13.10.14 - IT Security-Telegramm
Heartbleed-Attacke: Der Programmierfehler im OpenSSL hat langfristige Konsequenzen
Software Development Kits helfen bei der Entwicklung von Apps, unterstützen jedoch Sicherheitsanforderungen nicht immer ausreichend
13.10.14 - Deutliche Unterschiede bei den Expertensystemen zur Entwicklung sicherer Apps
Zwar helfen Software Development Kits bei der Entwicklung von Apps, sie unterstützen jedoch Sicherheitsanforderungen nicht immer ausreichend. Aber auch manche darauf spezialisierte Expertensysteme werden nicht allen professionellen Ansprüchen gerecht. Thomas Doms von der TÜV Trust IT GmbH Unternehmensgruppe Austria hat deshalb einen Vergleich dieser Expertensysteme vorgenommen.
Zwar stellen alle Anbieter von Betriebssystemen für die App-Entwicklung über kostenlose Software Development Kits (SDK) eine Sammlung von Werkzeugen und Anwendungen zur Verfügung, mit denen sich native Applikationen für die jeweilige Plattform entwickeln lassen. Allerdings sind die Themenbereiche Datensicherheit und Datenschutz in diesen SDKs in der Regel für professionelle Anwender nicht genügend und in der nötigen Detailtiefe berücksichtigt. Deshalb stehen die Entwickler vor der Frage, wie sie zu den notwendigen und richtigen Informationen gelangen können. Hierfür bieten sich grundsätzlich drei Möglichkeiten an.
Die Variante mit dem geringsten Professionalisierungsgrad aber größter Verbreitung ist der autodidaktische Weg, bei dem über eigene Recherchen im Internet oder Handbücher Know-how aufgebaut wird. Das Problem hierbei ist jedoch, valide Quellen im Internet zu finden und das Wissen aktuell zu halten. Außerdem besteht erfahrungsgemäß eine große Schwierigkeit darin, aus der Fülle des recherchierbaren Inhalts die relevanten Informationen zu selektieren und zusätzlich dedizierte Hinweise für die richtige Implementierung im spezifischen Projekt herauszufiltern.
13.10.14 - Angriff auf illegales Computernetz: FBI zeichnet Informatiker der Universität des Saarlandes aus
Eine Bande von Cyberkriminellen hatte über Jahre hinweg bis zu einer Million Rechner manipuliert. Diese durchforsteten sie nicht nur nach Finanz- und Privatdaten, sondern schlossen sie auch zu einem Netzwerk zusammen, mit dem sie Unternehmen erpressten und Spam verbreiteten. Dieses Netzwerk war technologisch so fortschrittlich, dass der US-Inlandsgeheimdienst FBI, Europol und die britische National Crime Agency eine Handvoll von Wissenschaftlern um Hilfe baten. Diese forschten mehrere Monate an einem Angriff. Ende Mai fochten sie ihn über zwei Wochen hinweg aus. Für seine Expertise und seinen Einsatz hat das FBI nun einen Informatiker der Universität des Saarlandes ausgezeichnet.
Der Begriff Bot ist eine Abkürzung für Roboter. Denn nichts anderes sind die Rechner und Server von ahnungslosen Bürgern, nachdem Internet-Gangster sie mit bösartigen Programmen infiziert haben. Diese erlauben es den Ganoven, die fremden Rechner nach Belieben aus der Ferne zu steuern und sie sogar zu einer Angriffsarmee, einem so genannten Bot-Netz, zusammenzuschließen. Auf diese Weise bieten Bot-Netze die entscheidende Infrastruktur für Cyberkriminelle. Mit ihnen verschicken sie Spam, spähen Daten aus oder erpressen Betreiber von Internetseiten. Zahlen sie nicht, lässt der "Botmaster" seine manipulierten Rechner alle auf einmal auf deren Webseite zugreifen, so dass diese unter der Last zusammenbricht.
An den Weihnachtsfeiertagen im Jahr 2012 führte eine Gruppe ukrainischer und russischer Hacker mit dem Bot-Netz "Gameover Zeus" einen solchen "Denial of Service Angriff" gegen die Internetseite einer US-amerikanischen Bank durch. Damit lenkten sie von einem virtuellen Diebstahl ab, der ihnen 900.000 US-Dollar einbrachte. Laut Aussage des Sicherheits-Experten Brian Krebs bringt die US-amerikanische Justizbehörde "Gameover Zeus" insgesamt mit Bankeinbrüchen in einer Höhe von 100 Millionen US-Dollar in Verbindung. Doch nicht nur die Höhe der Schäden ließen die Behörden erschaudern, sondern auch die technische Raffinesse des Bot-Netzes, das weltweit 500.000 bis eine Million Windows-Rechner umfasst. Einfache Bot-Netze verfügen über einen zentralen Aufbau, der Botmaster sitzt in der Mitte und befiehlt die Bots.
