#lutraknows — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #lutraknows, aggregated by home.social.
-
Samstag - 2:07 morgens. Ein nervtötendes Geräusch ertönt. Der erste Blick der müden Admin-Augen wandert aufs Handy. 7 verpasste Anrufe vom Vorgesetzten. Das Herz schlägt schneller, Panik breitet sich aus. Ist ein System ausgefallen? Ein Ransomware-Angriff? Nein, schlimmer: Es gibt eine neue Schwachstelle in Microsoft Exchange die bereits "in the wild" ausgenutzt wird. Keine Advisory, kein Patch, kein Wochenende.
Aber von Anfang: Zero-Days sind wahrscheinlich der Albtraum eines jeden Administrators. Dabei handelt es sich nämlich um Schwachstellen, die bis zu diesem Zeitpunkt unbekannt waren (oder noch sind). Und daher kommt auch der Name, denn der Hersteller der Software hatte bisher exakt "Null Tage" um sie zu analysieren bzw. zu reparieren.
Und genau das macht sie so gefährlich. Es gibt nämlich keinen Sicherheitspatch, der die Schwachstelle behebt.
Und das schlimmste ist: Meistens wird eine solche Schwachstelle schon aktiv von Angreifern ausgenutzt. In der Zeit bis ein offizielles Update, oder zumindest provisorische Maßnahmen, vorhanden sind, muss man sich also selbst helfen: Kann das System vorübergehend abgeschaltet werden? Kann das System isoliert und der Zugriff eingeschränkt werden? Wurde die Sicherheitslücke womöglich bereits ausgenutzt? Fragen über Fragen, die schnellstmöglich geklärt werden müssen.
Gerade letzteres lässt natürlich jedem einen Schauer über den Rücken laufen.
Daher sollte man stets ein Notfallplan für einen solchen Fall parat haben: Wer ist verantwortlich? Welche Systeme können vom Internet getrennt werden? Und wie? Auf welche Systeme kann die Firma kurzzeitig verzichten? Kann Zugriff schnell eingeschränkt werden? Kann ein Patch kurzfristig eingespielt werden?
Grade für den letzten Punkt hilft es Software stets aktuell zu halten. Das schützt zwar nicht vor Zero-Days, verhindert aber das erst noch 42 andere ausstehende Updates eingespielt werden müssen. Das ermöglicht es dann, kurzfristig bereitgestellte Patches direkt einzuspielen. Und Routine bei Updates hilft natürlich auch in stressigen Situationen einen kühlen Kopf zu bewahren.
-
Passwörter sind nicht nur nervig zu merken, sondern sie können auch verloren gehen. Und damit meinen wir nicht den Post-It an deinem Rechner, sondern wenn Webseiten oder andere Anwendungen gehackt werden.
Kennen die Hacker erstmal eurer Passwort, können sie sich ganz normal, wie ihr auch, in die gehackte Anwendung einloggen. Wenn dann auch noch das gleiche Passwort öfters verwendet wird, ist nicht nur das eine Konto, sondern gleich mehrere eurer Konten in Gefahr.
Aber wie soll man sich gegen sowas schützen? Die eigentliche Ursache liegt ja bei der gehackten Anwendung und nicht bei euch. Hier kommt Zwei-Faktor-Authentifizierung bzw. Multi-Faktor-Authentifizierung ins Spiel.
Statt sich nur mit einem Benutzernamen und einem Passwort einzuloggen, benötigt man einen sogenannten zweiten Faktor. Aber was ist überhaupt ein "Faktor"? Keine Sorge, es wird nicht mathematisch. Grundsätzlich gibt es drei unterschiedliche Kategorien von "Faktoren":
Wissen (klassisches Passwort oder PIN)
Biometrie (Fingerabdruck, Gesicht oder Iris)
Besitz (Smartphone, Bankkarte oder Sicherheitstoken)
Alltagsbeispiel gefällig? Bei eurer Bankkarte benutzt ihr schon lange 2FA ohne es zu merken. Ihr braucht nämlich die Karte selbst (Besitz) sowie den zugehörigen PIN (Wissen) um zu bezahlen. Anders geht es (hoffentlich) nicht.
