Elkenien kin no hackje

De skaal is dizze kear oars

Dizze wike rekke in kritysk lek in programmeartaal dêr't in grut part fan it web op draait. Matthew Prince, de CEO fan Cloudflare, teldde op X (22 oktober 2026): tûzenen oanfalspogingen yn de tsien oeren foar de iepenbiere bekendmakking, tsientûzenen yn de 45 minuten dernei, hûnderttûzenen binnen twa oeren, miljoenen de dei dêrop. Jason Clinton, haad feiligens by Anthropic, skreau deselde dei: gean no nei dyn bestjoer en freegje om help, net foar AI, mar foar de basis.

Dit is wêrom't ik tink dat it mear is as ien minne wike. De measte koade op ynternet is noch nea lêzen troch in masine dy't it begrypt. In soad swakke plakken wiene ferburgen bleaun om't se obskuer, abstrakt of wiskundich binne. In minske hie echte hackersfeardichheden nedich, tiid en wat gelok om der ien te finen. In model hat it geduld en de skerpte om folle mear oanfalsfektors te testen, op folle mear koade, as hokker team minsken ek. Bots en agents kamme it web systematysk út, op in skaal en mei in fermogen dat wy earder net seagen, en se wurde elke moanne better. Nimmen is mear te lyts om fûn te wurden.

Trochpakke

Der is gjin nije trúk. De basis is al tweintich jier deselde. Wat feroare is, is de priis fan it negearjen.

• Bliuw by. Ynstallearje feiligensfernijings fluch, automatysk wêr't it kin. De tiid tusken in bekendmakking en massale eksploitaasje is no minuten, gjin wiken.
• Meitsje backups. Offsite, rotearre en fersifere. Ien kopy is gjin backup.
• Test dyn backups. Kinst do echt weromsette? Doch it, mjit de tiid, en doch it takom fearnsjier wer.
• Ferlytsje dyn oanfalsflak. Minder draaiende ûnderdielen, minder publike tsjinsten, minder dingen dy't do net sels yn de hân hast. Elke plugin, elk account en elke tsjinst is in doar.
• Gean út fan it minste. Wat as al dyn data moarn stellen en iepenbier makke wurdt? Tink it hjoed troch, en helje alfêst fan tafel wat do kinst. Data dy't do net nedich hast, bewarje do net.
• Sjoch. Hâld in sterk, automatisearre each op dyn logs. De skea wurdt bepaald troch dyn reaksjetiid op de earste ôfwiking, net troch de oanfal sels.

De DigiDef-jierren

Fan 2015 oant 2019 die ik dit wurk ûnder in eigen namme: DigiDef, in buro foar digitale ferdigening. Feiligensaudits fan servers, websites en apps, backup-audits eardat do se echt nedich hast, boarnekoade-reviews, en efterôf útsykje hoe't de hackers binnenkamen. In part dêrfan skreau ik hjir op: fiif ienfâldige tips om dyn server te beskermjen, de feiligensrisiko's fan shared hosting, tsien tips foar WordPress en, letter, in backup-rotaasjeskema. digidef.nl is no offline, mar ik fûn it wurk fan DigiDef sa wichtich dat ik it in fêst ûnderdiel makke haw fan alles wat ik doch: websites dy't foarôf generearre wurde, sûnder wat op de server dêr't in besiker mei prate kin, servers mei sa min mooglik iepen doarren, logs dy't elke nacht lêzen wurde, en backups dy't echt weromset wurde.

Hands on

Sa sjocht it der út yn myn eigen wurk. Sûnt 2016 wurdt elke website dy't ik bou foarôf generearre: de siden wurde ien kear makke, as bestannen, en de server jout se allinnich noch út. Der sit gjin applikaasje efter it fersyk fan in besiker dy't oertsjûge wurde kin om wat te dwaan dat net de bedoeling is. Dat makket de sites flugger en ienfâldiger, en der is hiel lyts om oan oan te fallen. Minder bewegende dielen is it hiele idee.

Al myn servers stjoere elke logrigel nei it sintrale logsysteem fan it platfoarm: sa'n 1,7 miljoen sinjalen per dei, sortearre op soart en per minút teld. Elke moarn lêst in feiligensrûnte it troch, op syk nei wat bûten de linen falt: soarten rigels dy't noch nea sjoen binne, druk op mail en ssh, mislearre fernijings, blokkearringen, in tsjinst dy't flaters werom jout. Deselde rûnte fergeliket elke host mei juster: wachtsjende feiligensfernijings, iepen poarten, brûkers, kaaien, cronjobs, en de list fan bekende swakke plakken tsjin wat der echt ynstallearre is. Hy meldt him allinnich as der in hân nedich is.

Backups geane elke nacht fuort, nei in oare lokaasje, troch in doar dy't mar ien kant op giet: de masine yn produksje bepaalt wat der út giet, de ûntfangende kant kin net werom nei binnen. Snapshots wurde nei de kopy makke troch in apart account, sadat sels in kaapte ferstjoerder de skiednis net wiskje kin. Dêrnei rint in ûnôfhinklike kontrôle fan bûten ôf troch de spegel, fergeliket in stekproef byte foar byte en jout in oardiel. Dy hat de backup mear as ien kear op in falsk grien betrape. Sa no en dan draai ik in echt disaster-recovery-senario, lykas ik foar ien fan myn klanten die: begjin mei allinnich de backups en bring de tsjinst earne oars wer yn de loft. It gat dat do sa fynst, dat ien bestân dat de nachtlike kopy nea meinaam, stiet nea yn in rapport dat allinnich OK seit. En ik bliuw yn "the loop" mei de minsken yn Silicon Valley dy't dizze modellen bouwe en har dêrtsjin ferdigenje; de twa sitaten hjirboppe binne dêr in foarbyld fan.

In marathon, gjin sprint

Nimmen is feilich. Hoe mear do wytst en begrypst fan cyber security, hoe mear do besefst dat der gjin flugge oplossing is. It is in ynspanning fan de lange azem, en dy liket folle mear op in marathon as op in sprint. Do hâldst in tempo oan dat do folhâlde kinst, do sjochst nei de wei foar dy, do makkest goed wat do hjoed fynst, en moarn sjochst do wer.

Konklúzje

Cyber security is gjin teoretyske kâns mear. Bots en agents kamme it web systematysk út, op in skaal dêr't gjin minsklik team by kin, en se fine wat jierren ferburgen bleau. It antwurd is gjin nij produkt. It is de basis, goed dien en wer dien: bliuw by, meitsje backups en test se, draai minder ûnderdielen, gean út fan it minste, en sjoch nei dyn logs. Wytst net wis wêr't dyn doarren sitte? Stjoer my in berjocht, ik doch dit al hiel lang. De bots rinne al. Strik dyn skuonreamen mar fêst!