Emotet hat – wie von Security-Experten bereits befürchtet – wieder hinzugelernt. Die Schadsoftware erstellt nun auch authentische Antworten auf bestehende E-Mails wie CERT-Bund via Twitter berichtete. So verleitet sie arglose Empfänger dazu, infizierte Anhänge zu öffnen oder auf gefälschte Links zu klicken. Unternehmen haben aber trotzdem noch Möglichkeiten, gegenzusteuern.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in der Vergangenheit bereits mehrfach vor der Schadsoftware Emotet gewarnt. Die Malware verschickt Spam-Mails aus dem eigenen E-Mail-Programm eines Betroffenen an die Kontakte im Adressbuch, um sich weiterzuverbreiten, und wirkt dadurch besonders glaubwürdig. Einmal infiziert, lädt der Schädling weitere Malware nach. Mögliche Folgen für Unternehmen: Produktionsstopps, komplett ausfallende Infrastrukturen und wiederaufzubauende Unternehmensnetzwerke.
Wie von Security-Experten befürchtet, haben Hacker die Schadsoftware nun weiterentwickelt, wie CERT-Bund twitterte: Emotet nutzt nun nicht mehr nur die Absenderadressen, sondern produziert mithilfe ausgelesener Nachrichteninhalte gefälschte Antworten auf E-Mails und bettet authentisch wirkende Links auf die Domain des vermeintlichen Versenders ein. Die Malware macht sich damit die Technik des sogenannten „Spear Phishing“ zunutze. Hier werden Informationen über die Kontakte und das Kommunikationsverhalten des Opfers gesammelt, um eine möglichst authentische E-Mail mit Schadcode im Dateianhang zu erstellen. Emotet hat diesen Prozess automatisiert und ist dadurch in der Lage, viele authentische E-Mails in kurzer Zeit zu verschicken und sich schnell zu verbreiten. Doch trotzdem die Schadsoftware immer raffinierter vorgeht, haben Unternehmen noch die Möglichkeit, zu handeln und sich davor zu schützen.
Unternehmen haben Handlungsmöglichkeiten und sollten sie nutzen
Betrachtet man den Aufbau von Emotet genauer, ergeben sich etwa auf technischer Ebene Ansatzpunkte, um sich vor einem Angriff zu schützen. Denn der Ablauf der Infektion nutzt eine Reihe von Elementen, die eine resiliente Infrastruktur mit einer flexiblen und präventiv ausgerichteten Sicherheitsarchitektur nicht aus dem Tritt bringen kann. So überträgt sich die Infektion nicht sofort, wenn der E-Mail-Empfänger einen Anhang öffnet, sondern erst, wenn er auch die zugehörigen Makros in der angehängten Datei, etwa einem Word-Dokument, ausführt. Das bedeutet: Bei üblichen MS-Office-Einstellungen muss ein Mitarbeiter die Schadsoftware im Anhang manuell aktivieren, um sie auf das Netzwerk zu übertragen.
Die meisten Mitarbeiter benötigen Makros für das normale Tagesgeschäft jedoch nicht. Daher empfiehlt es sich, diese standardmäßig vollständig zu deaktivieren, also auch das manuelle Ausführen durch entsprechende Rechtevergabe zu unterbinden. Ein gutes Schwachstellen-Management-Tool kann hier helfen und scannen, welche Benutzer-Accounts das Ausführen von Makros erlauben. Gleiches gilt für PowerShell- beziehungsweise Administratoren-Rechte, denn momentan sind auch diese notwendig, um Emotet überhaupt zu laden.
Nachladen von Emotet-Tools erkennen
Auch wenn Emotet das IT-System bereits infiziert hat, gibt es noch Verteidigungsmaßnahmen. So lädt die Schadsoftware verschiedene Tools nach, um etwa Zugangsdaten auszuspionieren oder Daten zu verschlüsseln. Diese Standard-Tools können so als Indicators of Compromise genutzt werden. Ob nachgeladene Emotet-Tools in der eigenen IT-Infrastruktur aktiv sind, lässt sich ebenfalls mithilfe eines Schwachstellen-Management-Tools, wie dem Greenbone Security Manager, erkennen.
Emotet verteilt sich vom infizierten System aus auch über die sogenannte SMB-Schwachstelle. Diese ist bereits aus den WannaCry- und Eternal-Blue-Angriffen bekannt und lässt sich über das entsprechende Update schließen. Viele Unternehmen haben nach dem WannaCry-Ausbruch ihre Netze von außen unzugänglich für die SMB-Kommunikation gemacht, aber nicht die interne Kommunikation. Hier ist eine Prüfung auf die entsprechenden Schwachstellen das Mittel der Wahl, um noch offene Systeme zu finden und die Lücke zu schließen.
Fazit: Kleine Security-Maßnahmen haben große Wirkung
Besonders für kritische Infrastrukturen (KRITIS) wie Krankenhäuser können großflächige Computerausfälle durch die Schadsoftware Emotet katastrophale Folgen haben – und nicht nur wirtschaftliche Schäden nach sich ziehen, sondern auch eine Gefahr für den Menschen darstellen. Unternehmen sollten also jetzt handeln und ihre IT-Infrastrukturen bestmöglich schützen. Um widerstandsfähig gegen Phishing-Attacken mit fortschrittlicher Malware wie den neuen Emotet-Typus zu werden, reichen oft wenige koordinierte Maßnahmen, wie etwa nicht benötigte Makros zu deaktivieren und bereits bekannte Schwachstellen so schnell wie möglich zu schließen.
https://www.greenbone.net/wp-content/uploads/security-265130_1920.jpg12801920Patricia Meiberthttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgPatricia Meibert2019-04-30 14:51:042019-04-30 14:51:04Update: Schadsoftware Emotet führt nun E-Mail-Konversationen fort, um noch glaubwürdiger zu wirken
Neue OS-Versionen werden jeweils zum 30. April und 31. Oktober veröffentlicht
2019 werden wir auf ein neues Release-Schema für Greenbone OS – dem Betriebssystem unserer Greenbone Security Manager (GSM) – umsteigen. Das bedeutet: Zukünftig gibt es feste Veröffentlichungstermine, die jedes Jahr gleich bleiben. Das gibt nicht nur unseren Kunden und Partnern, sondern auch dem Greenbone-Entwicklungsteam selbst mehr Planungssicherheit.
Die neuen fixen Termine sind jedes Jahr der 30. April und der 31. Oktober. Im Übergangsjahr 2019 veröffentlichen wir das als nächstes anstehende GOS 5.0 noch in der zweistufigen Aufteilung für ENTRY/SME (30. April) und MIDRANGE/ENTERPRISE/SENSOR (30. Juni). Das GOS 6.0 wir dann bereits gemäß dem neuen Schema in einem einzigen Schritt für alle GSM-Geräte freigegeben. Ab 2020 gilt das neue Time-Based-Release-System in vollem Umfang.
Das Schema basiert auf harten Fristen für neue Funktionen, neue GSM-Typen und neue Hardware. Wenn ein Feature es nicht zu einem Veröffentlichungstermin schafft, wird es für das Folge-Release berücksichtigt.
Ausgereifte Systeme durch einmonatige Testphase in der Greenbone-Community
Zudem durchläuft unser GVM für jedes GOS Release eine einmonatige Testphase: Vor dem Release am 30. April beziehungsweise 31. Oktober wird die jeweils aktuelle Source Edition im GVM Release der Greenbone-Community bereitgestellt. Eventuelle Bugs lassen sich so eliminieren, bevor unsere Kunden und Partner das neue GOS in Betrieb nehmen.
Ein weiterer Vorteil der neuen Time-Based Releases: Der Zyklus von zwei neuen Hauptversionen pro Jahr erhöht das Tempo, mit dem Innovationen zu unseren Anwendern gelangen. Zudem können User schneller auf neue GOS-Versionen aufspringen: Zum einen alle sechs Monate zu den offiziellen Release-Terminen (Innovation Cycle). Zum anderen alle 12 Monate während einer dreimonatigen Migrationsphase, in der sie dann eine GOS-Generation überspringen können – diese sind jeweils Mai/Juni/Juli oder November/Dezember/Januar (Conservative Cycle).
https://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpg00Patricia Meiberthttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgPatricia Meibert2019-04-10 14:57:522019-04-17 14:39:46Feste Release-Termine für Greenbone OS
Schwerwiegende Sicherheitslücke in D-Link-Routern entdeckt
UPDATE: Patch für Anwender verfügbar, D-Link Support-Seiten aktualisiert
Bereits im November 2018 hat Greenbone eine schwerwiegende Sicherheitslücke in Routern von D-Link entdeckt und das Unternehmen darauf aufmerksam gemacht. Die Schwachstelle ist für Hacker einfach auszunutzen und ermöglicht unautorisierten Zugriff auf Netzwerke. Seit dem 19. März 2019 ist auf den Support-Seiten des Herstellers ein Patch verfügbar. Greenbone bietet seinen Kunden jedoch bereits seit Ende letzten Jahres einen entsprechenden Schwachstellentest (Vulnerability Tests, VT) im täglichen Security Feed.
Router sind die zentralen Dreh- und Angelpunkte in Netzwerken. Sie stellen die Internetverbindung für die angeschlossenen Laptops und PCs aber auch für Smart-Home- und Industrie-4.0-Anwendungen her. Doch trotzdem hier so viele Komponenten eines Netzwerks zusammenlaufen, ist es um die Sicherheit oftmals nicht gut bestellt. Im vergangenen Jahr fanden Forscher des American Consumer Institute bei 83 Prozent der innerhalb einer Studie untersuchten Routern bereits bekannte Sicherheitslücken. Über diese können sich Hacker unter Umständen Zugriff zum Gerät selbst und damit auch zum Netzwerk verschaffen. Insgesamt zählten die Forscher mehr als 30.000 Schwachstellen – 7 Prozent davon bergen ein kritisches und 21 Prozent ein hohes Risiko.
Designfehler macht die Modelle DWR und DAP angreifbar
Zu den bereits bekannten Schwachstellen in Routern kommen auch immer wieder neue hinzu. So haben unsere Sicherheitsforscher bei Greenbone im November 2018 eine schwerwiegende Sicherheitslücke in verschiedenen Routern des Herstellers D-Link gefunden. Betroffen sind mindestens die Modelle DWR und DAP. Auf Englisch würde man die Schwachstelle als „Unauthenticated Remote Code Execution“ bezeichnen, also eine Sicherheitslücke, bei der ein Angreifer ohne jegliche Authentifizierung Befehle auf dem Router ausführen kann. Im Fall der D-Link-Router kann sich ein Hacker sogar die vollen administrativen Rechte verschaffen. Es ist sehr wahrscheinlich, dass das NIST (National Institute of Standards and Technology) die höchstmögliche CVSS-Wertung (Common Vulnerability Scoring System) von 10.0 vergeben wird.
Die Ursache ist vermutlich ein Design-Fehler. Bei den von uns getesteten Geräten fanden wir eine ausführbare Datei namens „EXCU_SHELL“, die sich mit einem sogenannten GET-Request aus dem Web-Browser aufrufen lässt. Diese ist für einige harmlose aber sinnvolle Operationen zuständig, wie zum Beispiel das Anzeigen von Informationen über die installierte Firmware-Version. Wenn man jedoch einige Parameter dieser Datei anpasst, lassen sich beliebige Befehle einschleusen und ausführen.
Zugriff auf Router ohne Authentifizierung möglich
Die Tragweite der gefundenen Sicherheitslücke ist gemäß der Marktpräsenz von D-Link hoch: Das Unternehmen ist einer der Top-Player auf dem globalen Wireless-Router-Markt und war 2017 mit einem Anteil von 24,1 Prozent Marktführer.
Darüber hinaus ist der Schweregrad der Lücke laut dem CVSS-Basis-Score-Rechner hoch und die Lücke relativ leicht auszunutzen: Die Datei „EXCU_SHELL“ ist nicht passwortgeschützt und Hacker können daher ohne Authentifizierung auf den Router und damit das zugehörige Netzwerk zugreifen. Einmal eingedrungen, lässt sich so der gesamte ein- und ausgehende Internet-Traffic einsehen, modifizieren und kontrollieren oder sogar Malware verbreiten.
In Zeiten von Smart Home und Industrie 4.0 kann dadurch erheblicher Schaden entstehen. Hackern steht mit einer Sicherheitslücken diesen Schweregrads sozusagen Tür und Tor zu Netzwerken offen – fatal wären die Folgen von Eingriffen in kritischen Infrastrukturen wie Gesundheitseinrichtungen oder Energieversorgern.
D-Link hat Sicherheits-Update am 19. März 2019 veröffentlicht
Nachdem Greenbone die Sicherheitslücke bereits im vergangenen November an D-Link gemeldet hat, ist für Anwender jetzt auch ein Patch verfügbar. Der Hersteller zeigte sich während der gesamten Zeit responsiv und bat uns, die CVE-Beantragung zu übernehmen. Informationen für Kunden auf der D-Link-Website und Patches sind inzwischen auch verfügbar.
Ursprünglich waren seit der Entdeckung der Schwachstelle schon mehr als 90 Tage vergangen – die Frist endete bereits am 11. Februar 2019. Daher handelten wir gemäß des Responsible Disclosure und veröffentlichten alle bisher verfügbaren Informationen, um Anwender zu schützen. Für Greenbone-Kunden war die Lücke bereits seit November 2018 über den täglichen Security Feed sichtbar.
Hersteller müssen handeln!
Angesichts der horrenden Anzahl von Sicherheitslücken auf Routern, ist die Schließung der D-Link-Lücke sicherlich nur ein Tropfen auf dem heißen Stein. Ja, die Anzahl an Schwachstellen ist einschüchternd – den Kopf in den Sand stecken aber keine Option. Vielmehr gilt es, so viele Hersteller wie möglich dazu zu bewegen oder wenn nötig auch zu zwingen, ihre Router abzusichern. Denn in einer vernetzen Welt wie der unseren steht zu viel auf dem Spiel. Hier erhalten Sie weitere allgemeine Informationen zum Thema IT-Sicherheit.
Schwachstellen für digitale Gegenangriffe zurückzuhalten, ist in höchstem Maße riskant
Sollten Staaten Schwachstellen zurückhalten, um die eigenen Möglichkeiten eines Hack Back zu stärken? Nein, meint Dirk Schrader, CMO von Greenbone Networks, Vulnerability-Management-Anbieter, als Reaktion auf den Spiegel-Artikel „Das Cyber-Dilemma“.
Gut gezielte Cyber-Angriffe können heute das gesellschaftliche Leben ganzer Staaten lahmlegen. Bei einem totalen Blackout der Energieversorgung würden etwa wichtige elektronische Geräte in Krankenhäusern ausfallen und Lebensmittelkühlketten nicht mehr funktionieren. Auch ließen sich keine Notrufe mehr tätigen und die Frischwasserversorgung wäre gefährdet. Es ist daher gut und wünschenswert, dass die Regierung darüber diskutiert, wie sie die eigenen kritischen Infrastrukturen bestmöglich vor böswilligen Cyber-Angriffen schützen kann. So sind Maßnahmen eins bis drei des vom Bundesverteidigungs- und Bundesinnenministeriums vorgestellten Fünf-Stufen-Plans absolut richtig und wichtig: Prävention von Cyber-Angriffen, Umleitung von Daten eines erkannten Angreifers und Aufklärung von Hacker-Offensiven.
Hack Backs haben unvorhersehbare Nebenwirkungen
Der in Stufe vier und fünf verfolgte Ansatz, gefundene Schwachstellen zurückzuhalten, sie also nicht zu veröffentlichen, um sie für einen sogenannten „Hack Back“ zu nutzen, ist jedoch schon aus technischer Sicht nicht praktikabel. So sollen sich Cyber-Experten in Stufe vier des Plans über eine bisher nicht veröffentlichte Schwachstelle Zugriff auf das IT-System des Hacker verschaffen, um Daten „zurückzuklauen“. Doch bereits hier lauern zahlreiche Fallstricke: Gibt es Kopien von den Daten? Sind die Daten verteilt gespeichert? Wem gehört der Server überhaupt? Und was ist, wenn der Server in einem befreundeten Land steht und Eigentum der dortigen Regierung ist?
Stufe 5 – die von Hackern genutzten Server zu zerstören – erinnert wiederum sehr an das Vorgehen der britischen Regierung nach den Snowden-Enthüllungen. Hier wurden Festplatten der britischen Tageszeitung „The Guardian“ mit Bohrern zerstört. Die Folge eines solchen Vorgehens: Nutzen auch andere unbeteiligte Einrichtungen den Server, wären auch deren Daten unwiederbringlich verloren. Insbesondere bei kritischen Infrastrukturen wie Krankenhäusern hätte dies fatale Folgen.
In diesem Zusammenhang stellt sich außerdem die bisher nicht thematisierte Frage, gegen wen solche Maßnahmen der Stufen 4 und 5 theoretisch gerichtet sein können – und dürfen. Wenn ausländische Dritte vom Hack Back betroffen sind, wertet deren Regierung das als Angriff und hackt auch zurück? Eine solche Spirale sollte verhindert werden.
Unveröffentlichte Schwachstellen sind immer ein Risiko
Darüber hinaus gibt es auch bei der Beschaffung von bisher unveröffentlichten Schwachstellen ein sehr konkretes Problem: Findet man selbst eine neue Sicherheitslücke, muss man immer davon ausgehen, dass feindlich gesinnte Hacker oder Regierungen ebenfalls auf diese aufmerksam werden. Es gilt also, die eigene Infrastruktur gegen einen Angriff über ebenjene Schwachstelle zu schützen. Doch wie gelingt das, wenn es dafür noch keinen Patch gibt? Die Thematik ist umso brisanter, wenn man das Wissen über eine Schwachstelle von einem Dritten gekauft hat. Denn Gegner sind natürlich in der Lage, das Gleiche zu tun.
