert het veel van de makkelijkste manieren waarop aanvallers via het web kunnen binnendringen.
Verwante onderwerpen:
