"Uitgeschakelde server toch te hacken"
De technologie van chipfabrikant Intel om servers op afstand in te schakelen is een 'elektronische ramp' die bij allerlei grote organisaties kan plaatsvinden. Daarvoor waarschuwt Philip Lieberman van Lieberman Software. Het probleem in kwestie betreft Intel’s IPMI (Intelligent Platform Management Interface). De software functioneert onafhankelijk van het besturingssysteem en laat systeembeheerders op afstand of in de afwezigheid van een besturingssysteem of managementsoftware het systeem beheren. De technologie bestaat al sinds de jaren 1990 en wordt inmiddels door meer dan 200 leveranciers ondersteund.
"Samengevat, het biedt op afstand toegang tot de server en high-end dekstops, zolang er maar stroom en een netwerkverbinding is, zelfs als je server schijnbaar is uitgeschakeld en het besturingssysteem niet is opgestart. Waar het op neerkomt is dat je gehackt kunt worden zelfs als je systemen zijn uitgeschakeld", aldus Lieberman.
Dreiging
Omdat de technologie zo oud is, zouden veel systeembeheerders hier geen weet van hebben. "Zeker er nu er problemen zijn gevonden, is het mogelijk dat hackers de problemen misbruiken." Lieberman noemt het een oud technologisch gat waar cybercriminelen dol op zijn. "Het biedt ze low-level backdoor toegang tot de bedrijfsservers."
Hij verwacht dat de problemen met IPMI al door aanvallers misbruikt zijn. Systeembeheerders krijgen dan ook het advies om IPMI uit te schakelen. "Aangezien de technologie standaard staat ingeschakeld en veel systeembeheerders hier geen weet van hebben, vormt het een grote dreiging." Eerder waarschuwde ook al het Internet Storm Center voor het gevaar van IPMI.
Ook wel erg merkwaardig dat alleen Intel word genoemd, en dat alleen zij een "elektronische ramp" hebben geïntroduceerd.
Als men hier niet van op de hoogte is, zal er ook geen goed wachtwoord voor worden ingesteld, waardoor het dus een gevaar vormt
Als men hier niet van op de hoogte is, zal er ook geen goed wachtwoord voor worden ingesteld, waardoor het dus een gevaar vormt
Als men hier niet van op de hoogte is, waarom doen zij dan dit vak?
Niet juist opgeleide mensen = probleem
Vandaar dat er ook een brommer/heftruck certificaat, rijbewijs, etc is.
Als men hier niet van op de hoogte is, waarom doen zij dan dit vak?
Niet juist opgeleide mensen = probleem
Vandaar dat er ook een brommer/heftruck certificaat, rijbewijs, etc is.
Helemaal mee eens!!!
Die mensen die zich "Systeembeheerder" kunnen zelf ook kijken wat er mogelijk is.
Niet alleen de opleiding is het probleem.
Ook gebrek aan inzet en zelf willen onderzoeken is het probleem.
De meeste denken het draait zal wel goed zijn.
Peter
Juist voor kritische systemen is dit soort "out-of-band" beheertooling van wezenlijk belang: beheerders kunnen naar het system volledig buiten de normale paden om. Als gevolg daarvan kan je toegang tot beheertooling op de normale netwerkinterfaces uitzetten, zodat hackers niet binnen komen. Voorwaarde is natuurlijk wel dat je een volledig gescheiden management netwerk hebt met strikte toegangs controle.
Een beetje bangmakerij en alleen van toepassing bij omgevingen met onvoldoende aandacht voor beheer en beveiliging.
Peter
Zou moeten ja. Maar je zal ze te vreten moeten geven die de handel op advies van een outsourcing leverancier koppelt aan het internet, omdat de leverancier zo goedkoper diensten kan leveren.
Ga niet standaard uit van 'zou moeten'..
maar die ILO is een aparte poort, die hoef je niet aan te sluiten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.