⏰ Tijdmanagement (6 uur totaal)

Opdracht 1 (180 min) — SRV001 audit

Opdracht 2 (180 min) — SRV002 incident

⚠️ Zet een timer op je telefoon per fase.

📘 OPDRACHT 1 — Audit SRV001

STAP 1: Voorbereiding (15 min)

1. Start VM1 (SRV001) vanuit Hyper-V / VirtualBox
2. Login als administrator (wachtwoord krijg je van examinator)
3. Open op het bureaublad de folder ToolBox
4. Maak op je eigen werkplek een Word-doc open voor kladnotities — noteer alles wat je vindt direct daarin met tijd erbij
5. Open ook Bijlage 1.2 Sjabloon Auditrapport alvast, zodat je gaandeweg kunt invullen

STAP 2: Technische scans uitvoeren (30 min)

2A — Nmap scan

1. Open Command Prompt als administrator (rechtermuisklik → "Run as administrator")
2. Navigeer naar de Nmap-folder: cd "C:\Users\Administrator\Desktop\ToolBox\Nmap"
3. Voer uit: nmap -sV -O -p- 127.0.0.1
   • -sV = service versies detecteren
   • -O = OS detecteren
   • -p- = alle 65535 poorten
4. Screenshot het resultaat — sla op als nmap_srv001.png
5. Noteer: welke poorten zijn open? Welke zijn niet standaard?

Wat is normaal voor een AD/DNS/File server:

• 53 (DNS), 88 (Kerberos), 135/139/445 (SMB), 389/636 (LDAP), 464 (Kerberos pw), 3268/3269 (Global Catalog)

Wat is verdacht:

• 22 (SSH op Windows = raar)
• 3306 (MySQL hoort op SRV002, niet hier)
• 80/443 (webserver — heeft AD-server normaal niet)
• Hoge random poorten (>10000) — mogelijk reverse shell

2B — Microsoft Baseline Security Analyzer (MBSA)

1. Open MBSA vanuit ToolBox
2. Klik "Scan a computer"
3. Bij Computer name: laat staan op SRV001 (of vul localhost in)
4. Vink aan: alle opties (Windows updates, weak passwords, IIS, SQL admin issues)
5. Klik Start Scan
6. Wacht 2–5 minuten
7. Screenshot het resultaat
8. Noteer per categorie: rood kruis (probleem) / geel uitroepteken (waarschuwing) / groen vinkje (OK)

2C — Event Viewer

1. Start → typ eventvwr.msc → Enter
2. Ga naar Windows Logs → Security
3. Rechts klik "Filter Current Log"
4. Filter op Event ID:
   • 4624 = succesvolle login
   • 4625 = mislukte login
   • 4720 = nieuw user account aangemaakt
   • 4732 = user toegevoegd aan groep (bv. Administrators)
5. Zoek naar:
   • Logins op rare tijden (nachts, weekend)
   • Veel mislukte logins kort na elkaar (brute force)
   • Onbekende usernames
   • Nieuwe admin-accounts
6. Screenshot verdachte events

2D — Sysinternals (Autoruns + Process Explorer)

1. Open Autoruns.exe uit ToolBox
2. Tab "Logon" → wat start er op bij opstart? Verdachte unsigned items?
3. Tab "Scheduled Tasks" → zijn er taken die je niet kent?
4. Open Process Explorer
5. Sorteer op Company Name → alles wat geen Microsoft/Intel/etc. heeft = controleren
6. Rechts klik verdacht proces → Properties → Image → kijk naar pad. Zit het in C:\Users\...\AppData\ of C:\Temp\? Verdacht.

