Dr. McCoy schrieb:
Ferner sind es grobe Fehler, dass die entsprechenden Unternehmen und Institutionen, die zu Schaden gekommen sind, nicht selbst auch für entsprechende Backups gesorgt haben bzw. sich diese vom Dienstleister nicht im Laufe der Zeit regelmäßig zur Verfügung stellen ließen, um sie in einer eigenen Infrastruktur noch mal separat vorzuhalten und zu sichern.
Das kostet aber Geld und erfordert Sachverstand. Gerade wenn es in die Cloud geht ist aber der Kostendruck so groß, das Bedenkenträger übergangen werden. Und sobald man in der Cloud ist können die teuren Bedenkenträger mit Sachverstand freigestellt werden. Tjo und in der nächsten Iteration wird halt dann so richtig an den Kosten optimiert. Die lästigen Bedenkenträger sind ja weg....
Fujiyama schrieb:
Würde mich nicht wundern das nach der Aktion die Firma nicht mehr lange ein großer IT Dienstleister ist.
Die Kunden dürften weglaufen.
Du meinst so wie bei Microsoft?
Oh wait.. hmm...
Ne, da sind wahrscheinlich zu viele Firmen anhängig, das man sich einfach in die Tasche lüften und einfach weiter macht...
floTTes schrieb:
Die ganzen "Experten" mit ihrem offline-Backup. Wenn der Angreifer sich genügend Zeit lässt, kannst dir das auch in die Haare schmieren. Du müsstest Backups nach Inhalt und Medium aufsplitten. Und selbst das schützt dich nicht zu 100%.
Naja, man kann mit WORM zumindest dafür sorgen das alles was mal gut war auch gut bleibt. Es ist halt immer wie Frage wie wichtig einem die Daten sind. Wenn man aber ehrlich ist, sind halt kaum irgendwelche Daten die Kosten Wert die echte Sicherheit erfordert. Sprich wir sind alle große gambler die damit ihren Wohlstand finanzieren, das es früher oder später völlig den Bach runter geht...
XCPTNL schrieb:
Also wenn Angreifer es schaffen, dass neben den Daten aus dem "Normalbetrieb" auch noch sämtliche Backups verschlüsselt werden, dann muss da schon RICHTIG was schief gelaufen sein.
Es ist ja noch viel schlimmer! Die Auditinfrastruktur hat es auch erwischt. Also wirklich alles. Produktiv ist schlimm. BACKUP ist ne Katastrophe aber das Auditsystem ist quasi das Armageddon. Schlimmer geht es nicht mehr. Das hätte auch einfach alles abbrennen können, wäre aus selbe rausgelaufen
M@tze schrieb:
Zero Day Exploit, Insiderjob, ... es gibt so viele Möglichkeiten und ohne Logfiles ist das nur extrem schwer bis gar nicht nachzuvollziehen
Richtig und damit ist das auch wirklich der Supergau.
Und genau sowas hofft man bei solche einem Anbieter nicht zu erleben, weil er eben durch die vielen Kunden in der Lage ist die ganzen extremen Investitionen zu stemmen um das wirklich sicher zu machen.
Also z.b. für das Auditsystem
- kein online Zugriff
- Zugriff nur mit geteilten Keys und MFA
- anderes OS als die zu überwachenden Systeme
- andere HW als die zu überwachenden Systeme
- Redundantes Logging um komprimitierung eines Auditsystems zu erkennen
- WORM Speicher für die Auditlogs
Und dazu halt noch Intrusion detection und Intrusion prevention Systeme sowie anomaly detection. Und nich Ganz Ganz Ganz wichtig jemand der sich den ganzen Scheiß auch anschaut und informiert wird Wenn's klingelt und zwar bei jedem Klingeln und nicht einfach krj auf "bestätigen" klickt damit Ruhe ist.....
M@tze schrieb:
Ich will damit nicht sagen, dass der Dienstleister ganz sicher keine Schuld dabei hatte, aber solange nichts Genaues bekannt ist, sollte man doch einfach den Ball flach halten und sich mal selber fragen, ob man nicht auch schon mal im Job Fehler gemacht hat.
Naja, es gibt Stellen da willst du einfach nicht da jemand Fehler machen kann, selbst wenn er sich anstrengt. Ich sage mal Piloten und Kernkraftwerksbetreiber. Man kann schon Prozesse failsafe machen. Man muss aber halt auch wollen und daran hapert es halt.
.Sentinel. schrieb:
Sicherheitsthemen sind extrem komplex. Viele Kommentare hier kratzen an der Oberfläche und werden dem ganzen nicht gerecht....
Die, die da in den betroffenen Rechenzentren arbeiten, sind keine Idioten.
Ja da hast du Recht. Danke auch für die Ausführung bezüglich transparenter Verschlüsselung. Das ist ein Punkt den hatte ich so nicht auf dem Schirm. Wobei man sagen muss, das so ein Eindringen eigentlich auffallen muss bei so einem Dienstleister.
