HTTPS Blacklists
Apple, Mozilla und Let`s Encrypt fordern die Erstellung einer schwarzen Liste von SSL-Zertifikaten, Google schweigt, und wie steht es um die Internetsicherheit?
Angriffe auf Hochschulen
Die Universität Duisburg-Essen wurde angegriffen. Die gesamte IT-Infrastruktur wurde abgeschaltet und vom Internet getrennt. Laut der Universität wurden von den Angreifern große Teile des Systems verschlüsselt. Die Leitung der Einrichtung prüft derzeit alle Einzelheiten. Beeinträchtigt durch den Angriff wurden Büroanwendungen, die internen Verwaltungssysteme, der E-Mail-Verkehr und die Telefonkommunikation.
Mehr als 22 TB personenbezogener Daten von Schülern könnten online sein
22 TB an Schülerdaten, hauptsächlich aus den USA und Kanada, wurden möglicherweise gestohlen. Die Daten umfassen mehr als 117 Millionen Datensätze mit akademischem Werdegang und persönlichen Daten wie Namen, Adressen usw. Der Grund dafür waren Fehler in der Konfiguration von zwei AWS-Cloud-Servern, die von McGraw Hill, einem Verlag für Bildungsinhalte, genutzt wurden.
Neue Zero-Day-Schwachstellen wurden entdeckt
Microsoft Exchange 0-Day-Schwachstellen
Kürzlich entdeckten Forscher von GTSC zwei neue Zero-Day-Schwachstellen. Es wurden bereits erfolgreiche Angriffe verzeichnet, die diese Schwachstellen ausnutzten. Anfällig sind Microsoft Exchange Server 2013, 2016 und 2019. Noch eher könnten Sie zum Opfer dieser Schwachstelle werden, wenn die automatische Erkennung aus dem Internet aktiviert ist.
Die Wirkung des Angriffs
Bisher ist nur wenig über erfolgreiche Angriffe bekannt, sodass der praktische Schaden nicht genau abgeschätzt werden kann. Aber nach theoretischen Schätzungen kann er riesig sein. Angreifer können die Zugangsdaten auf dem Exchange-Server fälschen und sogar andere Malware installieren, um die Daten weiter zu stehlen.
Antwort von Microsoft und BSI
Microsoft hat bereits mit einem Blogbeitrag auf das Problem reagiert. Darin sprachen sie über das Problem und kündigten an, es so schnell wie möglich zu beheben. Das BSI warnt vor Angriffen und hat Schutzhinweise vorgelegt.
Es ist wichtig zu beachten, dass die in diesen Berichten präsentierten Daten keinen angemessenen Schutz bieten. Insbesondere wenn Ihr System bereits unbemerkt mit bösartiger Software infiziert ist. Außerdem werden die Empfehlungen fast täglich aktualisiert, was für Verwirrung sorgen kann.
Verfügbare Schutzlösungen
Microsoft veröffentlicht die aktuellsten Minderungsmaßnahmen in seinem Blog. Im Allgemeinen umfassen sie das Deaktivieren von Einstellungen im IIS-Manager mithilfe regulärer Ausdrücke, das Konfigurieren des Exchange Emergency Mitigation Service (EEMS) und das Einschränken der Powershell-Funktionalität. Schritt-für-Schritt-Anleitungen mit den wichtigsten Tipps werden dort auch beschrieben.
Wie der Angriff ausgeführt wird
Der Angriff erfolgt in mindestens zwei Phasen, theoretisch können es aber auch mehr sein. Gleichzeitig wird der Verlust mit jeder neuen Stufe zunehmen. Zunächst versuchen Angreifer, eine legitime Serverfunktion auszunutzen. Beispielsweise suchen sie automatisiert nach Servern, die die automatische Erkennung aktiviert haben. Bei Erfolg nutzen sie eine andere Schwachstelle aus, die es ihnen ermöglicht, Code in Powershell aus der Ferne auszuführen. Dies gibt Angreifern die Möglichkeit, weitere Schadsoftware herunterzuladen. Kontaktieren SIe uns, und wir helfen Ihnen die Angiffsfläche zu minimieren, um potentiellen Schaden gering zu halten.
VPN als Schutz. Sein oder nicht sein?
Mehr als 600 bekannte Schwachstellen, unzuverlässiger Betrieb auf mobilen Geräten und Unfähigkeit, die Zuverlässigkeit zu beurteilen. Und laut dem zscaler-Bericht verlassen sich 95 % der Unternehmen immer noch auf ein VPN für Hybrid- oder Remote-Sicherheit. Gleichzeitig stellten 44 % der Unternehmen eine Zunahme von Angriffen auf ihre mit Hilfe eines VPN „geschützten“ Netzwerks fest.
Cyberangriff auf Continental
Zur Erinnerung: Die internen Systeme von Continental wurden von der Lockbit-Gruppe gehackt und 40 Terabyte an Daten gestohlen. Der Vorfall wurde Anfang August bekannt, und es wird behauptet, dass die Hacker einen Monat lang im System waren. Jetzt gibt es weitere Details über den Vorfall.