2E — TCPView

1. Open TCPView.exe
2. Kijk naar Established verbindingen
3. Verdacht: verbindingen naar externe IP-adressen die je niet kent
4. Screenshot

STAP 3: Firewall-log analyseren (15 min)

1. Op het bureaublad van SRV001 staat een firewall-log (uitsnede)
2. Open hem (waarschijnlijk .log of .txt)
3. Zoek naar:
   • DROP entries naar interne IP's = mogelijk lateral movement attempt
   • Verbindingen vanaf onbekende IP's
   • Verkeer naar landen waar je geen business mee hebt
   • Veel verkeer op rare poorten kort na elkaar
4. Noteer de meest verdachte entries (datum, tijd, source IP, destination port)

STAP 4: Bestandssysteem doorlopen (15 min)

4A — Bureaublad SRV001

• Staan er vreemde shortcuts zoals "Office.com" die naar onbekende URL's wijzen?
• Rechtermuisklik op verdachte shortcuts → Properties → check de Target

4B — Downloads folder

• Open C:\Users\Administrator\Downloads
• Verdacht:
  • Nicepics.txt of vergelijkbare random namen
  • .exe of .msi installers van onbekende oorsprong
  • Server achtergronden / wallpapers die er niet horen
• Per verdacht bestand: rechtermuisklik → Properties → Details → kijk naar Date created en company

4C — Gedeelde mappen

1. Start → compmgmt.msc → Enter
2. Shared Folders → Shares
3. Welke shares bestaan? Welke rechten heeft "Everyone"?
4. Verdacht: shares met persoonsgegevens (telefoonlijsten, personeelslijsten) die voor iedereen toegankelijk zijn

4D — Windows Firewall

1. Start → wf.msc → Enter
2. Status: aan of uit?
3. Bij Inbound Rules: vreemde "Allow" regels die je niet kent?
4. Screenshot van de status

STAP 5: Interviews lezen (Bijlage 1.1) (30 min)

Lees alle 4 interviews. Maak een tabel met bevindingen per persoon:

(Dit zijn voorbeelden — vul aan met wat jij vindt in de echte interviews op het examen.)

STAP 6: Risicoanalyse maken (30 min)

Per bevinding bepaal je Kans × Impact = Risico.

Formule

Per bevinding noteer je:

• Wat is gevonden? (bv. wachtwoord onder toetsenbord)
• Welk CIA-aspect raakt het? (Confidentiality)
• Welk AAA-aspect raakt het? (Authentication)
• Kans (1–3): hoe waarschijnlijk dat het misbruikt wordt
• Impact (1–3): hoe erg als het misbruikt wordt
• Risico (kans × impact)
• AVG-implicatie? (ja/nee)

Voorbeelden risico-inschatting

STAP 7: Auditrapport invullen (45 min)

Open Bijlage 1.2 Sjabloon Auditrapport en vul in:

1. Inleiding

• Wie ben jij (functie: IT'er / security auditor)
• In opdracht van wie (Apotheek AmeRijck / directie)
• Doel: jaarlijkse security check verplicht voor medische instantie
• Datum en periode van audit

2. Scope

• In scope: SRV001 (AD, DNS, File Storage server)
• In scope: interviews met balie/backoffice/apotheker
• Buiten scope: SRV002 (komt in andere audit), werkstations PC008–PC010

3. Methodiek

Beschrijf welke tools je hebt gebruikt en waarom:

• Nmap voor poortscan → externe aanvalsoppervlak in kaart brengen
• MBSA voor configuratie & patch status
• Event Viewer voor security events
• Sysinternals (Autoruns, Process Explorer, TCPView) voor draaiende processen en netwerkverbindingen
• Interviews voor menselijke factor / beleid

4. Bevindingen

Sorteer per categorie:

• Technisch (server-config) — wat MBSA + Nmap vonden
• Toegang & autorisatie — wachtwoorden, gedeelde accounts
• Netwerk — firewall uit, vreemde verbindingen
• Beleid & procedures — geen beleid, geen logboek
• Fysieke beveiliging — geen camera, papieren in prullenbak
• AVG-compliance — medische gegevens onvoldoende beschermd

Per bevinding:

• Wat is gevonden
• Waar (server / interview / log)
• Bewijs (screenshot / quote uit interview / scan-resultaat)
• Risiconiveau

5. Risicomatrix

Voeg de tabel uit STAP 6 toe.

6. Advies (verbetervoorstellen)

Per bevinding 1 concreet advies. SMART maken.

