Mitigatie betekent het beperken of verzachten van een risico of van de gevolgen ervan. Je kent het woord misschien uit het klimaatbeleid. In IT-beveiliging is een mitigatie een maatregel die de kans op misbruik van een lek of de schade ervan kleiner maakt, zolang de echte reparatie er nog niet is.
Een mitigatie kan een instelling zijn die een kwetsbaar onderdeel uitzet, een firewallregel die het aanvalspatroon blokkeert, of het afschermen van een applicatie van internet. Het Amerikaanse NIST omschrijft het als het tijdelijk verkleinen van de impact van een kwetsbaarheid of van de kans dat die wordt misbruikt. De fout zelf blijft dus bestaan, alleen wordt een aanval moeilijker.
Bij het PHP-lek van oktober 2026 was de belangrijkste mitigatie de instelling session.upload_progress.enabled = Off, die het onderdeel uitschakelt waar een van de fouten zat. Volgens php.net blokkeerde die de bevestigde aanvalsroutes via sessies, maar niet elke variant, en loste alleen de update het echt op. Een instelling werkt bovendien pas als het draaiende PHP-proces hem heeft ingelezen, dus na het aanpassen herstart je PHP.
Een WAF (web application firewall) is een veelgebruikte mitigatie, omdat je een nieuwe regel binnen uren kunt uitrollen. Imunify360 kreeg bij het PHP-lek bijvoorbeeld regels tegen het aanvalspatroon en de publieke aanvalstool. Toch kan wie de fout begrijpt zo'n regel omzeilen, dus houd een mitigatie in stand tot de patch erop staat en beslis daarna pas of je hem nog nodig hebt.
Geschiedenis
Mitigaties zijn er altijd geweest, maar ze werden pas echt bekend bij fouten die je niet meteen kon repareren. Bij Meltdown zat de fout in de processor zelf, dus moesten besturingssystemen de gevolgen opvangen.
Belangrijke mijlpalen:
- 2018: Meltdown en Spectre: Linux beperkt de schade met kernel page-table isolation (KPTI), omdat de fout in de processor zelf zit
- 2023: NIST omschrijft mitigatie in SP 800-216 als het tijdelijk verkleinen van de impact of de kans op misbruik van een kwetsbaarheid (NIST-woordenlijst)
- 2026: Bij twee kritieke PHP-lekken noemen php.net en CERT-EU tijdelijke maatregelen, met de nadruk dat alleen een update het lek dicht
Bronnen