Die Journalisten erfuhren, dass der Angriff über einen Browser durchgeführt wurde, den einer der Angestellten heruntergeladen hatte. Diese Information wurde vom Leiter der IT-Abteilung in einem internen Video bekannt gegeben. Es ist nicht bekannt, ob der heruntergeladene Browser bereits infiziert war oder ob die Angreifer die Sicherheitslücke einer legitimen Anwendung ausgenutzt haben.
Um diesen Vorfall zu vermeiden, war es auf jeden Fall notwendig, die Angriffsfläche strenger zu verwalten. Die wichtigsten Maßnahmen, die dies hätten verhindern können, sind das Patch-Management-System im Unternehmen, das Verbot, nicht autorisierte Anwendungen zu installieren, und die Beschränkung des Mitarbeiterzugangs.
Patch-Management bedeutet, dass jeder Mitarbeiter nur eine bestimmte Anzahl von Programmen verwendet, die ständig aktualisiert oder auf die sicherste Version heruntergestuft werden. Dadurch wird die Möglichkeit, dass Eindringlinge durch Software eindringen, die Sie nicht kontrollieren können, auf nahezu Null reduziert. Das Risiko von Zero-Day-Schwachstellen [Link zum Blogbeitrag über Zero-Day] besteht nach wie vor, sollte aber durch andere Maßnahmen verringert werden.
In den meisten Fällen ist es nicht erforderlich, dass die Mitarbeiter zusätzliche Anwendungen für ihre Arbeit installieren. Um sicherzustellen, dass keine anfälligen Anwendungen oder Malware verwendet werden, ist es besser, den Mitarbeitern die Installation nicht zugelassener Anwendungen zu untersagen.
Diese Maßnahmen verhindern eine unmotivierte Vergrößerung der Angriffsfläche und sorgen dafür, dass das Unternehmen die Kontrolle über die bestehende Angriffsfläche behält. Ebenfalls wichtig sind die Verwendung von Firewalls, Virenschutzprogrammen, die Simulation von Angriffen, die Verwaltung von Informationen und Sicherheitsereignissen usw. Alle Sicherheitsmaßnahmen müssen richtig konfiguriert sein und den Anforderungen des Unternehmens entsprechen. Für Beratungen und Einstellungen Ihrer Sicherheit wenden Sie sich bitte an https://neosec.eu/kontakt/index.html.
Was ist ein DDoS-Angriff?
Dabei handelt es sich um einen verteilten Denial-of-Service-Angriff, der darauf abzielt, legitime Benutzer am Zugriff auf die Dienste des Opfers zu hindern. Angreifer, die sich als Benutzer ausgeben, senden so viele Anfragen an Server wie möglich. Dadurch verlangsamen sie die Server, verhindern Benutzeranfragen und zwingen die Server manchmal zu einem Neustart.
Die meisten dieser Angriffe werden von so genannten Botnetzen aus durchgeführt. Dabei handelt es sich um mit Malware infizierte Geräte, die die Anweisungen der Hacker ausführen. Solche Geräte werden als Bots oder Zombies bezeichnet. Dabei kann es sich sowohl um gewöhnliche Computer als auch um IoT- und andere mit dem Netz verbundene Geräte handeln.
Das Ausmaß eines DDoS-Angriffs kann enorm sein. Im Jahr 2017 wurde die Google Cloud mit einem Spitzenverkehrsvolumen von 2,54 Terabyte pro Sekunde angegriffen. Das ist fast doppelt so viel wie der gesamte weltweite Internetverkehr in einer Stunde im Jahr 1999.
Welche Probleme verursacht ein verteilter Denial-of-Service-Angriff?
Das Hauptziel eines DDoS-Angriffs ist es, dem Unternehmen finanzielle Verluste zuzufügen. Vor allem durch Gewinneinbußen, weil die Dienstleistungen des Unternehmens für die Kunden nicht mehr verfügbar sind oder der Zugang zu ihnen erheblich erschwert wird. Oder das Unternehmen wird gezwungen, die Informationsinfrastruktur zu erweitern, ohne dass dies wirklich notwendig ist, sondern nur, um die Geschäftsleitung durch eine Erhöhung des Datenverkehrs zu täuschen. Dabei handelt es sich eigentlich um einen DDoS-Angriff, allerdings ohne scharfe Spitzen, so dass er schwer zu erkennen ist.
Ein anderes gefährliches Ziel kann als “Deckung” für einen weiteren Angriff dienen. Auf diese Weise können Hacker die Verteidigung dazu zwingen, alle Anstrengungen und Aufmerksamkeit auf die Bewältigung des DDoS-Angriffs zu richten und einen weiteren Angriff zu verpassen. Oder bringen Sie das Opfer dazu, seltsames Verhalten eines Servers, einer Website, einer Datenbank usw. mit einem verteilten Denial-of-Service-Angriff hervorzubringen. Gleichzeitig wird der Möglichkeit eines weiteren Anschlags häufig nicht genügend Aufmerksamkeit geschenkt.
