Schlagwortarchiv für: Greenbone

Elmar Geese

TISAX-Zertifizierung für Greenbone

Greenbone ist nun ein TISAX-Mitglied und sein Information Security Management System (ISMS) und seine Datenschutzprozesse sind im Rahmen des TISAX-Programms der deutschen Automobilindustrie zertifiziert. „Wir haben diesen Schritt unternommen, um unserer Kundschaft den bestmöglichen Schutz sensibler und vertraulicher Informationen zu bieten, als nächsten logischen Schritt nach der erfolgreichen Zertifizierung nach weltweit anerkannten internationalen Industriestandards wie ISO 27001 und ISO 9001.“ – Dr. Jan-Oliver Wagner, CEO von Greenbone. Die Ergebnisse sind auf dem ENX-Portal unter der Scope-ID S3LW9L und der Assessment-ID A1P7V9 verfügbar. TISAX und die TISAX-Ergebnisse sind nicht für die Allgemeinheit bestimmt.

TISAX-Logo

TISAX, der „Trusted Information Security Assessment Exchange“, ist ein Mechanismus zur Überprüfung und zum Austausch von Testergebnissen nach branchenspezifischen Standards. Ursprünglich als System für den Austausch von standardisierten Testergebnissen in der Automobilindustrie geschaffen, ist es für die Risikobewertung von Zulieferern optimiert. Deshalb wird TISAX von der ENX Association entwickelt und verwaltet und vom Verband der Automobilindustrie (VDA) herausgegeben. Der Fokus liegt auf der sicheren Informationsverarbeitung zwischen Geschäftspartnern, dem Schutz von Prototypen und dem Datenschutz gemäß der EU-Datenschutzgrundverordnung (DSGVO) bei möglichen Geschäften zwischen Automobilherstellern und ihren Dienstleistern oder Lieferanten.

Als wesentlicher Bestandteil einer sicheren Lieferkette ist TISAX ein Standard für Information Security Management Systems (ISMS), der im Jahr 2017 ursprünglich von der Norm ISO/IEC 27001 abgeleitet wurde, sich aber inzwischen weiterentwickelt hat. Für die Automobilindustrie bringt TISAX Standardisierung, Qualitätssicherung und garantiert, dass Informationssicherheitsmaßnahmen von Auditanbietern nach den VDA-Standards bewertet werden. Audits nach TISAX, insbesondere bei Dienstleistern und Zulieferern, werden von sogenannten „TISAX-Prüfdienstleister“ durchgeführt und umfassen drei Reifegrade, über die Sie sich im TISAX-Teilnehmerhandbuch und auf den Websites von Zertifizierungsanbietern wie Adacor einen Überblick verschaffen können.

Greenbones Zertifizierungen erhöhen den Wert unserer Produkte für unsere Kundschaft, nicht nur durch Zeit- und Kostenersparnis, sondern auch durch den Nachweis eines hervorragenden Sicherheitsniveaus und hoher Standards. Elmar Geese, CIO bei Greenbone: „Mit TISAX haben wir unseren unabhängig geprüften Sicherheitsstatus dokumentiert. Unsere Kundschaft muss keine individuellen Bewertungen vornehmen, nicht mit langwierigen Fragebögen arbeiten oder all die anderen Dinge tun, die für ein Bottom-up-Audit erforderlich sind. Wir garantieren, dass wir ihre Sicherheitsanforderungen erfüllen.“

Deshalb folgt Greenbone dem Fragenkatalog zur Informationssicherheit des Verbandes der Automobilindustrie (VDA ISA). Die Bewertung wurde von einem Auditanbieter durchgeführt. Das Ergebnis ist ausschließlich über das ENX-Portal abrufbar (Scope-ID: S3LW9L, Assessment-ID: A1P7V9).


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Jan-Oliver Wagner

Aktive und passive Schwachstellenscans – den Cyber-Kriminellen einen Schritt voraus

In der vernetzten Produktion wachsen IT und OT immer stärker zusammen. Wo früher eine Sicherheitslücke „nur“ ein Datenleck verursacht hat, kann heute die gesamte Produktion zusammenbrechen. Wer regelmäßige aktive und passive Schwachstellenscans durchführt, kann sich schützen.

Was bei der physischen Infrastruktur etwas befremdlich wirkt – wer stellt schon einen Einbruch nach, um seine Alarmanlage zu testen – ist in der IT ein probates Verfahren, um Schwachstellen zu identifizieren. Dieses sogenannte aktive Scanning kann täglich und automatisch durchgeführt werden. Passives Scanning hingegen erkennt einen laufenden Einbruch, denn auch jeder Cyber-Einbruch hinterlässt Spuren, wenn auch oft verdeckt.

Den Verkehr kontrollieren

Firewalls und Antivirus-Programme nutzen beispielsweise passive Scans und überprüfen so den Traffic, der ein System erreicht. Diese Daten werden dann mit einer Datenbank abgeglichen. Dort sind Informationen zu Schadsoftware, unsicheren Anfragen und anderen Anomalien hinterlegt. Wenn die Firewall etwa eine Anfrage von einem unsicheren Sender bekommt, der Profildaten von Nutzenden auslesen will, lehnt sie die Anfrage ab. Das System selbst bekommt davon nichts mit, denn der passive Scan greift nicht auf das System zu, sondern nur auf den Datenverkehr.

Der Vorteil dabei: Das System muss keine zusätzliche Rechenleistung aufwenden. Trotz der Überprüfung kann die volle Bandbreite genutzt werden. Das ist vor allem bei kritischen Komponenten sinnvoll. Sie sollen eine möglichst hohe Verfügbarkeit aufweisen. Je weniger Zusatztätigkeiten sie ausführen, desto besser.

Der Nachteil des passiven Scannings: Nur Systeme, die selbst aktiv kommunizieren, kann man auch sehen. Nicht dazu gehört beispielsweise Büro-Software oder PDF-Reader. Aber auch Dienste, die kommunizieren, tun das vor allem mit ihren Hauptfunktionen. Funktionen mit Schwachstellen, die selten oder gar nicht im Regiebetrieb genutzt werden, sind nicht sichtbar oder eben erst dann, wenn der Angriff bereits läuft.

Die Infrastruktur überprüfen

Aktive Scans arbeiten anders und simulieren Angriffe. Sie stellen Anfragen an das System und versuchen dadurch, unterschiedliche Reaktionen auszulösen. Der aktive Scanner schickt zum Beispiel eine Anfrage zur Datenübermittlung an verschiedene Programme im System. Reagiert eines der Programme und leitet die Daten an die simuliert unbefugte Stelle weiter, hat der Scanner eine Sicherheitslücke gefunden.

