Abo
  • Services:

Sicherheitsaudit: US-Heimatschutzministerium nutzt altes Flash und Windows

Ausgerechnet das Ministerium, das für den Bereich IT-Sicherheit in den USA verantwortlich ist, hat zahlreiche systemische Schwachstellen in seinem Netzwerk, wie ein Audit festgestellt hat. Es gibt falsch konfigurierte Windows-Systeme und zum Teil uralte Softwareversionen.

Artikel veröffentlicht am ,
Nach dem Bericht dürfte beim DHS keine Feierlaune ausbrechen.
Nach dem Bericht dürfte beim DHS keine Feierlaune ausbrechen. (Bild: Drew Angerer/Getty Images)

Das US-Heimatschutzministerium (Department of Homeland Security, DHS) hat zahlreiche Probleme mit der Sicherheit der eigenen IT-Infrastruktur [PDF]. In einem Audit wurde festgestellt, dass das Ministerium wichtige Patches nicht installiert hat, alte Flash-Versionen installiert und viele Konfigurationen problematisch sind. The Register hatte zuerst darüber berichtet.

Stellenmarkt
  1. Dataport, Altenholz bei Kiel
  2. IMD Institut für Medizinische Diagnostik GmbH, Berlin-Steglitz

64 Systeme des Ministeriums haben dem Audit zufolge so gravierende Mängel, dass sie überhaupt nicht mehr betrieben werden dürfen. 16 dieser Rechner werden dabei genutzt, um als geheim klassifiziertes Material zu bearbeiten. Zahlreiche Rechner haben aber auch andere Probleme.

In der Windows-Konfiguration der DHS-Rechner gibt es offenbar ebenfalls grundlegende Probleme: So wurden Exchange-Ordner im Cache-Modus indexiert, was einem Angreifer auf dem System Zugriff auf E-Mails gegeben hätte, außerdem war das Registry-Auditing nicht aktiviert, so dass unerwünschte Änderungen an der Windows-Registry nicht ohne weiteres erkannt werden können. Außerdem war die anonyme Ordnerfreigabe im Netz nicht bei allen Rechnern deaktiviert.

Nichtunterstützte Windows-Versionen

Bei einigen Einheiten des Heimatschutzministeriums - etwa der Küstenwache - werden auch nicht mehr unterstützte Versionen von Windows eingesetzt, etwa Windows Server 2003, das bereits seit Juli 2015 keine Updates mehr bekommt. Zahlreiche Rechner mit Windows Server 2008 und 2012 "haben keine Sicherheitspatches für Oracle Java, eine nicht mehr unterstützte Version des Internet Explorer und eine verwundbare Version von Microsofts Sidebar und Gadget-Programmen", heißt es in dem Bericht. Einige Applikationen seien auf dem Stand des Jahres 2013 gewesen.

Einige der Rechner weisen nach Darstellung des Berichts auch rund ein Jahr nach dem Wanna-Cry-Ausbruch keine Patches für die Sicherheitslücke im SMBv1-Protokoll auf, auch Patches für Adobe Flash, Shockwave und Acrobat wurden festgestellt. Abschließend heißt es daher: "Bis DHS es schafft, die systemischen Schwachstellen zu beseitigen, wird es nicht in der Lage sein sicherzustellen, dass ihre IT die von der Behörde gespeicherten und verarbeiteten vertraulichen Daten adäquat schützt."

Berichte wie dieser zeigen, welche Probleme in realen IT-Landschaften oft existieren - und dass Angreifer nicht immer über hochspezialisierte Werkzeuge verfügen müssen, um Informationen zu kopieren oder Rechner zu infizieren. Die meisten Infektionen von Unternehmen laufen nach wie vor über Phishing sowie die Ausnutzung bekannter Schwachstellen und nicht über 0-Day-Exploits. In Deutschland wird derzeit ein Angriff auf Rechner im Regierungsnetzwerk untersucht, hier soll der Angriff über E-Learning-Module erfolgt sein.



Anzeige
Top-Angebote
  1. (u. a. Just Cause 4 für PC/PS4/Xbox 25,00€)
  2. 18,99€ (nur für Prime-Kunden)
  3. 99,00€ (bei otto.de)
  4. 54,99€

Argh 09. Mär 2018

Es gibt sogar diverse Stell Dir vor, in etwas abgewandelter Form mit einmaligen...

/mecki78 08. Mär 2018

Weil es eben nur Deppensicher ist und nicht "Super Volldeppensicher", sprich, er kommt...

burzum 08. Mär 2018

Ich wette auf eine ewig alte Version von Moodle oder eine ähnliche php-Bruchbude. Damit...


Folgen Sie uns
       


Microsoft Hololens 2 - Hands on (MWC 2019)

Die Hololens 2 ist Microsofts zweites AR-Headset. Im ersten Kurztest von Golem.de überzeugt das Gerät vor allem durch das merklich größere Sichtfeld.

Microsoft Hololens 2 - Hands on (MWC 2019) Video aufrufen
Thyssen-Krupp Testturm Rottweil: Herr Fetzer parkt die Aufzugkabine um
Thyssen-Krupp Testturm Rottweil
Herr Fetzer parkt die Aufzugkabine um

Ohne Aufzüge gäbe es keine Hochhäuser. Aber inzwischen sind Wolkenkratzer zu hoch für herkömmliche Systeme. Thyssen-Krupp testet derzeit einen neuartigen Aufzug, der beliebig hoch fahren kann. Inspiriert ist er vom Paternoster und dem Transrapid. Wir waren im Testturm.
Ein Bericht von Werner Pluta

  1. Ceramic Speed Hätte, hätte - Fahrrad ohne Kette
  2. Geheimdienste und Bundeswehr Masterstudiengang für Staatshacker gestartet
  3. Sonitus Technologies Zahnmikrofon sorgt für klare Kommunikation

Google: Stadia tritt gegen Gaming-PCs, Playstation und Xbox an
Google
Stadia tritt gegen Gaming-PCs, Playstation und Xbox an

GDC 2019 Google streamt nicht nur so ein bisschen - stattdessen tritt der Konzern mit Stadia in direkte Konkurrenz zur etablierten Spielebranche. Entwickler können für ihre Games mehr Teraflops verwenden als auf der PS4 Pro und der Xbox One X zusammen.
Von Peter Steinlechner


    Flugzeugabsturz: Boeing 737 MAX geht wegen Softwarefehler außer Betrieb
    Flugzeugabsturz
    Boeing 737 MAX geht wegen Softwarefehler außer Betrieb

    Wegen eines bekannten Softwarefehlers wird der Flugbetrieb für Boeings neustes Flugzeug fast weltweit eingestellt - Die letzte Ausnahme war: die USA. Der Umgang der amerikanischen Flugaufsichtsbehörde mit den Problemen des neuen Flugzeugs erscheint zweifelhaft.

    1. Boeing Rollout der neuen 777X in wenigen Tagen
    2. Boeing 747 Der Jumbo Jet wird 50 Jahre alt
    3. Lufttaxi Uber sucht eine weitere Stadt für Uber-Air-Test

      •  /