Wat is Cyberchef?

Met Cyberchef wil de gemeente Amersfoort samen met het ROC Midden Nederland ondernemers een helpende hand bieden bij het verbeteren van hun digitale veiligheid. Helaas worden nog veel ondernemers slachtoffer van cybercrime en dat kan grote gevolgen hebben. We willen ondernemers helpen weer chef te zijn in hun eigen digitale keuken zodat zij minder kans lopen om slachtoffer te worden van digitale criminaliteit.

Wat heeft u eraan?

Met de Cyberchef scan krijgt u een eerste beeld van de digitale weerbaarheid van uw bedrijf. De studenten van het ROC Midden Nederland brengen samen met u uw digitale huishouding in kaart en leveren vervolgens een rapport met resultaten aan u op. Hier kunt u zelf of met behulp van Amersfoortse IT-professionals vervolgens verder mee aan de slag zodat uw digitale veiligheid weer op orde kan worden gebracht.

Hoe gaan we met uw informatie om?

Voorafgaande aan de start van Cyberchef ondertekent u samen met de studenten een toestemmingsverklaring. Daar staat in dat uw gegevens anoniem worden verwerkt. Er wordt geen herleidbare informatie over u of uw organisatie gevraagd. Daarnaast mogen de studenten ook geen veranderingen aanbrengen in uw systemen. Ze zijn er vooral om u te adviseren.

Voor meer informatie of als u contact met ons op wilt nemen klikt u hier.

Start de scan

Website en webserver

. Heeft het bedrijf een eigen website?

Nee

. Wordt de website gehost op een eigen webserver of via een webhosting provider?

Dit kun je checken via een Whois search

Eigen webserver

Webhosting provider

. Is de DNS server voorzien van DNSSEC?

Dit kun je checken via www.sidn.nl of www.internet.nl

Nee

. Zijn de DNS-records voor de website juist geconfigureerd?

Kijk met een DNS-tool of de gangbare records terug te vinden zijn er of er geen vreemde TXT-records instaan. Bijvoorbeeld dnsdumpster.com

Nee

. Gaat het websiteverkeer standaard over HTTPS?

Haal in de browser de S bij https weg en kijk of deze weer terugkomt. Check daarna via www.internet.nl of www.ssllabs.com/ssltest of dit technisch goed geregeld is.

Nee

. Is de mogelijkheid voor HTTP compressie uitgeschakeld?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

Nee

. Is de mogelijkheid voor TLS compressie uitgeschakeld?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

Nee

. Worden onveilige versies van TLS ondersteund?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

Nee

. Is het HTST protocol standaard geïmplementeerd?

Nee

. Wordt de ondersteuning van zwakke versleutelingsmethoden toegestaan?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest Kijk naar de volgorde van de cipher suites

Nee

. Het websitecertificaat vertoont geen fouten en is ondertekend door een legitieme certificate authority?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

Nee

. Is de basis beveiliging van de website in orde?

Dit kun je checken via: https://pentest-tools.com/website-vulnerability-scanning/website-scanner

Nee

. Opmerkingen?

. Eindigt het email-adress met @mijndomeinnaam.nl?

Nee

. Wordt e-mailverkeer gehost en afgehandeld met een eigen mailserver of via een externe maildienst?

Dit kun je checken via een Whois search of www.internet.nl

Eigen mailserver

Externe maildienst

. Is de DNS server voorzien van DNSSEC?

Dit kun je checken via www.internet.nl

Nee

. Het DNS is voorzien van DMARC en DANE records?

Dit kun je checken via https://ssl-tools.net/mailservers en www.internet.nl

Nee

. Het e-mailverkeer wordt standaard afgehandeld via STARTTLS?

Dit kun je checken via www.internet.nl of https://ssl-tools.net/mailservers

Nee

. Worden onveilige versies van TLS ondersteund?

Dit kun je checken via: https://www.ssllabs.com/ssltest/ of www.internet.nl

Nee

. Wordt de ondersteuning van zwakke versleutelingsmethoden toegestaan?