Unterschiede zwischen aktiven und passiven Schwachstellenscans

Links: Beim aktiven Scan werden Anfragen an das System gesendet und dadurch versucht, unterschiedliche Reaktionen auszulösen. Rechts: Passive Scans überprüfen den Traffic, der ein System erreicht und gleichen diese Daten mit einer Datenbank ab.

Der Vorteil: Die Datenqualität, die beim aktiven Scannen erreicht werden kann, ist höher als beim passiven Scannen. Da die Interaktion direkt mit der Software und den Schnittstellen stattfindet, können Probleme in Programmen erkannt werden, die normalerweise nicht direkt mit dem Netz kommunizieren. Auf diese Weise werden auch Schwachstellen in Programmen wie Office-Anwendungen entdeckt.

Bei der direkten Interaktion müssen Systeme allerdings Extraanfragen bearbeiten, die dann unter Umständen die Grundfunktionen eines Programms beeinträchtigen. Betriebstechnik wie Maschinensteuerungen sind zum Beispiel nicht unbedingt dafür ausgelegt, Nebentätigkeiten auszuführen. Hier empfiehlt sich zum Beispiel Scannen unter Aufsicht und als Ergänzung kontinuierliches passives Scannen.

Aktiv scannen, aber minimalinvasiv

Trotzdem sind aktive Scans für die betriebliche Cyber-Sicherheit essenziell. Denn das Risiko, welches von der kurzfristigen Überbeanspruchung einer Systemkomponente ausgeht, ist klein im Vergleich zu einem Produktionsausfall oder einem Datenleck. Zudem decken aktive Scans nicht nur Schwachstellen auf, sie können auch passive Scans verbessern. So lassen sich die Schwachstellen, die erkannt werden, etwa in die Datenbanken von Firewalls aufnehmen. Das hilft auch anderen Unternehmen, die ähnliche Systeme nutzen.

Aktives und passives Scannen arbeiten Hand in Hand

Da der passive Scanner dem aktiven Scanner auch hilfreiche Informationen wie beispielsweise zu Mobiltelefonen oder Eigenschaften zu Netzwerk-Diensten geben kann, kann man von einer komplementären Ergänzung dieser beiden Sicherheitstools sprechen. Beiden ist gemein, dass sie aus der gegebenen Situation im Netzwerk automatisch immer das Beste herausholen. Für die Techniken des passiven und aktiven Scannens ist es egal, aus welchen oder wie vielen Komponenten und Programmen das Netzwerk besteht. Beide Sicherheitstechnologien erkennen dies von selbst und stellen sich darauf ein. Erst mit einem höheren Sicherheitsgrad beginnt die optimierte Abstimmung von Netzwerk und Scannern.

Es ist also keine Frage, ob man das eine oder das andere anwenden sollte. Beide Verfahren sind notwendig, um eine sichere Netzwerkumgebung zu gewährleisten. Ein rein passiver Ansatz wird in vielen Fällen nicht helfen. Ein proaktives Schwachstellenmanagement benötigt aktive Scans und Tools, um diese zu verwalten. Das ist es, was Greenbones Schwachstellenmanagement-Produkte bieten.


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Markus Feilner

Supply Chains in Open-Source-Software

Open Source ist bei der überwiegenden Mehrheit der Firmen, Softwarehersteller und -anbieter unaufhörlich auf dem Vormarsch. Mit diesem Siegeszug steigt aber auch die Bedeutung der Überwachung der Supply Chain, also der „Lieferkette“ der eingesetzten Software, die Dritte gemäß den Open-Source-Traditionen entwickelt haben. Doch nicht jeder, der Open-Source-Software benutzt, beachtet dabei alle bewährten Regeln. Greenbone kann helfen, solchen Fehlern auf die Schliche zu kommen. Dieser Blogpost erklärt das Problem und wie es sich vermeiden lässt.

Supply Chains in Open-Source-Software

 

Schwachstellen in Log4j, Docker oder NPM

Ende 2021 schlug das Bundesamt für Sicherheit in der Informationstechnik (BSI) wegen einer aus der Ferne ausnutzbaren Schwachstelle in der Logging-Bibliothek Log4j offiziell Alarm – sogar die Tagesschau berichtete. Prompt meldeten sich damals die Kritiker von Open-Source-Software zu Wort: Quelloffene Software wie Log4j sei implizit unsicher und in der Supply Chain anderer Programme ein praktisch unkalkulierbares Risiko.

Zwar hatten die Open-Source-Entwickelnden selbst das Problem binnen weniger Stunden gefixt, dennoch schlummern in zahllosen kommerziellen Produkten noch heute veraltete Versionen von Log4j – ohne Chance darauf, jemals ausgetauscht zu werden. Das ist kein Einzelfall: kürzlich sorgte die Geschichte eines Entwicklers für NPM (Node Package Manager, ein Softwarepaket-Format für den Webserver Node.js) für Aufsehen, der mit seinem eigentlich gut gemeinten Protest gegen den Krieg in der Ukraine das Vertrauen in die Open-Source-Supply-Chain und die Entwicklungsgemeinschaft massiv erschütterte.

Open Source in der Kritik

Es war nicht das erste Mal, dass NPM zum Ziel wurde. Schon Ende 2021 war der Paketmanager von Angriffen betroffen. Damals veröffentlichte der Entwickler Oleg Drapeza einen Fehlerbericht bei GitHub, nachdem er bösartigen Code zum Abfischen von Passwörtern in der Bibliothek UAParser.js gefunden hatte. Stück für Stück konnte der ursprüngliche Autor der Software, Faisal Salman, rekonstruieren, dass sich jemand in seinen Account im Paketsystem von NPM gehackt und dort Schadcode hinterlegt hatte. Das Problem: UAParser.js ist ein Modul für Node.js und kommt in Millionen von Setups weltweit zum Einsatz. Entsprechend gewaltig war der Kreis der betroffenen Nutzenden.