Spätestens wenn die Schwachstelle für einen Hack Back genutzt wurde, ist sie ein maßgeblicher Risikofaktor, denn: Ab diesem Zeitpunkt ist sie bekannt, wird analysiert und von Gegnern eventuell ebenfalls für einen Angriff genutzt. Derselbe Mechanismus greift bei digitalen Schläferzellen – Schadsoftware, die über eine Schwachstelle unbemerkt im IT-System von potenziellen Gegnern platziert wird und bei Bedarf zum Einsatz kommt. Denn auch hier gilt: Ab ihrem Bekanntwerden – etwa indem die Schadsoftware gestartet wird – ist sie ein potenzielles Einfallstor in das eigene IT-System.
Fazit: Digitalen Waffen keinen Entwicklungsraum geben
Schwachstellen zurückzuhalten, um sie für Hack Backs zu nutzen, ist weder politisch, noch administrativ, noch technologisch tragbar. Schlussendlich erhöht jede nicht geschlossene Schwachstelle das Risiko eines erfolgreichen Angriffs. Die Folgen eines solchen sind in unserer komplex vernetzten Welt unvorhersehbar. Im schlimmsten Fall kommt es zu einem Kaskadeneffekt, der das komplette gesellschaftliche Leben zum Erliegen bringt. Dieses Risiko sollten Regierungen auf keinen Fall eingehen, denn sie sind für das Wohl der Bürger verantwortlich. Anstatt sich also um zwischenstaatliche Verfahren über die Weitergabe von Schwachstellen zu bemühen, sollte die politische Energie vielmehr auf die Ächtung von D-Waffen (digitalen Waffen) nach dem Vorbild des Genfer Protokolls zielen.
https://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpg00Patricia Meiberthttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgPatricia Meibert2018-09-19 10:02:252018-09-19 10:02:25Heckmeck mit Hack Back
Am 5. Juli hat das Parlament der Europäischen Union der EU-Kommission geraten, das sogenannte EU-US Privacy Shield auszusetzen. Damit erneuert und verhärtet das EU-Parlament seine Position zu den im Privacy Shield vorgesehenen Datenschutz-Richtlinien für US-Unternehmen, die Daten von EU-Bürgern verarbeiten und speichern. Schon im Oktober letzten Jahres hatte das EU-Parlament eine Liste mit 10 Empfehlungen veröffentlicht, die auf Lücken und Schwächen im Privacy Shield hinwiesen.
In der Empfehlung an die EU-Kommission wies das Parlament besonders darauf hin, dass die US-Administration es bisher nicht geschafft hat, zwei Kernelemente des Privacy Shields umzusetzen. So gibt es beispielsweise noch immer keinen Ombudsmann, der das U.S. Privacy Civil Liberties Oversight Board (PCLOB) führt, geschweige denn gibt es Mitglieder in diesem Board. Damit fehlt EU-Bürgern ein Ansprechpartner im Falle von Datenschutzverletzungen und somit die Möglichkeit, den eigenen Rechten auch in den USA überhaupt Gehör zu verschaffen.
Privacy Shield löst Safe Harbor ab
Zur Erinnerung: Privacy Shield wurde als Ersatz für das Safe Harbor-Abkommen eingeführt. Safe Harbor kippte, weil der Europäische Gerichtshof 2015 der Klage des österreichischen Juristen Maximilian Schrems stattgegeben hatte. Die Safe Harbor-Regeln sollten einen ’sicheren Datenhafen‘ für sensible Daten auch außerhalb der EU schaffen, damit diese Daten zum Beispiel in den USA weiterverarbeitet werden konnten. Ausgelöst durch die Snowden-Veröffentlichungen (insbesondere PRISM) wurde dieses Abkommen überprüft und schließlich durch Privacy Shield ersetzt.
EU-Parlament bestätigt Einschätzung: Sensible Daten sind bei US-Firmen nicht sicher
Wie bereits in meinem letzten Blog-Beitrag erläutert, sollten sensible aber auch sicherheitsrelevante Daten eines Unternehmens Europa nicht mehr verlassen. Die Einschätzung des Parlaments verstärkt die Dringlichkeit für den Datenschutz. Sicherheitsrelevante Daten wie Intellectual Property oder administrative Zugänge wie Domain-Passwörter sollten nicht zu Cloud-Anbietern in die USA gegeben werden. Der Cloud Act und Privacy Shield sind nicht vereinbar.
Mehr Information zur Resolution des EU-Parlaments ist hier veröffentlicht, eine Analyse finden Sie hier (in Englisch).
https://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpg00Patricia Meiberthttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgPatricia Meibert2018-07-14 12:06:182018-07-16 12:38:53Nach Privacy Shield: EU-Parlament rät erneut zur Aussetzung des Datentransfers in die USA
Im März dieses Jahr hat der US-Kongress den sogenannten Cloud Act verabschiedet. Dieser erlaubt US-Behörden weltweiten Zugriff auf Daten von US-Unternehmen – auch wenn deren Server in der EU stehen. Für Unternehmen, die Daten bei US-Dienstleistern speichern, steht damit auch ihre IT-Sicherheit auf dem Spiel.
Der sogenannte Cloud Act (Clarifying Lawful Overseas Use of Data Act, deutsch: Gesetz zur Klarstellung des rechtmäßigen Umgangs mit Daten im Ausland) verpflichtet US-Unternehmen Daten unabhängig vom Speicherort auf Anfrage an amerikanische Behörden herauszugeben. Die US-Gesetzgebung stellt damit amerikanisches Recht in einem EU-Mitgliedsstaat über EU-Recht. US-Firmen befinden sich zukünftig also in einem Dilemma: Verweigern sie den Zugriff, brechen sie amerikanisches Recht und umgekehrt europäisches.
Microsoft hat gekämpft und verloren
Einer der Hintergründe der Entscheidung war der Fall Microsoft. Die Angelegenheit reicht bis 2013 zurück. Damals ermittelte das US-Justizministerium wegen Drogenkriminalität und verlangte von Microsoft Zugriff auf das E-Mail-Konto eines Verdächtigen. Da der Server mit den Daten jedoch in Irland stand, erklärte Microsoft den Durchsuchungsbeschluss für ungültig. Es kam zu einem Prozess, den Microsoft in erster Instanz verlor und in zweiter Instanz gewann. Aufgrund des neuen Cloud Act wurde dieser Fall nun aber für erledigt erklärt. Wie eine akzeptable Lösung zwischen den USA und der EU beziehungsweise den einzelnen Mitgliedstaaten in diesem Dilemma aussehen kann, wird momentan noch diskutiert.
Sensible Daten sind bei US-Firmen nicht mehr sicher
Was bedeutet das nun aber für Unternehmen, die Dienstleistungen von US-Firmen in Anspruch nehmen? In erster Linie muss ihnen klar sein, dass eine echte Compliance zur EU-DSGVO hieran scheitern kann. Einen Schritt weiter gedacht, können US-Behörden durch den Cloud Act aber auch geradezu willkürlich Zugriff auf sämtliche Daten eines Unternehmens erlangen, die bei einem US-amerikanischen Partner oder Dienstleister gespeichert sind – dies umfasst also auch Geschäfts- und Betriebsgeheimnisse oder Informationen über getroffene IT-Sicherheitsmaßnahmen.
Sicherheitsrelevante Daten sollten das Unternehmen nicht verlassen
Unternehmen, die IT-Sicherheitsdienstleistungen, wie etwa Schwachstellenmanagement, von US-Anbietern beziehen und sensible Security-Daten auch bei diesen speichern, sollten daher jetzt handeln. Für größtmögliche Sicherheit sollten sie mindestens zu einem europäischen Partner wechseln, der Daten ausschließlich in Rechenzentren innerhalb der EU speichert. Letztlich stellt sich dabei auch die grundlegende Frage, ob sicherheitsrelevante Daten das Unternehmen überhaupt verlassen sollten – oder müssen. Denn auf dem Markt gibt es durchaus IT-Security-Dienstleister, deren Lösungen ausschließlich innerhalb der Unternehmens-IT arbeiten und Daten weder in die Cloud noch zum Anbieter übertragen.
Ein Beispiel dafür ist unser Greenbone Security Manager. Er scannt IT-Netzwerke auf Schwachstellen und leitet Daten und Reports ausschließlich innerhalb des sicheren Unternehmens-Netzwerks weiter.
Cloud Act fordert zum Handeln auf
Der Cloud Act zeigt einmal mehr, dass dem Thema Datenschutz in den USA ein wesentlich anderer Stellenwert zukommt als in Europa: Während die Europäer Datenschutz als ein Menschenrecht ansehen, ist es in den Vereinigten Staaten „lediglich“ ein Bürgerrecht – das sich demzufolge auch nur auf US-Amerikaner bezieht. In der amerikanischen Gesetzgebung werden die Interessen europäischer Bürger also auch in Zukunft wenig bis gar keine Berücksichtigung finden. Darauf müssen sich Unternehmen einstellen. Sie sollten den Cloud Act daher zum Anlass nehmen und sensible Daten außerhalb des Zugriffsbereichs amerikanischer Behörden bringen. Dies kann etwa durch einen Wechsel zu europäischen oder deutschen Dienstleistern geschehen. Der Königsweg im Bereich IT-Sicherheit ist jedoch Lösungen zu wählen, bei denen sensible Daten das Unternehmen gar nicht erst verlassen.
Am Puls der Zeit und noch ein Stück weiter: Im hauptstädtischen Flair fand die Greenbone Anwenderkonferenz Security Transparent in diesem Jahr am 8. Mai 2018 im Humboldt Carré Berlin statt. Im Fokus: Kritische Infrastrukturen und Cyber Resilience.
„Von Cyber Security zu Cyber Resilience“ – Das war der Tenor unserer diesjährigen Anwenderkonferenz. Zahlreiche Teilnehmer und Sprecher tauschten sich über aktuelle und zukünftige IT-Sicherheitsthemen aus und lieferten hochwertige Diskussionsbeiträge.
Vortrag Polizeihauptkommissar Markus Böger
Dabei war es die Bandbreite an Sektoren, die den Konferenzbesuchern dieses Jahr einen besonders breiten Erfahrungshorizont bot: Teilnehmer und Sprecher aus Produktion, Gesundheit, Energie, Verwaltung und Telekommunikation trugen zu einem spannenden Erfahrungsaustausch bei und wagten Ausblicke in die Zukunft der IT Sicherheit.
Vor Beginn der Workshops legte Dirk Schrader, CMO, in einer Keynote spannende Aspekte des Wandels von Cyber Security hin zu Cyber Resilience dar. Im Anschluss dazu konnten die Teilnehmer im Turnus an fünf unterschiedlichen Workshops teilnehmen:
Moderation: Martin Herfurt, Professional Services Team, Greenbone
Wir bedanken uns bei allen Teilnehmern für ihr Kommen und freuen und bereits auf das nächste Jahr, wenn es wieder heißt: alle Karten auf den Tisch! Bei der Security Transparent 2019. Die Präsentationen können Sie mit einem Klick auf den Link kostenlos herunterladen.
https://www.greenbone.net/wp-content/uploads/Vortrag-Dirk.jpg10801920Patricia Meiberthttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgPatricia Meibert2018-05-16 13:45:482018-05-24 16:05:44Security Transparent 2018 – Vielen Dank an alle Teilnehmer!
Die Greenbone Anwenderkonferenz Security Transparent findet in diesem Jahr am 8. Mai 2018 im Humboldt Carré Berlin statt. Im Fokus: Kritische Infrastrukturen und Cyber Resilience.
In diesem Jahr dreht sich auf unserer Anwenderkonferenz alles um die IT-Sicherheit von kritischen Infrastrukturen (KRITIS) – wie Energie, Gesundheit, Wasserversorgung oder Transport und Verkehr. Unternehmen in diesen Sektoren sind die Säulen unseres Gemeinwesens und Ausfälle könnten katastrophale Folgen haben – man male sich nur die dramatischen Auswirkungen eines Zusammenbruchs der Stromversorgung aus. Im Zuge der Digitalisierung hat sich die Sorge von Regierungen um kritische Infrastrukturen noch weiter verschärft. Denn durch immer mehr und immer komplexer ablaufende digitale Prozesse hat sich auch die Angriffsfläche für Hacker enorm vergrößert.
Paradigmenwechsel: Von Cyber Security zu Cyber Resilience
Natürlich möchten Unternehmen ihre IT am liebsten zu 100 Prozent „fail-safe“ absichern. Doch dies würde sie zu unflexibel und reaktionsschwach machen. Daher forcieren wir einen Paradigmenwechsel hin zu „safe-to-fail“. Das bedeutet: Unternehmen müssen ihren Betrieb auch dann aufrechterhalten könnten, wenn ein Angriff von außen gelingt – Widerstandsfähigkeit (engl. Resilience) ist hier das Schlüsselwort. Ein Wandel von Cyber Security hin zu Cyber Resilience ist also dringend notwendig. Welche Voraussetzungen dafür nötig sind und welche Rolle Schwachstellen-Management dabei spielt – darüber möchten wir auf der Security Transparent diskutieren.
Zu Gast sind Unternehmen und Institutionen aus den Sektoren Produktion, Gesundheit, Energie, Verwaltung und Telekommunikation. Zudem freuen wir uns auf spannende Vorträge und Workshops mit folgenden Sprechern:
Tim Philipp Schäfers, Cyber Security Consultant OEDIV (Dr. Oetker IT)
Martin Herfurt, Senior Professional Services Consultant Greenbone Networks
Sie möchten an der Konferenz teilnehmen? Hier geht es direkt zur Online-Anmeldung. Weitere Informationen zur Security Transparent 2018 finden Sie hier.
Wir freuen uns auf eine spannende Konferenz mit Ihnen!
Die Zahl der existierenden Bedrohungen aus dem Netz, die Millionen von Empfängern wirtschaftlichen und persönlichen Schaden zufügen, ist schier unendlich. Schadsoftware zu verfolgen ist ebenso sinnlos, wie unmöglich. Der richtige Ansatz hingegen erlaubt, die eigenen Systeme auf Schwachstellen zu überprüfen – kontinuierlich und umfassend. Das macht den Unterschied zwischen Fail-Safe und Safe-to-Fail aus.
Bringen auch Sie Ihre Netzwerke in einen Zustand der Sustainable Resilience – mit Vulnerability Management!
Osnabrück, 15. Februar 2018 – Greenbone, Lösungsanbieter zur Schwachstellen-Analyse von IT-Netzwerken, stellt ein spezielles Scan-Profile für die Nutzer der Greenbone-Technologie bereit, um die von Microsoft am Patch Tuesday bekanntgegebenen Schwachstellen in ihrer IT-Infrastruktur zu überprüfen. Damit können potenzielle Risiken, wie manuelle Fehler beim Update sowie übergangene Systeme im automatischen Updateprozess ausgeschlossen werden.
Jeden zweiten Dienstag im Monat gibt Microsoft seine gesammelten Software-Aktualisierungen (Englisch: Patches) frei. Das Februar-Patch beinhaltete dieses Jahr 25 Schwachstellen, die mehr als 50 Common Vulnerability and Exposures (CVEs) – ein Industriestandard zur Benennung von Sicherheitslücken in Computersystemen – ansprechen – 14 davon sind als kritisch eingestuft. Der internationale Anbieter von Cyber-Sicherheitsschulungen und -Zertifizierungen SANS verweist in seinem Blog in diesem Zusammenhang darauf, dass Unternehmen insbesondere dem Adobe Flash Player-Patch Beachtung schenken sollten, da die daran behaftete Schwachstelle bereits ausgenutzt wurde.
Greenbone Networks beantwortet die aktuellen Tuesday Fixes von Microsoft und Adobe mit einem eigenen Scan-Profile, das es den Nutzern der Greenbone-Technologien Greenbone Security Manager und Greenbone Community Edition sowie OpenVAS zur Verfügung stellt. Anwender können mit dem Scan-Profile herausfinden, welche Systeme von den Schwachstellen betroffen sind oder ob der Patch-Durchlauf erfolgreich war. Damit wirkt dieser Scan möglichen Fehlern beim Update entgegen und entdeckt Systeme, die im automatischen Update-Prozess vergessen wurden. Nutzer der Greenbone-Technologien können die Scan-Profile per E-Mail anfordern.
„Die Gefährdungen von IT-Netzwerken nehmen kontinuierlich zu. Microsoft gibt Anwendern und Administratoren am Patch Tuesday die notwendigen Fixes an die Hand, um den Schutz ihrer Infrastruktur zu erhöhen. Damit der Patch Scan greift, haben wir für unsere Technologien eigene Scan-Profiles entwickelt. Zusätzlich zu unserem täglichen Security Feed, der IT-Netzwerke auf mehr als 58.600 Schwachstellen automatisiert scannt, hilft dieser Prozess dort einzugreifen, wo es brennt“, erklärt Dirk Schrader, Chief Marketing Officer von Greenbone.
Anfrage des Scan-Profile zum Februar Patch Tuesday für die Greenbone Security Manager, die Greenbone Community Edition und Open VAS unter patchtuesday@greenbone.net.