Dit kun je checken via: https://www.ssllabs.com/ssltest/ of www.internet.nl

Nee

. Het mailservercertificaat vertoont geen fouten en is ondertekend door een legitieme certificate authority?

Dit kun je checken via: https://www.ssllabs.com/ssltest/ of www.internet.nl

Nee

. Opmerkingen?

. Bij binnenkomst worden bezoekers geregistreerd: tijd van aankomst/vertrek en voor wie men komt?

Nee

. Worden afspraken met medewerkers van externe bedrijven geverifieerd?

Bijvoorbeeld: Er meldt zich iemand met kleding van Essent of KPN. Hij/zij zegt dat er iets gecontroleerd moet worden. Wordt dit nagegaan?

Nee

. Indien onbekende en/of externe medewerkers gebruik moeten maken van systemen is hier altijd toezicht (fysiek of digitaal) op?

Nee

. Kunnen bezoekers zonder obstakels zoals beveiligde deuren naar de werkvloer lopen?

Nee

. Indien een medewerker zijn werkplek verlaat wordt het scherm altijd vergrendeld met Windows+L?

Nee

. Wordt het pand beveiligd met camera's?

Nee

. Is er een beveiliger aanwezig?

Nee

. Er wordt goed opgelet dat onbevoegden geen gebruik maken van personeelsingangen of doorgangen?

Nee

. Opmerkingen?

. Zie je netwerksockets (RJ-45) waar je makkelijk een laptop kan inpluggen?

Nee

. Kan je, eenmaal ingeplugd, verbinding maken met het netwerk en/of internet?

Nee

. Kan je verbinding maken met de router of het accesspoint en vervolgens wijzigingen aanbrengen in de configuratie?

Nee

. Lukt het om een overzicht te maken van alle apparaten en services in het netwerk?

Nee

. Lukt het om vanuit de publieke ruimte fysiek contact te maken met netwerkapparatuur zoals server, router etc?

Nee

. Opmerkingen?

. Beschikt de onderneming over een WiFi-gastennetwerk?

Nee

. Is dit WiFi-netwerk 24/7 bereikbaar?

Nee

. Het netwerk is gesegmenteerd: er kan geen verbinding met apparaten gemaakt worden buiten dit netwerk?

Nee

. Het netwerk is voorzien van clientsegmentatie: apparaten kunnen elkaar niet identificeren op het netwerk?

Nee

. Is de signaalsterkte van het netwerk goed op de plaatsen waar deze bereikbaar moet zijn?

Nee

. Is het gastennetwerk voorzien van een WPA2 netwerksleutel?

Nee

. Kun je met een browser op het inlogportaal van de router of accesspoint?

Nee

. Is de router of het accespoint eenvoudig fysiek bereikbaar?

Nee

. Moeten gastgebruikers een overeenkomst accepteren alvorens zij de WiFi-service kunnen gebruiken?

Nee

. Kunnen gastgebruikers alle websites bezoeken, en alle internetdiensten gebruiken?

Nee

. Is er voor gastgebruik een datalimiet ingesteld?

Nee

. Is er voor gastgebruik een tijdsbeperking ingesteld?

Nee

. Opmerkingen?

. Beschikt de onderneming over een WiFi-netwerk voor medewerkers?

Nee

. Het netwerk is gesegmenteerd: er kan geen verbinding met apparaten gemaakt worden buiten dit netwerk?

Nee

. Het netwerk is voorzien van clientsegmentatie: apparaten kunnen elkaar niet identificeren op het netwerk?

Nee

. Is de signaalsterkte van het medewerkersnetwerk goed op de plaatsen waar deze bereikbaar moet zijn?

Nee

. Is het netwerk voorzien van een WPA2 netwerksleutel of WPA2-Enterprise authenticatie?

WPA2

WPA2-Enterprise

. Zijn de inloggegevens voor het WPA2-Enterprise netwerk dezelfde als voor het inloggen op een werkstation?