Voorbeelden van goede adviezen:

• ❌ Slecht: "Verbeter wachtwoordbeleid"
• ✅ Goed: "Implementeer wachtwoordbeleid via Group Policy: minimaal 12 tekens, complexiteit aan, max 90 dagen geldig, MFA verplicht voor alle administratieve accounts. Verantwoordelijke: systeembeheerder. Deadline: 30 dagen."
• ❌ Slecht: "Firewall aanzetten"
• ✅ Goed: "Activeer Windows Defender Firewall op alle profielen (Domain/Private/Public). Configureer inbound regels alleen voor noodzakelijke services (AD-gerelateerde poorten). Blokkeer al het overige inkomend verkeer. Verantwoordelijke: systeembeheerder."

Prioriteer (Hoog → Middel → Laag).

7. Conclusie

• Algemeen oordeel: voldoet apotheek AmeRijck aan eisen voor een medische instantie? (waarschijnlijk nee)
• Belangrijkste 3 risico's
• Aanbevolen vervolgstappen
• Met name AVG-compliance benadrukken: medische gegevens vereisen extra zware beveiliging

📕 OPDRACHT 2 — Incident SRV002 (MySQL datalek)

STAP 1: Voorbereiding (5 min)

1. Start VM2 (SRV002) — gebruik VM2 - Windows 2019.rdp bestand
2. Login als administrator
3. Open Bijlage 2.1 Sjabloon Onderzoeksverslag alvast
4. Maak een kladdocument open voor losse bevindingen

STAP 2: Onderzoek op SRV002 (40 min)

2A — Verdachte processen

1. Task Manager openen (Ctrl+Shift+Esc)
2. Tab Details → sorteer op User name
3. Processen die niet onder SYSTEM, LOCAL SERVICE, NETWORK SERVICE of Administrator draaien → verdacht
4. Open Process Explorer voor meer detail
5. Verdachte signalen:
   • Processen zonder company name (unsigned)
   • Processen vanuit AppData, Temp, Public
   • Processen die cmd.exe of powershell.exe als parent hebben
   • Bekende RAT names: nc.exe, ngrok.exe, mimikatz, vreemde .exe met willekeurige namen
6. Screenshot verdachte processen

2B — Geïnstalleerde programma's

1. Start → typ appwiz.cpl → Enter
2. Sorteer op Installation date (klik op kolom)
3. Bekijk recente installaties — wat is recent toegevoegd?
4. Verdachte programma's:
   • Remote access tools: TeamViewer, AnyDesk, UltraVNC, RealVNC, LogMeIn, RAdmin
   • Tunneling tools: ngrok, NetCat
   • Hacking tools: Wireshark op productie-server is raar, NMAP op DB server ook
5. Noteer alles wat verdacht is met installatiedatum

2C — MySQL onderzoek

1. Open MySQL Workbench of Command Line Client (Start → typ "MySQL")
2. Login (root wachtwoord krijg je van examinator, of staat in opdracht)
3. Run de volgende queries — screenshot elk resultaat:

-- Welke databases bestaan?
SHOW DATABASES;

-- Selecteer apothekersdatabase (naam zal iets als 'apotheek' of 'pharmacy' zijn)
USE [databasenaam];

-- Welke tabellen?
SHOW TABLES;

-- Hoeveel records per tabel? (vervang [tabel] per tabelnaam)
SELECT COUNT(*) FROM [tabel];

-- Welke kolommen — kijk of er gevoelige info in zit
DESCRIBE [tabel];

-- Welke gebruikers bestaan in MySQL?
SELECT User, Host FROM mysql.user;

-- Welke rechten heeft elke user?
SELECT User, Host, Super_priv, Grant_priv FROM mysql.user;

-- Wanneer is er laatst iets aangepast? (als general log aan staat)
SHOW VARIABLES LIKE 'general_log%';

-- Check binary log voor recente queries
SHOW BINARY LOGS;

