Linus Neumann 2:16:52
Also die besten, die besten Wege sich gegen zu schützen sind ähm also als allererstes,die Makros äh per Gruppenrichtlinie deaktivieren oder zumindest dafür sorgen, dass du nur von deinem Unternehmen signierte Makros ausführst.Ähm damit kannst du quasi präventiv ähm dagegen.Vorgehen, um eben die in diese Infektionswahrscheinlichkeiten ähm einzuschränken.Weiterer Fall wäre solche Fernzugänge wie äh Teamviewer oder auch Remote Desktop Sachen drauf zu verzichten oder zumindest mit einem Zweifaktor Authentifizierungssystem zu nutzen, damit die nicht auf diesem Wege reinkommen.Ähm.Also die üblichen Angriffswege irgendwie eindämmen, ja, da gibt's natürlich dann auch noch diese ganzen Scherze wie äh Virenscan auf den E-Mail-Server und was nicht alles, was du da eben an präventiven Maßnahmen so sich dir anbieten, die aber eben alle auch,äh nur eingeschränkt äh eingeschränkten Schutz,Mit anderen Worten, du darfst nicht nur präventiv vorgehen, sondern willst natürlich auch eine Detektionsmöglichkeiten habenAlso wenn so eine Infektion stattgefunden hat, gucken,ne, dass du erkennst, wenn einer deiner Rechner sich auf einmal komisch verhält, irgendwelche Verbindungen macht, auch das ist natürlich,mit äh hundertprozentiger Wahrscheinlichkeit möglich. Deswegen besteht der finale und der der wichtigste Schutz in dem Bereich natürlich in den Wiederherstellungsmöglichkeiten,also dafür zu sorgen, dass du ein Backup hast, was nicht in die Domäne eingebunden ist.Also du willst im Prinzip deinen Backup-Server soll etwas sein, was nur Backups entgegennimmt.Den über unter keinen Umständen überhaupt erlaubt, das Backups manipuliert werden, ne? Also die Systeme, die Gebäckup werden dürfen nicht das Recht haben, ihre eigenen Backups wieder zu löschen.Ähm und du willst, dass dieses Backupsystem am besten ja halt vollständig autark steht.Und äh also wir raten dann den Kunden gerne dazu, ne, also der Backup-Server steht da. Der einzige Möglichkeit, die einzige Möglichkeit, diesen Backup-Server zu administrieren, ist die Tastatur und der Bildschirm,die man da dran stöpseln muss. Und der Service, welcher Backup-Service auch immer das ist,darf eben nur die Funktionalität haben, Backups abzuliefern, aber nur Administratorinnen, die live an dem Gerät stehen, dürfen die Möglichkeit haben, Backups zu löschen.Das hilft dir schon mal sehr viel, weil du dann die Angriffsfläche auf diesem Backup-Server halt maximal ähm reduziert hast. Viele Unternehmen haben dann natürlich auch nochmal regelmäßige Backups von Backup-Server, die Offsite gespeichert werden. Ne, also irgendwie,was da jeden Freitag rausgezogen wird und ins Regal gestellt wird. Derartige Dinge.Allerdings entpuppt sich auch in der Realität, also wenn du Backups hast.Hast du meistens immer noch das Problem, die wieder einzuspielen? Ähm und zwar.Es hilft dir nichts, wenn du jetzt nur die Systeme gesichert hast, weil die Systeme sind ja potenziell infiziert. Ja, das heißt, wenn du jetzt eine Umgebung hast, die an diesem Active Directory hängt und du weißt,Leute konnten über Active Directory Gruppenrichtlinien im Prinzip alles mit deiner Flotte machen, dann kann das eben auch sein, dass sie weitere Reinfektionsvektoren auf den Systemen angebracht haben, beziehungsweise, dass jeder Computer, der an der Domäne hängt,eben potenziell gegen dich arbeitet, also deine Passwörter mitschneidet oder sonst was. Ähm.Das heißt, du brauchst eigentlich auch so einen Wieder äh Anlaufkonzept. Ähm in dem du potenziell.Systeme, Konfigurationen und Nutzdaten getrennt wiederherstellen kannst, ne? Also nicht nur zu sagen, okay, wir stellen das jetzt aus dem Backup wieder her, weil wenn du das System aus dem Backup wiederherstellst,kannst du nicht der Integrität des äh Systems vertrauen. Also willst du eigentlich,nicht nur Backups haben, sondern auch ein Wiederanlaufkonzept. Du hast ja jetzt hier potenziell wirklich viele Rechner, viele Systeme, die miteinander interagieren, voneinander abhängig sind. Und du willst ja nicht nur die Systeme wiederherstellen, sondern im betriebsbereiten Zustand.Und das kannst du natürlich am besten ähm am besten, wenn du es in irgendeiner Weise geplant hast. Ja, das ist also meistens ist das so,dass du in solchen Fällen halt da stehst vor den Trümmern, dass Unternehmen in irgendeiner Form von Notbetrieb ist, wenn es das geschafft hat.Du dann mit denen gemeinsam erarbeiten musst, okay, wie stellen wir das denn hier wieder her? Welche Systeme brauchen wir für einen Betrieb, auf welche können wir vielleicht,zunächst noch verzichten, ne, wovon sind wir abhängig? Und da kommt relativ viel sehr schnell zusammen, was so ein typisches,Unternehmen irgendwie hat, ne? Die haben ja nicht nur einen Computer und E-Mail, sondern die müssen an diese Plattform angebunden sein und das System und so weiter. Und dann kommen so Sachen damit hinzu, dass du teilweise Systeme hast, wenn du da den Stand