{"id":5149,"date":"2019-07-08T11:36:15","date_gmt":"2019-07-08T09:36:15","guid":{"rendered":"https:\/\/www.solvinity.com\/?post_type=blog&p=5149"},"modified":"2025-06-19T13:29:59","modified_gmt":"2025-06-19T11:29:59","slug":"problemen-met-vulnerability-management-relax","status":"publish","type":"blog","link":"https:\/\/www.solvinity.com\/nl\/blog\/problemen-met-vulnerability-management-relax\/","title":{"rendered":"Problemen met vulnerability management? Relax"},"content":{"rendered":"

\"De<\/a><\/p>\n\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/i> Home<\/span><\/a><\/span><\/span><\/p>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\"\"
\n Paul Cattermole<\/span>\n Security & Compliance Officer<\/span>\n <\/div>\n <\/div>\n <\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t8 juli 2019\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Blogs<\/a><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Problemen met vulnerability management? Relax.<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\"\"Met de zomervakantie in het vooruitzicht bekruipt velen de gedachte aan een vakantie, om te kunnen ontspannen en bijkomen van het werk. Waarschijnlijk denk je aan vrijetijdsbesteding die helemaal niets met werk te maken heeft, zoals het boek dat je al een poosje wilde lezen, de nieuwste must-see van Netflix of gewoon luieren in de zon op het strand. Maar deze break kan je op een onverwachte manier helpen om inzicht te krijgen in een probleem op je werk waar je eigenlijk helemaal niet aan wilde denken…\u00a0<\/p>

Dit overkwam mij eerder dit jaar. Terwijl ik ontspannen in een hangmat lag, bij een gastgezin tussen koffieplantages in het zuiden van India, kreeg ik plotseling een openbaring over een vraag die al drie jaar aan mij knaagde bij Solvinity: waarom zijn we slecht in vulnerability management?<\/p>

Ik luisterde naar een aflevering van de podcast You Are Not So Smart met de titel ‘Why solving problems can make those problems seem impossible to solve<\/a>‘\u00b9\u00a0en ik hoorde voor het eerst over het concept van ‘prevalence induced concept change’ (naarmate een probleem minder vaak voorkomt, gaan we het probleemconcept ruimer defini\u00ebren). De problemen van Solvinity met vulnerability management werden mij toen duidelijk.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Achterliggende concepten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

De podcast legt uit dat er drie concepten zijn betrokken bij prevalence induced concept change.<\/p>

  1. Concept creep<\/a>– Creep is een term waar wij in de technologiebranche allemaal bekend mee zijn, van project-, tot scope en feature creep. Maar ook idee\u00ebn, abstracte termen en definities kunnen, naarmate we ze beter beginnen te begrijpen, onder ‘creep’ gaan lijden.\u00a0<\/li>
  2. Evaluatie door vergelijking \u2013 ons oordeel wordt be\u00efnvloed door vergelijking met ervaringen uit het verleden.\u00a0<\/li>
  3. Verandering in gangbaarheid na verloop van tijd – ons oordeel verandert als we merken dat iets na verloop van tijd zeldzaam wordt.<\/li><\/ol>

    Als we deze drie psychologische fenomenen combineren, doen onze hersenen iets raars…<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Het onderzoek<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    In het onderzoeksproject van David Levari en anderen<\/a>\u00b3\u00a0kregen proefpersonen een serie gekleurde stippen te zien, van paars tot diepblauw. Daarna werd hen gevraagd aan te geven of de stip ‘blauw’ of ‘niet blauw’ was. Tijdens het tweede deel van het experiment werd voor de helft van de respondenten het aantal blauwe stippen geleidelijk verlaagd naar 5%. Voor deze groep werden de blauwe stippen zeldzaam. Het onderzoek toonde aan dat wanneer het aantal blauwe stippen afneemt, mensen meer kleuren blauw begonnen te onderscheiden. Deze tweede groep mensen veranderde hun definitie van blauw.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t
    \u201cHet is voortdurend jongleren met actieve kwetsbaarheden en basis beveiligingsissues.\u201d<\/div>\n\t\t\t\n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t\t\t\t\t\t
    Paul Cattermole<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
    Security & Compliance Officer<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Mijn aha-moment<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Tijdens mijn vakantie, in mijn hangmat luisterend naar de podcast, viel ineens het kwartje: het onderzoek suggereert dat \u2018als je iets goed doet, je onbewust en onbedoeld meer problemen begint te zien dan daarvoor’.\u00a0\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Relatie tot vulnerability management<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Vulnerability management lijkt soms een strijd die je nooit kunt winnen. Je focust eerst op de systemen met kwetsbaarheden die uit te buiten zijn via het internet. Zijn er nog andere kritieke kwetsbaarheden? Uiteraard, deze hebben ook prioriteit. Als je deze lijst hebt ingekort, concentreer je je op systemen met zeer ernstige kwetsbaarheden. Het is voortdurend jongleren met actieve kwetsbaarheden en basis beveiligingsissues om ervoor te zorgen dat de kostbare tijd van de engineer gericht blijft op gebieden met het grootste risico.<\/p>

    En dit alles in omgevingen met strikte patching cycli volgens de Ontwikkeling, Test, Acceptatie en Productie-methodiek. Of in omgevingen die op custom middleware draaien met ‘dependencies’ die updateten lastig maken. En dit herhaalt zich elke maand, wanneer een nieuwe batch aan kwetsbaarheden wordt aangekondigd.<\/p>

    Maar als je het goed doet, daalt na verloop van tijd het totale aantal kwetsbaarheden. Je gaat testen hoe krachtig jouw vulnerability management oplossing is. Is onze scanconfiguratie geoptimaliseerd? Weten we zeker dat we alle systemen op onze doelnetwerken identificeren? Gebruiken we alle functionaliteiten die de huidige versie van onze security assessment tool te bieden heeft?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Eigenlijk doen we dit heel goed!<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Mijn idee van wat een vulnerability managementprobleem is, heeft zich inmiddels uitgebreid met extra aandachtsgebieden, zoals:<\/p>