2D — MySQL log files

1. Open Verkenner naar: C:\ProgramData\MySQL\MySQL Server X.X\Data\
2. Zoek naar:
   • *.err (error log) — fouten en restarts
   • *.log (general log of slow query log) — alle queries
   • *-bin.* (binary log) — alle data-mutaties
3. Open in Notepad++ of editor
4. Zoek naar:
   • Rare login attempts
   • SELECT * FROM ... queries van vreemde users
   • mysqldump commando's (= mogelijk export van database)
   • Logins van vreemde hosts (niet localhost)
5. Noteer tijdstempels van verdachte activiteit

2E — Event Viewer (zelfde als bij SRV001)

1. eventvwr.msc → Security log
2. Filter Event ID 4624 (logins), 4625 (failed logins)
3. Zoek naar logins rond de tijden die je in MySQL logs zag
4. Screenshot correlerende events

2F — Netstat

1. Command Prompt als admin
2. Voer uit: netstat -anob
3. Zoek naar:
   • ESTABLISHED verbindingen naar externe IP's
   • Onbekende processen die luisteren op poorten
4. Of: open TCPView voor visueel overzicht
5. Screenshot

2G — Autoruns

1. Open Autoruns
2. Filter → Options → Hide Microsoft Entries aanvinken
3. Tab Logon, Services, Scheduled Tasks
4. Verdachte items = unsigned + onbekende locaties
5. Screenshot

2H — Bestandssysteem

• C:\Users\Administrator\Downloads — recente verdachte downloads?
• C:\Temp of C:\Windows\Temp — vreemde bestanden?
• Desktop — vreemde shortcuts of bestanden?
• Bekijk Date modified — wat is recent veranderd?

STAP 3: Onderzoeksverslag invullen (45 min)

Open Bijlage 2.1 Sjabloon Onderzoeksverslag en beantwoord:

a. Hoe kon dit gebeuren? — kwetsbaarheden + risiconiveau

Maak een tabel:

b. Wanneer is het gebeurd?

• Combineer Event Viewer + MySQL logs voor tijdlijn
• Schrijf de tijdlijn op:
  • "Op [datum/tijd] werd ingelogd vanaf [IP]"
  • "Op [datum/tijd] werd de query SELECT * FROM patients uitgevoerd"
  • "Op [datum/tijd] werd [bestand] aangemaakt op de server"

c. Welke informatie?

Op basis van DESCRIBE queries:

• Patiëntnamen
• BSN nummers (bijzondere persoonsgegevens!)
• Adressen
• Medicatie / recepten
• Allergieën / medische condities

Bijzonder benadrukken: het zijn medische persoonsgegevens = bijzondere categorie onder AVG → extra zware meldplicht.

d. Hoeveel buitgemaakt?

• Aantal records uit SELECT COUNT(*)
• Bv. "Tabel patients bevat 1.247 records met medische gegevens. Op basis van de query log is de volledige tabel uitgelezen op [datum]."

Communicatiematrix (eind van verslag)

STAP 4: E-mail schrijven (30 min)

Open Bijlage 2.2 Sjabloon E-mail en vul in.

Structuur

• Aan: directie@apotheek-amerijck.nl (of welke ontvanger in sjabloon staat)
• Cc: securityofficer
• Onderwerp: Onderzoeksverslag datalek SRV002 — directe actie vereist

Body — moet bevatten:

Opening:

"Geachte directie,

Naar aanleiding van het gemelde informatielek op het forum heb ik onderzoek gedaan naar de databaseserver SRV002. Hierbij stuur ik u het onderzoeksverslag toe. In deze e-mail vat ik de belangrijkste vervolgstappen en wettelijke verplichtingen samen."