Update: Schadsoftware Emotet führt nun E-Mail-Konversationen fort, um noch glaubwürdiger zu wirken
BlogEmotet hat – wie von Security-Experten bereits befürchtet – wieder hinzugelernt. Die Schadsoftware erstellt nun auch authentische Antworten auf bestehende E-Mails wie CERT-Bund via Twitter berichtete. So verleitet sie arglose Empfänger dazu, infizierte Anhänge zu öffnen oder auf gefälschte Links zu klicken. Unternehmen haben aber trotzdem noch Möglichkeiten, gegenzusteuern.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in der Vergangenheit bereits mehrfach vor der Schadsoftware Emotet gewarnt. Die Malware verschickt Spam-Mails aus dem eigenen E-Mail-Programm eines Betroffenen an die Kontakte im Adressbuch, um sich weiterzuverbreiten, und wirkt dadurch besonders glaubwürdig. Einmal infiziert, lädt der Schädling weitere Malware nach. Mögliche Folgen für Unternehmen: Produktionsstopps, komplett ausfallende Infrastrukturen und wiederaufzubauende Unternehmensnetzwerke.
Wie von Security-Experten befürchtet, haben Hacker die Schadsoftware nun weiterentwickelt, wie CERT-Bund twitterte: Emotet nutzt nun nicht mehr nur die Absenderadressen, sondern produziert mithilfe ausgelesener Nachrichteninhalte gefälschte Antworten auf E-Mails und bettet authentisch wirkende Links auf die Domain des vermeintlichen Versenders ein. Die Malware macht sich damit die Technik des sogenannten „Spear Phishing“ zunutze. Hier werden Informationen über die Kontakte und das Kommunikationsverhalten des Opfers gesammelt, um eine möglichst authentische E-Mail mit Schadcode im Dateianhang zu erstellen. Emotet hat diesen Prozess automatisiert und ist dadurch in der Lage, viele authentische E-Mails in kurzer Zeit zu verschicken und sich schnell zu verbreiten. Doch trotzdem die Schadsoftware immer raffinierter vorgeht, haben Unternehmen noch die Möglichkeit, zu handeln und sich davor zu schützen.
Unternehmen haben Handlungsmöglichkeiten und sollten sie nutzen
Betrachtet man den Aufbau von Emotet genauer, ergeben sich etwa auf technischer Ebene Ansatzpunkte, um sich vor einem Angriff zu schützen. Denn der Ablauf der Infektion nutzt eine Reihe von Elementen, die eine resiliente Infrastruktur mit einer flexiblen und präventiv ausgerichteten Sicherheitsarchitektur nicht aus dem Tritt bringen kann. So überträgt sich die Infektion nicht sofort, wenn der E-Mail-Empfänger einen Anhang öffnet, sondern erst, wenn er auch die zugehörigen Makros in der angehängten Datei, etwa einem Word-Dokument, ausführt. Das bedeutet: Bei üblichen MS-Office-Einstellungen muss ein Mitarbeiter die Schadsoftware im Anhang manuell aktivieren, um sie auf das Netzwerk zu übertragen.
Die meisten Mitarbeiter benötigen Makros für das normale Tagesgeschäft jedoch nicht. Daher empfiehlt es sich, diese standardmäßig vollständig zu deaktivieren, also auch das manuelle Ausführen durch entsprechende Rechtevergabe zu unterbinden. Ein gutes Schwachstellen-Management-Tool kann hier helfen und scannen, welche Benutzer-Accounts das Ausführen von Makros erlauben. Gleiches gilt für PowerShell- beziehungsweise Administratoren-Rechte, denn momentan sind auch diese notwendig, um Emotet überhaupt zu laden.
Nachladen von Emotet-Tools erkennen
Auch wenn Emotet das IT-System bereits infiziert hat, gibt es noch Verteidigungsmaßnahmen. So lädt die Schadsoftware verschiedene Tools nach, um etwa Zugangsdaten auszuspionieren oder Daten zu verschlüsseln. Diese Standard-Tools können so als Indicators of Compromise genutzt werden. Ob nachgeladene Emotet-Tools in der eigenen IT-Infrastruktur aktiv sind, lässt sich ebenfalls mithilfe eines Schwachstellen-Management-Tools, wie dem Greenbone Security Manager, erkennen.
Emotet verteilt sich vom infizierten System aus auch über die sogenannte SMB-Schwachstelle. Diese ist bereits aus den WannaCry- und Eternal-Blue-Angriffen bekannt und lässt sich über das entsprechende Update schließen. Viele Unternehmen haben nach dem WannaCry-Ausbruch ihre Netze von außen unzugänglich für die SMB-Kommunikation gemacht, aber nicht die interne Kommunikation. Hier ist eine Prüfung auf die entsprechenden Schwachstellen das Mittel der Wahl, um noch offene Systeme zu finden und die Lücke zu schließen.
Fazit: Kleine Security-Maßnahmen haben große Wirkung
Besonders für kritische Infrastrukturen (KRITIS) wie Krankenhäuser können großflächige Computerausfälle durch die Schadsoftware Emotet katastrophale Folgen haben – und nicht nur wirtschaftliche Schäden nach sich ziehen, sondern auch eine Gefahr für den Menschen darstellen. Unternehmen sollten also jetzt handeln und ihre IT-Infrastrukturen bestmöglich schützen. Um widerstandsfähig gegen Phishing-Attacken mit fortschrittlicher Malware wie den neuen Emotet-Typus zu werden, reichen oft wenige koordinierte Maßnahmen, wie etwa nicht benötigte Makros zu deaktivieren und bereits bekannte Schwachstellen so schnell wie möglich zu schließen.
Feste Release-Termine für Greenbone OS
BlogNeue OS-Versionen werden jeweils zum 30. April und 31. Oktober veröffentlicht
2019 werden wir auf ein neues Release-Schema für Greenbone OS – dem Betriebssystem unserer Greenbone Security Manager (GSM) – umsteigen. Das bedeutet: Zukünftig gibt es feste Veröffentlichungstermine, die jedes Jahr gleich bleiben. Das gibt nicht nur unseren Kunden und Partnern, sondern auch dem Greenbone-Entwicklungsteam selbst mehr Planungssicherheit.
Die neuen fixen Termine sind jedes Jahr der 30. April und der 31. Oktober. Im Übergangsjahr 2019 veröffentlichen wir das als nächstes anstehende GOS 5.0 noch in der zweistufigen Aufteilung für ENTRY/SME (30. April) und MIDRANGE/ENTERPRISE/SENSOR (30. Juni). Das GOS 6.0 wir dann bereits gemäß dem neuen Schema in einem einzigen Schritt für alle GSM-Geräte freigegeben. Ab 2020 gilt das neue Time-Based-Release-System in vollem Umfang.
Das Schema basiert auf harten Fristen für neue Funktionen, neue GSM-Typen und neue Hardware. Wenn ein Feature es nicht zu einem Veröffentlichungstermin schafft, wird es für das Folge-Release berücksichtigt.
Ausgereifte Systeme durch einmonatige Testphase in der Greenbone-Community
Zudem durchläuft unser GVM für jedes GOS Release eine einmonatige Testphase: Vor dem Release am 30. April beziehungsweise 31. Oktober wird die jeweils aktuelle Source Edition im GVM Release der Greenbone-Community bereitgestellt. Eventuelle Bugs lassen sich so eliminieren, bevor unsere Kunden und Partner das neue GOS in Betrieb nehmen.
Ein weiterer Vorteil der neuen Time-Based Releases: Der Zyklus von zwei neuen Hauptversionen pro Jahr erhöht das Tempo, mit dem Innovationen zu unseren Anwendern gelangen. Zudem können User schneller auf neue GOS-Versionen aufspringen: Zum einen alle sechs Monate zu den offiziellen Release-Terminen (Innovation Cycle). Zum anderen alle 12 Monate während einer dreimonatigen Migrationsphase, in der sie dann eine GOS-Generation überspringen können – diese sind jeweils Mai/Juni/Juli oder November/Dezember/Januar (Conservative Cycle).
Schwerwiegende Sicherheitslücke in D-Link-Routern entdeckt
BlogSchwerwiegende Sicherheitslücke in D-Link-Routern entdeckt
UPDATE: Patch für Anwender verfügbar, D-Link Support-Seiten aktualisiert
Bereits im November 2018 hat Greenbone eine schwerwiegende Sicherheitslücke in Routern von D-Link entdeckt und das Unternehmen darauf aufmerksam gemacht. Die Schwachstelle ist für Hacker einfach auszunutzen und ermöglicht unautorisierten Zugriff auf Netzwerke. Seit dem 19. März 2019 ist auf den Support-Seiten des Herstellers ein Patch verfügbar. Greenbone bietet seinen Kunden jedoch bereits seit Ende letzten Jahres einen entsprechenden Schwachstellentest (Vulnerability Tests, VT) im täglichen Security Feed.
Router sind die zentralen Dreh- und Angelpunkte in Netzwerken. Sie stellen die Internetverbindung für die angeschlossenen Laptops und PCs aber auch für Smart-Home- und Industrie-4.0-Anwendungen her. Doch trotzdem hier so viele Komponenten eines Netzwerks zusammenlaufen, ist es um die Sicherheit oftmals nicht gut bestellt. Im vergangenen Jahr fanden Forscher des American Consumer Institute bei 83 Prozent der innerhalb einer Studie untersuchten Routern bereits bekannte Sicherheitslücken. Über diese können sich Hacker unter Umständen Zugriff zum Gerät selbst und damit auch zum Netzwerk verschaffen. Insgesamt zählten die Forscher mehr als 30.000 Schwachstellen – 7 Prozent davon bergen ein kritisches und 21 Prozent ein hohes Risiko.