Und genauso kann der Hacker nichts mit eurem Passwort allein anfangen, wenn ihm der zweiter Faktor fehlt. Aller oberstes Gebot ist also Zwei-Faktor-Authentisierung einschalten wo möglich. Außerdem: Gute Passwörter ausdenken, keine Passwörter doppelt verwenden und natürlich: Ein Passwort Manager macht das Leben leichter!
-
Schwachstellen sind sehr facettenreich und können sehr verschiedene Ursprünge haben. Besonders anschaulich sind Logiklücken. Ein Beispiel: Der Webshop eures Vertrauens hat einen Workflow, der in etwa so aussieht:
1. Ware in den Warenkorb legen
2. Bezahlen
3. Bestätigung und VersandDer 2. Schritt erscheint Hackern und Betrügern natürlich oft unnötig und lästig. Sie versuchen also beispielsweise das Bezahlen einfach zu überspringen und direkt den Versand anzustoßen. Falls das tatsächlich möglich ist, spricht man von einer Logiklücke, die eine direkt ausnutzbare Schwachstelle darstellt.
Es gibt aber auch wesentlich technischere Schwachstellen, die auf Low-Level Bugs beruhen. Beispielsweise Buffer Overflows, mit denen Angreifer oft die Kontrolle über ein System erlangen, indem sie einzelne Instruktionen für die CPU in Form von Bytes in den Programmspeicher einschleusen.
Natürlich suchen aber nicht nur die bösen "Black Hat Hacker" nach Schwachstellen, sondern auch die guten "White Hat Hacker". Gefundene Schwachstellen melden wir den Herstellern oder den betroffenen Personen, damit sie behoben werden können, bevor Kriminelle sie ausnutzen können.
-
@ErikvanStraten sorry for the late reply, I've been quite busy and your post quite long.
You made a lot of valid points. For a #LutraKnows post - which usually aims to explore a single term - most of them probably go too deep, which is why we skipped over them in the original post. But I think it might be an interesting topic for #TechTuesday. I have suggested it as a topic to the college in charge.
-
Ob APT28, Pawn Storm, Tsar Team, Strontium oder Forest Blizzard: Fancy Bear hat viele Namen. Die Hackergruppe, die dem russischen Militärgeheimdienst GRU zugeordnet wird, trat erstmalig 2011 mit ihrer "Sofacy"-Malware ins Internationale "Rampenlicht".
Ihre Angriffe konzentrieren sich auf Politiker und staatliche Einrichtungen, aber auch die Welt-Anti-Doping-Agentur (2016) oder das IOC (2018) sind vor ihr nicht sicher. Außerdem wird ihr der Angriff auf den Bundestag 2015 sowie 2018 auf die Organisation für das Verbot chemischer Waffen (OPCW) zugeschrieben.
Erst vor ein paar Tagen wurden die Angriffe auf Mail-Konten der SPD letztes Jahr der Gruppe zugeordnet. Dabei wurde eine Sicherheitslücke bei Microsoft ausgenutzt und es kann nicht ausgeschlossen werden, dass die Hacker Daten abgreifen konnten.
Fancy Bear ist natürlich nicht die einzige Hackergruppe Russlands. Es gibt zum Beispiel noch Cozy Bear und Voodoo Bear. Von den ganzen russischen Ransomware-Gangs wie LockBit wollen wir gar nicht erst anfangen.
Apropos LockBit: Morgen gibt’s neue Infos zum Schlag der Justiz gegen #LockBit!
-
Stellen wir uns zunächst mal ein Leben ohne DNS vor:
Du stehst morgens auf und möchtest kurz etwas googlen. Du tippst https://172.217.23.110/ in deinem Browser ein und surfst los. Danach fällt dir ein, dass du ja auch mal wieder deine Mails checken könntest. Also gehst du auf https://52.96.223.2/. Nach ein paar Minuten wird dir aber langweilig und du öffnest https://151.101.65.140/, um dir die Zeit zu vertreiben.