Vervolgstappen (a):

Geef een genummerde lijst, bv:

1. Isoleer SRV002 uit het netwerk (per direct) om verdere datalekkage te voorkomen
2. Wijzig alle wachtwoorden van MySQL accounts, Administrator account, en gerelateerde service accounts
3. Verwijder de aangetroffen [naam RAT/verdachte software] en gerelateerde autoruns
4. Installeer Windows updates en MySQL patches
5. Activeer MySQL general/audit logging en stuur logs naar centrale locatie
6. Schakel een externe forensisch onderzoeker in voor diepgaander onderzoek
7. Implementeer MFA voor alle admin-accounts
8. Stel een beveiligingsbeleid op (zie ook auditrapport SRV001)

Wettelijke verplichtingen (b) — AVG:

"Aangezien het gaat om medische persoonsgegevens — een bijzondere categorie persoonsgegevens onder de AVG (art. 9) — gelden er aangescherpte verplichtingen:

1. Meldplicht datalek (art. 33 AVG): dit datalek moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl
2. Informatieplicht betrokkenen (art. 34 AVG): bij hoog risico voor de rechten en vrijheden van betrokkenen — wat hier het geval is gezien de aard van de data — moeten de betrokken patiënten persoonlijk worden geïnformeerd
3. Registerplicht (art. 33 lid 5): het incident moet worden vastgelegd in het interne register datalekken
4. Functionaris Gegevensbescherming: indien aanwezig moet de FG direct worden geïnformeerd
5. Documentatieplicht: alle stappen die u onderneemt naar aanleiding van het datalek moeten worden gedocumenteerd

Boetes bij niet-naleving: tot €20 miljoen of 4% van de jaaromzet.

Bij vragen ben ik bereikbaar via [contactgegevens].

Met vriendelijke groet,
[Naam]
IT Security
Apotheek AmeRijck"

STAP 5: Server aanpassen (Opdracht 2.2) (45 min)

Wacht tot je Bijlage 2.3 Kwetsbaarheden krijgt (op papier, na inleveren onderzoeksverslag). Daarop staan de kwetsbaarheden die je moet oplossen.

Per kwetsbaarheid: screenshot voor → actie → screenshot na.

5A — MySQL root wachtwoord wijzigen

1. Open MySQL Command Line Client als administrator
2. Login met huidige root wachtwoord
3. Voer uit:

ALTER USER 'root'@'localhost' IDENTIFIED BY 'NieuwSterkWachtwoord!2025';
FLUSH PRIVILEGES;

4. Screenshot van succesmelding
5. Test: log uit en weer in met nieuw wachtwoord
6. Screenshot succesvolle login

5B — Anonieme/onnodige MySQL users verwijderen

-- Bekijk alle users
SELECT User, Host FROM mysql.user;

-- Verwijder anonieme users
DROP USER ''@'localhost';
DROP USER ''@'%';

-- Verwijder test database als die bestaat
DROP DATABASE IF EXISTS test;

FLUSH PRIVILEGES;

Screenshot voor en na.

5C — MySQL remote root login uitschakelen

-- Beperk root tot localhost
UPDATE mysql.user SET Host='localhost' WHERE User='root' AND Host='%';
FLUSH PRIVILEGES;

-- Verifieer
SELECT User, Host FROM mysql.user WHERE User='root';

Screenshot.

5D — RAT / verdachte software verwijderen

1. Eerst screenshot van Programs and Features (zo zie je dat het er stond)
2. Start → appwiz.cpl
3. Selecteer verdachte software → Uninstall
4. Volg uninstaller
5. Na uninstall: check C:\Program Files, C:\Program Files (x86), AppData voor restanten → handmatig verwijderen
6. Open Autoruns → verwijder gerelateerde startup entries
7. Open regedit → zoek op naam software → verwijder leftover keys (let op: alleen als je zeker bent!)
8. Screenshot Programs and Features waar software er niet meer staat
9. Screenshot Autoruns zonder de entry

5E — Administrator account beveiligen

1. Start → lusrmgr.msc (Local Users and Groups)
2. Users → Administrator → rechtermuisklik → Properties
3. Optie A: Wachtwoord wijzigen (rechtermuisklik → Set Password)
4. Optie B: Hernoemen account (rechtermuisklik op naam → Rename)
5. Optie C: Disablen lokale Administrator + nieuw beheerdersaccount aanmaken
6. Screenshot voor en na

