10 von 10 Punkten auf der Gefährdungsskala: Windows Server bedroht

Ein Patch steht seit August bereit, Exploit Code ist seit September im Umlauf. Was ist passiert und wie groß ist die Bedrohung wirklich?

Szenario

Ein Angreifer muss netzwerktechnisch einen Windows Domain Controller (Versionen von 2008 R2 bis zur aktuellen 2004 sind betroffen) erreichen, um das Netlogon Remote Protocol (MS-NRPC) ansprechen zu können. In der Regel wird er also im internen Netz sein oder eine verbockte Firewall Policy vorfinden müssen. Dann aber kann er sich ohne Anmeldung hochstufen (Elevation of Privilege, CVE-2020-1472 bei Microsoft).

Panik?

Sorge scheint vor allem die US amerikanische CISA (Cybersecurity and Infrastructure Security Agency) zu haben. Sie hat die Admins der US-Regierung verpflichtet, innerhalb von vier Tagen alle ihre Server zu patchen. Da wir bereits Ende September haben, sollten gründlich betriebene Systeme den Patch bereits sowieso erhalten haben, aber wir wissen ja, wie das ist…

Laut heise online erwartet die CISA für heute einen Report der Admins über die Windows-Server-Situation. Den bekommen wir vermutlich nicht zu sehen, wäre aber interessant.

Microsoft MVP Award für Nils Kaczenski

Am Mittwoch, dem 1. Juli 2020 war wieder „F5-Tag“ für unseren Consulting-Leiter Nils Kaczenski. An diesem Tag nämlich gibt Microsoft jährlich die Preisträger seiner „MVP Awards“ bekannt. Die Auszeichnungs-Mail trifft nach deutscher Zeit am Nachmittag ein, und die Nominierten drücken dann gespannt die „Aktualisieren“-Taste ihres Mailclients. Und tatsächlich: Erneut hat Nils Kaczenski die Auszeichnung von Microsoft erhalten – in seinem Fall zum 17. Mal in Folge seit 2003.

Mit dem Titel „Most Valuable Professional“ zeichnet der Softwarehersteller internationale Teilnehmer der IT-Community aus, die ehrenamtlich und engagiert Fragen zu Microsoft-Produkten beantworten und Probleme lösen. „Der Geist der Community ist wirklich einzigartig“, merkt Nils an. „Ob Neuling oder alter Hase, ob Standardfrage oder exotisches Problem – man hilft sich gegenseitig und alle lernen voneinander.“ „Microsoft MVP Award für Nils Kaczenski“ weiterlesen

Whitepaper: Online-Meetings

Online-Meetings sind seit Monaten für die meisten von uns Alltag. Was aber macht ein gutes Meeting aus? Wie wird eine Videokonferenz erfolgreich? Worauf gilt es zu achten bei Teilnahme, Organisation, Moderation?

Zu diesen Fragen haben wir ein kompaktes Whitepaper zusammengestellt. Dieser Leitfaden hilft dabei, die technische Ausstattung passend zu wählen und die organisatorische Vorbereitung besser zu gestalten.

Download Whitepaper

Viel Erfolg – und gerne weitergeben!

„Whitepaper: Online-Meetings“ weiterlesen

Von gestern auf heute – unternehmensweit Home Office für alle

Über den Anlass ist eigentlich genug gesagt; SARS-CoV-2 und die von ihm ausgelöste Erkrankung COVID-19 beschleunigt aktuell die Entwicklung von Lösungen zum verteilten Arbeiten enorm. In Anbetracht der zunächst zögerlich, nun schrittweise entschlossener getroffenen Maßnahmen, mit denen die Kontaktfrequenz von Menschen reduziert wird, haben auch wir konkret gehandelt.

Home Office für alle

Es geht um jeden und jede Einzelne, vor allem aber um den Schutz des gesamten Gesundheitssystems vor einem zu schnellen Ausbruch in der Breite. Was wir als Unternehmen tun können: unsere Mitarbeiter schützen und damit auch die Ausbreitung des Virus insgesamt verlangsamen, um die wirklich gefährdeten Risikogruppen zu schützen. Mit diesem Ziel haben wir kurzfristig entschieden, allen Mitarbeiter*innen das Arbeiten aus dem Home Office zu ermöglichen und zu empfehlen.