Du hast nix verstanden und fragst dich was diese nervigen Zahlen da sollen, wo normalerweise die Domain einer Webseite steht? Das sind die IP-Adressen der Webseiten. Und genau hier macht DNS uns das Leben leichter!
Um mit deinem Browser auf eine Webseite zu surfen muss die IP-Adresse der Webseite bekannt sein. Die meisten Menschen können sich aber Zahlen nicht so gut merken wie Domain Namen (hab ich gehört). DNS verbindet solche sprechenden Domain Namen wie "google.com" oder "lutrasecurity.com" mit den jeweiligen IP-Adressen. Aus dem obigen Beispiel:
google.com: 172.217.23.110
outlook.com: 52.96.223.2
reddit.com: 151.101.65.140Beim Eingeben von "google.com" fragt der Browser zunächst einen DNS Server nach der IP-Adresse für diese Domain. Erst danach öffnet der Browser die Webseite. So bleibt dein Hirn frei von IP-Adressen und es bleibt Platz für die wichtigen Dinge im Leben: Katzenvideos 🐈
-
Social Engineering wird von Hackern und Betrügern eingesetzt, da es oft einfacher ist, Menschen zu manipulieren, als mit komplexen technischen Angriffen zum Ziel zu kommen. Das Ziel kann dabei fast alles sein: interne Informationen, Zugangsdaten zu Konten oder sogar der Zugang zu einem Computer.
Hacker setzen dabei E-Mails (klassisches Phishing), Anrufe (Vishing) oder SMS (Smishing) ein. Aber auch analog sind solche Angriffe möglich. Beispielsweise könnte jemand behaupten er sei ein Techniker, um sich so unerlaubt Zutritt zu einem Gebäude zu verschaffen. Wer würde schon den netten Brandschutzkontrolleur oder die Elektriker mit Leiter und Werkzeugkasten hinterfragen?
Aber auch im digitalen Bereich gehen die Tricks der Hacker schon lange über den Nigerianischen Prinzen hinaus. Das Aussehen von E-Mails und Webseiten kann perfekt kopiert werden und die Texte und Maschen der Angreifer werden, auch dank des AI-Booms, immer besser.
Ein besonders gefährliches und immer häufiger auftretendes Vorgehen ist “Business Email Compromise” (BEC). Hierfür werden E-Mail-Server von Firmen kompromittiert und der E-Mail-Verkehr mitgelesen. Sobald sich eine Gelegenheit ergibt, verändert der Angreifer eine E-Mail der kompromittierten Firma oder schreibt eine eigene E-Mail:
”Die Rechnung, die ich Ihnen gerade geschickt habe, enthält leider die falsche IBAN. Unsere neue IBAN lautet DE00 0000 …”
Da die E-Mail-Adresse korrekt ist und die vorherige Kommunikation mitgelesen wurde und in der E-Mail imitiert wurde, ist es hier besonders schwierig bis eigentlich fast unmöglich, einen Betrug zu erkennen.
Also was tun? Schulungen sind natürlich ein wichtiges Mittel, um Menschen für Social Engineering Angriffe zu sensibilisieren. Aber am Ende sind wir doch irgendwie soziale Wesen und damit ist auch jeder von uns anfällig für Social Engineering. Es kommt oft nur auf den Aufwand an, den ein Angreifer bereit ist auf sich zu nehmen. Daher ist es besonders für Unternehmen wichtig, auch technische Maßnahmen zu ergreifen, um sich selbst und ihre Angestellten vor solchen Angriffen zu schützen.
#LutraKnows #ITSicherheit #Phishing #Smishing #Vishing #SocialEngineering
-
Natürlich keinen echten Flicken. Zumindest nicht mehr. Denn als Computer noch mit Lochstreifen gefüttert wurden, waren es tatsächlich Flicken auf den Lochstreifen, mit denen Programme behoben wurden. Heutzutage meint man mit Patches vor allem Updates in digitaler Form, um Anwendungen zu aktualisieren.
