HiS-Cybersecurity Digest Januar 2016 veröffentlicht

Top Thema

Wechsel der Security-Paradigmen 
„Der Perimeter ist tot", das sagen manche Sicherheitsberater seit Jahren. Die Zahl der Hintertüren und Schwachstellen in Firewalls und Sicherheits-Geräten steigt ständig an. Auch die Verbindungen interner Netze mit denen von Kooperationspartnern nehmen weiter zu. Niemand sollte seine internen Netzwerke noch als sicher, sprich frei von Hackern, betrachten. Dazu kommen die Anforderungen 
einer immer mobileren Welt, in der sich der Arbeitsplatz mit Notebook oder Smartphone auch im Café oder einer Lounge befinden kann.

Bisherige Sicherheitsparadigmen basierten auf dem Perimeter, der die Geräte im internen Netz vor den Angriffen aus dem Internet schützen sollte. Heute muss sich jedes Gerät selbst schützen und bei Angriffen weiter benutzbar sein. Das Motto der US-Navy-Seals „An Army of One" trifft dies im Kern. Demnach ist die Verschlüsselung von Netzwerkverkehr und Daten auch im internen Netz sinnvoll. 
Auch sollten interne Netzwerke noch stärker separiert werden. Zonen für unterschiedliche Umgebungen sind notwendig. Der Netzübergang ist durch Firewalls zu realisieren. Das Argument, dass man interne Dienste nicht patchen muss, ist heute nicht mehr zielführend.
http://www.wired.com/2015/12/the-cia-secret-to-cybersecurity-that-no-one-seems-to-get/
 

Neuigkeiten im Dezember:

Shopshifting
Der Angriff von Karsten Nohl und seinen Kollegen auf das EC-System ist tiefgreifend und in seiner Schwere kaum zu unterschätzen. Die Präsentation der Sicherheitslücken auf dem Chaos Communication Congress war sehr überzeugend und die Details über die Schwachstellen waren mehr als besorgniserregend. Es sieht ganz so aus, als ob ein nicht unerheblicher Teil der EC-Infrastruktur ausgetauscht werden muss.
http://www.sueddeutsche.de/digital/shopshifting-hacker-decken-massive-schwachstelle-bei-zahlung-mit-ec-karten-auf-1.2793453

--------------------------------------------------------------
Smurf Suite - Der Spion in der Manteltasche
Die BBC berichtet über ein Interview mit Edward Snowden, in dem er sagt, dass der englische Auslandsgeheimdienst GCHQ jedes Smartphone komplett kontrollieren kann. So sei es möglich, alle Funktionen des Gerätes aus der Ferne zu steuern und den Besitzer damit komplett zu überwachen. Da sich in den Geräten aller Hersteller Sicherheitslücken finden, besteht dieses Risiko allerdings auch, wenn man nicht von einem Geheimdienst überwacht wird.
http://www.bbc.com/news/uk-34444233

--------------------------------------------------------------
Auswertung der Schwachstellen 2015
In einer Statistik über die 2015 gemeldeten Schwachstellen in Programmen und Betriebssystemen führt Apple auf dem ersten Platz. Aufgrund der uneinheitlichen Zählweise ergibt diese Reihenfolge aber keine Rangliste der Sicherheit der Systeme. So werden alle Apple-Produkte jeweils zusammengefasst gezählt, die Schwachstellen bei Windows allerdings pro Version einzeln. Auch dass Android abgeschlagen auf dem 20. Platz liegt, ist nicht beruhigend, da bei vielen Smartphone-Herstellern kaum oder nur sehr spät Patches zu erhalten sind.
http://www.heise.de/newsticker/meldung/CVE-Statistik-Viele-Sicherheitsluecken-in-Mac-OS-X-iOS-und-Flash-gemeldet-3057259.html

--------------------------------------------------------------
Cybercriminal Call-Center
Die Kommerzialisierung und Professionalisierung des Cybercrime geht ungehindert weiter. Callcenter und Self-Service-Kioske sind heute die Schnittstelle, über die die Anbieter von Daten und Dienstleistungen im Cybercrime mit ihren Kunden kommunizieren.
http://krebsonsecurity.com/2016/01/a-look-inside-cybercriminal-call-centers/

--------------------------------------------------------------
Zwei-Faktor-Authentifizierung und der Benutzer-Support
Brian Krebs, ein sehr bekannter Blogger zu IT-Sicherheit, wurde nun selbst Opfer eines Social-Engineering-Angriffs. Er hatte sein PayPal-Konto zwar mit Zwei-Faktor-Authentifizierung geschützt, doch die Angreifer konnten den Mitarbeitern des PayPal-Call-Centers glaubhaft machen, sie seien Herr Krebs, und so wurde ihnen ein neues Passwort für den Account ausgehändigt.
http://www.zdnet.de/88255866/paypal-konto-von-sicherheitsblogger-brian-krebs-gehackt/

--------------------------------------------------------------
Weltrekord bei DDoS
602 Gigabit/s war der aktuell stärkste jemals gemessene Distributed-Denial-of-Service-Angriff. Dieser ist damit fast doppelt so intensiv wie der Rekord des letzten Jahres. Er wurde gegen die BBC ausgeführt und war laut Berichten nur ein Test und eine Werbung der Cyberkriminellen für ihre Dienste.
http://thehackernews.com/2016/01/biggest-ddos-attack.html?m=1

--------------------------------------------------------------
Weltrekord beim Diebstahl personenbezogener Daten
Nach dem bereits rekordverdächtigen Diebstahl aller Daten der Personalverwaltung der US-Bundesbehörden sind nun 300 GB Daten mit den Personalien aller Wähler und ihrem Wahlverhalten im Internet aufgetaucht.
http://thehackernews.com/2015/12/us-voter-database-hacked.html?m=1

--------------------------------------------------------------
Cyberwar in der Ukraine
Laut übereinstimmenden Medienberichten ist der Stromausfall in der Ukraine eine Folge eines gezielten Angriffs gegen die Stromanbieter mit einer spezialisierten Malware namens "BlackEnergy". Die Regierung der Ukraine macht den Geheimdienst Russlands für den Angriff verantwortlich. Eingeschleppt wurde die Malware wohl durch infizierte Office-Dokumente.
http://thehackernews.com/2016/01/Ukraine-power-system-hacked.html?m=1

--------------------------------------------------------------
CopperheadOS
Die Liste der Hersteller, die Android als Grundlage für abgesicherte Smartphones nutzen, ist nach der Telekom mit Simko 3, Blackberry mit dem Priv und anderen um einen Hersteller reicher. Copperhead bietet ein gehärtetes Android als Open Source an und passt dies auf die Wünsche von Kunden an.
https://copperhead.co/android/

--------------------------------------------------------------
Ransomware in JavaScript
2015 war das Jahr der Erpressungs-Trojaner. Die Zahlen sind immens gestiegen und die Software wurde immer ausgereifter. Ein plattformunabhängiger Trojaner ist die Spitze der derzeitigen Entwicklung.
http://thehackernews.com/2016/01/javascript-ransomware-malware.html

Der nächste HiS-Cybersecurity Digest erscheint Anfang Febraur 2016.

Für Rückfragen und Anregungen kontaktieren Sie uns gern!

Jetzt teilen: