Austausch unter IT-Professionals - Erfahrungen, Tipps, Fachsimpelei

[h00bi]

ist leider so garkein Spaß

Aus dem heise Artikel:

Angreifer könnten möglicherweise dadurch eigenen Code ausführen.

Dem Patch zufolge könnte unter seltenen Umständen, wenn die zu komprimierenden Daten eine große Zahl von Symbolübereinstimmung mit weitem Abstand enthalten, bei der Kompression die Symbol-Distanz-Tabelle überschrieben werden. Dies mündet in zerstörten Daten aufgrund ungültiger Abstände und kann zu Zugriffen außerhalb der vorgesehenen Grenzen führen. Die Erklärung zum Patch nennt den Absturz der Anwendung als Folge. Es ist jedoch offenbar auch möglich, dadurch eingeschleusten Code auszuführen.

naja.....

 

[Skysnake]

Bah, das ist wirklich hässlich

Also jetzt nichts wo man gleich panisch werden muss, aber gerade bei Systemn wo die Leute im lokalen Netz unterwegs sind sicherlich problematischer als übers www. Lokal sind ja große Transfers weniger ungewöhnlich

 

[holdes]

Einfach einen Scanner drüber laufen lassen und beruhigen .

https://github.com/NCSC-NL/spring4shell

Die meisten WAF werden die Muster vermutlich eh lange implementiert haben. Im Gegensatz zu Log4Shell war bei uns deutlich weniger Software mit entsprechenden Paketen bei.

Wie das bei der anderen aussieht muss ich erstmal evaluieren.

 

[DEADBEEF]

Welche Werkzeuge verwendet ihr eigentlich um solche Scans auf die gesamte Umgebung loszulassen? Benutzt ihr Schwachstellenscanner von z.B. Greenbone oder Automatisierungstools wie Ansible?

 

[Rickmer]

Weiß eigentlich jemand, ob Microsoft jemals beabsichtigt, ihre Probleme mit ReFS auf Server 2012 R2 zu fixen?

Ich habe vorhin festgestellt, dass auch die März Sicherheitsupdates dazu führen, das aus ReFS ein RAW Laufwerk wird... -_-

 

[holdes]

Als Sicherheitsupdate wird’s ja nicht zählen, der Mainstream Support ist ja seit Januar zu Ende soweit ich informiert bin.

 

[Rickmer]

@holdes wie kommst du darauf?

https://docs.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2
hier steht Oktober 2023

 

[holdes]

Stimmt, hatte ich falsch im Kopf . Allerdings ist das nur der Extended, ob die dort sowas überhaupt noch fixen und nicht nur noch Sicherheitsupdates kommen ist aber ja wieder eine andere Geschichte.

Oder war das nur auf den Support bezogen den man für extra Geld nach dem Extended Support hintenraus bekommt? Ich geb zu, ich hab mich damit nur selten auseinandersetzen müssen, ich versuche immer zeitnah auf die aktuellste zu wechseln.

Unabhängig davon: dein ReFS Problem hatte ich auch schon auf Win10 Enterprise Clients. Da hat’s auch nach manchen großen Updates das Dateisystem zerlegt. Lies sich aber mit einer Recovery Software ohne Datenverlust retten.

 

[konkretor]

Bei Born Blog gibt's diverse Einträge zu refs und Kommentare von betroffenen.

 

[Hannibal Smith]

Gibts hier jemanden, der schonmal IS-IS auf VYOS konfiguriert hat?

 

[steppi]

