Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Ransom software wie is verantwoordelijk

28-06-2017, 14:27 door Anoniem, 19 reacties
1. Hoofd verantwoordelijke is natuurlijk Microsoft zelf, die heeft nagelaten om een eigen divisie op te zetten, die zich alleen maar bezig houd met het opzoeken van kwetsbaarheden in de Microsoft Software.
2. De NSA die deze kwetsbaarheden heeft gevonden, en deze niet aan Microsoft heeft gemeld.
3. Wikileaks die de kwetsbaarheden in de software van de gestolen NSA documenten heeft gevonden, en deze wereldwijd ter geopenbaard heeft, zonder Microsoft in te lichten.
4. De criminelen die nu gebruik maken van deze kwetsbaarheden in de software en grote schade daarmee hebben aangericht.

Er is ook een pluspunt, namelijk dat hierdoor het besef onder de grootgebruikers om prioriteit aan de veiligheid te geven is toegenomen.
Reacties (19)
28-06-2017, 14:53 door Anoniem
Nog een pluspunt

Er komt een moment dat ransomware ons gaat beschermen tegen de roverheid.
Ransomware die een niet te stoppen surveillancestaat op de knieen krijgt.
Wie had dat gedacht, ransomware die de rechtsstaat behoed van de ondergang.

Nog niet bedacht?
Lees dit maar.
Demissionaire politiek draaft onverschrokken door.
https://www.security.nl/posting/521668/Gemeenten+en+politie+gaan+big+data+inzetten+tegen+criminaliteit
Dat gaat natuurlijk niet over criminaliteit maar over macht, dat snapt elke doordenker wel.

De burger houdt helaas dit soort uit de hand lopende processen niet meer tegen en zal knel komen te zitten tussen kwaden.
Maar de politieke hoogmoed ten val gebracht, dat verlossingsperspectief begint wel te lonken.
Helaas moet periodiek eerst alles compleet kapot voordat we wakker worden.
Brr.

Eerst een barre winter voordat er weer hoop en glorie in de lentezon zal zijn.
En ondertussen maar plechtig perioodiek kakelen "dit nooit meer".
Toneel om zand in de ogen te strooien!
28-06-2017, 15:10 door Anoniem
Door Anoniem: 1. Hoofd verantwoordelijke is natuurlijk Microsoft zelf, die heeft nagelaten om een eigen divisie op te zetten, die zich alleen maar bezig houd met het opzoeken van kwetsbaarheden in de Microsoft Software.
2. De NSA die deze kwetsbaarheden heeft gevonden, en deze niet aan Microsoft heeft gemeld.
3. Wikileaks die de kwetsbaarheden in de software van de gestolen NSA documenten heeft gevonden, en deze wereldwijd ter geopenbaard heeft, zonder Microsoft in te lichten.
4. De criminelen die nu gebruik maken van deze kwetsbaarheden in de software en grote schade daarmee hebben aangericht.

Er is ook een pluspunt, namelijk dat hierdoor het besef onder de grootgebruikers om prioriteit aan de veiligheid te geven is toegenomen.

1. Dit is een dikke en incorrecte aanname. Microsoft heeft wel degelijk zulke teams.
2. Mee eens.
3. Met deze statement ben ik het nog meer eens. De NSA handelde niet goed, maar probeerde het nog intern te houden, Wikileaks daarentegen gooit steeds maar weer zulke info publiek naar IEDEREEN, erg kwalijk.
4. Deze mensen mogen op een eiland gegooid worden met z'n allen met genoeg voedsel voor 50% van de mensen.
28-06-2017, 17:45 door Anoniem
1. Hoofd verantwoordelijke is natuurlijk Microsoft zelf, die heeft nagelaten om een eigen divisie op te zetten, die zich alleen maar bezig houd met het opzoeken van kwetsbaarheden in de Microsoft Software.
2. De NSA die deze kwetsbaarheden heeft gevonden, en deze niet aan Microsoft heeft gemeld.
3. Wikileaks die de kwetsbaarheden in de software van de gestolen NSA documenten heeft gevonden, en deze wereldwijd ter geopenbaard heeft, zonder Microsoft in te lichten.
4. De criminelen die nu gebruik maken van deze kwetsbaarheden in de software en grote schade daarmee hebben aangericht.
5. De systeembeheerders/operators die de patches niet hebben geïnstalleerd
6. Management/directie die koste wat het kost maximum uptime willen hebben en geen tijd gunnen voor downtime i.v.m. updates uitvoeren.
7 Valse hoop of hoogmoed: "Ons overkomt dat niet."
28-06-2017, 18:02 door karma4
0/ meer dan elke andere ofwel een eerste root cause
OS fanatici die enkel bashen maar falen om met secùrity en informatieveiligheid bezig te zijn.
Mag je combineren net de beheerders en managers die voor de Quick eins en checklists gaan zonder dat hogere doel na te streven. Grootste probleem is pebcak en dat is os onafhankelijk. Helaas blijkt de grootste dwarsliggers daarvoor een os associatie te hebben dat niet Microsoft is.
28-06-2017, 18:24 door SecGuru_OTX - Bijgewerkt: 28-06-2017, 18:57
5. Beheerders en 'beveiligings experts' die totaal niet weten wat ze aan het doen zijn.

