Nieuws
image

Sasser worm treft Amerikaans ministerie

zondag 10 oktober 2004, 09:15 door Redactie, 11 reacties

Het is al bijna een half jaar geleden dat de Sasser worm voor het eerst verscheen, maar nog steeds is de worm niet uitgestorven, zoals het Amerikaanse ministerie van "Licensing" op donderdag ontdekte. Sasser wist eerst het voertuigregistratiesysteem te infecteren, waardoor het systeem zo'n zes uur niet bereikbaar was. Tegen het einde van de middag waren de meeste systemen weer online. Toch had men niet alle systemen gepatcht, want toen men vrijdag weer begon met werken wist de worm zich te verspreiden naar de afdeling die voor de rijbewijzen verantwoordelijk is. Het duurde ongeveer vier uur voordat de computers weer gebruikt konden worden, maar sommige afdelingen zouden nog steeds problemen hebben. Het ministerie was wel zo netjes om een bericht over de worminfectie op haar website te zetten.

The agency experienced sporadic network outages starting at about 10:30 am on Thursday, Oct. 7. Driver licensing offices were affected, as were vehicle subagent offices. The culprit was a computer virus — a variant of the Sasser Worm, which struck many agencies in May, causing statewide outages. DOL's technicians worked diligently throughout the night and this morning to bring all systems back online.

Reacties (11)
10-10-2004, 10:28 door Anoniem
Tja, ook DOL technicians zijn net mensen,
Maar waarom heeft het zover moeten komen, als er tijdig
gepatcht was...
10-10-2004, 12:13 door Anoniem
Het maakt goed duidelijk dat je, zeker als zakelijke
instantie, uiterst voorzichtig moet zijn met de toepassing
van inferiere software voor bedrijfskrititsche processen. En
dat je patches al bijna geïnstalleerd moet hebben voor ze
uit zijn.
10-10-2004, 12:18 door Anoniem
er wordt altijd maar geroepen dat je moet patchen, maar soms is dat
helemaal niet mogelijk.

Wat als je bijv. spefifiek voor jouw bedrijf geschreven software draait die er
niet tegen kan als er een bep. patch gedraaid wordt?..

Ze hadden wel de boel achter een firewall kunnen stoppen. Tis tegenwoordig
niet moeilijk om bepaalde aanvallen op een poort tegen te houden, en het
overige verkeer op die poort door te laten.

Dus die standaard antwoorden (of eigenlijk meer zeikopmerkingen) over
patchen kunnen beter bewaard worden voor de standaard office pctjes en
voor de pc van Jan & Miep & Kids.. daar zit veel meer gevaar dan de
ongepatchede machines die achter een goede firewall staan.
10-10-2004, 13:36 door Anoniem
Vergeet niet dat deze bedrijven al vaak een goede firewall
hebben staan, maar hebben vaak geen policy staan voor
laptop's, en dat deze gewoon op het netwerk aangesloten
worden, dit zijn vaak pc's vol met virussen en vaak hebben
deze mensen nog geen eens een virusscanner draaien.

Hierdoor hebben wij op de cisco switches port security
aangezet.. DIt betekent dat als je een netwerk kabel uit een
andere pc haalt en in jouw persoonlijke laptop zet dat de
netwerk connectie meteen gesloten wordt.
Enigste nadeel is dat wij weer de connectie handmatig moeten
open zetten, en dat het ook wat meer werk betekent. Maar
uit eindelijk hebben wij dit soort bovengenoemde onzin niet
meer.

Plus ik zie dat onze gebruikers sinds dien zich ook meer
security bewust zijn., en ze komen ook echt langs van is dit
wel veilig..

Het kost allemaal een hoop tijd, maar uiteindelijk scheelt
het ook ontzettend veel, het staat mij nog bij dat ik zo'n 4
jaar geleden een virus aanval in het bedrijf had en dat ik
ruim 2 dagen bezig was om alles weer recht te zetten.
10-10-2004, 20:19 door Anoniem
De virusscanner op de werkplek moet toch ook oppakken...
10-10-2004, 20:34 door Anoniem
Yep, maar de virusscanner gooit het gat niet dicht..