von gestern wieder herstellst,Dann sind die äh gewissermaßen unbrauchbar diese Systeme. Ähm weil du eben eine eine Echtzeit-Abhängigkeiten,hast im im Betrieb dieser Systeme.Also äh um die Frage zusammenfassend zu beantworten. Das Wichtigste ist Backup und Wiederherstellungskonzept, weil das das ist, was den Unterschied macht zwischen Ruin,und potenziell einfach nur einer Krise,dann natürlich detektive Maßnahmen und präventive Maßnahmen, aber aus, weil du eben nicht ausschließen kannst, dass dir das passiert,denke ich, Backup und Wiederanlaufkonzept hier die wichtigsten Sachen und beim Backup eben dafür sorgen, dass das auf eine Weise angefertigt wird, dass egal wie deine IT-Infrastruktur kompromittiert wird, diese Backups nicht mit draufgehen. Und das ist eben bei einem,bei einem in deine Domäne eingebundenen Backup nicht unbedingt der Fall.Das also ist diese Gruppe äh also jetzt hier seit sieben Jahren äh erfolgreich. Da gab es jetzt die von internationalen Polizeibehörden. Die Meldung, sie hätten also jetzt diese,Bande ähm,erwischt ihre IT-Infrastruktur übernommen und ausgeschaltet und die äh Täter verhaftet. Ähm.Leider gibt's da aber nicht so viel weitere ähm Informationen zu, also außer, dass äh alle stolz berichtet haben, jo hier, wir haben's geschafft und so und im da stellt man sich natürlich jetzt schon so ein bisschen die Frage,Was ist mit den aktuellen Opfern, die vielleicht jetzt grade in Verhandlungen waren über den Kauf eines äh Wiederherstellungsschlüssels, ne? Können die jetzt noch ihre Deals abschließen oder nicht? Ähm.Und die andere Sache ist die Gefahr ist natürlich nicht für die Leute gebannt, weil das, was die machen, ist relativ einfach und.SoAlso, es ist nicht so, als wäre jetzt das Risiko weg für deine IT, nur weil diese eine Bande das nicht mehr macht. Es gibt genug andere, die das natürlich in ähnlicher Form machen.Die benutzten auch mitunterhalt Tools wie Trickpot oder so, die kann sich jeder runterladen. Das haben sie modular verwendet, ne? Das war jetzt nicht irgendwie nur eine eigene Schadsoftware, die sie da verwendet haben, sondern wir benutzen halt viele Sachen, die man.Auch nachmachen kann. Und ähm also ich gehe nicht davon aus, dass das jetzt wirklich eine.Mittelfristige oder langfristige Entwarnung hinsichtlich dieses Risikoszenarios betrifft, aber immerhin ist es ein Erfolg für die Polizeibehörden,diese auch diese Kriminellen in irgendeiner Weise verfolgt zu haben und potenziell,jetzt einer einer Strafverfolgung zuführen zu können. Ganz unterhaltsam, es gibt da so ein Video, das über einen,rate in der Ukraine, wo sie dann echt, das ist dann ungefähr so, wie man's sich vorstellt, stehen irgendwie überall so Festplatten und irgendwelche echt so äh crazy Computer rum,dann werden die Schränke aufgemacht und da irgendwelche Platinbarren rausgeholt, ne? Ähm das ist äh sehr ähm sehr unterhaltsames ähm,Video von dem von dem Raid, was man sich da anschauen kann. Gibt's natürlich jetzt auch wieder die Frage, findet man das gut oder schlecht, dass solche Videos veröffentlicht werden und so weiter,Ähm ich blicke da jetzt natürlich mit einem,Ja, also weil ich mit diesen Leuten eben unbekannterweise schon öfter zu tun hatte, äh da natürlich auch durchaus drauf und denke mir so, ach, okay, die sind das, die sind das also, die dir diese schlaflose Nächte eingebracht haben.Ähm und äh ja, ich denke aber, dass sich das das Geschäftsmodell ist zu lukrativ und zu,erfolgreich, als dass man jetzt für Unternehmen sagen könnte, so hu, die Jungs sind hinter Gittern, das passiert mir jetzt nicht mehr, ne, also die für die Lage der IT-Sicherheit und der Angriffe, die die da durchführen und die katastrophale,Situation, die eben in den Unternehmen herrscht und die hat hier sehr viel Verwundbarkeit und Angriffsfläche in Richtung solcher Angriffe zeigen, hat sich eigentlich nichts geändert.Aber man muss auch mal wieder sagen, ne, wir haben ja hier Zeiten, wo der BND jetzt demnächst äh Mobilfunkanbieter hacken soll und das IT-Sicherheitsgesetz, irgendwelche äh Gütesiegel für Kühlschränke verspricht,muss man jetzt einfach mal sagen, hier internationale Polizei, Polizeizusammenarbeit hat jetzt offenbar auch.Diese Leute ähm dingfest zu machen. Was man jetzt auch mal gucken muss, ist, sind da wirklich diese Leute ähm verhaftet worden oder potenziell,nur ein paar Bauernopfer, sodass die Angriffsaktivität vielleicht in paar Wochen wieder losgeht. Das werden wir dann noch sehen.Alles klar. Das ist also zu, wie gesagt, ich habe da durchaus meine Faszination mit und da ist relativ viel drüber gesprochen in der NLP drei, zwei, eins Verluste durch außergewöhnliche Schadensfälle.Tja und dann hätte ich jetzt noch so das letzte Thema. Ähm.Impfportale. Hat mal einer von euch versucht, äh da einen Termin zu registrieren für jemanden und äh gibt's da gibt's da.Los Poren, den ihr mir im Portal Lossporn, von dem wir hier berichten können.