5F — Windows Firewall aanzetten

1. wf.msc openen
2. Windows Defender Firewall Properties
3. Per profiel (Domain/Private/Public): Firewall state: ON
4. Inbound connections: Block (default)
5. Screenshot van actieve firewall per profiel

5G — Windows updates installeren

1. Settings → Update & Security → Windows Update
2. Check for updates
3. Installeer alles wat beschikbaar is
4. Screenshot van geïnstalleerde updates

5H — Overbodige services uitschakelen

1. services.msc openen
2. Zoek naar services die je niet nodig hebt op een MySQL-server (bv. Print Spooler, Fax, Telnet)
3. Rechtermuisklik → Properties → Startup type: Disabled → Stop
4. Screenshot per uitgeschakelde service

5I — MySQL logging activeren

-- General log aanzetten (let op: kost ruimte)
SET GLOBAL general_log = 'ON';
SET GLOBAL general_log_file = 'C:/ProgramData/MySQL/MySQL Server X.X/Data/general.log';

-- Verifieer
SHOW VARIABLES LIKE 'general_log%';

Screenshot.

STAP 6: Logboek invullen (Bijlage 2.4) (15 min)

Open Bijlage 2.4 Sjabloon Logboek en vul per actie in:

Belangrijk:

• Tijd nauwkeurig (HH:MM)
• Reden koppelen aan kwetsbaarheid uit Bijlage 2.3
• Screenshots ingevoegd in document, niet als losse files
• Volgorde chronologisch

🧠 ALGEMENE REFERENTIE

CIA Triad in jouw woorden

• Confidentiality geschonden = ongeautoriseerde inzage (zoals dit datalek)
• Integrity geschonden = data aangepast (bv. valse recepten ingevoegd)
• Availability geschonden = systeem onbereikbaar (bv. ransomware)

AAA in jouw woorden

• Authentication = wie ben je (inloggegevens)
• Authorization = wat mag je (rollen, rechten)
• Accounting = wat heb je gedaan (logging, audit trail)

AVG essentials — onthou deze

• 72 uur meldplicht bij datalek
• Autoriteit Persoonsgegevens (AP) is de toezichthouder
• Bijzondere persoonsgegevens (art. 9): medisch, religie, etniciteit, seksueel, biometrisch → extra zware verplichtingen
• Boete max: €20M of 4% jaaromzet
• Verwerkersovereenkomst verplicht met externe partijen die data verwerken

Belangrijke commands quick reference

✅ Eindchecklist inleveren

Opdracht 1 — Auditrapport (Bijlage 1.2):

• Inleiding ingevuld
• Scope duidelijk
• Methodiek met tools
• Bevindingen per categorie + bewijs
• Risicomatrix met scores
• Adviezen SMART geformuleerd
• Conclusie + prioriteit
• Screenshots/bewijs toegevoegd

Opdracht 2 — 4 producten:

• Onderzoeksverslag (Bijlage 2.1) — alle 4 directie-vragen beantwoord
• Communicatiematrix ingevuld
• E-mail (Bijlage 2.2) — vervolgstappen + AVG verplichtingen
• Server aangepast (alle items uit Bijlage 2.3)
• Logboek (Bijlage 2.4) — screenshots voor + na per actie

🎯 Laatste mindset-tips

1. Lees de opdracht 2x voordat je begint — zo voorkom je dat je iets mist
2. Maak een tijdlijn van bevindingen — examinatoren vinden dat sterk
3. Onderbouw met bewijs — screenshots, tijdstempels, quotes uit interview
4. AVG noemen bij medische data — automatisch punten
5. Concreet > vaag — "wachtwoordbeleid via GPO: 12 tekens, MFA, 90 dagen" is sterker dan "wachtwoorden verbeteren"
6. Niet panieken bij iets dat niet werkt — noteer wat je probeerde en ga door

📄 Bijlage 2.1 — Onderzoeksverslag

Het sjabloon voor het onderzoeksverslag van Opdracht 2 (SRV002 / MySQL datalek). Download het Word-bestand om er direct mee te beginnen.