Designfehler macht die Modelle DWR und DAP angreifbar
Zu den bereits bekannten Schwachstellen in Routern kommen auch immer wieder neue hinzu. So haben unsere Sicherheitsforscher bei Greenbone im November 2018 eine schwerwiegende Sicherheitslücke in verschiedenen Routern des Herstellers D-Link gefunden. Betroffen sind mindestens die Modelle DWR und DAP. Auf Englisch würde man die Schwachstelle als „Unauthenticated Remote Code Execution“ bezeichnen, also eine Sicherheitslücke, bei der ein Angreifer ohne jegliche Authentifizierung Befehle auf dem Router ausführen kann. Im Fall der D-Link-Router kann sich ein Hacker sogar die vollen administrativen Rechte verschaffen. Es ist sehr wahrscheinlich, dass das NIST (National Institute of Standards and Technology) die höchstmögliche CVSS-Wertung (Common Vulnerability Scoring System) von 10.0 vergeben wird.
Die Ursache ist vermutlich ein Design-Fehler. Bei den von uns getesteten Geräten fanden wir eine ausführbare Datei namens „EXCU_SHELL“, die sich mit einem sogenannten GET-Request aus dem Web-Browser aufrufen lässt. Diese ist für einige harmlose aber sinnvolle Operationen zuständig, wie zum Beispiel das Anzeigen von Informationen über die installierte Firmware-Version. Wenn man jedoch einige Parameter dieser Datei anpasst, lassen sich beliebige Befehle einschleusen und ausführen.
Zugriff auf Router ohne Authentifizierung möglich
Die Tragweite der gefundenen Sicherheitslücke ist gemäß der Marktpräsenz von D-Link hoch: Das Unternehmen ist einer der Top-Player auf dem globalen Wireless-Router-Markt und war 2017 mit einem Anteil von 24,1 Prozent Marktführer.
Darüber hinaus ist der Schweregrad der Lücke laut dem CVSS-Basis-Score-Rechner hoch und die Lücke relativ leicht auszunutzen: Die Datei „EXCU_SHELL“ ist nicht passwortgeschützt und Hacker können daher ohne Authentifizierung auf den Router und damit das zugehörige Netzwerk zugreifen. Einmal eingedrungen, lässt sich so der gesamte ein- und ausgehende Internet-Traffic einsehen, modifizieren und kontrollieren oder sogar Malware verbreiten.
In Zeiten von Smart Home und Industrie 4.0 kann dadurch erheblicher Schaden entstehen. Hackern steht mit einer Sicherheitslücken diesen Schweregrads sozusagen Tür und Tor zu Netzwerken offen – fatal wären die Folgen von Eingriffen in kritischen Infrastrukturen wie Gesundheitseinrichtungen oder Energieversorgern.
D-Link hat Sicherheits-Update am 19. März 2019 veröffentlicht
Nachdem Greenbone die Sicherheitslücke bereits im vergangenen November an D-Link gemeldet hat, ist für Anwender jetzt auch ein Patch verfügbar. Der Hersteller zeigte sich während der gesamten Zeit responsiv und bat uns, die CVE-Beantragung zu übernehmen. Informationen für Kunden auf der D-Link-Website und Patches sind inzwischen auch verfügbar.
Ursprünglich waren seit der Entdeckung der Schwachstelle schon mehr als 90 Tage vergangen – die Frist endete bereits am 11. Februar 2019. Daher handelten wir gemäß des Responsible Disclosure und veröffentlichten alle bisher verfügbaren Informationen, um Anwender zu schützen. Für Greenbone-Kunden war die Lücke bereits seit November 2018 über den täglichen Security Feed sichtbar.
Hersteller müssen handeln!
Angesichts der horrenden Anzahl von Sicherheitslücken auf Routern, ist die Schließung der D-Link-Lücke sicherlich nur ein Tropfen auf dem heißen Stein. Ja, die Anzahl an Schwachstellen ist einschüchternd – den Kopf in den Sand stecken aber keine Option. Vielmehr gilt es, so viele Hersteller wie möglich dazu zu bewegen oder wenn nötig auch zu zwingen, ihre Router abzusichern. Denn in einer vernetzen Welt wie der unseren steht zu viel auf dem Spiel. Hier erhalten Sie weitere allgemeine Informationen zum Thema IT-Sicherheit.
Heckmeck mit Hack Back
Blog, NewsSchwachstellen für digitale Gegenangriffe zurückzuhalten, ist in höchstem Maße riskant
Sollten Staaten Schwachstellen zurückhalten, um die eigenen Möglichkeiten eines Hack Back zu stärken? Nein, meint Dirk Schrader, CMO von Greenbone Networks, Vulnerability-Management-Anbieter, als Reaktion auf den Spiegel-Artikel „Das Cyber-Dilemma“.
Gut gezielte Cyber-Angriffe können heute das gesellschaftliche Leben ganzer Staaten lahmlegen. Bei einem totalen Blackout der Energieversorgung würden etwa wichtige elektronische Geräte in Krankenhäusern ausfallen und Lebensmittelkühlketten nicht mehr funktionieren. Auch ließen sich keine Notrufe mehr tätigen und die Frischwasserversorgung wäre gefährdet. Es ist daher gut und wünschenswert, dass die Regierung darüber diskutiert, wie sie die eigenen kritischen Infrastrukturen bestmöglich vor böswilligen Cyber-Angriffen schützen kann. So sind Maßnahmen eins bis drei des vom Bundesverteidigungs- und Bundesinnenministeriums vorgestellten Fünf-Stufen-Plans absolut richtig und wichtig: Prävention von Cyber-Angriffen, Umleitung von Daten eines erkannten Angreifers und Aufklärung von Hacker-Offensiven.
Hack Backs haben unvorhersehbare Nebenwirkungen
Der in Stufe vier und fünf verfolgte Ansatz, gefundene Schwachstellen zurückzuhalten, sie also nicht zu veröffentlichen, um sie für einen sogenannten „Hack Back“ zu nutzen, ist jedoch schon aus technischer Sicht nicht praktikabel. So sollen sich Cyber-Experten in Stufe vier des Plans über eine bisher nicht veröffentlichte Schwachstelle Zugriff auf das IT-System des Hacker verschaffen, um Daten „zurückzuklauen“. Doch bereits hier lauern zahlreiche Fallstricke: Gibt es Kopien von den Daten? Sind die Daten verteilt gespeichert? Wem gehört der Server überhaupt? Und was ist, wenn der Server in einem befreundeten Land steht und Eigentum der dortigen Regierung ist?
Stufe 5 – die von Hackern genutzten Server zu zerstören – erinnert wiederum sehr an das Vorgehen der britischen Regierung nach den Snowden-Enthüllungen. Hier wurden Festplatten der britischen Tageszeitung „The Guardian“ mit Bohrern zerstört. Die Folge eines solchen Vorgehens: Nutzen auch andere unbeteiligte Einrichtungen den Server, wären auch deren Daten unwiederbringlich verloren. Insbesondere bei kritischen Infrastrukturen wie Krankenhäusern hätte dies fatale Folgen.
In diesem Zusammenhang stellt sich außerdem die bisher nicht thematisierte Frage, gegen wen solche Maßnahmen der Stufen 4 und 5 theoretisch gerichtet sein können – und dürfen. Wenn ausländische Dritte vom Hack Back betroffen sind, wertet deren Regierung das als Angriff und hackt auch zurück? Eine solche Spirale sollte verhindert werden.
Unveröffentlichte Schwachstellen sind immer ein Risiko
Darüber hinaus gibt es auch bei der Beschaffung von bisher unveröffentlichten Schwachstellen ein sehr konkretes Problem: Findet man selbst eine neue Sicherheitslücke, muss man immer davon ausgehen, dass feindlich gesinnte Hacker oder Regierungen ebenfalls auf diese aufmerksam werden. Es gilt also, die eigene Infrastruktur gegen einen Angriff über ebenjene Schwachstelle zu schützen. Doch wie gelingt das, wenn es dafür noch keinen Patch gibt? Die Thematik ist umso brisanter, wenn man das Wissen über eine Schwachstelle von einem Dritten gekauft hat. Denn Gegner sind natürlich in der Lage, das Gleiche zu tun.
Spätestens wenn die Schwachstelle für einen Hack Back genutzt wurde, ist sie ein maßgeblicher Risikofaktor, denn: Ab diesem Zeitpunkt ist sie bekannt, wird analysiert und von Gegnern eventuell ebenfalls für einen Angriff genutzt. Derselbe Mechanismus greift bei digitalen Schläferzellen – Schadsoftware, die über eine Schwachstelle unbemerkt im IT-System von potenziellen Gegnern platziert wird und bei Bedarf zum Einsatz kommt. Denn auch hier gilt: Ab ihrem Bekanntwerden – etwa indem die Schadsoftware gestartet wird – ist sie ein potenzielles Einfallstor in das eigene IT-System.
