Ritzau er stadig lammet efter it-angreb: Hackere kræver løsepenge

Det begynder at være nemmere at fokusere på sikkerhed - man kan kun håbe at direktionsgangene rundt omkring, begynder at forbedre den økonomiske prioritering og forhåbentlig integrere sikkerhed, som en FAST del af operations.. (og kun ikke som ekstern afdeling der ikke selv hjælper med at løse udfordringerne og kun laver papirarbejde) - i disse DevOps tider - kaldet DevSecOps :)

man kan kun håbe at direktionsgangene rundt omkring, begynder at forbedre den økonomiske prioritering og forhåbentlig integrere sikkerhed, som en FAST del af operations.

Men er det nok? Kan man forbedre sikkerheden tilstrækkeligt? Vil der ikke altid være nogen der klikker på en email, fordi de troede den var fra chefen? Kan man vinde det våbenkapløb?

Er problemet ikke, at der skal helt andre boller på suppen? Nye internetprotokoller. Nye styresystemer. Nye måder at identificere sig på. Sikkerheden skal tænkes ind fra starten, og ikke sys på som lapper på et tæppe efterfølgende.

Hot take: de mest effektive ransomware-bander er tidligere operations-folk der fik nok, og besluttede besluttede at give habit-banditterne på direktionsgangene en lærestreg.

😉

Der er i hvert fald en gammel historie om Robin Hood og Broder Tuck - og om diskdrev, der som gale vaskemaskiner vandrede rundt i maskinstuen.

Men er det nok? Kan man forbedre sikkerheden tilstrækkeligt? Vil der ikke altid være nogen der klikker på en email, fordi de troede den var fra chefen? Kan man vinde det våbenkapløb?

Nej. Faktisk skyldes denne slags angrebs success, mangel på almindeligt kendte løsninger:

1) Tage backup af sine ting - så skader en kryptering af data ikke noget.

2) overvåge sine servere - f.ex. overvåge antal writes til forskellige filer (metrikker du kan hive ud af din filserver) fra samme klient - og blokere klienten.

3) Overvåge uventet udadgående trafik (og gerne blokere klienter der udviser det) - det vil indikere at "noget er galt" og isolere problemet ved at lukke for klienten i firewalls.

4) Sikre at servere IKKE kan tilgå internettet - hvis de har services de udstiller til internettet, og OPDAGE hvis en server alligevel forsøger noget (rimelig simpel regel - gør det langt sværere at hacke en server uden det bliver opdaget)

I "gamle dage" - havde jeg f.ex. noget så simpelt som en honeypot på firewall'e - så snart noget (internt) forsøgte at forbinde til en port på den - så blev ip'en blokeret fra alle net (og filshares ligger på et etandet net) - det fangede mange virus'er, og brugerne kom selv med pc'en og sagde "den ikke duede" :)

Ligeledes kan man sagtens se mønsteret på ransomware og blokere klienten der har det uregelmæssige write mønster. Er man i unix land, kan man f.ex. også bruge snapshots af sine filsystemer - så man kan rulle filer tilbage til "sidste time" eller hvad man har lyst til - ganske nemt. Det kan man også med en netapp (filserver appliance) hvis ikke man gider sætte en almindelig linux/unix server op.

Mulighederne er mange - det er ikke vildt svært - hvis man gider at bruge lidt ressourcer på at tænke sig om.

Når man ikke bruger ressourcerne på det, bliver man straffet.

1) Tage backup af sine ting - så skader en kryptering af data ikke noget.

Og test din backup!

Og planlæg din backup så du hurtigt kan genetablere.

Nogen gange kan en backup tage en dag at indlæse. Det er gode online backup services, men skal man først til at hente 10 GB derfra (Det hjælper ikke så meget du har Gbit, hvis serveren kun kan give dig Mbit) , og bagefter først kan hente de kritiske 100 MB ud af et arkiv - så er man næsten lige så fucked.

Det er godt at flere og flere firmaer melder ud at de er ramt af ransomware og offentligt melder ud at de ikke har tænkt sig at betale.