Leichter gesagt als getan

Nun sollte man meinen, dass für ein Technologie-nahes Unternehmen das relativ einfach sein sollte. Für weite Teile der Mitarbeiterschaft trifft das auch zu und erforderte keinerlei (technische) Aktivität. Entscheidend dabei war, dass wir mit sehr großen Teilen unseres Tagesgeschäftes bereits in der Cloud sind (Microsoft Teams).

Bei genauerer Betrachtung fielen uns aber unmittelbar Arbeitsprofile und -schritte auf, die noch nicht abgedeckt waren. Zumindest nicht in der Skalierung “für alle”. Auch für diese Zwecke konnten Lösungen oder Alternativen gefunden werden, jedoch ein einfaches Schalterumlegen ist dieser Schritt nicht. Für viele Unternehmen werden außerdem noch größere organisatorische Klärungen und Regelungen erforderlich sein. Auch bei uns tauchten schnell Fragen nach der Handhabung von Besucherempfang, Warenannahme u.ä. auf, die zu lösen sind. Je mehr Arbeitsprozesse bereits digitalisiert sind, desto besser.

Erfolgreich verteilt arbeiten

Manche Unternehmen, insbesondere die Vertriebsorganisationen vieler Hersteller im IT-Sektor, arbeiten seit jeher verteilt. Alle Mitarbeiter haben ein Home Office, es gibt wenig bis kaum Präsenz-Meetings. Und diese Organisationen arbeiten effizient und erfolgreich. Eine Umstellung auf dieses Modell ist aber nicht so einfach wie

  • technische Möglichkeiten realisieren
  • arbeitsrechtliche Grundlagen schaffen
  • organisatorisch entscheiden und umsetzen

sondern erfordert auch eine individuelle Entwicklung der Mitarbeiter. Wie auch bei der grundsätzlichen Einführung moderner Zusammenarbeit müssen Organisation und Menschen lernen und sich entwickeln. Daher ist die technische Bereitstellung nur ein Baustein. In der aktuellen Lage kann dieser Schritt definitiv schnell hilfreich sein und sollte nicht gänzlich aufgehalten werden. Jedoch müssen Sie im Auge behalten, dass im Nachgang noch viel Arbeit zu leisten ist, um dauerhaft erfolgreich anders zu arbeiten – erfolgreicher als zuvor. In der Zwischenzeit geht es darum, überhaupt produktiv sein zu können, während äußere Zwänge das “normale” Arbeiten verhindern.

Erste sehr gute Tipps lassen sich etwa den Empfehlungen der Personalchefin von Microsoft Deutschland entnehmen. Individuelle Lösungen für Ihr Unternehmen erarbeiten wir gerne gemeinsam mit Ihnen.

Microsoft Service Adoption Specialists

Schon länger in Projekten praktiziert und erfolgreich gezeigt unter anderem in Veröffentlichungen wie dieser – jetzt auch formal dokumentiert: wir sind Spezialisten für die erfolgreiche Einführung von Services für die Zusammenarbeit in Unternehmen. Microsoft hat jüngst zwei unserer Berater*innen mit dem Zertifikat “Microsoft Service Adoption Specialist” versehen.

Microsoft Teams

Das entsprechende Know-How und Vorgehen praktizieren noch zahlreiche weitere Berater*innen aus unserem Haus. Dem Change Management in der Transformation der Arbeit kommt dabei eine besondere Bedeutung zu. Wir stellen die Menschen in den Mittelpunkt. Gerne begleiten wir auch Sie und Ihr Unternehmen in einem entsprechenden Vorhaben.

Analyse und Incident Response CVE-2019-19781 (#citrixmash #shitrix)

Sowas passiert nur alle paar Jahre mal – eine Sicherheitslücke von solch drastischer Kritikalität. Das BSI hat denn auch die potenziellen Auswirkungen zunächst erheblich unterschätzt und den Fall als weit weniger kritisch bewertet als das US-amerikanische NIST. Inzwischen ist aber klar, dass der Fall es nicht umsonst bis in die Tagesschau geschafft hat.