Wieder hieß es seitens der Open-Source-Kritischen, quelloffene Software wie UAParser.js sei implizit unsicher und in der Supply Chain anderer Programme ein praktisch unkalkulierbares Risiko. Mehr noch: Open-Source-Entwickelnde, so der explizit vorgetragene Vorwurf, bänden externe Komponenten wie Bibliotheken oder Container-Images viel zu unvorsichtig ein und verschwendeten kaum einen Gedanken an die damit verbundenen Sicherheitsimplikationen. Aus diesem Grund sei ihr Werk latent anfällig für Sicherheitsangriffe, vor allem eben in der Open-Source-Supply-Chain. Alyssa Shames diskutiert auf docker.com das Problem am Beispiel von Containern und schildert dabei ausführlich die Gefahren.

Die Schattenseiten des Basars

Tatsächlich haben DevOps und Cloud Native die Arbeitsweise in der Entwicklung in den vergangenen Jahren stark beeinflusst. In der Community existierende Komponenten in die eigene Anwendung einzubinden statt vergleichbare Funktionalität selber neu zu programmieren ist dabei Teil des Selbstverständnisses der gesamten Open-Source-Szene. Diese Community und ihr Angebot lassen sich mit einem Basar vergleichen, mit allen Vor- und Nachteilen. Viele Entwickelnde stellen ihre Programme gerade deshalb unter eine offene Lizenz, weil sie die Beiträge der anderen „Basarbesuchenden“ schätzen. Auf diese Weise können andere, die ähnliche Probleme haben, profitieren – unter denselben Bedingungen – und müssen das Rad nicht neu erfinden. Galt das früher mehr oder weniger nur für einzelne Bestandteile von Software, haben Cloud und Container dazu geführt, dass Entwickelnde inzwischen nicht mehr nur einzelne Komponenten übernehmen, sondern gleich ganze Images. Dabei handelt es sich um Softwarepakete, eventuell sogar inklusive Betriebssystem, die auf der eigenen Infrastruktur dann schlimmstenfalls ungeprüft starten.

Ein wachsendes Risiko?

In der Tat ist der mögliche Angriffsvektor dabei deutlich größer als zuvor und wird aktiv ausgenutzt. Laut Dev-Insider beispielsweise ist im vergangenen Jahr „die Zahl der Angriffe auf Open-Source-Komponenten […] von Software-Lieferketten laut einer Studie des Anbieters Sonatype […] um 430 Prozent gestiegen.“ Das bestätigt auch der Risiko-Analyse-Bericht von Synopsis, der zudem feststellt, „dass kommerzieller Code heute hauptsächlich aus Open-Source-Software besteht.“ Schon 2020 berichtete der Cloud-Native-Experte Aquasec auf seinem Blog von Angriffen auf die Docker-API, über die Cyber-Kriminelle Cryptomining in Docker-Images betrieben.

Allerdings sind Entwickelnde, die auf Open-Source-Komponenten zurückgreifen oder aus der Open-Source-Community stammen, nicht annähernd so unaufmerksam, wie es solche Meldungen suggerieren. Anders etwa als in proprietären Produkten, in denen lediglich die Mitarbeitenden eines Unternehmens den Code im Auge haben können, schauen in Open-Source-Projekten viele Menschen auf den verwalteten Quelltext. Dass dabei regelmäßig auch Sicherheitslücken wie im Fall von Log4j, Docker oder NPM ans Tageslicht kommen, liegt auf der Hand. Hier beweist die Open-Source-Szene dass sie gut funktioniert, nicht etwa dass ihre Software grundsätzlich unsicher(er) wäre.

Nicht schutzlos ausgeliefert

Ein großes Problem ist dagegen – unabhängig, ob Open-Source- oder proprietäre Software – die mangelnde Weitsicht bei der Update- und Patch-Strategie mancher Anbieter. Nur deshalb finden sich vielerorts Geräte mit veralteten, oft angreifbaren Softwareversionen, die als Scheunentor für Angreifende dienen können. Die Greenbone Enterprise Appliance, die professionelle Produktlinie von Greenbone, hilft dabei, solche Lücken zu finden und sie zu schließen.

Hinzu kommt, dass komplexe Sicherheitslecks wie die oben beschriebenen in Log4j oder UAParser.js eher die Ausnahme als die Regel darstellen. Die meisten Angriffe erfolgen mit deutlich simpleren Methoden: In den fertigen Images für Docker-Container im Docker Hub etwa findet sich regelmäßig Malware, die aus einer Datenbank den oben beschriebenen Bitcoin-Miner macht. Auch diesem Treiben stehen Entwickelnde, die Open-Source-Komponenten integrieren, jedoch keineswegs schutzlos gegenüber. Längst gibt es Standards, die Angriffe der beschriebenen Art verhindern, beispielsweise fertige Container-Images nur direkt beim Hersteller einer Lösung zu beziehen oder sie besser gleich per CI/CD-Pipeline selbst zu bauen. Ganz grundsätzlich steht Entwickelnden obendrein ein gesundes Misstrauen gut zu Gesicht, etwa wenn Software aus einer Quelle kommt, die erkennbar nicht jene des Herstellers ist.

Supply-Chain-Überwachung bei Greenbone

Dass Open-Source-Software im eigenen Programm kein unkalkulierbares Risiko ist, zeigt Greenbone in seinen Produkten, den Greenbone Enterprise Appliances. Im Unternehmen gelten eine Reihe von Richtlinien, die das Thema Supply Chain in der Softwareentwicklung in den gesamten Entwicklungszyklus einbinden. Neben umfangreichen Funktionstests unterzieht Greenbone seine Produkte dabei beispielsweise automatisierten Tests mit gängigen Sicherheitswerkzeugen. Wer bei Greenbone kauft, verlässt sich zu Recht auf das starke Gespann aus Open-Source-Transparenz und sorgfältigster Qualitätssicherung des Herstellers, ein Aufwand den sich nicht generell alle Open-Source-Projekte leisten können.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht
/von
Markus Feilner

Greenbone erweitert Compliance-Richtlinien für CIS Benchmarks

Apache, IIS, NGINX, MongoDB, Oracle, PostgreSQL, Windows, Linux: Ein Jahr nach Einführung bringt Greenbone zahlreiche neue Compliance-Richtlinien für CIS Benchmarks in seinen Produkten. CIS Benchmarks werden von Unternehmen, Organisationen oder Behörden genutzt, um zu prüfen, ob alle verwendeten Softwareprodukte, Anwendungen, Betriebssysteme und andere Komponenten sichere Vorgaben erfüllen. Ähnlich dem IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) stellt das Center for Internet Security (CIS), eine im Jahr 2000 gegründete Non-Profit-Organisation, umfangreiche Best Practices für die IT-Sicherheit von Regierungen, Industrie und Wissenschaft bereit. Schon 2021 entwickelte Greenbone erste Compliance-Richtlinien für CIS Benchmarks. Nun kommen 18 weitere Compliance-Richtlinien hinzu.