Ansonsten muss auch an sich das Backup auch wieder real eingespielt werden auf Testsystemen bevor man durch solch ein transparentes Verschlüsseln die ältesten Full Backups verlieren kann. Oder meinst du nicht? Klar macht man das nicht für jeden Kunden, aber überhaupt nicht als solch ein Dienstleister? Hmmm.. schwierig. Ich würde jetzt an sich auch erwarten das man sich so was leistet. Tut man aber nicht wie es scheint. Es hat ja wirklich alles erwischt und nicht nur einen geissw unglücklichen Teil der Kunden bevor man es bemerkt hat. Das sind ja auch alles Dinge Die Zeit brauchen. Also eher Monate bis ein Jahr würde ich sagen. Das in der ganzen Zeit niemand auch nur irgendwas gemerkt hat ist schon bedenklich..
Aber klar ist halt wie immer the Race to the bottom. Wer traut sich noch mehr an der Sicherheit zu sparen und damit eben auf Risiko zu setzen. Wird sich ja schon nicht realisieren und wenn doch, wäre man dann nicht eh dran? Sprich ist es nicht wirklich sinnvoll das Geld zu sparen und somit ein gutes Geschäft zu machen und Wenn's knallt im Zweifel halt den Laden dicht zu machen und einen neuen zu starten?
Ranayna schrieb:
Aehnlich wie Backups, sollte idealerweise ein solcher Server vom Rest des Netzes insofern abgeschirmt werden, das wirklich nur Logfiles geschrieben werden koennen, und sonst nichts
Naja, das sollte ein Pull und kein Push sein.
Donnidonis schrieb:
Sorry, aber wer ein RZ in der Größenordnung betreibt, sogar vertragliche Verpflichtungen hat und keine wirklichen Offline Backups hat, hat einfach seinen Job nicht drauf. Selbst wenn die offline Backups 1 Monat alt wären, wäre es nicht schlimm. Aber hier wurde vollkommen versagt.
Ja, es wäre schon gut wenn es mehr harte gesetzliche Vorgaben mit Freiheitsstrafen für das obere Management gäben würde, denn aktuell gibt es ja schon recht viele Regeln, die dann aber schön umgangen, ausgehöhlt und ignoriert werden, damit die Kasse stimmt. BWLer sind da auch ganz stark drin...
User7777 schrieb:
Ja das ist mir klar, aber welche LOG Dateien wurden verschlüsselt? Firewall? Linux, WIndows Logs, Backup Logs...
Die Antwort ist JA.
Egal was du fragst, die Antwort ist wohl ja. Die stehen wohl komplett nackt da. Die haben denen sogar noch den Kopf und die Schambehaaerung abrasiert...
andy_m4 schrieb:
Es wäre zumindest mal zu überlegen, ob jemand IT betreiben darf ohne bestimmte Voraussetzungen zu erfüllen. Wir haben das ja auch in anderen Bereichen. Man darf ja auch keine Bäckerei betreiben ohne das z.B. Hygienemaßnahmen umgesetzt sind. Vergleichsweise Regelungen könnte man ja auch im IT-Bereich schaffen.
Zweitens wäre ne Abdeckung des Schadens. Man muss also Rückstellungen für den Schadensfall bilden oder eine Versicherung abschließen. Damit nicht wie hier die Kunden dumm da stehen, wenn doch mal was passiert. Auch hier gibts Vorbilder in der "normalen" Welt. Man darf z.B. kein Fahrzeug fahren ohne das dies haftpflichtversichert ist
oft. Das gibt es doch, hilft aber kaum was weil jeder wieder sein Risiko abschätzt und hofft das es ihn nicht trifft. Ein Depp wird schon sie Eier dazu haben. Sprich wenn man es selbst nicht macht ist man draußen und wenn es doch alle machen sollten spart der Kunde nichts mehr. Sprich man ist auch raus... das ganze System ist also darauf ausgelegt das jemand beschließt und am Ende dafür den Kopf auf das Schafott dafür legt das er vorher Geld bekommen hat.
Das wird dir auch keiner Versichern. Genau wie kein AKW versichert werden kann. Das Risiko ist zu groß. Daher wird vom Gesetzgeber ne Ausnahme gemacht, damit man es trotzdem betreiben kann. Wird ja schon gut gehen. Und wenn nicht ist auch kack egal dann müssen wir halt damit leben oder sterben. Pech gehabt....
xexex schrieb:
Gibt es doch schon längst, unter anderem die ISO 27001, aber auch weitere Zertifikate. Es gibt aber meines Wissens keine Verpflichtung die Daten nur solchen Unternehmen anvertrauen zu dürfen. Es gibt aber durchaus bei Ausschreibungen des Bundes Anforderungen an die Firmen und die ISO Zertifizierung ist meist eine davon.
Supi. Ein Stück Papier....