Hi Zusammen,

ich bin mir noch nicht so recht sicher ob das hier der passende Ort ist, aber tummelt sich vlt. Jemand unter uns, der sehr viel in der IT-Security zutun hat. Speziell hätte ich aktuell Fragen in Richtung SIEM. Also kein Angst, ich will jetzt keine umfassende Beratung eher eine offene Diskussion.
Vom Background bin ich jetzt über 15 Jahre in der IT und seit ~4 Jahren in der Projekt-IT, wobei bei uns leider auch sehr viel über Dienstleister läuft. Aktuell studiere ich nochmal und habe auch ein paar "anreisende" Security-Module, die ich aber noch nicht bearbeitet habe. In der Firma folgen wir seit ein paar Jahren diversen ISO-Zertifizierungen (ISMS und co) und auf Grund verschiedener Verordnungen und glaub auch zwecks Cyberversicherung drängen unsere Entscheider langsam in Richtung SIEM, SOC und co. Der Fokus wird zunächst auf ein neues Monitoring und SIEM hinaus laufen. Ich selbst finde die Themen spannend, werde vlt. die Thesis auch versuchen in diesen Bereich zu legen und möchte mich hier vlt. mal etwas unabhängig "informieren". Gibt ja mittlerweile unzählige Tools und Anbieter, aber sind wir mal ehrlich, wie so oft ist nicht das Tool die Lösung, sondern wie man es selbst mit Leben fühlt, ausgestaltet, definiert usw.

Also falls Jemand Lust hat sich dazu auszutauschen, gern per PN oder hier im Thread.

 

[Skysnake]

Vielleicht passt das ja für dich thematisch

https://www.computerbase.de/forum/threads/security-schulungen.2076994/

 

[minimii]

@steppi
Ich muss ja ehrlicherweise sagen:
Das was du dir wünscht ist i.d.R. teure Beratungsdienstleistung

Zumal das Problem erkannt wurde: das Tool ist nur die halbe (wenn überhaupt) Miete.

(Geschäftsprozesse-)Prozesse, Integration in das Daily Business, Integration in Isms und Service Prozesse...Da ist einiges zu tun.

Und wenn das ganze dann noch Critis oder 27001 unterliegt, wird auch geprüft ob alle daraus entstehenden Punkte abgedeckt sind.

Im Zuge von Critis 2.0 ist SIEM auch quasi Pflicht.
Mal eben nen Splunk irgendwo hinwerfen ist einfach

Hab letztens noch einen Partner bei ner Ausschreibung gehabt zum Thema SIEM und in einem andern Los Log und Event Management...Der hat mit einem Tool für das Angebot in einem Los mal eben 40PT versenkt.
Da dachte ich auch: wow.

Aber wobei:
So viele Tage sind aber auch bei größeren NAC Projekten möglich.

 

[Mordi]

Erzählt doch für den Anfang gerne einmal, was ihr so macht, in welchen Bereichen ihr unterwegs seid, oder einfach worauf ihr Lust habt

Och, häng ich mich nach langem aaktiven Mitlesen doch mal ins aktive Schreiben hier rein

Ich bin auch im Consulting tätig, mein Gebiet ist in aller erster Linie mal Monitoring mit Icinga2, aber bspw. sonst auch noch Automatisierung von Dingen mit Ansible. Bin aber noch dabei mich in mehr und mehr Dinge reinzufuchsen.

 

[minimii]

Automatisierung von Dingen mit Ansible.

Sexy.
Damit bastel ich in Bezug auf VXLAN mit rum

 

[konkretor]

@Mordenkainen das trifft sich gut mit icinga2.

Ich soll da ne eval machen.

Wo wende ich mich Doku mäßig hin. Aktuell liegt checkmk vorne...

 

[Mordi]

Würde da erstmal mit der offiziellen Doku anfangen: https://icinga.com/docs/icinga-2/latest/doc/01-about/
Sonst gibt es noch das Icinga2 Buch: https://dpunkt.de/produkt/icinga-2/ - Von dem ist vielleicht langsam ne neue Auflage zu erwarten, die 1. kam 2016 und die 2. 2018.
Ein Viertägiges Training wäre vermutlich in der Evaluationsphase noch etwas früh

 

[DEADBEEF]

Hi @steppi,

willkommen in der Hölle. Du betrittst das undankbarste Kapitel der IT wenn du nicht gerade für ein Unternehmen aus der Security Branche tätig bist oder aber ein sehr sicherheitsbewusstes Mindset besteht.

Wie schon @minimii angerissen hat, ohne unternehmensweite Strategie wirst du gegen Windmühlen kämpfen. Die Security Audits für z.B. PCI-DSS haben es in sich und da werden keine Gefangenen gemacht - was dem Audit nicht standhält, darf nicht eingesetzt werden.
Das gilt nicht nur für das jeweilige System sondern auch für alle Prozesse, die in irgendeiner Form damit zu tun haben. Ersatzteilbeschaffung, Redundanz, RZ-Konzepte.
SMGW ist aktuell eines meiner Themen und da werden auch absurde Anforderungen und Fragen gestellt.