Dus de PC kan dan niet het virus draaien, waarmee hij andere
pc's gaat besmetten, maar kan wel gewoon nogsteeds de code
ontvangen waarbij de windows service crashed, en
uiteindelijk je pc herstart.
10-10-2004, 21:23 door Anoniem
Door Anoniem
Yep, maar de virusscanner gooit het gat niet dicht.. Dus de
PC kan dan niet het virus draaien, waarmee hij andere pc's
gaat besmetten, maar kan wel gewoon nogsteeds de code
ontvangen waarbij de windows service crashed, en
uiteindelijk je pc herstart.
Hoe kan het dan dat die code op de juiste plek terechtkomt
en ook nog geactiveerd wordt?
10-10-2004, 21:58 door Anoniem
Ach...helaas moet ik bekennen dat niet gepatchte machines in ons
bedrijfsnetwerk binnen de 5 minuten "spontaan" aan het rebooten zijn
vanwege Sasser. Het bedrijf neemt security niet serieus, en heeft de
prioriteiten op de verkeerde plek liggen. Het management gaat nat kan ik je
wel vertellen. Onze beheerders zijn nu eenmaal slim genoeg om de gegeven
instructies te bewaren om bij een escalatie duidelijk te kunnen laten zien aan
wie het ligt.
10-10-2004, 22:55 door Anoniem
Door Anoniem
Door Anoniem
Yep, maar de virusscanner gooit het gat niet dicht.. Dus de
PC kan dan niet het virus draaien, waarmee hij andere pc's
gaat besmetten, maar kan wel gewoon nogsteeds de code
ontvangen waarbij de windows service crashed, en
uiteindelijk je pc herstart.
Hoe kan het dan dat die code op de juiste plek terechtkomt
en ook nog geactiveerd wordt?


Zoals ik hier boven al gezegt heb nemen bedrijven externe
laptops zonder enig inzien op hun interne netwerk. Bij mij
hebben ze het ook gedaan en het is gelukkig verandert. Maar
denk dat dit soort dingen zeer regelmatig voorkomen op het
middel/klein bedrijf.

Ik werk dan in een globaal bedrijf en zie dit soort dingen
regelmatig tot zeervaak. Ook zoals de reactie boven me, heb
ik dit op het begin erg vaak gezien. Gelukkig is het flink
dicht gegooit sinds de afgelopen jaren. Maar denk dat dit
lang nog niet gebeurt bij vele andere bedrijven.

En kan niet zeggen dat dit alleen aan de beheerders kant
ligt. Vaak ligt het ook aan de kant van managment want die
vinden vaak de beheers pakketten zoals Microsoft SUS te duur
is om te implementeren. Vooral tegen woordig zie ik dat er
teveel gekeken wordt op het besparen op kort termijn, en
niet op lang termijn, waardoor ze dus het patchen en
secrurity op een risico vol punt nemen.

Nadeel is echter dat ze enkele uren downtime per jaar liever
zien dan zo'n dure investering zien als microsoft SUS,
waarmee dit meteen met een hoog percentage omlaag wordt
gebracht.
Cisco works is ook zo'n pakket, veel bedrijven zien
netwerkbeheerders liever zonder dit pakket dan met, omdat
het pakket bijna niet te betalen is, maar er wordt niet bij
nagedacht dat alle routers en switches 1 voor 1 updaten meer
geld kost door het aantal uren dat er geinvesteerd wordt.
11-10-2004, 00:25 door Anoniem
Door Anoniem
Ach...helaas moet ik bekennen dat niet gepatchte machines in
ons bedrijfsnetwerk binnen de 5 minuten "spontaan" aan het
rebooten zijn vanwege Sasser. Het bedrijf neemt security
niet serieus, en heeft de prioriteiten op de verkeerde plek
liggen. Het management gaat nat kan ik je wel vertellen.
Onze beheerders zijn nu eenmaal slim genoeg om de gegeven
instructies te bewaren om bij een escalatie duidelijk te
kunnen laten zien aan wie het ligt.
Ik denk dat als je je management kan laten zien wat de
kosten van down-time en herstelacties zijn (uren,
materialen) en daar tegenover de kosten van het tijdig
patchen van machines etc., dat je een stuk sterker staat.
Patchen moet je uiteindelijk toch doen trouwens dus die
kosten heb je altijd.
11-10-2004, 10:49 door Anoniem
Ik denk dat je het beste de interne klant de cijfers kan laten zien, zodat zij
vanauit die hoek druk kunnen uitoefenen op het IT management.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search