Compliance-Richtlinien für CIS Benchmarks

Benchmarks für die Unternehmenssicherheit

Die CIS Benchmarks bilden Richtlinien von Unternehmen und Behörden ab, die als Messlatte (Benchmark) für das Einhalten von Anforderungen dienen. Ausführlich beschreiben die Benchmarks Konfigurationen, Bedingungen, Audits und Tests für diverse Setups und Systeme. Nach erfolgreichem Scan erhalten IT-Admins einen umfangreichen Bericht mit einer Prozentzahl, die Aufschluss über die Compliance der Systeme, aber auch gleich Empfehlungen für weitere Härtungsmaßnamen liefert.

Im Vergleich zu den Vorgaben des IT-Grundschutz erweisen sich CIS Benchmarks häufig als deutlich detaillierter, damit aber auch als umfangreicher. Anders als die vielen Tests im Greenbone Enterprise Feed, die Sicherheitslücken und Schwachstellen suchen, um bei der Abwehr von Angriffen zu helfen, dienen die CIS Benchmarks dem Nachweis, dass ein Unternehmen oder eine Behörde die geltenden Compliance-Vorschriften zu jedem Zeitpunkt einhält und stets eingehalten hat.

CIS Benchmarks bei Greenbone

Bereits seit 2021 integriert Greenbone zahlreiche Compliance-Richtlinien für CIS Benchmarks. Bei diesen Richtlinien handelt es sich um Zusammenstellungen an Tests, die eine Greenbone-Lösung auf einem Zielsystem ausführt. Vereinfacht gesagt wird dabei für jede einzelne Anforderung oder Empfehlung aus einer CIS Benchmark ein Schwachstellentest entwickelt, der die Erfüllung jener Anforderung oder Empfehlung prüft. Alle Tests werden von Greenbone zu Scan-Konfigurationen zusammengefasst und zum Greenbone Enterprise Feed hinzugefügt. Da die Scan-Konfigurationen in diesem Fall Richtlinien von Unternehmen oder Behörden abbilden, werden sie als „Compliance-Richtlinien“ bezeichnet.

2022 baut Greenbone den Satz an CIS-Compliance-Richtlinien, der im Greenbone Enterprise Feed enthalten ist, deutlich aus. 18 weitere Compliance-Richtlinien für CIS Benchmarks für diverse Produktfamilien wurden hinzugefügt. Neben einer Compliance-Richtlinie für Docker-Container stehen jetzt auch Tests für Windows 10 Enterprise, Windows 2019 Server, Centos und distributionsunabhängige Linux-Benchmarks zur Verfügung. Außerdem können jetzt auch Webmaster mit Servern wie Apache (2.2 und 2.4), NGINX, Tomcat und Microsoft IIS 10 sowie Datenbankadministrationen (MongoDB 3.2 und 3.6, Oracle Community Server 5.6 und 5.7 sowie PostgreSQL 9.6, 10, 11 und 12) auf Compliance-Richtlinien für CIS Benchmarks zurückgreifen.

CIS Benchmarks: Level 1, 2 und STIG

Die CIS Benchmarks gliedern sich in mehrere Level (Level 1, 2 und STIG) und umfassen meist mehrere zu testende Konfigurationsprofile. Level 1 gibt grundlegende Empfehlungen zur Verringerung der Angriffsfläche eines Unternehmens, Level 2 adressiert Nutzende mit besonderen Sicherheitsbedürfnissen. STIG – das ehemalige Level 3 – kommt dagegen vor allem im militärischen oder behördlichen Umfeld zum Einsatz. STIG steht für Security Technical Implementation Guide. Das US-amerikanische Verteidigungsministerium pflegt hierzu eine Webseite mit allen Details. Die dort beschriebenen DISA STIGs (Defense Information Systems Agency Security Technical Implementation Guides) sind eine Anforderung des US-Verteidigungsministeriums.

Zertifiziert von CIS

Greenbone ist Mitglied des CIS-Konsortiums und erweitert seine CIS-Benchmark-Scan-Konfigurationen fortlaufend. Wie alle von Greenbone auf Basis von CIS Benchmarks entwickelten Compliance-Richtlinien sind auch die neuesten von CIS zertifiziert – das bedeutet maximale Sicherheit, wenn es darum geht, ein System gemäß den Härtungsempfehlungen von CIS zu prüfen. Das vereinfacht nicht nur die Vorbereitung von Audits, wichtige Kriterien lassen sich schon vorab mit einem Scan durch eine Greenbone-Lösung prüfen und gegebenenfalls gefundene Schwachstellen beheben, bevor Probleme auftauchen.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht
/von
Elmar Geese

Kaspersky-Bann: Mit Open Source wäre das nicht passiert

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor dem Einsatz der Antivirensoftware des russischen Herstellers Kaspersky. Kein Wunder, denn Sicherheit ist Vertrauenssache. Sicherheitssoftware erst recht.

Im Zuge des Ukraine-Kriegs trifft es einen Closed-Source-Anbieter wie Kaspersky an seiner schwächsten Stelle. Denn seine Kundschaft muss etwas glauben, was sie aber wissen wollen und in kritischen Einsatzbereichen sogar wissen müssen: Dass der Einsatz einer Software keine nicht auditierbaren Risiken beinhaltet.

Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor Kaspersky

Der Anbieter hat versucht, diesem Anspruch zu genügen, ohne seine Quellen Open Source zu stellen – durch sogenannte Transparenzzentren, in denen Quellcode eingesehen werden darf. Doch das reicht den Nutzenden aus verschiedenen Gründen nicht mehr.

Aktueller Anlass ist der Krieg in der Ukraine und letztlich die Tatsache, dass es sich um ein russisches Unternehmen handelt. Doch die Gründe und Ursachen liegen tiefer. Letztlich sind nicht nur russische Anbieter vom grundsätzlichen Problem betroffen. Software (und auch Hardware) kann, genauso wie die Daten, die verarbeitet werden, nur dann vertrauenswürdig sein, wenn die Quellen offen sind und der Produktionsprozess transparent ist.