13.10.14 - Jeder Vierte ändert niemals wichtigste Zugangsdaten - Empfehlung: Alle 3 Monate wichtigste Passwörter ändern
Die meisten Bundesbürger ändern ihre wichtigsten Passwörter und Geheimzahlen viel zu selten. Nur jeder Sechste (16 Prozent) wechselt seine Zugangsdaten und Codes für Online-Konten, E-Mail-Postfächer, Smartphones, Alarmanlagen und Co. mindestens einmal im Quartal. Jeder Vierte (24 Prozent) verändert sie hingegen niemals aus eigener Initiative. Das ergab eine repräsentative Aris-Umfrage im Auftrag des Bitkom. "Bequemlichkeit ist der größte Feind der IT-Sicherheit, die wichtigsten Zugangsdaten sollten alle drei Monate verändert werden", sagt Bitkom-Präsident Prof. Dieter Kempf. Viele Bürger änderten ihr Verhalten und ihre Passwörter leider erst, wenn sie schon Opfer von Kriminalität geworden sind. Jeder fünfte Befragte (21 Prozent) wechselt seine Kennwörter nur alle paar Jahre aus eigenem Antrieb, jeder vierte (25 Prozent) immerhin jährlich. Jeder zehnte Befragte (10 Prozent) ändert sie im Schnitt halbjährlich, jeder achte (12 Prozent) einmal im Quartal, 3 Prozent wechseln monatlich, 1 Prozent gar wöchentlich.
13.10.14 - Malware-Angriffe nehmen zu: Mittelständler sollen angeblich Richtlinienverletzungen begangen haben
Laut Bitdefender bringt eine neue Masche von Cyber-Kriminellen Mitarbeiter von mittelständischen Unternehmen auch in Deutschland dazu, Zbot und andere Trojaner herunterzuladen, indem sie sie beschuldigen, Unternehmensrichtlinien verletzt zu haben. Ein weiterer Trick setzt auf vermeintliche Firmendokumente. Nach Erkenntnissen des "Bitdefender AntiSpam-Labs" nimmt die Spam-Welle zu, dutzende .ARJ-Dateien infizieren aktuell Computer in Deutschland und weiteren Ländern.
Der Malware-Angriff erfolgt auf Grundlage von Zbot oder Zeus. Diese enthalten eine Komponente zum Diebstahl von Passwörtern, mit der von den deutschen Opfern die Zugangsdaten für Bank-, E-Mail- oder FTP-Konten erbeutet werden können.
13.10.14 - DDoS-Bedrohungen: Hohe Steigerungsrate bei Anzahl und Stärke von Angriffen
Der veröffentlichte "Nsfocus 2014 Mid-Year Threat Report" zeigt einen anhaltenden Trend bei verteilten Überlastangriffen (DDoS), die von kurzer Dauer sind und oft wiederholt werden. Gleichzeitig nahmen auch hochvolumige und intensive DDoS-Angriffe im ersten Halbjahr 2014 zu. Die Ergebnisse der statistischen Analyse und wichtigsten Beobachtungen stützen sich auf Daten von tatsächlichen DDoS-Angriffen, die im ersten Halbjahr 2014 stattfanden. Die Daten wurden bei verschiedenen globalen Unternehmen, Internetanbietern, regionalen Telekombetreibern und Internet-Hosting-Unternehmen gesammelt. Es wurde das 1. Halbjahr 2014 mit dem 2. Halbjahr 2013 verglichen.
Die Angriffe sind weiterhin von kurzer Dauer und hoher Wiederholungsfrequenz: Mehr als 90 Prozent der identifizierten Attacken dauerten weniger als 30 Minuten. Dieser Trend weist drauf hin, dass sich Latenz-sensitive Websites, wie Online Gaming, E-Commerce und Hostingdienste auf die Einführung von Sicherheitslösungen vorbereiten sollten, die kurzfristiges Antwortverhalten ermöglichen.
13.10.14 - Rund 12 Prozent aller APT-Angriffe im EMEA-Raum fanden in Deutschland statt
FireEye stellt mit dem "Regional Advanced Threat Report" für Deutschland einen Überblick der Bedrohungslandschaft in Deutschland für das erste Halbjahr 2014 vor. Der Report bietet einzigartige Einblicke in aktuelle Gefahren für die Sicherheit deutscher Unternehmen. FireEye hat Aktivitäten verschiedenster Urheber von Advanced Persistent Threats (APT) beobachtet und ihr Vorgehen und ihre Ziele in den ersten sechs Monaten dieses Jahres analysiert. Der Bericht basiert auf Daten, die durch die Cloud der "FireEye Dynamic Threat Intelligence" (DTI) erhoben wurden.