⬇ Download Bijlage 2.1 (.docx)

📑 Bijlage 2.1 — Sjabloon Onderzoeksverslag

Datum: 31-1-2024
Auteur: Tijmen Schmidt
Opdrachtgever: Securityofficer AmeRijck vakantiepark

Managementsamenvatting

[Geef hier in het kort een samenvatting voor de directie met de aanleiding, de ondernomen acties, het resultaat, een conclusie en een advies.]

De aanleiding voor deze audit is dat er een securityincident is bij Apotheek AmeRijck van het vakantiepark op Helderoog, op een forum is informatie gevonden die duidt op een informatielek van gegevens uit de database van Apotheek AmeRijck.

De remote accestool is gede-installeerd, de firewall en antivirus zijn aangezet. Ook is er geen virusinfectie meer. Het rootpassword van MySQL is veranderd vanuit 'root'. De strong authenticatie is afgedwongen in de database.

Mijn advies is dat het standaardwachtwoord van 'root' wordt veranderd naar een wachtwoord die niet standaard is. Dit is zodat niet zomaar iedereen in de root kan komen van de MySQL-server.

De Firewall en antivirus moeten ook worden aangezet voor meer veiligheid in het netwerk.

De remote accestool moet worden verwijderd zodat er geen ongecontroleerde toegang kan worden verkregen.

Overzicht onderzoek

[Een toelichting op wat onderzocht is en op welke manier.]

• Firewall stond eerst uit:

• Ultra VNC is onderzocht en er is een log gevonden:

• Rudi is hier blijkbaar actief mee geweest.

Wat is er onderzocht?

[Een beschrijving van de punten waarop controles zijn uitgevoerd.]

• Firewall stond uit
• MySQL password = root
• De Antivirus stond uit
• UltraVNC stond erop

Gevonden zwakheden

[Beschrijf de zwakheden met hun risiconiveau die mogelijk hebben bijgedragen tot het incident. Gebruik eventueel de matrix om dit overzichtelijk te rapporteren.]

Risicomatrix:

Beschrijving gevonden bewijzen van eventueel misbruik

[Beschrijf welk soort bewijzen zijn gevonden.]

De details van dit bewijs zijn dat alle COLUMNS van 'apotheek' zijn bekeken op 2022-06-07 om ongeveer 4 uur in de middag.

Inhoud van gevonden bewijzen

[Beschrijf de relevante details van de bewijzen.]

Access denied, en daarna is iemand in de database gekomen.

Bericht mogelijk datalek

[Geef aan of en waarom er eventueel een melding gedaan moet worden bij het meldloket datalekken. Benoem hierbij welke gegevens mogelijk zijn gelekt en hoeveel personen hiervan mogelijk slachtoffer zijn.]

Het is van belang om een datalek melding te doen aangezien er gegevens zijn ingezien van patiënten, medicijnen en gasten. Ook de medicijngebruik is in kunnen zien door de inbreker.

Rudi, die eerder in dit document staat, heeft mee kunnen kijken met UltraVNC op de server.

Conclusie

[Beschrijf jouw conclusies. Neem ook een matrix met kans en impact op van de gevonden zwakheden.]

• Remote acces uitzetten
• Antivirus aanzetten
• Firewall terug inschakelen
• Root wachtwoord aanpassen

Risicomatrix van de Conclusie:

Advies

[Geef adviezen op basis van jouw conclusies om tot een betere balans van werkbaarheid en veiligheid te komen voor de organisatie.]

Mijn advies is dat het standaardwachtwoord van 'root' wordt veranderd naar een wachtwoord die niet standaard is. Dit is zodat niet zomaar iedereen in de root kan komen van de MySQL-server.

De Firewall en antivirus moeten ook worden aangezet voor meer veiligheid in het netwerk.

De remote accestool moet worden verwijderd zodat er geen ongecontroleerde toegang kan worden verkregen.

Communicatieadvies

Wij adviseren de organisatie om volgens de onderstaande communicatiematrix te communiceren.

[Kruis aan wie welke informatie moet gaan krijgen.]