Mit ihnen werden neue Features eingebaut, alte Features ausgebaut und Schwachstellen behoben. Letzteres macht es besonders wichtig, die eigenen Systeme zügig zu updaten. Denn sobald eine Schwachstelle behoben wurde (und damit öffentlich bekannt wird) entbrennt ein Wettrennen zwischen bösen Hackern und den Admins dieser Welt.
Die Hacker versuchen so schnell es geht einen Exploit für die Schwachstelle zu entwickeln, um sie letztendlich in noch nicht geupdateten Systemen auszunutzen. Währenddessen kämpfen die Admins verzweifelt um Ressourcen und Zeit, um die Systeme zu aktualisieren.
Um es den Admins leichter zu machen und Updates besser planen zu können, gibt es für das Veröffentlichen von Patches bei manchen Herstellern dedizierte "Patchdays". Beispielsweise Microsoft’s "Patch Tuesday", jeden zweiten Dienstag eines Monats.
-
Der Begriff Red Teaming kommt ursprünglich aus dem militärischen Bereich. Dabei handelt es sich um eine Übung, bei der die eigenen Kräfte/Personal in ein Red und ein Blue Team aufgeteilt werden. Das Red Team (Angreiferteam) versucht, ein Ziel zu erreichen und das Blue Team (Verteidigerteam) versucht natürlich dies tunlichst zu verhindern.
In der IT-Sicherheit besteht das Red Team aus Berufs-Hackern, die von einem Unternehmen engagiert wurden, die Sicherheitsmaßnahmen zu testen und das Verteidigerteam zu trainieren. Dabei sollen verschiedene Fragestellungen beantwortet werden: Werden Angriffe erkannt? Kann schnell auf Angriffe reagiert werden? Funktioniert alles wie gedacht?
Bei einem solchen Red Team Assessment gibt es meist keine Einschränkung des Testumfangs. Das Angreifer-Team kann Phishing, Schwachstellen oder Einbrüche verwenden, um einen Initialen Zugriff auf das Netzwerk zu erlangen.
Ist der Initiale Zugriff geschafft, ist man aber meist noch lang nicht am Ziel. Durch weitere Ausnutzung von Schwachstellen und Fehlkonfigurationen bewegen sich die Angreifer durch das Netzwerk und versuchen Ihre Privilegien zu erweitern (Privilege Escalation). Solange, bis das letztendliche Ziel erreicht ist, oder sie aufgeflogen sind.
Im Anschluss werden die gefundenen Sicherheitslücken geschlossen und Maßnahmen durchgeführt, um das Unternehmen in Zukunft sicherer zu machen. Red Teaming ist zwar ein besonders aufwändiger, aber auch realistischer Test für die eigenen IT-Sicherheit.
-
Backdoors (engl. für “Hintertür”) in Software sind geheime Zugänge, die von Entwicklern absichtlich eingebaut werden. Sie dienen dazu, auf ein System zuzugreifen, unter der Umgehung der üblichen Sicherheitsmaßnahmen. Beispielsweise um ein System per Fernwartung zu steuern.
Diese Hintertüren können aber natürlich auch von Angreifern ausgenutzt werden, um unbefugten Zugriff auf das System und seine Daten zu erlangen.
Aktuell gibt es ein gutes und sehr gefährliches Beispiel für eine Backdoor. Es handelt sich dabei scheinbar um einen lange geplanten Angriff auf die weitverbreitete Linux-Software “liblzma”.
Da liblzma in vielen Linux-Versionen der Fernwartungssoftware OpenSSH verwendet wird, handelt es sich um eine besonders gefährliche Backdoor. Aufgedeckt wurde dieser Angriff nur durch Zufall, da einem Entwickler aufgefallen ist, dass der OpenSSH-Login plötzlich 500 Millisekunden länger gedauert hat.