Nee

. Is de router of het accesspoint bereikbaar vanuit het netwerk?

Nee

. Is het standaard wachtwoord van de router of het accesspoint aangepast?

Nee

. Is de router of het accesspoint configureerbaar vanuit het medewerkersnetwerk?

Nee

. Is de router of het accespoint eenvoudig fysiek bereikbaar?

Nee

. Kunnen medewerkers alle websites bezoeken, en alle internetdiensten gebruiken?

Nee

. Opmerkingen?

. Medewerkers gebruiken op hun workstations alleen accounts zonder administrator rechten?

Nee

. Alle apparatuur waarop software en/of firmware aanwezig is wordt automatisch geüpdatet?

Nee

. Alle apparatuur is (indien mogelijk) altijd voorzien van actuele antivirus software?

Nee

. Alle apparatuur is (indien mogelijk) altijd voorzien van actieve malware-scanner software?

Nee

. Alle apparatuur is (indien mogelijk) altijd voorzien van een actieve firewall?

Nee

. Wordt er binnen de onderneming gebruik gemaakt van verwisselbare media zoals USB-sticks etc.

Nee

. Data op verwisselbare media is standaard versleuteld?

Nee

. Worden er verwisselbare media gebruikt voor de uitwisseling van bedrijfskritische gegevens?

Nee

. Is er binnen het bedrijf IT support aanwezig, of is deze alleen bereikbaar via een externe partij?

Intern

Extern

. Is er binnen het bedrijf een actueel overzicht van alle software en services welke aanwezig zijn op de systemen?

Nee

. Opmerkingen?

. Hoe vaak worden wachtwoorden aangepast: 1x per kwartaal, 1x per half jaar, 1x per jaar of alleen bij reset?

1x per kwartaal

1x per half jaar

1x per jaar

Alleen bij reset

. Wachtwoorden zijn makkelijk in te zien d.m.v. briefjes op de monitor en/of onderleggers op het bureau?

Nee

. Worden er sterke wachtwoorden gebruikt? (minimaal 16 tekens, variatie van letters, cijfers en leestekens)?

Nee

. Worden wachtwoorden hergebruikt bij meerdere services?

Nee

. Worden wachtwoorden opgeslagen in de browser?

Nee

. Maken medewerkers gebruik van een wachtwoordmanager?

Geef eventueel het advies voor Lastpass, Keepass etc.

Nee

. Worden de standaard wachtwoorden van nieuwe (netwerk) apparatuur direct aangepast bij ingebruikname?

Nee

. Is uw interne bedrijfsnetwerk bereikbaar vanaf het internet?

Voer bij deze vraag onder begeleiding een Shodan en Nmap scan uit en kijk of je via de browser verbinding kan maken met openstaande poorten.

Nee

. Is de bereikbaarheid van uw interne bedrijfsnetwerk vanaf het internet beveiligd met twee factor authenticatie?

Nee

. Medewerkers kunnen alleen via een VPN-verbinding maken met het bedrijfsnetwerk vanaf een externe verbinding?

Nee

. Zijn mappen en/of schijven met kritische bedrijfsdata beschermd met twee factor authenticatie?

Nee

. Opmerkingen?

. Worden er in het bedrijf (geautomatiseerde) backups gemaakt?

Nee

. Is er vastgelegd van welke data en systemen er wel of geen bakckups gemaakt dienen te worden?

Nee

. Hoe vaak vindt het maken van een backup plaats: dagelijks, wekelijks of maandelijks?

Dagelijks

Wekelijks

Maandelijks

. In het geval van een externe back-up: is deze 24/7 verbonden met het eigen netwerk?

Nee

. Wordt er periodiek getest of de back-ups geschikt zijn voor dataherstel in het geval van een calamiteit?

Nee

. Opmerkingen?

. De door het bedrijf verstrekte telefoons, tablets, laptops etc. zijn minimaal voorzien van een wachtwoord of pincode?

