Dieser Feed beinhaltet spezielle Themen von www.CERT.at CERT.at 2011-12-19T15:06:20Z 2011-12-19T15:06:20Z

<h1>Special Report: Erfahrungswerte aus den Webserver‐Sicherheitsvorfällen von 2011</h1> 22. November 2011<p /> <h2>Zusammenfassung</h2> Im Sommer und Herbst 2011 kam es zu diversen Einbrüchen bei bekannten Webseiten in Österreich. Es wurden sensible Daten kopiert und auszugsweise veröffentlicht, was zu einem erheblichen materiellen und auch immateriellen Schaden geführt hat. Das Team von CERT/GovCERT und Fachleute des BVT waren an der Vorfallsbehandlung und Analyse aktiv beteiligt. Dabei stellte sich heraus, dass eine Reihe von Fehlern in der Betriebsführung diese Einbrüche begünstigt hatte. <p /> Gemeinsam wurde daher ein <a href="http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf">Erfahrungsbericht</a> erstellt, der jetzt auch in einer öffentlichen Version vorliegt. <p /> Dieses Dokument basiert auf den bei diesen Einsätzen gesammelten Erfahrungen und will diese Lehren an alle Betreiber von Webservern in Österreich weitergeben, damit diese die Sicherheit ihrer Infrastruktur verbessern können. Die hier vorliegende Liste mit Empfehlungen ist kein umfassendes Handbuch und erhebt keinen Anspruch auf Vollständigkeit. Für eine erschöpfende Behandlung des Themas Sicherheit von Onlinediensten siehe etwa <a href="https://www.sicherheitshandbuch.gv.at/">https://www.sicherheitshandbuch.gv.at/</a> oder andere entsprechende Fachliteratur. <p /> Die im <a href="http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf">Bericht</a> enthaltene Punkte sind daher primär als Denkanstoß und als Checkliste für Sofortmaßnahmen zu sehen, damit aus den Fehlern dieses Jahres gelernt werden kann und so weitere Einbrüche vermieden werden können. <p /> <hr><b>Informationsquelle(n):</b><br><br><i>Erfahrungsbericht</i><br><a href='http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf'>http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf</a><br><a href=''></a><br><a href=''></a>

CERT.at 2011-12-19T15:06:20Z CERT.at 2011-11-04T09:12:06Z 2011-11-04T09:12:06Z

<h1>Special Report: Einbruch bei DigiNotar</h1> 8. September 2011<p /> <h2>Zusammenfassung</h2> Anfang September wurde bekannt, dass ein Angreifer in die niederländische Certification Authority (CA) "DigiNotar" eingebrochen hatte und sich unbefugt Zertifikate für diverse Domains (u.A. google.com) ausgestellt hatte. Diese wurden für Abhörangriffe auf Iranische Bürger benutzt. <p /> Die betroffenen CAs wurden inzwischen von einigen Browser- und Betriebssystemherstellern aus deren Systemen gestrichen, dadurch werden auch legitime Zertifikate von DigiNotar nicht mehr als gültig anerkannt. <p /> Da Zertifikate von DigiNotar in den Niederlanden für die staatlichen Public-Key-Infrastructure benutzt werden, hat dieser Angriff ernste Folgen für die dortige IT-Infrastruktur. <p /> Der vorliegende <a href="http://www.cert.at/static/downloads/specials/CERT.at_report_DigiNotar_Breach_public.pdf">Bericht von CERT.at</a> dokumentiert den Vorfall, untersucht die Auswirkungen auf Österreich und zeigt auf, welche Lehren daraus für die Zukunft gezogen werden können. <p /> <hr><b>Informationsquelle(n):</b><br><br><i>CERT.at Zwischenbericht zum Einbruch bei DigiNotar</i><br><a href='http://www.cert.at/static/downloads/specials/CERT.at_report_DigiNotar_Breach_public.pdf'>http://www.cert.at/static/downloads/specials/CERT.at_report_DigiNotar_Breach_public.pdf</a><br><i>Factsheets von GOVCERT.NL</i><br><a href='https://www.govcert.nl/english/service-provision/knowledge-and-publications/factsheets'>https://www.govcert.nl/english/service-provision/knowledge-and-publications/factsheets</a><br><i>Timeline (SANS Storm Center)</i><br><a href='https://isc.sans.edu/diary.html?date=2011-09-01'>https://isc.sans.edu/diary.html?date=2011-09-01</a>