Dit heeft NIETS met Microsoft te maken.
28-06-2017, 18:48 door Anoniem
Gebruikers / beheerders die een falend patch beleid voeren.
Gebruikers / beheerders die een falende backup strategie hebben.
Gebruikers / beheerders die producten blijven kopen met een twijfelachtige reputatie.
28-06-2017, 19:19 door Anoniem
Waarom veroordeelt niemand de NSA "gelegitimeerde" hackers, die niet legitiem zijn, ook niet binnen USA Deep State? Microsoft beleeft nu het eigen Adobe moment.

Waarom wijzen allen met de beschuldigende vinger naar de klokkenluiderpartijen, die waarschijnlijk de enige manier zijn om deze kat de bel aan te binden. En nog in weerwil van de feiten, worden zaken omgekeerd en zijn de Russen en anderen de kwaaie pier. Neen, nooit de NSA en aanverwanten.

NSA trekt zich niets aan van wetgeving, verheft zich boven elke wet en regelgeving en staat haaks op de eigen constitutie van de Verenigde Staten. Verdienen deze total surveillance staat facilateurs geen veroordeling dan? Microsoft kan "under gag order" zich er niet van los maken. Porten van de code naar linux en dan met fuzzen als Travis Ormany doet, moet de bugs uit Windows Defender halen. Hebt u al geupdate? Oh dat gaat automatisch.

Kennelijk zitten hier op het forum een aantal lieden onder ons, die 'uit dezelfde ruif eten' of zich met dezelfde praktijken bezig houden en zichzelf wijs maken, dat het ook nog eens een algemeen belang dient. (NOT).

Speelt uw geweten soms niet eens af en toe op?
28-06-2017, 21:34 door [Account Verwijderd] - Bijgewerkt: 28-06-2017, 21:36
nm.
29-06-2017, 01:20 door Anoniem
Waarom veroordeelt niemand de NSA "gelegitimeerde" hackers, die niet legitiem zijn, ook niet binnen USA Deep State? Microsoft beleeft nu het eigen Adobe moment.
En waarom zou het niet de schuld van Microsoft zijn? Hun brakke software boodt toch ruimte voor deze hacks?
Als de software meteen goed was dichtgetimmerd, dan had NSA het niet ontdekt, en hoefden ze van niemand de schuld te krijgen.

Tja, kijk, de schuldvraag begint altijd het eerst bij je eigen verantwoordelijkheid vind ik.
De mens is van nature geneigd om schuld af te schuiven.
Soms niet geheel onterecht, maar dat ontslaat je nog niet van je eigen verantwoordelijkheid.
Microsoft had in maart al patches uitgebracht. Als die in juni en na het Wannacry debakel nog steeds niet waren geïnstalleerd, dan is dat toch echt de eigen stomme schuld van degene die ervoor verantwoordelijk was dat er niet gepatcht is. Daar kun je niet onderuit, ook al hebben anderen ook een rol gespeeld in het hele debakel.