Nee

NVT

. Zijn computers en servers die van vitaal belang zijn voorzien van twee factor authenticatie?

Nee

. Telefoons, tablets en laptops kunnen door de IT afdeling op afstand worden beheerd?

Nee

. Telefoons, tablets en laptops kunnen door de IT afdeling op afstand worden geblokkeerd en/of gewist?

Geblokkeerd

Gewist

Beide

. Telefoons, tablets en laptops worden automatisch voorzien van de laatste updates en patches?

Nee

. Zijn uw medewerkers op de hoogte dat zij alleen software dienen te installeren uit officiële bronnen?

Nee

. Zijn uw medewerkers op de hoogte dat zij beter 3G of 4G kunnen gebruiken in plaats van (gratis) WiFi?

Nee

. Data op de mobiele apparaten wordt standaard voorzien van encryptie?

Nee

. Opmerkingen?

. Worden uw medewerkers geïnformeerd op het herkennen en voorkomen van phishing en social engineering?

Nee

. Worden er in uw bedrijf afspraken gemaakt over wat te doen in het geval van social engineering?

Nee

. Nieuwe medewerkers krijgen bij aanvang informatie en/of instructies omtrent het IT beleid?

Nee

. Mogen medewerkers eigen mobiele apparaten gebruiken binnen het bedrijf?

Nee

. Weten uw medewerkers wat te doen in het geval van een data-lek?

Nee

. Toegang tot accounts en het netwerk wordt direct ingetrokken zodra een medewerker uit dienst treed?

Nee

. Heeft het bedrijf een functionaris gegevensbeheer aangesteld in het kader van de AVG/GDPR?

Nee

. Medewerkers zijn op de hoogte dat zij geen gebruik dienen te maken van het WiFi-gastennetwerk met zakelijke apparaten?

Nee

. Opmerkingen?

Klaar

Alles is ingevuld, vul hieronder het mailadres is en de rapportage zal worden verstuurd.

Belangrijkste bevindingen

Waar mag de rapportage naar toe?

Verstuur de rapportage

Wat is Cyberchef?

Wat heeft u eraan?

Hoe gaan we met uw informatie om?

Website en webserver

. Heeft het bedrijf een eigen website?

. Wordt de website gehost op een eigen webserver of via een webhosting provider?

Dit kun je checken via een Whois search

. Is de DNS server voorzien van DNSSEC?

Dit kun je checken via www.sidn.nl of www.internet.nl

. Zijn de DNS-records voor de website juist geconfigureerd?

Kijk met een DNS-tool of de gangbare records terug te vinden zijn er of er geen vreemde TXT-records instaan. Bijvoorbeeld dnsdumpster.com

. Gaat het websiteverkeer standaard over HTTPS?

Haal in de browser de S bij https weg en kijk of deze weer terugkomt. Check daarna via www.internet.nl of www.ssllabs.com/ssltest of dit technisch goed geregeld is.

. Is de mogelijkheid voor HTTP compressie uitgeschakeld?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

. Is de mogelijkheid voor TLS compressie uitgeschakeld?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

. Worden onveilige versies van TLS ondersteund?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

. Is het HTST protocol standaard geïmplementeerd?

. Wordt de ondersteuning van zwakke versleutelingsmethoden toegestaan?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest Kijk naar de volgorde van de cipher suites

. Het websitecertificaat vertoont geen fouten en is ondertekend door een legitieme certificate authority?

Dit kun je checken via www.internet.nl of www.ssllabs.com/ssltest

. Is de basis beveiliging van de website in orde?

Dit kun je checken via: https://pentest-tools.com/website-vulnerability-scanning/website-scanner

. Opmerkingen?

E-mail en mailserver

. Eindigt het email-adress met @mijndomeinnaam.nl?

. Wordt e-mailverkeer gehost en afgehandeld met een eigen mailserver of via een externe maildienst?

Dit kun je checken via een Whois search of www.internet.nl

. Is de DNS server voorzien van DNSSEC?