Was wir wissen

  • Lücke ist seit Mitte Dezember bekannt, Citrix hat offiziell darüber informiert und Workarounds zum Schutz bereitgestellt
  • Für einen bestimmten Build (50.28) von Citrix ADC/Gateway (the artist formerly known as NetScaler) wirken die Workarounds aufgrund eines weiteren Bugs nicht – zusätzliche Maßnahmen oder ein Update auf einen halbwegs aktuellen Build von 12.1 sind erforderlich (siehe Citrix Artikel)
  • Citrix hat Updates zur Fehlerbehebung angekündigt, für die Versionen 11.1 und 12.0 sind diese Stand heute verfügbar, für weitere unterstützte Versionen sollen die Updates spätestens nächste Woche folgen
  • Seit der zweiten Januar-Woche wird die Lücke aktiv ausgenutzt, spätestens ab dieser Zeit konnten intensive Scans durch die ganze Welt beobachtet werden, die verwundbare Systeme identifiziert und vermutlich für spätere Angriffe dokumentiert haben
  • Nachdem die ersten weniger freundlichen Hacker ihren Exploit Code veröffentlicht haben, wurden weitere Skripte von gewissenhaften Security Experten veröffentlicht, da die Katze nun aus dem Sack war, die eigentlich noch zurückgehalten werden sollte
  • Auf einem verwundbaren System sind Spuren der Kompromittierung zu finden, so lange sich der Angreifer nicht sehr gründlich Mühe gibt, diese zu verwischen – und den nötigen Zugriff dafür erlangt hat
  • Falls keine Spuren zu finden sind, ist dies keine 100%-ige Garantie, dass nichts passiert ist
  • Bei den ersten Spuren sind insbesondere Zertifikate (Private Keys) auf den betroffenen Systemen als kompromittiert zu betrachten und sollten zurückgerufen und ausgetauscht werden
  • lokale Benutzer auf betroffenen Systemen sind insofern gefährdet als dass der Angreifer potenziell Hashes der Passwörter in seinen Besitz bringen konnte, die er nun versuchen kann in Ruhe per brute force zu enttarnen – Passwortwechsel sollten umgehend umgesetzt werden
  • Weiterhin sind auf dem betroffenen System konfigurierte Service Accounts für die interne Infrastruktur gefährdet und müssen als kompromittiert angesehen werden
  • Eine Neu-Installation betroffener Systeme sollte sowieso vorgenommen werden
  • Insbesondere falls keine Firewall vor dem betroffenen System ausgehende Verbindungen verhindert, kann der Angreifer sogar eine Remote Shell auf dem System erlangt haben. Von diesem Fuß in der Tür kann er alle darüber hinaus netzwerktechnisch erreichbaren Systeme ins Visier genommen haben – zusammen mit erlangten Informationen zu Service Accounts ein Silbertablett für weiteres Eindringen

Was wir tun

Nach der frühzeitigen Information und Unterstützung unserer Kunden im Dezember arbeiten wir seit einer Woche nunmehr in Eskalationen und Analysen bei zahlreichen Fällen mit. Dabei geht es immer um eine Kadenz von Maßnahmen:

  • Schutzstatus feststellen
  • Schutz ggf. herstellen
  • Kompromittierungsstatus feststellen
  • Isolation und Recovery ggf. einleiten
  • Mögliche Tiefe der Kompromittierung feststellen (was kann der Angreifer unmittelbar erlangt haben)
  • Mögliche Kompromittierungen weiterer Systeme analysieren (was kann der Angreifer ggf. über das direkt verwundbare System hinaus erreicht haben)

Das Ergebnis kann leider fast nie eine sichere Aussage der Art “es ist nichts passiert” sein. Dieser kann man sich nur anhand von Indizien annähern. Lediglich bei unmittelbar nach Bekanntwerden konsequent und korrekt implementierten Schutzmaßnahmen gehen wir von einer faktischen Unversehrtheit aus. In allen anderen Fällen muss eine Risikobewertung stattfinden, um die Tiefe und Ausführlichkeit zu bestimmen, in der analysiert und bereinigt werden muss.

Aufgrund der Menge an Fällen sind unsere Vorlaufzeiten zur umfassenden Bearbeitung neuer Anfragen aktuell im Bereich von Tagen. Die ersten Schritte in o.g. Kadenz können aber jederzeit im Bereich Same, maximal Next Business Day gegangen werden. Kommen Sie gerne auf uns zu.