Is de NSA ook schuldig? Daar heb ik te weinig zicht op. Laat iemand die daar beter zicht op heeft maar beoordelen.
29-06-2017, 09:20 door karma4
Dr smbv1 is een ibm erfenis dus als je met brakke software begint is het die bron. Grootste issue blijft dat gebruikers beheerders voor een werkende omgeving gaan. Een veilige staat niet op het netvlies. Dat lijkt ook bij Torvald zo te zijn volg even het dispuut rond grsecurity.
29-06-2017, 14:06 door Anoniem
Door karma4: Een veilige staat niet op het netvlies. Dat lijkt ook bij Torvald zo te zijn volg even het dispuut rond grsecurity.
Als je maar een paar keer de botte uithalven van Torvalds gevolgd hebt dan is het patroon duidelijk: hij valt uit tegen mensen die in zijn ogen slecht werk aanleveren en die daar ondanks herhaalde kritiek in blijven volharden. Zijn kritiek op Grsecurity is dat ze in de aangeleverde patches onderwerpen slecht gescheiden houden waardoor de patches moeilijk te verwerken zijn.

Omdat hij eindverantwoordelijke is voor de kernel en alle patches die in de officiële versie komen uiteindelijk ook door zijn handen gaan heeft hij recht van spreken. Dat spul komt via uiteindelijk van duizenden mensen en om dat te kunnen bestieren stelt hij eisen waar hij compromisloos in is.

Dat dat nu over securitygerelateerde patches gaat betekent niet dat security niet op zijn netvlies staat. Als die patches behalve iets op te lossen ook kwaliteit aantasten levert dat net zo goed beveiligingsproblemen op. Elk securitylek is een exploitatie van bugs. De kritiek hier lijkt niet op de kwaliteit van de code maar op de manier van aanleveren te slaan. Jij hamert regelmatig op het volgen van procedures en standaards, dus je moet als geen ander kunnen begrijpen dat slecht op elkaar aansluitende manieren van werken tot fouten leiden. Het probleem hier lijkt te zijn dat Torvalds de manier van werken voorschrijft en dat Grsecurity zich daar niet aan conformeert.
29-06-2017, 14:28 door Anoniem
Lol at anoniem 01.20. ALLE complexe software is te breken. Nu was het Windows en is de impact groot omdat iedereen het gebruikt. Iedereen in de keten is dan ook in meer of mindere mate schuldig.

MS test software maar zit met tijdslimiet, wat test je en hoe lang? NSA houd lekken geheim om zelf in te zetten, dat doen geheime diensten. Managers hebben te weinig inzicht budget of personeel. Personeel heeft niet altijd voldoende kennis of middelen. Eindgebruikers gaan voor gemak. De hele combinatie kent dan dus ook maar 1 uitkomst...
29-06-2017, 14:38 door karma4 - Bijgewerkt: 29-06-2017, 14:50
Door Anoniem:
Als je maar een paar keer de botte uithalven van Torvalds gevolgd hebt dan is het patroon duidelijk: hij valt uit tegen mensen die in zijn ogen slecht werk aanleveren en die daar ondanks herhaalde kritiek in blijven volharden.
..
Omdat hij eindverantwoordelijke is voor de kernel en alle patches die in de officiële versie komen uiteindelijk ook door zijn handen gaan heeft hij recht van spreken. Dat spul
.....
Dat dat nu over securitygerelateerde patches gaat betekent niet dat security niet op zijn netvlies staat.
.....
Ik volg patronen maar het zijn wel andere.
Volgens mij is redhat leidend en betaald Linus voor het werk.
Dan zitten we gewoon weer bij een commerciële partij met winstoogmerk. Het voordeel u s dan wel dat er geen afhankelijkheid van 1 persoon is. Zoals jij het stelt kan de boel omvallen zonder Linus. Dat procesmatige (ja ik hamer er vaak op) is toekmstvaster. Helaas is de wijze van communiceren van Torvald nogal polariserend.

Het andere patroon is de secùrity. Je zou verwachten dat het een hoogst belangrijk iets zou zijn. Dan het patroon.
- sudo is een add on geen onderdeel van de kernel
- selinux is vanuit de NSA gekomen niet uit de linux community
- machine custering ldap is geen onderdeel van de kernel
- basis secùrity is er in dac setting Mdac rbac is geen onderdeel van de kernel.
Mag ik gerede twijfel hebben aan de secùrity aandacht vanuit de kernel. Ja als je het allemaal integreerd zijn er andere nadelen. Het zou interessant zijn om daarmee bezig te zijn.