Fazit: Digitalen Waffen keinen Entwicklungsraum geben
Schwachstellen zurückzuhalten, um sie für Hack Backs zu nutzen, ist weder politisch, noch administrativ, noch technologisch tragbar. Schlussendlich erhöht jede nicht geschlossene Schwachstelle das Risiko eines erfolgreichen Angriffs. Die Folgen eines solchen sind in unserer komplex vernetzten Welt unvorhersehbar. Im schlimmsten Fall kommt es zu einem Kaskadeneffekt, der das komplette gesellschaftliche Leben zum Erliegen bringt. Dieses Risiko sollten Regierungen auf keinen Fall eingehen, denn sie sind für das Wohl der Bürger verantwortlich. Anstatt sich also um zwischenstaatliche Verfahren über die Weitergabe von Schwachstellen zu bemühen, sollte die politische Energie vielmehr auf die Ächtung von D-Waffen (digitalen Waffen) nach dem Vorbild des Genfer Protokolls zielen.
Nach Privacy Shield: EU-Parlament rät erneut zur Aussetzung des Datentransfers in die USA
BlogAm 5. Juli hat das Parlament der Europäischen Union der EU-Kommission geraten, das sogenannte EU-US Privacy Shield auszusetzen. Damit erneuert und verhärtet das EU-Parlament seine Position zu den im Privacy Shield vorgesehenen Datenschutz-Richtlinien für US-Unternehmen, die Daten von EU-Bürgern verarbeiten und speichern. Schon im Oktober letzten Jahres hatte das EU-Parlament eine Liste mit 10 Empfehlungen veröffentlicht, die auf Lücken und Schwächen im Privacy Shield hinwiesen.
In der Empfehlung an die EU-Kommission wies das Parlament besonders darauf hin, dass die US-Administration es bisher nicht geschafft hat, zwei Kernelemente des Privacy Shields umzusetzen. So gibt es beispielsweise noch immer keinen Ombudsmann, der das U.S. Privacy Civil Liberties Oversight Board (PCLOB) führt, geschweige denn gibt es Mitglieder in diesem Board. Damit fehlt EU-Bürgern ein Ansprechpartner im Falle von Datenschutzverletzungen und somit die Möglichkeit, den eigenen Rechten auch in den USA überhaupt Gehör zu verschaffen.
Privacy Shield löst Safe Harbor ab
Zur Erinnerung: Privacy Shield wurde als Ersatz für das Safe Harbor-Abkommen eingeführt. Safe Harbor kippte, weil der Europäische Gerichtshof 2015 der Klage des österreichischen Juristen Maximilian Schrems stattgegeben hatte. Die Safe Harbor-Regeln sollten einen ’sicheren Datenhafen‘ für sensible Daten auch außerhalb der EU schaffen, damit diese Daten zum Beispiel in den USA weiterverarbeitet werden konnten. Ausgelöst durch die Snowden-Veröffentlichungen (insbesondere PRISM) wurde dieses Abkommen überprüft und schließlich durch Privacy Shield ersetzt.
EU-Parlament bestätigt Einschätzung: Sensible Daten sind bei US-Firmen nicht sicher
Wie bereits in meinem letzten Blog-Beitrag erläutert, sollten sensible aber auch sicherheitsrelevante Daten eines Unternehmens Europa nicht mehr verlassen. Die Einschätzung des Parlaments verstärkt die Dringlichkeit für den Datenschutz. Sicherheitsrelevante Daten wie Intellectual Property oder administrative Zugänge wie Domain-Passwörter sollten nicht zu Cloud-Anbietern in die USA gegeben werden. Der Cloud Act und Privacy Shield sind nicht vereinbar.
Mehr Information zur Resolution des EU-Parlaments ist hier veröffentlicht, eine Analyse finden Sie hier (in Englisch).
US Cloud Act gefährdet IT-Sicherheit
BlogIm März dieses Jahr hat der US-Kongress den sogenannten Cloud Act verabschiedet. Dieser erlaubt US-Behörden weltweiten Zugriff auf Daten von US-Unternehmen – auch wenn deren Server in der EU stehen. Für Unternehmen, die Daten bei US-Dienstleistern speichern, steht damit auch ihre IT-Sicherheit auf dem Spiel.
Der sogenannte Cloud Act (Clarifying Lawful Overseas Use of Data Act, deutsch: Gesetz zur Klarstellung des rechtmäßigen Umgangs mit Daten im Ausland) verpflichtet US-Unternehmen Daten unabhängig vom Speicherort auf Anfrage an amerikanische Behörden herauszugeben. Die US-Gesetzgebung stellt damit amerikanisches Recht in einem EU-Mitgliedsstaat über EU-Recht. US-Firmen befinden sich zukünftig also in einem Dilemma: Verweigern sie den Zugriff, brechen sie amerikanisches Recht und umgekehrt europäisches.
Microsoft hat gekämpft und verloren
Einer der Hintergründe der Entscheidung war der Fall Microsoft. Die Angelegenheit reicht bis 2013 zurück. Damals ermittelte das US-Justizministerium wegen Drogenkriminalität und verlangte von Microsoft Zugriff auf das E-Mail-Konto eines Verdächtigen. Da der Server mit den Daten jedoch in Irland stand, erklärte Microsoft den Durchsuchungsbeschluss für ungültig. Es kam zu einem Prozess, den Microsoft in erster Instanz verlor und in zweiter Instanz gewann. Aufgrund des neuen Cloud Act wurde dieser Fall nun aber für erledigt erklärt. Wie eine akzeptable Lösung zwischen den USA und der EU beziehungsweise den einzelnen Mitgliedstaaten in diesem Dilemma aussehen kann, wird momentan noch diskutiert.
Sensible Daten sind bei US-Firmen nicht mehr sicher
Was bedeutet das nun aber für Unternehmen, die Dienstleistungen von US-Firmen in Anspruch nehmen? In erster Linie muss ihnen klar sein, dass eine echte Compliance zur EU-DSGVO hieran scheitern kann. Einen Schritt weiter gedacht, können US-Behörden durch den Cloud Act aber auch geradezu willkürlich Zugriff auf sämtliche Daten eines Unternehmens erlangen, die bei einem US-amerikanischen Partner oder Dienstleister gespeichert sind – dies umfasst also auch Geschäfts- und Betriebsgeheimnisse oder Informationen über getroffene IT-Sicherheitsmaßnahmen.
Sicherheitsrelevante Daten sollten das Unternehmen nicht verlassen
Unternehmen, die IT-Sicherheitsdienstleistungen, wie etwa Schwachstellenmanagement, von US-Anbietern beziehen und sensible Security-Daten auch bei diesen speichern, sollten daher jetzt handeln. Für größtmögliche Sicherheit sollten sie mindestens zu einem europäischen Partner wechseln, der Daten ausschließlich in Rechenzentren innerhalb der EU speichert. Letztlich stellt sich dabei auch die grundlegende Frage, ob sicherheitsrelevante Daten das Unternehmen überhaupt verlassen sollten – oder müssen. Denn auf dem Markt gibt es durchaus IT-Security-Dienstleister, deren Lösungen ausschließlich innerhalb der Unternehmens-IT arbeiten und Daten weder in die Cloud noch zum Anbieter übertragen.
Ein Beispiel dafür ist unser Greenbone Security Manager. Er scannt IT-Netzwerke auf Schwachstellen und leitet Daten und Reports ausschließlich innerhalb des sicheren Unternehmens-Netzwerks weiter.
Cloud Act fordert zum Handeln auf
Der Cloud Act zeigt einmal mehr, dass dem Thema Datenschutz in den USA ein wesentlich anderer Stellenwert zukommt als in Europa: Während die Europäer Datenschutz als ein Menschenrecht ansehen, ist es in den Vereinigten Staaten „lediglich“ ein Bürgerrecht – das sich demzufolge auch nur auf US-Amerikaner bezieht. In der amerikanischen Gesetzgebung werden die Interessen europäischer Bürger also auch in Zukunft wenig bis gar keine Berücksichtigung finden. Darauf müssen sich Unternehmen einstellen. Sie sollten den Cloud Act daher zum Anlass nehmen und sensible Daten außerhalb des Zugriffsbereichs amerikanischer Behörden bringen. Dies kann etwa durch einen Wechsel zu europäischen oder deutschen Dienstleistern geschehen. Der Königsweg im Bereich IT-Sicherheit ist jedoch Lösungen zu wählen, bei denen sensible Daten das Unternehmen gar nicht erst verlassen.
Einen Überblick zum Cloud Act gibt es hier im iX-Artikel.
Security Transparent 2018 – Vielen Dank an alle Teilnehmer!
Blog, NewsAm Puls der Zeit und noch ein Stück weiter: Im hauptstädtischen Flair fand die Greenbone Anwenderkonferenz Security Transparent in diesem Jahr am 8. Mai 2018 im Humboldt Carré Berlin statt. Im Fokus: Kritische Infrastrukturen und Cyber Resilience.