[NB Gebruik gerust het internet, maar vermeld wel een gevonden bron en beschrijf altijd de gevonden informatie in eigen woorden.]

📒 Bijlage 2.4 — Sjabloon Logboek

Het logboek voor Opdracht 2 — registreer alle aangebrachte aanpassingen aan de server met tijd, kwetsbaarheid, actie en screenshot.

⬇ Download Bijlage 2.4 (.docx)

📑 Bijlage 2.4 — Sjabloon Logboek

Auteur: Nicky van der Meijden
Datum: 6-11-2023

Logboek

Op basis van dit sjabloon ga je een logboek bijhouden. Onderstaande tabel kun je zo vaak kopiëren als je nodig hebt.

Datum: 6-11-2023

Tijd	Omschrijving kwetsbaarheid	Actie uitgevoerd	Screenshots
15:00	Firewall staat uit	Firewall aangezet
15:10	Antivirus staat uit	Antivirus aangezet
15:20	Updates staan uit	Updates aangezet
15:30	Remote accestool staat op het systeem	Remote accestool verwijderd
15:40	Rootpassword is 'root'	Rootpassword veranderd (Technova123)
15:50	Virusinfectie	Virusinfectie opgelost
15:55	Password age op unlimited	Password age aangepast
—	Authenticatie	Authenticatie op standard

✏️ Herschreven versie

Logboek — Aangebrachte aanpassingen

Tijdens het hardenen van de server zijn onderstaande wijzigingen doorgevoerd. Per actie is bijgehouden op welk tijdstip welke kwetsbaarheid is verholpen, met bijbehorende screenshot ter onderbouwing.

Datum van uitvoering: 6-11-2023

Tijd	Geconstateerd probleem	Doorgevoerde maatregel	Bewijs
15:00	De Windows Firewall stond niet aan	Firewall opnieuw geactiveerd op alle profielen
15:10	Antivirussoftware was uitgeschakeld	Antivirusbescherming weer ingeschakeld
15:20	Windows-updates waren gedeactiveerd	Update-mechanisme weer geactiveerd
15:30	Onbevoegde remote-access tool gedetecteerd	Tool gedeïnstalleerd en restanten opgeruimd
15:40	Het MySQL root-wachtwoord stond op de standaardwaarde 'root'	Wachtwoord aangepast naar een sterk wachtwoord (Technova123)
15:50	Systeem was geïnfecteerd met een virus	Infectie opgespoord en verwijderd
15:55	Wachtwoorden waren ingesteld om nooit te verlopen	Verloopinstelling teruggezet naar een redelijke periode
—	Authenticatie ontbrak / was onvoldoende	Reguliere authenticatie-instellingen toegepast

✏️ Herschreven versie

Logboek — Uitgevoerde herstelacties

Voor het beveiligen van de server zijn de onderstaande maatregelen genomen. Iedere actie is gedocumenteerd met tijdstip, geconstateerde kwetsbaarheid en de uitgevoerde oplossing, vergezeld van een screenshot.

Uitvoeringsdatum: 6-11-2023

Tijdstip	Vastgestelde kwetsbaarheid	Uitgevoerde oplossing	Bewijs
15:00	De firewall was niet actief	Firewall ingeschakeld op alle profielen
15:10	Antivirus stond uitgeschakeld	Antivirus weer aangezet
15:20	Updates waren uitgezet	Update-functie heractiveerd
15:30	Een remote-access programma stond geïnstalleerd	Programma verwijderd inclusief overgebleven sporen
15:40	MySQL-rootwachtwoord stond nog op standaard 'root'	Vervangen door sterk wachtwoord (Technova123)
15:50	Aanwezigheid van een virusinfectie	Virus geneutraliseerd en verwijderd
15:55	Wachtwoordleeftijd was ingesteld op oneindig	Verloopperiode bijgesteld naar standaardwaarde
—	Authenticatieconfiguratie was niet ingericht	Standaard authenticatiebeleid van toepassing gemaakt

📧 Bijlage 2.2 — E-mail Datalek