Wir kennen das Problem bereits auch aus anderen Kontexten – ob ein Konstrukt „Transparenzzentrum“, „Safe Harbour“ oder „Privacy Shield“ heißt – letztlich sind dies Marketingbegriffe, die nicht verschleiern können, dass sie nicht die Transparenz und das Vertrauen bieten können, welches wir für sichere digitale Infrastrukturen brauchen. Das kann nur Open Source.


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Elmar Geese

Krieg in der Ukraine – Auch Cyber-Angriffe stellen eine Gefahr dar

Cyber Security zur Abwehr von Cyber-Angriffen

Kaum ein Thema ist derzeit so präsent wie der Krieg in der Ukraine, der zahlreiche zivile und militärische Opfer fordert. Doch in unserer heutigen vernetzten und digitalisierten Welt besteht die Gefahr nicht nur in militärischen Angriffen, sondern weitet sich auch auf den Cyber-Raum aus. Laut Institute for Economics and Peace (IEP) steigen bereits jetzt die Cyber-Angriffe auf die Ukraine und andere Länder [1]. Besonders gefährdet sind dabei kritische Infrastrukturen (KRITIS).

Darunter fallen laut Definition der Bundesregierung „Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“ Bestandteil der KRITIS in den meisten Ländern sind somit das Gesundheitswesen, der Energie- und der Wassersektor, das Transportwesen und die Informations- und Kommunikationstechnologie.

Aber nicht nur KRITIS-Organisationen müssen sich daher besonders gut gegen Cyber-Angriffe schützen und ihre Angriffsfläche verringern. Für die gesamte IT-Infrastruktur besteht eine grundsätzliche Gefahr, eine grundsätzliche Angreifbarkeit, der man begegnen muss: defensiv und nachhaltig. Einen elementaren Einfluss hat hier das Beseitigen von Schwachstellen in den IT-Infrastrukturen. Da die meisten Schwachstellen bereits seit langer Zeit bekannt sind, können sie mithilfe von Schwachstellenmanagement aufgedeckt und anschließend entfernt werden. Letztlich bedeutet das, Cyber-Kriminellen einen Schritt voraus zu sein.

„Wir setzen dabei konsequent darauf, die Defensive zu stärken und nicht die Offensive“, sagt Elmar Geese, CIO/CMO von Greenbone. Dabei folgt Geese der Ansicht international renommierter Fachleute wie Manuel Atug von der AG KRITIS: „Offensiv vorzugehen ist nie zielführend, erst recht nicht in einem Krieg. Denn dann wird man Kombattant in einem Krieg und riskiert einiges, was vielen offenbar so nicht klar ist.“ Laut Atug sei nicht absehbar, welche Folgen auf Angreifende zukommen könnten [2].

Unser Ziel ist deshalb eine starke Defensive. Wir freuen uns zu sehen, dass unsere Open-Source-Technologie auch in der Ukraine hilft, russische Cyber-Angriffe abzuwehren.

[1] https://www.zeit.de/news/2022-03/02/experten-warnen-vor-cyberterrorismus-im-ukraine-konflikt

[2] https://background.tagesspiegel.de/cybersecurity/putin-wird-sich-nicht-wegcybern-lassen


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Markus Feilner

Predictive Vulnerability Management mit Greenbone

,
Jennifer Außendorf, Projektleiterin für das Projekt zum Predictive Vulnerability Management

Projektleiterin Jennifer Außendorf

Mit Predictive Vulnerability Management die Schwachstellen von morgen schon heute erkennen: Zusammen mit internationalen Partnern aus ganz Europa entwickeln die Cyber-Security-Fachleute von Greenbone eine neuartige Cyber-Resilienz-Plattform, die mithilfe von künstlicher Intelligenz und Machine Learning Schwachstellen entdeckt, bevor sie ausgenutzt werden können und die so hilft, Angriffe zu verhindern.

Greenbone verstärkt seine interne Forschung auf dem Gebiet des „Predictive Vulnerability Managements“ und wird 2022 zusätzlich an öffentlich geförderten Forschungs- und Entwicklungsprojekten teilnehmen. Derzeit arbeiten die Security-Fachleute an einem Förderungsantrag für ein Projekt der Europäischen Union. Bis die erste Phase der Antragseinreichung abgeschlossen sein wird, engagiert sich Greenbone innerhalb eines internationalen Konsortiums und arbeitet an einer gemeinsamen Cyber-Resilienz-Plattform. Hier dreht sich alles darum, Angriffe schon im Vorfeld zu verhindern, so dass sich im akuten Notfall schneller Abhilfe schaffen lässt. Dazu sollen Methoden zur Erkennung von Anomalien durch Kombination und Analyse verschiedenster Quellen von Netzwerküberwachungs- und Netzwerkanalysedaten helfen. Der Forschungsbereich konzentriert sich auf aktive Verteidigung gegen Cyber-Attacken und umfasst Penetrationstests und deren Automatisierung und Verbesserung durch maschinelles Lernen.

Projektleiterin Jennifer Außendorf erklärt im Interview, was hinter dem Begriff „Predictive Vulnerability Management“ steckt.

Jennifer, worum geht’s bei Cyber-Resilienz? Predictive Vulnerability Management klingt so nach Minority Report, wo die Polizeieinheit „Precrime“ Kriminelle jagte, die erst in der Zukunft Verbrechen begehen.

Jennifer Außendorf: Die Prognose von Angriffen ist da die einzige Überschneidung, denke ich. Dreh- und Angelpunkt ist dabei unser Greenbone Cloud Service. Durch ihn können wir auf sehr große Datenmengen zurückgreifen. Wir werten sie aus, um Vorhersage und Remediation zu ermöglichen, also sowohl Warnungen für bevorstehende Gefahren als auch wirksame Maßnahmen zur Behebung der Schwachstellen bereitzustellen.

So können wir beispielsweise auch zukünftige Bedrohungen früher identifizieren, weil wir das Predictive Vulnerability Management mit Machine Learning stetig verbessern. Im Bereich „Remediation“ schaffen wir eine „begründete Handlungsfähigkeit“ für Benutzer: Sie sind oft mit der Anzahl an Schwachstellen überfordert und tun sich schwer, anhand der reinen CVSS-Bewertung zu beurteilen, welche Bedrohungen akut und dringend sind.

Eine Lösung wäre es etwa, eine kurze Liste der aktuell kritischsten Schwachstellen zur Verfügung zu stellen – basierend auf den Ergebnissen der künstlichen Intelligenz. Darin sollen dann noch mehr Einflussgrößen als der CVSS-Wert, der eher den technischen Schweregrad beurteilt, berücksichtigt werden. Solch eine Lösung soll dann benutzerfreundlich auf einer Plattform einsehbar sein – natürlich streng anonymisiert und DSGVO-konform.