Dank ihm ist die IT-Welt gerade sehr knapp an einer IT-Sicherheitskatastrophe vorbeigeschrammt.
-
Aber von Anfang an: Technisch gesehen sind Cookies kleine Textschnipsel und bestehen aus einem Namen, einem Wert und optionalen Attributen. Sie werden über das HTTP-Protokoll an den Browser geschickt, der sie speichert und bei jedem weiteren Aufruf an den Server zurückschickt.
Damit kann sich eine Website merken, welche Präferenzen du hast oder was sich in deinem Warenkorb befindet. Wenn du dich auf einer Webseite einloggst, wird dies in der Regel auch in einem Cookie als sogenannte Session-ID gespeichert.
Webseiten können Cookies aber auch verwenden, um dich wiederzuerkennen, ohne dass du eingeloggt bist. Damit kann dein Nutzungsverhalten über einen längeren Zeitraum getrackt und z.B. für personalisierte Werbung genutzt werden. Insbesondere Anwendungen, die in vielen verschiedenen Webseiten eingebettet sind - wie zum Beispiel Werbeanbieter - können so einen Großteil deines Online-Verhaltens nachvollziehen.
-
Bei einem Ransomware-Angriff wird der Computer einer Person oder die IT-Infrastruktur eines ganzen Unternehmens verschlüsselt. Die Angreifer fordern für die Entschlüsselung ein Lösegeld, welches für Privatpersonen ca. 300€ und bei Unternehmen mehrere Millionen Euro betragen kann.
Dabei geht es den Kriminellen hauptsächlich um eins: Profit. Das ist auch der Grund, warum mittlerweile hauptsächlich Unternehmen angegriffen werden.
Schäden durch Ransomware lagen 2023 allein in Deutschland bei 16,1 Milliarden Euro. Das sind fast 200€ pro Bürger in Deutschland. Ermittlungskosten nicht eingerechnet. Wobei die Ermittlungen praktisch immer im Sande verlaufen, da die Kriminellen oft sehr professionell und organisiert arbeiten.
Wird das Lösegeld nicht bezahlt, sind die Dateien unwiederbringlich verloren. Damit ist die Zahlung des Lösegelds für Unternehmen ohne Backups der einzige Weg die Daten wieder zu erlangen.
Der Knackpunkt an der Sache: Jede Lösegeldzahlung verschlimmert das Problem. Die Angreifer merken “Hey, die in Deutschland sind schlecht vorbereitet und zahlen hohe Summen!” und erhöhen Ihre Aktivität. Regelmäßig werden Unternehmen auch mehrfach hintereinander angegriffen.
Langfristig sollten Unternehmen daher nicht nur Backups machen sondern auch in die eigene IT-Sicherheit investieren.
-
Honeypots sind Geräte oder Dienste, die dazu dienen, die Aktivitäten von Angreifern zu beobachten. Sie können öffentlich im Internet oder im internen Netzwerk einer Organisation aufgestellt werden.
Im Internet werden sie vor allem zu Forschungszwecken genutzt: Wird eine bekannte Schwachstelle bereits aktiv ausgenutzt? Welche Passwörter verwenden Hacker für Brute-Force-Attacken? Gibt es neue Exploits oder Angriffstechniken, die vielleicht noch unbekannt sind?
Im internen Netzwerk eines Unternehmens helfen sie beim Aufspüren von Angreifern. Aber wie funktioniert das?
Die Idee ist denkbar einfach: Hat es ein Hacker in das interne Netzwerk geschafft, ist sein Ziel noch nicht erreicht. Oft muss er sich erst einmal umsehen, welche Systeme es überhaupt gibt. Ein geschickter Angreifer geht dabei natürlich möglichst unauffällig vor.