Grsecurity vind ik niet zo heelbelangrijk anders dan de vraag waarom ze het nodig vinden met zoiets bezig te zijn.
Het is niet goed van ze om het gesloten te willen houden in die omgeving. Dat is vragen om reacties.
29-06-2017, 14:59 door Ron625
Wat ik grappig vind in veel van de commentaren hierboven, is dat men oorzaak en gevolg door elkaar haalt.
De oorzaak is niet de onveiligheid van een besturingssysteem, maar het feit dat mensen kwaad willen doen.
Voorbeeld:
Al zou mijn huis geen slot op de voordeur hebben, dan is en blijft het nog steeds verboden om naar binnen te gaan en daar rond te neuzen.
Zijn we nu al zover, dat we een anti-virus/anti-malware programma's normaal zijn gaan vinden?
29-06-2017, 15:03 door Anoniem
Laten we elkaar geen mietje noemen; slechte beveiliging ontstaat door gebrek aan inzicht bij management. Die zien niet in dat security echt nodig is, die kijken vaak maar een week vooruit en dat is al lang...
Het is een geld kwestie met de aantekening dat als het fout gaat het altijd aan IT ligt en als het niet fout gaat, dan hebben zij het prachtig gemitigeerd.
Er is geen tijd meer voor oeverloos gezwam over zaken waar je als manager geen verstand van hebt. Bemoei je er niet mee, ga autorijden, heidagen, of wat dan ook maar bemoei je niet inhoudelijk met zaken waar je geen weet van hebt.
Laat IT zijn werk doen, dan komt het gewoon goed.
Mag jij straks je bonus opstrijken, oke?!
Oke...
;)
29-06-2017, 15:33 door Anoniem
Door karma4: Volgens mij is redhat leidend en betaald Linus voor het werk.
Dan zitten we gewoon weer bij een commerciële partij met winstoogmerk.
Zijn werkgever is de Linux Foundation. Die wordt inderdaad door RedHat gefinancierd. En door IBM. En door Microsoft. En Intel. En Cisco. En Samsung. En Citrix. En Toyota. En Atos. En Dell. En Goldman Sachs. En nog heel wat meer, dit is nog maar een fractie. We zitten niet bij een commerciële partij met winstoogmerk, we zitten bij een stichting zonder winstoogmerk waar een enorme reeks commerciële bedrijven belang in ziet, commerciële bedrijven die vaak elkaars concurrent zijn. Zie je in dat dat een wezenlijk andere situatie is dan door een bedrijf betaald worden?
Het voordeel u s dan wel dat er geen afhankelijkheid van 1 persoon is. Zoals jij het stelt kan de boel omvallen zonder Linus.
Daar lijkt hij zelf anders over te denken (kopje: "The future of Linux leadership").
https://www.linux.com/blog/event/lc3-china/20176/6/linus-torvalds-explains-how-linux-still-surprises-and-motivates-him
Dat procesmatige (ja ik hamer er vaak op) is toekmstvaster.
Laat Torvalds het dáár nou eens roerend mee eens zijn: "Our processes have not only worked for 25 years, we still have a very strong maintainer group." Het is de combinatie van een sterk proces en een sterke groep kernmedewerkers die de continuïteit waarborgt. Daar zitten mensen tussen die het over kunnen nemen. Het is geen proces dat opgezet is volgens een ISO- of ITIL-norm maar het is wel een proces dat strak gevolgd wordt en dat bewezen heeft dat het werkt, dat een hoop van wat formele normen beogen te bereiken gewoon waarmaakt.
Helaas is de wijze van communiceren van Torvald nogal polariserend.
Daarom loopt ook iedereen gillend weg bij dat project en moet hij het helemaal in zijn eentje doen. Niet dus. De discussies spelen zich in het openbaar af en als hij tegen iemand uitvalt haalt dat meteen de tech-media. Big deal, binnen bedrijven gebeurt het ook en dan hoor je er niets van. De indruk die ik heb van die uitvallen is dat het steevast om mensen gaat die zich niet aan de processen en/of de kwaliteitseisen houden, ook niet na er herhaaldelijk op gewezen te zijn. De botte manier waarop is mijn stijl ook niet, maar ik kan me voorstellen dat het op publieke fora waar je mensen niet van kan ontslaan het af en toe werkt om iemand af te kappen.
Het
Inderdaad, het, daar kan ik het nou roerend mee eens zijn ;-).
29-06-2017, 15:49 door Anoniem
Door Ron625: Wat ik grappig vind in veel van de commentaren hierboven, is dat men oorzaak en gevolg door elkaar haalt.
De oorzaak is niet de onveiligheid van een besturingssysteem, maar het feit dat mensen kwaad willen doen.
De volgende stap is dat je bedenkt dat een zeker gehalte aan kwaadwillenden gewoon een gegeven is en dat je je er maar beter tegen kan beschermen. En dan wordt het zaak om een digitaal slot op de digitale voordeur te hebben.