Warum geht Greenbone damit jetzt in die Öffentlichkeit?

Jennifer Außendorf: Zum einen ist das für die Forschung ein unglaublich spannendes Thema, für das wir die passenden Real-Life-Daten liefern. Die großen Datenmengen, die bei den Scans anfallen, lassen sich auf vielfältige Weise zum Schutz der Kunden einsetzen. Herauszufinden, was alles mit den Daten möglich ist und wie wir das zum Mehrwert der Benutzer und Kunden nutzen können, ist eine große Herausforderung.
Zum anderen will Greenbone mit dem Projekt die Cyber-Sicherheit in der EU stärken. Zum einen ist das gerade ein topaktuelles Thema: Kunden landen bei der Suche nach Cyber-Abwehr oft bei amerikanischen Firmen, was sich meistens nicht gut mit der DSGVO verträgt. Greenbone hat sich entschlossen, ein Projektkonsortium ins Leben zu rufen und wird sich parallel dazu um eine Projektförderung bemühen.

Wer wird oder soll sich am Konsortium beteiligen?

Jennifer Außendorf: Das Konsortium wird aus einer Handvoll Firmen als Kern der Gruppe bestehen und durch Forschungspartner, technische Partner für die Entwicklung und einer User Group aus weiteren Partnern und Testern ergänzt werden.

Weil das Projekt auf EU-Ebene stattfinden wird, ist es uns wichtig, möglichst viele verschiedene Mitgliedsstaaten einzubinden. Die unterschiedlichen Hintergründe der Partner bewirken – so unsere Hoffnung – kreative Ideen und Lösungsansätze, von dem das Projekt nur profitieren kann. Das gilt genauso für die Phase des Aufbaus des Konsortiums.

Gibt es auf dem Gebiet von Predictive Vulnerability Management bisher andere Player oder hat das noch niemand probiert?

Jennifer Außendorf: Momentan sehen wir keinen Wettbewerber – Greenbone will hier auch ganz bewusst Innovationstreiber sein. Ja, die Buzzwords „Thought Leadership“, „Cloud Repurpose“ und „Cyber Resilience“ schweben sicher im Raum, aber eines haben nur wir (und unsere Kunden): Die anonymisierten Daten, die ja essentiell für die Forschungsergebnisse sind, und vor allem die große Datenmenge, die es überhaupt erst ermöglicht Machine Learning und andere Methoden im Zusammenhang mit Künstlicher Intelligenz anzuwenden, die haben nur wir.

Wie ist da der aktuelle Status, was steht auf der Roadmap?

Jennifer Außendorf: Wir sind gerade dabei, mit den ersten Forschungspartnern die einzelnen Themen genauer zu spezifizieren. Sie verfügen über langjährige Erfahrung im Bereich Cyber-Sicherheit, Machine Learning und steuern sehr wertvollen Input bei. Außerdem arbeiten wir gerade daran, das Konsortium zu vergrößern und weitere Partner zu gewinnen. Zeitnah soll dann die Arbeit an dem eigentlichen Antrag starten.

Unser Ziel ist es, Ergebnisse aus dem Projekt direkt in unsere Produkte einfließen zu lassen und so unseren Kunden und Benutzern zugänglich zu machen. Letztendlich sollen ja sie von den Ergebnissen profitieren, und so die Cyber-Resilienz in ihren Unternehmen erhöhen. Das ist das oberste Ziel.

Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht
/von
Markus Feilner

Ransomware as a Service: Die Rolle von Bitcoin und Darknet

Ein zweifelhafter Ruf haftet sowohl der Kryptowährung Bitcoin wie auch dem Darknet an. Medien schildern beide gerne als undurchsichtige, kriminelle Parallelwelten. Für Ransomware as a Service sind Bitcoin und Darknet willkommene Werkzeuge. Das organisierte Verbrechen hat sie sich längst zu Nutze gemacht, um seine Geschäfte zu verschleiern, auch wenn die Kriminellen damit keineswegs anonym und sicher vor Strafverfolgung sind.

Ransomware wurde 2021 zur weltweit größten Bedrohung von IT-Systemen. Wer sich erfolgreich davor schützen will, muss auch verstehen, wie die Beteiligten vorgehen. Im ersten Teil dieser Artikelserie ging es um das Geschäftsmodell von Ransomware as a Service. Teil zwei zeigte, warum diese „Professionalisierung“ auch zu einem veränderten Mindset bei den Angreifenden führt. Der dritte Teil erklärt nun, warum die IT-Werkzeuge, die die organisierte Kriminalität zur Bestellung und zur Geldübergabe nutzt, keineswegs sicher sind.

Ransomware as a Service: abstraktes Bild des Bitcoin-Logos

Anonym und sicher?

Bitcoin als Zahlungsmittel und das Darknet erweisen sich als praktisch, hilfreich und attraktiv für Angreifende. Unter dem Deckmantel der vermeintlichen Anonymität wähnen sie sich geschützt vor Strafverfolgung und abgeschirmt von Konsequenzen. Doch das ist ein verbreitetes Missverständnis: Weder Bitcoin noch Darknet sind in der Praxis anonym.

Während die Kryptowährung nie auf Anonymität ausgelegt war, sondern explizit auf Nachvollziehbarkeit von Transaktionen auch ohne zuverlässige zentrale Autorität, erweist sich das Darknet als nicht mal ansatzweise so anonym wie seine Macher es sich gewünscht hätten. Das zeigen auch Berichte wie die jüngsten über die „Deanonymisierungsangriffe“ von KAX17 auf das Tor-Netzwerk. Fast immer reicht der Strafverfolgung klassische Ermittlungsmethoden, um auch Ransomware-Agierende wie die REvil-Gruppe ausfindig zu machen. Die hatte laut Heise in mehr als 5.000 Infektionen eine halbe Million Euro an Lösegeldern eingetrieben.

Nie eine gute Idee: mit Kriminellen kooperieren

Egal, ob online oder offline, wer sich mit Erpressenden einlässt, ist verlassen. Als guter Rat gilt wie im richtigen Leben: niemals Lösegeld bezahlen. Ganz egal wie professionell die Hotline am anderen Ende auch scheint, Vertrauen ist nicht angebracht. Die Betreibenden von REvils Ransomware as a Service beispielsweise stahlen ihren Auftraggebenden sogar die erpressten Lösegelder über eine Backdoor in der Malware.