Da der Honeypot aber in der Regel von niemandem benutzt wird, ist jeder Zugriffsversuch und erst recht jeder Login ein Alarmsignal: Hier ist jemand unterwegs, der nicht ins Netzwerk gehört. Die IT kann nun Maßnahmen ergreifen und den Angriff isolieren bzw. abwehren bevor schlimmeres passiert.
-
VPNs (kurz für Virtual Private Networks) werden in der Werbung oft als Allheilmittel gegen Hacker und generell alle Gefahren angepriesen. Verschlüsselung? Unknackbar! Malware? Kein Problem! Privatsphäre? 100% anonym!
Diese Versprechungen klingen nicht nur zu gut, um wahr zu sein, sondern sie sind es auch.
Die von VPNs eingesetzte Verschlüsselung ist in der Regel zwar gut, schützt die Daten aber nur auf einer Teilstrecke, nämlich zwischen deinem Computer und dem VPN-Server. Um deine Daten auch auf der letzten Meile zu schützen, brauchst du bei Webseiten zum Beispiel immer noch HTTPS. Da heutzutage aber praktisch eh jede Webseite HTTPS einsetzt (leicht zu erkennen am kleinen Schloss-Icon im Browser), bringt das VPN hier keinen wirklichen Mehrwert mehr.
Gegen Malware kann dich auch nicht das beste VPN schützen, denn Malware kannst du auch über eine perfekt verschlüsselte Verbindung runterladen. Zwar kann dein VPN-Anbieter deine Verbindung scannen, allerdings steht das im direkten Widerspruch zum Privatsphäreversprechen. Schließlich muss der Anbieter dafür natürlich in deine übertragenen Daten hineinschauen.
Der Privatsphäreaspekt ist noch der valideste Grund ein VPN zu benutzen. Vor allem in Ländern mit Internetüberwachung kann ein VPN helfen Internetsperren zu umgehen und sich der staatlichen Überwachung zu entziehen.
Die Regierung bzw. der Internetanbieter können dann zwar nicht sehen was die Benutzer tun, der VPN-Anbieter allerdings schon. Daher stellt sich für die meisten Menschen die Frage: Wem vertraue ich mehr? Meinem Internetanbieter und meiner Regierung oder dem VPN-Anbieter?
Also: Brauchst du wirklich ein VPN? Falls du einen Region-Lock umgehen willst, um ein günstiges Angebot zu ergattern oder Filme zu schauen, die in deinem Land aktuell nicht verfügbar sind, dann ja, ansonsten vermutlich nein.
-
Über das Hypertext Transfer Protocol (HTTP) können ein Webserver und ein Client (z.B. ein Browser) Daten austauschen. Diese Daten können Webseiten, Bilder oder beliebige andere Dateien sein.
Dabei gibt es verschiedene Arten von sogenannten HTTP-Anfragen. Wenn du in einem Browser eine Webseite öffnest, wird der Browser eine GET-Anfrage an den Server senden. Andere Anfragetypen, wie z. B. POST, PUT und DELETE, erlauben es aber auch komplexere Anwendungen zu bauen (Beispiel REST-API). Hier ein Beispiel für eine GET-Anfrage:
GET / HTTP/1.1
Host: www.google.comDer Webserver antwortet auf diese Anfrage mit verschiedenen Statuscodes. Wenn alles gut läuft, antwortet der Webserver mit dem Statuscode "200 - OK". Aber von "200 - OK" bis "500 - Internal Server Error" kann alles dabei sein. Den Code "404 - Not Found" hat wahrscheinlich jeder schon einmal gesehen. Er bedeutet, dass die angeforderte Ressource nicht gefunden werden konnte. Zum Beispiel weil die URL falsch eingetippt wurde.
Die verschlüsselte Version von HTTP ist HTTPS (S wie Secure™ 😎). Dabei wird HTTP mit Hilfe von TLS verschlüsselt. Das sorgt nicht nur für Privatsphäre, sondern auch für Sicherheit. HTTPS stellt nämlich sicher, dass tatsächlich mit dem "echten" Server kommuniziert wird und kein Hacker die Verbindung manipuliert.