Citrix Bleed 3? File Integrity Monitoring kan een volgende aanval tijdig herkennen
Utrecht, 12 september 2025 – Een nieuwe variant van de beruchte CitrixBleed-aanvallen is niet ondenkbaar, zegt Arwi van der Sluijs, CEO van cybersecurityspecialist NFIR.Tijdens het Cybersec Jaarbeurs-event in Utrecht waarschuwde Van der Sluijs in zijn keynote dat de oplossing hiervoor verrassend dichtbij ligt: File Integrity Monitoring, een sleutel om aanvallen te doorzien nog voordat ze schade aanrichten.
In zijn keynote “How to prevent CitrixBleed 3?” blikte Van der Sluijs terug op de eerdere incidenten. CitrixBleed 1 (2023) en CitrixBleed 2 (2025) legden wereldwijd organisaties plat. Volgens Van der Sluijs is de dreiging van een derde variant onvermijdelijk:“De volgende ‘CitrixBleed’ zal anders zijn dan de vorige. Wie blijft vertrouwen op oude patronen, loopt achter de feiten aan. Met File Integrity Monitoring maken we veranderingen zichtbaar zodra ze ontstaan en dát is de sleutel om de impact te beperken,” aldus Van der Sluijs.
NFIR stelt dat traditionele detectiemethoden niet meer volstaan, omdat hackers zich blijven ontwikkelen. Het bedrijf adviseert organisaties daarom File Integrity Monitoring (FIM) in te zetten op hun Citrix NetScalers. Dit is overigens geen nieuwe techniek. Het is al 30 jaar een begrip onder Unix- en Linux-specialisten om de integriteit van systemen te bewaken. De methode houdt bij welke bestanden er op een systeem aanwezig zijn, en legt kenmerken zoals bestandslocatie, grootte, inhoud, permissies en hashwaarden vast. Zodra er een wijziging optreedt, bijvoorbeeld door een update, een configuratiewijziging of de toevoeging van een verdacht bestand, genereert FIM direct een melding. Zo ontstaat er een compleet en betrouwbaar overzicht van alle veranderingen die binnen kritieke systemen plaatsvinden.
De onderzoeken die NFIR uitvoerde naar CitrixBleed 2 hebben belangrijke lessen opgeleverd. Zo blijkt dat de standaardinstelling van de security- en auditlogs binnen Citrix NetScalers slechts 25 MB bedraagt. Dit is veel te weinig om forensisch onderzoek adequaat uit te voeren. NFIR adviseert organisaties daarom om logflows extern op te slaan met een retentietijd van minimaal één jaar.
Daarnaast beschikt de NetScaler sinds 2023 over een ingebouwde optie om File Integrity Monitoring te activeren. Door deze functionaliteit in te schakelen en de gegenereerde logs actief te monitoren, kunnen organisaties ongewenst geplaatste malware direct herkennen en tijdig maatregelen treffen. “In Nederland zijn duizenden organisaties die hier hun voordeel mee kunnen doen. Denk aan ziekenhuizen, zorginstellingen, diverse overheidsinstellingen en ons bedrijfsleven.” aldus Van der Sluijs.