Am Ende fühlt man sich gut wenn alles klappt.

QRadar, Splunk, ELK und Graylog kommen in den meisten Fällen zum Einsatz, selten alleine. Es gibt m.W. kein Tool, das "alles" kann (wenn es denn überhaupt "alles" gibt ).

openVAS oder openSCAP kann ich empfehlen wenn man mit dem Thema warm werden möchte und auch seine eigenen Systeme nach gewissen Standards konfigurieren möchte.

Aus Sicht eines Unternehmens sollte man sich hierfür einen professionellen Partner suchen, wenn man nicht die eigene Expertise besitzt.

 

[steppi]

@steppi
Ich muss ja ehrlicherweise sagen:
Das was du dir wünscht ist i.d.R. teure Beratungsdienstleistung

Nein das wirklich nicht, so naiv bin ich dann doch nicht. Aber teilweise gebe ich dir trotzdem Recht, denn ich wünschte mein Chef ließe sich etwas mehr darauf ein. Eher wollte ich es glaub einfach mal von der Seele schreiben und vlt auch gewisse Bestätigung für meine... Befürchtungen?

Zumal das Problem erkannt wurde: das Tool ist nur die halbe (wenn überhaupt) Miete.
(Geschäftsprozesse-)Prozesse, Integration in das Daily Business, Integration in Isms und Service Prozesse...Da ist einiges zu tun.

Genau so sieht es aus.
Ansich hat das auch unser Chef kapiert, aber er denkt jetzt zwei Kollegen auf SOC-Schulung (3 Tage Druckbetankung) zu schicken, mich übers IT-Securtiy-Modul im Studium und seine Projekterfahrung (Dipl.-Ing. Elektrotechnik) reichen um in zwei Wochen ein 6h Workshop zu halten indem wir SIEM für uns definieren und Alles wird gut. Was ich dazu denke und auch geäußert habe brauch ich glaub nicht ausführen. Zumindest die OT-Seite ist halbwegs "safe", da hier Siemens Ihren Teil für einen Großteil der Anlagen beisteuert, berät und beim Aufbau hilft. (ist aber leider nur ein Bruchteil und nur Anlagen- und Prozessbezogen).

Und wenn das ganze dann noch Critis oder 27001 unterliegt, wird auch geprüft ob alle daraus entstehenden Punkte abgedeckt sind.

Critis und ISO27001 hattest du schon den richtigen Riecher

Im Zuge von Critis 2.0 ist SIEM auch quasi Pflicht.

Daher kommt der enge Zeitplan würde ich denken. Wir stehen aufjedenfall in der Pflicht und der Zeitplan ist eng. Daher denke ich auch aktuell der etwas kopflose Start. Wurde leider noch nicht so offiziell kommuniziert.

Mal eben nen Splunk irgendwo hinwerfen ist einfach

So sehe ich das auch, wobei ich für Splunk noch dankbar wäre. Aktuell steht ein Upgrade unserer Monitoring-Lösung an, wo ernsthaft überlegt wird das SIEM dort direkt zu integrieren. Wir hatten vom Anbieter bereits jetzt eine Vorgänger-Version (die abgekündigt ist) und ein stark angepasstes OTRS was nie richtig rund lief.

Die neue Version basiert dann wenigstens auf Icinga, das "SIEM" Modul ist aber ein nur ein angepasstes Elastic OEM bzw. Elastic Search, NxLog usw.

Hab letztens noch einen Partner bei ner Ausschreibung gehabt zum Thema SIEM und in einem andern Los Log und Event Management...Der hat mit einem Tool für das Angebot in einem Los mal eben 40PT versenkt.
Da dachte ich auch: wow.

Aber wobei:
So viele Tage sind aber auch bei größeren NAC Projekten möglich.