Dit kun je checken via www.internet.nl

. Het DNS is voorzien van DMARC en DANE records?

Dit kun je checken via https://ssl-tools.net/mailservers en www.internet.nl

. Het e-mailverkeer wordt standaard afgehandeld via STARTTLS?

Dit kun je checken via www.internet.nl of https://ssl-tools.net/mailservers

. Worden onveilige versies van TLS ondersteund?

Dit kun je checken via: https://www.ssllabs.com/ssltest/ of www.internet.nl

. Wordt de ondersteuning van zwakke versleutelingsmethoden toegestaan?

Dit kun je checken via: https://www.ssllabs.com/ssltest/ of www.internet.nl

. Het mailservercertificaat vertoont geen fouten en is ondertekend door een legitieme certificate authority?

Dit kun je checken via: https://www.ssllabs.com/ssltest/ of www.internet.nl

. Opmerkingen?

Fysieke toegankelijkheid & awareness

. Bij binnenkomst worden bezoekers geregistreerd: tijd van aankomst/vertrek en voor wie men komt?

. Worden afspraken met medewerkers van externe bedrijven geverifieerd?

Bijvoorbeeld: Er meldt zich iemand met kleding van Essent of KPN. Hij/zij zegt dat er iets gecontroleerd moet worden. Wordt dit nagegaan?

. Indien onbekende en/of externe medewerkers gebruik moeten maken van systemen is hier altijd toezicht (fysiek of digitaal) op?

. Kunnen bezoekers zonder obstakels zoals beveiligde deuren naar de werkvloer lopen?

. Indien een medewerker zijn werkplek verlaat wordt het scherm altijd vergrendeld met Windows+L?

. Wordt het pand beveiligd met camera's?

. Is er een beveiliger aanwezig?

. Er wordt goed opgelet dat onbevoegden geen gebruik maken van personeelsingangen of doorgangen?

. Opmerkingen?

Fysiek netwerk in de publieke ruimte

. Zie je netwerksockets (RJ-45) waar je makkelijk een laptop kan inpluggen?

. Kan je, eenmaal ingeplugd, verbinding maken met het netwerk en/of internet?

. Kan je verbinding maken met de router of het accesspoint en vervolgens wijzigingen aanbrengen in de configuratie?

. Lukt het om een overzicht te maken van alle apparaten en services in het netwerk?

. Lukt het om vanuit de publieke ruimte fysiek contact te maken met netwerkapparatuur zoals server, router etc?

. Opmerkingen?

Gasten-WiFi

. Beschikt de onderneming over een WiFi-gastennetwerk?

. Is dit WiFi-netwerk 24/7 bereikbaar?

. Het netwerk is gesegmenteerd: er kan geen verbinding met apparaten gemaakt worden buiten dit netwerk?

. Het netwerk is voorzien van clientsegmentatie: apparaten kunnen elkaar niet identificeren op het netwerk?

. Is de signaalsterkte van het netwerk goed op de plaatsen waar deze bereikbaar moet zijn?

. Is het gastennetwerk voorzien van een WPA2 netwerksleutel?

. Kun je met een browser op het inlogportaal van de router of accesspoint?

. Is de router of het accespoint eenvoudig fysiek bereikbaar?

. Moeten gastgebruikers een overeenkomst accepteren alvorens zij de WiFi-service kunnen gebruiken?

. Kunnen gastgebruikers alle websites bezoeken, en alle internetdiensten gebruiken?

. Is er voor gastgebruik een datalimiet ingesteld?

. Is er voor gastgebruik een tijdsbeperking ingesteld?

. Opmerkingen?

Medewerkers-WiFi

. Beschikt de onderneming over een WiFi-netwerk voor medewerkers?

. Het netwerk is gesegmenteerd: er kan geen verbinding met apparaten gemaakt worden buiten dit netwerk?

. Het netwerk is voorzien van clientsegmentatie: apparaten kunnen elkaar niet identificeren op het netwerk?