Wie erkennt man einen DDoS-Angriff?
Einen DDoS-Angriff kann man erkennen durch:
- Ein starker Anstieg des Verkehrsaufkommens, sowohl auf einzelnen Seiten als auch auf der Website insgesamt.
- Identisches Verhalten von “Nutzern” oder ähnlichen Standorten, Browsern, Geräten usw.
- Verkehrsüberlastung zu bestimmten Zeiten (17:00 Uhr) oder mit einem bestimmten Wiederholungsintervall (alle 10 Minuten).
- ungewöhnliche Anfragen an den Server.
Es ist jedoch nach wie vor schwierig zu erkennen, wo sich der Bot und wo sich der rechtmäßige Benutzer befindet, da die so genannten “Zombies” selbst Benutzergeräte sind. Manchmal sind die Angriffe recht einfach und leicht zu filtern. Und manchmal können sie recht anspruchsvoll sein und eine tiefere Analyse erfordern. Wie bei anderen Arten von Angriffen lässt sich leider auch die Entstehung von Denial-of-Service als Dienst nachvollziehen. Unter dem Deckmantel der Erbringung von Testdiensten bietet dies sogar Personen, die weit vom Hacken entfernt sind, die Möglichkeit, leistungsstarke DDoS-Angriffe durchzuführen.
Wenn Sie hingegen ein neues Produkt auf den Markt bringen, kann es sein, dass die Website einen großen Nutzeransturm erlebt. Und niemand will Angreifern helfen, indem er legitime Nutzer mit seinen eigenen Händen abweist. Werbeaktionen und Sonderangebote können auch dazu führen, dass Menschen ein “seltsames” Verhalten an den Tag legen, indem sie die Seite regelmäßig aktualisieren oder die Website zu bestimmten Zeiten besuchen. Daher ist es nicht zielführend, sich bei der Verkehrsfilterung nur auf solche Indikatoren zu verlassen. Wie immer ist hier ein umfassender Ansatz erforderlich.
Brauchen wir wirklich einen Schutz und wie kann dieser aussehen
DDoS ist ein gängiger Angriff, der erhebliche finanzielle Verluste verursachen kann. Oder Sie erhöhen Ihre Kosten für die digitale Infrastruktur erheblich, indem Sie vorgeben, den Verkehr zu erhöhen. Eine auch nur kurzzeitige Nichtverfügbarkeit von Dienstleistungen kann dazu führen, dass einige Kunden für immer verloren gehen.
Wie bereits erwähnt, sind Verhaltensfaktoren einer der wichtigsten,aber nicht sehr zuverlässigen Indikatoren. Die Hauptaufgabe des Schutzes in dieser Situation wird darin bestehen, keinen Schaden anzurichten. Es ist absolut inakzeptabel, legitimen Kunden den Zugang zu diesem Dienst zu verwehren. Eine manuelle Filterung des Datenverkehrs und die Beurteilung seiner Rechtmäßigkeit ist ebenfalls absolut unmöglich.
Angriffe werden von der Firewall automatisch erkannt und führen nicht zur Unterbrechung der Client-Verbindung, sondern verlangsamen nur die Antwort des Servers. Und zwar so, dass es für die Kunden fast nicht wahrnehmbar ist, aber den Angriff zunichte macht. Außerdem werden einige IP-Adressen, bei denen es sich offensichtlich um Bots handelt, für einen wirksameren Schutz vollständig gesperrt.
Komplexere Angriffe werden durch die Art der Anfrage bestimmt und am Server “vorbeigeschickt” , um den Aufruf spezieller Anfragen zu verhindern, die den Server belasten, aber von legitimen Clients nicht aufgerufen werden können.
Wir bieten Lösungen für einen permanenten automatischen Schutz zum Blockieren und Entschärfen von DDoS-Angriffen. Außerdem erhalten Sie Unterstützung bei der tieferen Analyse von Angriffen und der Verbesserung des Schutzes je nach Bedarf. Wir bewerten die Sicherheit umfassend und lassen Angreifern keinen Raum für Manöver.
Teenager hat Uber und Rockstar gehackt
Ein 16-jähriger Hacker hat sich mit Hilfe von Phishing-Attacken in die Unternehmen Uber und Rockstar Games gehackt und sich Zugang zu mehreren Gigabytes an Daten, internen Diensten und dem Unternehmens-Slack verschafft und diese heruntergeladen. Der Quellcode von Uber, GTA 5 und 6, Video-Gameplay des neuen Teils von Grand Theft Auto und viele andere Dinge waren in den Händen des Hackers. Das meiste davon ist bereits online.
Keine weiteren News.
Keine weiteren News.