Dabei hatte alles so freundlich und idealistisch angefangen. Roger Dingledine und Nick Mathewson legten die Grundsteine für das Tor-Netzwerk Anfang der 2000er Jahre. Basierend auf der Idee der Zwiebelringe sollten zahlreiche kryptographisch gesicherte Schichten übereinander für zuverlässige Anonymität im Web sorgen – ihrer Meinung nach ein Grundrecht, analog zur Privacy-Definition von Eric Hughes „Cypherpunk’s Manifesto“. 2009 erblickte dann Bitcoin das Licht der Welt, erstmals beschrieben durch die fast schon mystische Figur des Satoshi Nakamoto.

Darknet und Bitcoin sind nicht „kriminell“

Weder Darknet noch Bitcoin wurden entworfen, um dunkle Machenschaften zu verschleiern oder zu ermöglichen. Ziel war das Schaffen freier, unabhängiger, vermeintlich unkontrollierbarer und weitgehend sicherer Strukturen für Informationsaustausch und Bezahlung. Wie ein Messer lassen sich die Dienste jedoch sowohl für Gutes als auch für Böses instrumentalisieren – und natürlich weiß die organisierte Kriminalität das für sich zu nutzen. Nicht immer liegt dabei der Schwerpunkt darauf, keine Spuren zu hinterlassen. Meist steht die Einfachheit und Verfügbarkeit der Mittel im Vordergrund. Bitcoin und das Darknet sind schlicht die Tools der Wahl, weil sie da sind.

Aber wie in der realen Welt schnappt man die Erpressenden am einfachsten bei der Geldübergabe: Eine Blockchain wie Bitcoin dokumentiert alle jemals getätigten Transaktionen inklusive der Wallet-Informationen (also den Bitcoin-Besitzenden) und macht sie jederzeit einsehbar. Gleiches gilt für das Darknet: Selbst, wenn technisch Anonymität möglich ist, scheitern Menschen regelmäßig an den einfachsten Anforderungen. Da finden sich dann GPS-Meta-Daten in Fotos oder UPS-Codes im illegalen Shop. Der legendäre Drogenshop Silkroad flog auf, weil Mitarbeitende Fehler machten und geständig waren.

Digitalisierte, organisierte Kriminalität

Das Darknet und die Kryptowährungen sind hilfreiche Werkzeuge für die organisierte Kriminalität und damit Brandbeschleuniger für die schnell wachsende Anzahl an gravierenden Ransomware-Attacken. Aber sie sind keineswegs essenziell, noch trifft sie eine Schuld. Derartige Cyber-Kriminalität ist nur die moderne IT-Variante dessen, was wir auch auf den Straßen beliebiger Großstädte erleben können. Ransomware ist sozusagen die moderne Schutzgelderpressung, Bitcoin der Abfalleimer für die Übergabe, das Darknet die dunkle Kneipe, in der Deals vereinbart werden.

Das Perfide steckt nicht in den Werkzeugen, sondern in den Methoden und der langen Erfahrung im „Business“. Trend Micro beschreibt beispielsweise den Ansatz der „Double Extortion Ransomware“. Dabei machen sich Angreifende erst ein Bild über die Daten und drohen, diese bei Nicht-Bezahlen (also bei Nicht-Entschlüsselung) zu veröffentlichen. Organisierte Kriminalität betreibt das Geschäft mit der Erpressung nicht erst seit es Bitcoin oder das Darknet gibt. Auch wenn die beiden Technologien es Cyber-Kriminellen heute ermöglichen, zunächst unerkannt große Geldsummen zu erpressen, reichen herkömmliche Methoden fast immer zur Aufklärung. Wichtigste Voraussetzung dabei ist, dass genug Personal für die Strafverfolgung zur Verfügung steht, nicht in erster Linie dessen technische Ausstattung.

Vorsorge treffen

Doch zu diesem Zeitpunkt ist das Kind im Unternehmen bereits in den Brunnen gefallen. Wer vor seinen verschlüsselten Daten steht und sich einer Lösegeldforderung gegenübersieht, dem sind das Darknet, Bitcoin und die Aufklärungsquote vermutlich erst mal zweitrangig. Viel wichtiger ist die Frage, wie man aus der misslichen Lage wieder herauskommt. Und das gelingt nur, wenn man vorbereitet war. Dazu gehören Backups, Restore-Tests und das sofortige Abtrennen aller betroffenen Maschinen (Network Split) – also proaktives Risikomanagement, Desaster Recovery Tests und stetige Pflege der eigenen Systeme. Ein weiterer wichtiger Baustein ist die Multi-Faktor-Authentifizierung, die verhindert, dass sich Angreifende allein durch erworbene Passwörter von einem System zum nächsten hangeln.

Am wichtigsten ist es jedoch, gar nicht erst in kritische Situationen zu gelangen und Schwachstellen in den eigenen Systemen zu erkennen und schnell zu schließen. Modernes Schwachstellenmanagement wie das von Greenbone leistet genau das: Es legt Angreifenden Steine in den Weg und macht das Firmennetzwerk unattraktiv, aufwändig und somit abschreckend für die professionellen Cyber-Kriminellen, nicht nur aus der Ransomware-as-a-Service-Welt.

Die Produkte von Greenbone überwachen das Unternehmensnetzwerk oder externe IT-Ressourcen auf potenzielle Schwachstellen, indem sie es fortlaufend und vollautomatisch untersuchen und garantieren als Greenbone Enterprise Appliances oder dem Greenbone Cloud Service (in deutschen Rechenzentren gehostete Software as a Service) Sicherheit durch stets aktuelle Scans und Tests.

Wie das funktioniert, beschreibt Elmar Geese, CIO/CMO bei Greenbone, ebenfalls hier im Blog anhand eines Posts rund um die log4j-Schwachstelle. Außerdem erklärt Geese, wie schnell und sicher die Administration und das Management auch bei den neuesten Schwachstellen informiert wird und wie genau der Scan nach Schwachstellen wie Log4Shell abläuft.


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Elmar Geese

ISO-Zertifizierung unserer Managementsysteme

Wir sind stolz darauf, dass wir Ende 2021 die ISO-Zertifizierung unserer Managementsysteme für die Aspekte Qualität (ISO 9001) und Informationssicherheit (ISO 27001) erhalten haben.