Oh yes. Aber frag nicht was bei uns teilweise für wesentlich weniger kritische Themen verblasen wird. XD

Ergänzung (23. April 2022)

Hi @steppi,

willkommen in der Hölle. ... und Fragen gestellt.

Danke, danke. Ich weiß was du meinst und die Sache ist schwierig. Wir sind schon recht restriktiv unterwegs, aber es wurden auch immer mal wieder Sachen aufgeweicht. Unser größtes Manko ist, dass unser Chef nur einer von vielen Bereichsleitern ist und quasi auf der gleichen Ebene wie die Leiter der anderen Abteilungen steht. Auf gleicher Ebene heißt aber leider auch, dass er nicht einfach umsetzen und durchsetzen kann, ... er muss alle Maßnahmen so durchbringen, dass das Gro der Bereichsleiter zustimmt. Hier wäre es tatsächlich besser wenn er quasi unterhalb vom GF nochmal eine gesonderte Stellung über den anderen Bereichen hätte.

Am Ende fühlt man sich gut wenn alles klappt.

Das glaub ich dir, davon sind wir aber sehr weit weg.

QRadar, Splunk, ELK und Graylog kommen in den meisten Fällen zum Einsatz, selten alleine. Es gibt m.W. kein Tool, das "alles" kann (wenn es denn überhaupt "alles" gibt ).

Wie Eingangs erwähnt ist halt das Tool nur die halbe Miete, aber danke für den Überblick, das werde ich mir mal ansehen. Splunk hatte ich schon auf den Schirm den Rest noch nicht. Kollege meinte Freitag noch das neue kommerzielle OTRS schreibt sich groß SOAR und SIEM auf die Fahne, aber wer macht das aktuell nicht? Selbst im IDOIT oder bei Paessler finden sich die entsprechenden Stichworte. Ich befürchte aber leider eh, dass mein Chef mit dem alten Partner aus Zeitgründen "einfach Starten will". Genauso wie er einfach Achtung Themensprung "alles im Teams haben will und mit Power-Plattform, in YT gibts ja schließlich Tutorials wo in 30 Minuten nützliche Applikationen aus dem Boden sprießen.

openVAS oder openSCAP kann ich empfehlen wenn man mit dem Thema warm werden möchte und auch seine eigenen Systeme nach gewissen Standards konfigurieren möchte.

Interessant, danke für den Hinweis, da lese ich mich mal schlau.

Aus Sicht eines Unternehmens sollte man sich hierfür einen professionellen Partner suchen, wenn man nicht die eigene Expertise besitzt.

So würde ich es auch sehen, die Erfahrung zeigt dass unsere Entscheider da nicht immer das glücklichste Händchen haben.

Ich danke euch beiden auf jeden Fall schonmal für eure Kommentare, denn irgendwie fühl ich mich gerade dadruch in gewisserweise bestätigt und habe auch ein paar Gedanken fassen können, dazu noch etwas Recherche Themen. Vlt auch etwas Futter das Thema in die richtige Richtung zu lenken.

 

[Skysnake]

uf gleicher Ebene heißt aber leider auch, dass er nicht einfach umsetzen und durchsetzen kann, ... er muss alle Maßnahmen so durchbringen, dass das Gro der Bereichsleiter zustimmt. Hier wäre es tatsächlich besser wenn er quasi unterhalb vom GF nochmal eine gesonderte Stellung über den anderen Bereichen hätte.

Damit ist das eigentlich aus meiner Sicht schon zum scheitern verurteilt.

Lustigerweise hatte ich genau die Fragestellung auch vor kurzem und bin in den Schulungsunterlagen zum BSI Grundschutz Praktiker fündig geworden. Da gibt es gleich am Anfang ne ziemlich klare Aufstellung wie die Hierarchie gestaltet sein MUSS.

Ich such es heute Abend vielleicht mal raus.

Genauso wie er einfach Achtung Themensprung "alles im Teams haben will und mit Power-Plattform, in YT gibts ja schließlich Tutorials wo in 30 Minuten nützliche Applikationen aus dem Boden sprießen.

Warum kommt mir das so bekannt vor?

Gibt ja das Internet. Da findet man ja quasi alles. Man muss nur ein bisschen suchen... -_-