Maar je hebt een punt, af en toe lijken mensen te vergeten dat dat niveau van onveiligheid nog altijd wordt veroorzaakt door mensen die het veroorzaken. De oplossing is daarom niet alleen technisch van aard, maar ook juridisch en sociaal.
29-06-2017, 19:06 door Anoniem
Door Anoniem:
Door karma4: Volgens mij is redhat leidend en betaald Linus voor het werk.
Dan zitten we gewoon weer bij een commerciële partij met winstoogmerk.
Zijn werkgever is de Linux Foundation. Die wordt inderdaad door RedHat gefinancierd. En door IBM. En door Microsoft. En Intel. En Cisco. En Samsung. En Citrix. En Toyota. En Atos. En Dell. En Goldman Sachs. En nog heel wat meer, dit is nog maar een fractie. We zitten niet bij een commerciële partij met winstoogmerk, we zitten bij een stichting zonder winstoogmerk waar een enorme reeks commerciële bedrijven belang in ziet, commerciële bedrijven die vaak elkaars concurrent zijn. Zie je in dat dat een wezenlijk andere situatie is dan door een bedrijf betaald worden?
Het voordeel u s dan wel dat er geen afhankelijkheid van 1 persoon is. Zoals jij het stelt kan de boel omvallen zonder Linus.
Daar lijkt hij zelf anders over te denken (kopje: "The future of Linux leadership").
https://www.linux.com/blog/event/lc3-china/20176/6/linus-torvalds-explains-how-linux-still-surprises-and-motivates-him
Dat procesmatige (ja ik hamer er vaak op) is toekmstvaster.
Laat Torvalds het dáár nou eens roerend mee eens zijn: "Our processes have not only worked for 25 years, we still have a very strong maintainer group." Het is de combinatie van een sterk proces en een sterke groep kernmedewerkers die de continuïteit waarborgt. Daar zitten mensen tussen die het over kunnen nemen. Het is geen proces dat opgezet is volgens een ISO- of ITIL-norm maar het is wel een proces dat strak gevolgd wordt en dat bewezen heeft dat het werkt, dat een hoop van wat formele normen beogen te bereiken gewoon waarmaakt.
Helaas is de wijze van communiceren van Torvald nogal polariserend.
Daarom loopt ook iedereen gillend weg bij dat project en moet hij het helemaal in zijn eentje doen. Niet dus. De discussies spelen zich in het openbaar af en als hij tegen iemand uitvalt haalt dat meteen de tech-media. Big deal, binnen bedrijven gebeurt het ook en dan hoor je er niets van. De indruk die ik heb van die uitvallen is dat het steevast om mensen gaat die zich niet aan de processen en/of de kwaliteitseisen houden, ook niet na er herhaaldelijk op gewezen te zijn. De botte manier waarop is mijn stijl ook niet, maar ik kan me voorstellen dat het op publieke fora waar je mensen niet van kan ontslaan het af en toe werkt om iemand af te kappen.
Het

Inderdaad, het, daar kan ik het nou roerend mee eens zijn ;-).

Zou één en ander te maken hebben met die progresieve hippie cultuur waarin niks moet maar mag, en waar discipline een vies woord is en in die cultuur voor reactionair staat.
30-06-2017, 12:19 door Anoniem
Door Anoniem: Zou één en ander te maken hebben met die progresieve hippie cultuur waarin niks moet maar mag, en waar discipline een vies woord is en in die cultuur voor reactionair staat.
Waar denk je die hippiecultuur precies te zien in deze context? Ik zie hem niet.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.