„Von Cyber Security zu Cyber Resilience“ – Das war der Tenor unserer diesjährigen Anwenderkonferenz. Zahlreiche Teilnehmer und Sprecher tauschten sich über aktuelle und zukünftige IT-Sicherheitsthemen aus und lieferten hochwertige Diskussionsbeiträge.
Vortrag Polizeihauptkommissar Markus Böger
Dabei war es die Bandbreite an Sektoren, die den Konferenzbesuchern dieses Jahr einen besonders breiten Erfahrungshorizont bot: Teilnehmer und Sprecher aus Produktion, Gesundheit, Energie, Verwaltung und Telekommunikation trugen zu einem spannenden Erfahrungsaustausch bei und wagten Ausblicke in die Zukunft der IT Sicherheit.
Den Auftakt machte Polizeihauptkommissar Markus Böger vom Verfassungsschutz Niedersachsen. Er erläuterte dem Publikum, welche Risiken die vernetzte Welt im Hinblick auf Wirtschaftsspionage birgt. Jan-Oliver Wagner, CEO, gab nach einer kurzen Kaffeepause Einblicke in derzeitige Entwicklungen bei Greenbone, gefolgt von Lukas Grunwald, CTO, der über „Vulnerability Management in SCADA- und ICS-Umgebungen“ referierte.
Vor Beginn der Workshops legte Dirk Schrader, CMO, in einer Keynote spannende Aspekte des Wandels von Cyber Security hin zu Cyber Resilience dar. Im Anschluss dazu konnten die Teilnehmer im Turnus an fünf unterschiedlichen Workshops teilnehmen:
Workshop 1: „Etablierung eines ISO 27001-konformen Schwachstellenmanagements als Servicedienstleister“
Moderation: Tim Schäfers, OEDIV, Dr. Oetker IT
Workshop 2: „Wie Sie alle Teil meiner Sicherheitslandschaft sind”
Moderation: Henry Hughes, Jisc, Oxford, UK
Workshop 3: „Von der Sicherheitslücke zum Fix – Wie Unternehmen mit Sicherheitslücken (nicht) umgehen sollen”
Moderation: Sebastian Neef, IT Solutions Neef
Workshop 4: „Projekt zur Ermittlung der von einer Greenbone Appliance generierten Last und auch der Unterschiede der Scanresultate zwischen verschiedenen Scankonfigurationen“
Moderation: Ingo Bahn, gematik
Workshop 5: „Einführung in Vulnerability Management„
Moderation: Martin Herfurt, Professional Services Team, Greenbone
Wir bedanken uns bei allen Teilnehmern für ihr Kommen und freuen und bereits auf das nächste Jahr, wenn es wieder heißt: alle Karten auf den Tisch! Bei der Security Transparent 2019. Die Präsentationen können Sie mit einem Klick auf den Link kostenlos herunterladen.
Ihr Greenbone-Team
Security Transparent 2018 – Kritische Infrastrukturen im Mittelpunkt
Blog, NewsDie Greenbone Anwenderkonferenz Security Transparent findet in diesem Jahr am 8. Mai 2018 im Humboldt Carré Berlin statt. Im Fokus: Kritische Infrastrukturen und Cyber Resilience.
In diesem Jahr dreht sich auf unserer Anwenderkonferenz alles um die IT-Sicherheit von kritischen Infrastrukturen (KRITIS) – wie Energie, Gesundheit, Wasserversorgung oder Transport und Verkehr. Unternehmen in diesen Sektoren sind die Säulen unseres Gemeinwesens und Ausfälle könnten katastrophale Folgen haben – man male sich nur die dramatischen Auswirkungen eines Zusammenbruchs der Stromversorgung aus. Im Zuge der Digitalisierung hat sich die Sorge von Regierungen um kritische Infrastrukturen noch weiter verschärft. Denn durch immer mehr und immer komplexer ablaufende digitale Prozesse hat sich auch die Angriffsfläche für Hacker enorm vergrößert.
Paradigmenwechsel: Von Cyber Security zu Cyber Resilience
Natürlich möchten Unternehmen ihre IT am liebsten zu 100 Prozent „fail-safe“ absichern. Doch dies würde sie zu unflexibel und reaktionsschwach machen. Daher forcieren wir einen Paradigmenwechsel hin zu „safe-to-fail“. Das bedeutet: Unternehmen müssen ihren Betrieb auch dann aufrechterhalten könnten, wenn ein Angriff von außen gelingt – Widerstandsfähigkeit (engl. Resilience) ist hier das Schlüsselwort. Ein Wandel von Cyber Security hin zu Cyber Resilience ist also dringend notwendig. Welche Voraussetzungen dafür nötig sind und welche Rolle Schwachstellen-Management dabei spielt – darüber möchten wir auf der Security Transparent diskutieren.
Zu Gast sind Unternehmen und Institutionen aus den Sektoren Produktion, Gesundheit, Energie, Verwaltung und Telekommunikation. Zudem freuen wir uns auf spannende Vorträge und Workshops mit folgenden Sprechern:
Sie möchten an der Konferenz teilnehmen? Hier geht es direkt zur Online-Anmeldung. Weitere Informationen zur Security Transparent 2018 finden Sie hier.
Wir freuen uns auf eine spannende Konferenz mit Ihnen!
Malware: Angreifer nutzen Schwächen einer Infrastruktur
Blog, NewsDie Zahl der existierenden Bedrohungen aus dem Netz, die Millionen von Empfängern wirtschaftlichen und persönlichen Schaden zufügen, ist schier unendlich. Schadsoftware zu verfolgen ist ebenso sinnlos, wie unmöglich. Der richtige Ansatz hingegen erlaubt, die eigenen Systeme auf Schwachstellen zu überprüfen – kontinuierlich und umfassend. Das macht den Unterschied zwischen Fail-Safe und Safe-to-Fail aus.
Bringen auch Sie Ihre Netzwerke in einen Zustand der Sustainable Resilience – mit Vulnerability Management!
Patch Tuesday: Greenbone entwickelt dediziertes Scan-Profile zum schnellen Überprüfen von IT-Schwachstellen
PresseOsnabrück, 15. Februar 2018 – Greenbone, Lösungsanbieter zur Schwachstellen-Analyse von IT-Netzwerken, stellt ein spezielles Scan-Profile für die Nutzer der Greenbone-Technologie bereit, um die von Microsoft am Patch Tuesday bekanntgegebenen Schwachstellen in ihrer IT-Infrastruktur zu überprüfen. Damit können potenzielle Risiken, wie manuelle Fehler beim Update sowie übergangene Systeme im automatischen Updateprozess ausgeschlossen werden.
Jeden zweiten Dienstag im Monat gibt Microsoft seine gesammelten Software-Aktualisierungen (Englisch: Patches) frei. Das Februar-Patch beinhaltete dieses Jahr 25 Schwachstellen, die mehr als 50 Common Vulnerability and Exposures (CVEs) – ein Industriestandard zur Benennung von Sicherheitslücken in Computersystemen – ansprechen – 14 davon sind als kritisch eingestuft. Der internationale Anbieter von Cyber-Sicherheitsschulungen und -Zertifizierungen SANS verweist in seinem Blog in diesem Zusammenhang darauf, dass Unternehmen insbesondere dem Adobe Flash Player-Patch Beachtung schenken sollten, da die daran behaftete Schwachstelle bereits ausgenutzt wurde.
Greenbone Networks beantwortet die aktuellen Tuesday Fixes von Microsoft und Adobe mit einem eigenen Scan-Profile, das es den Nutzern der Greenbone-Technologien Greenbone Security Manager und Greenbone Community Edition sowie OpenVAS zur Verfügung stellt. Anwender können mit dem Scan-Profile herausfinden, welche Systeme von den Schwachstellen betroffen sind oder ob der Patch-Durchlauf erfolgreich war. Damit wirkt dieser Scan möglichen Fehlern beim Update entgegen und entdeckt Systeme, die im automatischen Update-Prozess vergessen wurden. Nutzer der Greenbone-Technologien können die Scan-Profile per E-Mail anfordern.
„Die Gefährdungen von IT-Netzwerken nehmen kontinuierlich zu. Microsoft gibt Anwendern und Administratoren am Patch Tuesday die notwendigen Fixes an die Hand, um den Schutz ihrer Infrastruktur zu erhöhen. Damit der Patch Scan greift, haben wir für unsere Technologien eigene Scan-Profiles entwickelt. Zusätzlich zu unserem täglichen Security Feed, der IT-Netzwerke auf mehr als 58.600 Schwachstellen automatisiert scannt, hilft dieser Prozess dort einzugreifen, wo es brennt“, erklärt Dirk Schrader, Chief Marketing Officer von Greenbone.
Anfrage des Scan-Profile zum Februar Patch Tuesday für die Greenbone Security Manager, die Greenbone Community Edition und Open VAS unter patchtuesday@greenbone.net.