CERT.at 2011-11-04T09:12:06Z CERT.at 2010-10-29T15:36:01Z 2010-10-29T15:36:01Z

<h1>Special Report: Erkennung von Stuxnet</h1> 27. September 2010<p /> <h2>Zusammenfassung</h2> Aktuell kursiert Schadsoftware, die die Manipulation von industriellen Steuerungsanlagen der Marke Siemens SIMATIC zum Ziel hat. Die aktuelle Schadsoftware ("Malware") verbreitet sich über mehrere Schwachstellen in Microsoft Windows und infiziert, über die zur Steuerung und Programmierung der Anlagen (SIMATIC, WinCC, PCS7) verwendeten Windows PCs, die industriellen Anlagen selbst. Die Auswirkungen können von Industriespionage, über sicherheitsrelevante Fehlfunktionen in den Steuerungssystemen bis zu Systemausfällen führen. Es sind daher entsprechende Maßnahmen zur Erkennung von Infektionen und Absicherung der Anlagen zu treffen. <p /> Der Hersteller Siemens stellt eine Anleitung zur Kontrolle und Bereinigung der Systeme zur Verfügung. <p /> Der vorliegende <a href="http://www.cert.at/static/downloads/specials/stuxnet-report_public.pdf">Bericht von CERT.at</a> zeigt auf, wie man lokal und mittels Netzwerkmonitoring feststellen kann, ob potentiell eine Infektion im eigenen Unternehmen stattgefunden hat. <p /> Ergänzend hat <a href="http://www.ikarus.at">Ikarus</a> einen informativen und detaillierten <a href="http://www.ikarus.at/de/business/community/blog/index.html?blog=/blog/2010-10/2010_10_08_stuxnet_kurzbericht.html&action=detail">Bericht</a> über Stuxnet verfasst. <p /> <hr><b>Informationsquelle(n):</b><br><br><i>CERT.at Bericht zur Erkennung von Stuxnet</i><br><a href='http://www.cert.at/static/downloads/specials/stuxnet-report_public.pdf'>http://www.cert.at/static/downloads/specials/stuxnet-report_public.pdf</a><br><i>Siemens Informationsseite zu Stuxnet (englisch)</i><br><a href='http://support.automation.siemens.com/WW/llisapi.dll?func=cslib.csinfo&lang=en&objid=43876783&caller=view'>http://support.automation.siemens.com/WW/llisapi.dll?func=cslib.csinfo&lang=en&objid=43876783&caller=view</a><br><i>Ikarus Report zu Stuxnet (lesenswert!)</i><br><a href='http://www.ikarus.at/de/business/community/blog/index.html?blog=/blog/2010-10/2010_10_08_stuxnet_kurzbericht.html&action=detail'>http://www.ikarus.at/de/business/community/blog/index.html?blog=/blog/2010-10/2010_10_08_stuxnet_kurzbericht.html&action=detail</a>

CERT.at 2010-10-29T15:36:01Z CERT.at 2009-04-03T11:11:47Z 2009-04-03T11:11:47Z

<h1>Status zu Conficker und 1. April 2009</h1> 31. M&auml;rz 2009<p> Anl&auml;sslich der Aufmerksamkeit, die das Thema Conficker/Downadup und 1. April momentan in den Medien erf&auml;hrt, hat CERT.at hier die wichtigsten Fragen&Antworten zusammengefasst. <h2>Was passiert am 1. April 2009?</h2> Basierend auf verschiedenen technischen Analysen wurde herausgefunden, dass Systeme, die mit dem aktuellen Conficker-Wurm infiziert sind, versuchen werden, &uuml;ber einen neuen Algorithmus Code aus dem Internet nachzuladen. Bisher wurden keine anderen Hinweise auf Aktivit&auml;ten des Wurms, die den 1. April betreffen, gefunden. <h2>Wird es am 1. April 2009 eine neue Version des Conficker-Wurms geben?</h2> Es ist durchaus m&ouml;glich, dass Systeme, die vom aktuellen Conficker-Wurm befallen sind, am 1. April neuen Code &uuml;ber den neuen Domainnamen-Algorithmus nachladen werden. Diese Systeme konnten aber auch schon bisher &uuml;ber eine Peer-to-Peer - Methode von den Wurm-Autoren mit neuem Code versorgt werden. <h2>Sollte die &Ouml;ffentlichkeit besorgt sein?</h2> Nein, die &Ouml;ffentlichkeit sollte nicht besorgt sein. Die meisten Privatbenutzer sind bereits durch die automatische Installation des Microsoft-Patches MS08-067 vor dem Wurm gesch&uuml;tzt. <h2>Wie kann ich herausfinden, ob mein PC befallen ist, und was soll ich dann tun?</h2> Unter <a href="http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools">http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools</a> (englisch) befindet sich eine Liste an Tools, mit denen befallene Systeme erkannt und gegebenenfalls ges&auml;ubert werden k&ouml;nnen.<br> Auch Microsoft bietet via <a href="http://safety.live.com/">http://safety.live.com/</a> M&ouml;glichkeiten zur Analyse/Entfernung.<p> Diese Seiten sind aber gerade von befallenen Systemem aus oft nicht erreichbar.<p> <h2>Ist das Entfernungs-Tool XYZ geeignet, um befallene Systeme zu erkennen und zu reparieren?</h2> Wir warnen ausdr&uuml;cklich vor sogenannten "Trittbrettfahrern", die momentan versuchen, mit falschen Entfernungs-Tools noch mehr PCs unter ihre Kontrolle zu bringen, und ersuchen, nur die von der Conficker Working Group oder anderen seri&ouml;sen Institutionen empfohlenen Entfernungs-Tools zu verwenden. <h2>Empfehlungen</h2> Wir empfehlen, dass Benutzer, die automatische Updates noch nicht aktiviert haben, dies tun, und sicherstellen, dass die installierte Sicherheitssoftware (Firewall, Anti-Viren-Software) immer auf aktuellem Stand ist, vgl. auch <a href="http://www.microsoft.com/germany/athome/security/viruses/conficker.mspx">http://www.microsoft.com/germany/athome/security/viruses/conficker.mspx</a>.<p> Firmen wird empfohlen, sicherzustellen, dass der Microsoft-Patch MS08-067 auf allen System installiert ist, von Conficker (egal welcher Version) befallene Systeme zu s&auml;ubern, die Signaturen der Anti-Viren-Software aktuell zu halten und zus&auml;tzliche Sicherheitsmassnahmen - wie zB von Microsoft in <a href="http://technet.microsoft.com/de-de/security/dd452420(en-us).aspx">http://technet.microsoft.com/de-de/security/dd452420(en-us).aspx</a> (englisch) vorgeschlagen - zu evaluieren.<hr><b>Informationsquelle(n):</b><br><br><i>Wikipedia-Eintrag zu Conficker</i><br><a href='http://de.wikipedia.org/wiki/Conficker'>http://de.wikipedia.org/wiki/Conficker</a><br><i>Liste von Repair Tools (englisch)</i><br><a href='http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools'>http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools</a>

CERT.at 2009-04-03T11:11:47Z