Reelt set handler det her jo om at hvis ALLE gjorde sådan, så ville de her ransomware bander hurtigt fordufte.

Jeg føler med dem. Jeg håber, det ordner sig.

Det hjælper ikke så meget du har Gbit, hvis serveren kun kan give dig Mbit

Det er ikke kun båndbredden, som er flaskehalsen. Nærmer en standard x86-server sig 1 Gb begynder CPU'erne at hoste.

Det kan man så imødegå med avancerede FPGA-baserede netværkskort, som offloader en del arbejde fra CPU og memory.

Tilmed kan man bruge Purpose Built Backup Appliances, som laver reverse multiplexing i datastrømmene mellem server og backup-medie - noget som vist Hitachi, Fujitsu og EMC tilbyder.

Men så begynder det også at gøre ondt i baglommen og det er nok billigere at tænke sig grundigt om.

Det er ikke kun båndbredden, som er flaskehalsen. Nærmer en standard x86-server sig 1 Gb begynder CPU'erne at hoste.

Huh?

Selv flere år gammelt desktop-class hardware med direkte-på-motherboardet ethernet med Intel/Realteak/whatever har ikke synderligt CPU load med 1gbps overførselshastighed?

Måske man burde deaktivere alle links i e-mails så det bare var ren tekst. Det kunne fjerne det problem hurtigt.

Og hvis der så var nogen som lavede et produkt der scannede alle links, før man kunne tilgå dem, så kunne det blive ende mere sikkert.

En simpel sikring kunne være at tage et snapshot af fil server disken jævnligt. Den slags koster som regel ikke ret meget, og er understøttet af mange NAS systemer.

Hvis det så går galt, kan man hurtigt rulle tilbage (Efter man har sikret sig at hackeren er smidt ud af netværket)

Det betyder så at bruger IKKE må have data af betydning på deres egen disk. Det vil vi udviklere jamre os over, men så må vi jo bare opføre os professionelt og ikke slippe den slags ind på vores PC'er.

Det her angreb erklærer Ritzau jo selv rammer dem lige midt i deres forretning - de har ikke kunnet sende deres updates ud - implicit hele deres forretning er taget ud med et enkelt angreb - der understreger alvorligheden. Hvis de ikke bare har fixet det og kommer videre, er det fordi de ikke har de fornødne data, og hvis de ikke bare betaler er det fordi de ikke har pengene til det. Måske findes Ritzau så slet ikke længere lige omlidt.

Derudover så udstiller det jo at ritzau er et sårbart mål for haxere - og hvad kan det lige været blevet brugt til indtil nu? -jeg mener, hvis de ikke har opdaget haxerne har været der før ransomwaren blev aktiveret, hvad har de så nået at haxe i systemerne indtil da, det kunne fx være rette i arkivdata eller rette i udsendelsen af opdateringer. Så derfor kan dette implicit have en kaske effekt ud på samtlige danske nyhedsmedier som har suget nyheder fra Ritzau (det gør de allesammen), og egentlig bør alle nyheder vel så genkvalificeres imod andre kilder og fjernes fra medierne hvis de ikke kan bestå den test?

Hvis de ikke bare har fixet det og kommer videre, er det fordi de ikke har de fornødne data

Eller også skal der laves audit og gives sikkerhed for at huller er lukkede, så de ikke bliver lagt ned igen så snart de har restored deres backups, og har en vis sikkerhed for der ikke er persistent threats.

Måske man burde deaktivere alle links i e-mails så det bare var ren tekst. Det kunne fjerne det problem hurtigt.

Og hvis der så var nogen som lavede et produkt der scannede alle links, før man kunne tilgå dem, så kunne det blive ende mere sikkert.

Jeg modtager ofte deaktiverede link eller ser dem på nettet. Det er trivielt at omgå, også for en journalist. De skal helt slettes. Og så bliver folk nok sure.

Hvad vil du skanne linkene for? Det er jo næppe gamle og berygtede sites, de henviser til. Man kan sjældent se på et link, at det er ondsindet. Altså hvis en "bank" beder en logge på globalpigs.com, så ser det da underligt ud, men det er næppe noget, et program kan gennemskue.