13.10.14 - Heartbleed-Attacke im April, das größte Sicherheitsereignis im Jahr 2014
Das zentrale Thema des aktuellen "IBM X-Force"-Reports ist die Heartbleed-Attacke im April, die allgemein als das bisher größte Sicherheitsereignis im Jahr 2014 eingestuft wird. "IBM Managed Security Services" konstatierte die größte Angriffswelle auf ihre Kunden mit mehr als 300.000 Attacken innerhalb von 24 Stunden. Der Programmierfehler im OpenSSL, der es erlaubte, von betroffenen Systemen geheime Schlüssel, Passwörter und andere Daten auszulesen, hat langfristige Konsequenzen: Auch wenn die anfänglichen Auswirkungen der Attacke abgenommen haben, wurden im Anschluss weitere gravierende Sicherheitsrisiken im frei zugänglichen Internet entdeckt. Diese beeinflussen noch immer Server auf der ganzen Welt. Die Ereignisse trafen vor allem die E-Commerce-Industrie und stellen auch weiterhin eine Gefahr für die Privatsphäre dar. Heartbleed ist damit gewissermaßen zum Sinnbild des ständigen Wettlaufs zwischen Wirtschaft und Hackern geworden.
13.10.14 - Mac-Nutzer werden mindestens zehn Mal pro Jahr von Mac OS X-Schadsoftware "besucht"
Im August 2014 lag die Wahrscheinlichkeit für eine Infektion durch Schadsoftware auf Geräten mit Mac OS X-Betriebssystem laut Berechnungen von Kaspersky Lab bei etwa 3 Prozent. Verglichen mit dem Infektionsrisiko von 21 Prozent für Windows-Rechner stellt sich die Situation für Mac-User deutlich entspannter dar. Wenn man diesen Wert allerdings in die Zahl möglicher Angriffe umrechnet, scheint der Unterschied nicht mehr ganz so harmlos: Daten des Kaspersky Security Network zufolge könnte ein Nutzer, der mit einem Mac OS X-Rechner im Internet unterwegs ist, mindestens zehn Mal pro Jahr von Schadsoftware betroffen sein.
Im Zeitraum 2013 bis 2014 waren Mac-Nutzer in den USA und Deutschland am meisten gefährdet, Kaspersky Lab deckte dort bis zu 66.000 Angriffe auf. In den nächsten fünf Ländern des Ranking, mit Großbritannien, Kanada, Spanien, Italien und Australien, verzeichnete Kaspersky Lab bis zu 7.700 Alarmmeldungen.
####################
Bestellen Sie hier Ihren persönlichen Newsletter!
Sie wollen täglich informiert sein, haben aber keine Zeit, jeden Morgen durchs Internet zu surfen?
Dann lassen Sie sich durch unseren kostenlosen E-Mail-Service topaktuelle News aus der IT-Securit, Safety- und High Availability-Branche nahebringen.
Das Redaktionsteam von IT SecCity.de hat die wichtigsten tagesaktuellen Meldungen für Sie zusammengetragen - ein Klick auf die entsprechenden Links und Sie befinden sich an den gewünschten Plätzen auf IT SecCity.de und den Schwester-Magazinen SaaS-Magazin.de und Compliance-Magazin.de - einfacher geht's wirklich nicht!
Klicken Sie hier, um den kostenlosen Newsletter-Service zu abonnieren.
Sie erhalten dann in wenigen Minuten eine E-Mail vom System. Bitte klicken Sie auf den Link in der E-Mail und schicken Sie uns eine Bestätigung Ihrer Bestellung.
Der Newsletter wird im html-Format versendet.
Bitte denken Sie daran, den Newsletter bei Ihrem IT-Administrator auf die White-List setzen zu lassen.
####################
Meldungen vom Vortag
10.10.14 - Qualys ermöglicht Erkennung der Bash-Sicherheitslücke Shellshock
10.10.14 - Shellshock macht viele Systeme für Angriffe anfällig
10.10.14 - Sicherheitslücke ShellShock: Radware versorgt Unternehmen mit Angriffsschutz und veröffentlicht Empfehlungen
10.10.14 - Handlungsempfehlungen zum Umgang mit der Bash-Sicherheitslücke
10.10.14 - "Im Vergleich zu Heartbleed, der Sicherheitslücke in OpenSSL Anfang des Jahres, ist Bash noch gefährlicher"
10.10.14 - Bash-Schwachstelle: Neue Linux-/Mac-Bedrohung schlimmer als Heartbleed?
10.10.14 - "Die Auswirkungen können zwar schwerwiegend sein, aber hierbei handelt es sich doch eher um ein 'Mini-Heartbleed'"
10.10.14 - Kostenlose Werkzeuge zum Schutz vor der Sicherheitslücke Shellshock