Logos der ISO-Zertifizierung unserer Managementsysteme

Unser Erfolg lässt uns wachsen, und unser Wachstum fördert Strukturen und Prozesse. Deshalb begleiten wir aktiv die Entstehung von Strukturen und Prozessen noch stärker als in der Vergangenheit. Dabei orientieren wir uns an den folgenden Zielen:

  • Werte für unsere Kundschaft schaffen
  • Großartige Produkte und Dienstleistungen bereitstellen
  • Die Zufriedenheit unserer Mitarbeitenden stetig steigern
  • Förderung und Bewältigung unseres Wachstums

Als wir uns entschlossen haben, die Informationssicherheit und Qualität in unserem Unternehmen nach den Normen ISO 27001 und ISO 9001 zu zertifizieren, haben wir von Anfang an die Besonderheiten eines agilen Unternehmens berücksichtigt.

ISO-zertifizierte Managementsysteme und agiles Management scheinen ein Widerspruch zu sein, sind es aber nicht. In diesem Artikel werden wir kurz erläutern, wie sich diese beiden Welten perfekt ergänzen und wie wir die jeweiligen Vorteile in einem Unternehmen vereinen.

Obwohl Agilität kein Ziel an sich ist, waren wir uns bewusst, dass wir ein agiles Unternehmen auf eine agile Weise führen wollen. Wir verstehen das so:

  • Wir haben ein gemeinsames Ziel.
  • Klarheit und Eindeutigkeit in der Kommunikation sind Voraussetzung für ergebnisorientiertes Handeln.
  • Hierarchien sind Werkzeuge, keine Statusfunktionen.
  • Prozesse sind Wege zum Ziel, nicht Ziele an sich.

Wir haben erkannt, dass wir in den verschiedenen Bereichen unserer Organisation idealerweise einen möglichst universellen Werkzeugkasten einsetzen können, der uns einerseits hilft, unsere Prozesse bestmöglich zu organisieren und andererseits genügend Freiraum für die unterschiedlichen Bedürfnisse der verschiedenen Teams und Bereiche lässt.

Die Konzepte aus so unterschiedlichen Welten wie „ISO“ und „Agile“ haben uns dabei geholfen und helfen uns weiterhin. Sie haben gemeinsam, dass die Konzepte Managementsysteme erfordern, die in ihrer Grundstruktur ähnlicher sind, als man denkt.

Es geht immer um:

  • Fokussierung auf hinreichend klar definierte Ziele
  • Verlässliche und angemessene Leitlinien
  • Nachvollziehbar definierte und hilfreiche Prozesse
  • Messpunkte, um zu bewerten, anzupassen und ggf. zu verändern
  • Unterstützende Teammitglieder und dienende Führungskräfte, die innerhalb dieser Struktur agieren
  • Ein kontinuierlicher Verbesserungsprozess

Dies ist es, was wir ein Managementsystem nennen und die ihm innewohnende Agilität wird durch den Kontext und den Zweck definiert, wenn es angewendet wird. Es ermöglicht uns, die Ergebnisse und die Qualität der Prozesse anhand eines Systems von Zielen und Leistungsindikatoren zu messen.

Wir sind stolz und glücklich, dass wir unsere Managementsysteme nun sehr erfolgreich für die Aspekte „Qualität“ (ISO 9001) und „Informationssicherheit“ (ISO 27001) zertifizieren konnten. Es hilft uns und es hilft auch Ihnen als unsere Kundschaft. Es dokumentiert messbar zwei sehr wichtige Eigenschaften, die Sie von uns und unseren Produkten und Dienstleistungen erwarten und die Sie letztlich durch den Einsatz unserer Produkte in Ihrer eigenen Organisation sicherstellen wollen, nämlich:

  • Sicherheit und
  • Qualität der informationstechnischen Systeme

Es ist unsere Aufgabe bei Greenbone, dies durch eines der führenden Produkte für das Schwachstellenmanagement zu gewährleisten. Das tun wir jeden Tag, in über 100.000 Organisationen auf der ganzen Welt.


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von
Elmar Geese

Weitere Log4j-Schwachstellen veröffentlicht

Log4j war von einer Schwachstelle betroffen, die Remote-Code-Execution-Angriffe (RCE-Angriffe) ermöglichte. Kurz gesagt, konnten Benutzereingaben in eine Software zu einer Codeausführung auf einem entfernten Server führen. Dies stellt ein schwerwiegendes Sicherheitsrisiko dar. Die Schwachstelle wurde „Log4Shell“ (CVE-2021-44228) genannt und sofort vom Log4j-Team behoben. In den folgenden Tagen wurden weitere Log4j-Schwachstellen gefunden. Diese haben zwar nicht die gleichen Auswirkungen wie die erste, können aber ebenfalls schwere Schäden verursachen. Aus diesem Grund ist es sehr wichtig, die Systeme zu überprüfen und immer auf die neuesten Versionen zu aktualisieren.

Da Log4j in zahlreichen Softwareprodukten enthalten ist, mussten und müssen auch die Hersteller der Produkte Updates bereitstellen. Dies ist noch nicht abgeschlossen und es könnten in Zukunft weitere Log4j-Schwachstellen auftauchen.

Als ein bewegliches Ziel bekommt Log4j immer noch viel Aufmerksamkeit, unter verschiedenen Aspekten:

  • Neue (und glücklicherweise weniger schwerwiegende) Sicherheitslücken werden gefunden.
  • Es entstehen neue Initiativen zur proaktiven Überprüfung von Log4-Quellen, wie zum Beispiel die Initiative von Google: Improving OSS-Fuzz and Jazzer to catch Log4Shell
  • Bei Greenbone erstellen wir noch mehr Schwachstellentests, um eine bessere Testabdeckung zu erreichen, und stellen sie täglich für unsere Produkte bereit.

Wir haben bereits eine ziemlich gute CVE-Abdeckung für die zusätzlichen Log4j-Schwachstellen, die in den letzten Tagen veröffentlicht wurden, erzielt, einschließlich:

  • CVE-2021-44228
  • CVE-2021-4104
  • CVE-2021-45046
  • CVE-2021-45105

Wie bereits erwähnt, hören wir hier nicht auf. Weitere lokale Sicherheitsprüfungen werden heute und morgen folgen, sobald die Linux-Distributionen ihre Advisories veröffentlicht haben.

Wir haben bereits einige Fakten über Log4j und den Umgang damit in unseren letzten Beiträgen veröffentlicht:


Kontakt Kostenlos testen Hier kaufen Zurück zur Übersicht

/von