Citeer: "Microsoft legt uit wat je moet doen na een security incident "

Dan hebben ze een hoop uit te leggen :)

Had dit niet op 1 april gepost dienen te worden? :P

Dit hadden jullie op 1 april moeten posten.... was het geloofwaardiger
geweest :-)

Herinstallatie?????

Hmm interessant Technet-artikel. Als ik het kort samenvat,
staat er ongeveer:
- bekijk wat er precies gebeurd is
- voorkom emotioneel (irrationeel) handelen
- doe er wat aan voor de volgende keer.
Sja, je moet wel een guru zijn om zoiets te kunnen bedenken.
Zeer waardevol. Microsoft, bedankt!

.... de Linsys router eruit trappen.

te

Klopt. Maar dit documentje gaat meer over wat te doen daarna. Nadat alle
troep is opgeruimd en weer werkt. Het is meer een soort evaluatie van de
genomen acties. Om ervan te leren en om te kijken hoe je in het vervolg
dergelijke incidenten kan voorkomen/sneller kan verhelpen/sneller kan
signaleren.

Sneller herinstalleeren kan je aan de hand van een image
doen... ;)

Ja en als je dan niet verder kijkt dan je neus lang is heb je binnen de
kortste keren exact hetzelfde incident. Ergo, die image zal geupdate
moeten worden. Nazorg dus...

Hallo,

Mijn website met 10.000 unieke en 50.000 pagevieuws per dag is nog
paar weken gehackt.

Heb het gemeld bij de politie maar daar blijken ze neit echt serieus in te
zijn. Tenminstens zo kwam het over..

Weten jullie wat ik nu het beste kan doen?

Ok. Backup al je data. Formatteer en installeer de complete server vanaf
originele media. Update het hele systeem. Zet je backup terug.

En nu de vraag: Hoe weet je dat je gekraakt bent? Welk OS+webserver
gebruik je? Wat voor webapplicatie draait erop?

Een aardig stukje info van Technet, maar het laat de
handelingen die nodig zijn in de kritieke situaties buiten
beschouwing. Hadden ze op zn minst even moeten vermelden,
want dit verhaal leert dus maar een klein deel van wat
verstandig is te doen na een security incident.

Je beheert zo'n website, maakt je vooraf dus niet druk over
hoe te handelen en weet bij het vragen om hulp helaas geen
relevante en weinig informatie over het probleem op te
rakelen. Ik zou serieus gaan nadenken over je positie als
beheerder.

Tot zover de kritiek.
De politie lijkt weinig intresse te tonen: vraag je eerst
eens af wat voor informatie je ze gegeven hebt, wat voor
site het is en hoe serieus je dat dan zou beschouwen als
agent. Ze hebben het helaas druk, dus je moet echt met iets
bijzonder duidelijke info komen voordat ze wat voor je
kunnen betekenen.

Wat je zelf moet doen: wat heb je al gedaan behalve bij de
politie langs gaan? De server veilig stellen, sporen
verzamelen als je die nodig wil hebben, het systeem
herstellen en eventueel patchen, eventueel gebruikers (en de
beheerders :-) ) op de vingers tikken.

Laten ze nou net het beste antwoord "vergeten": overstappen
op Linux!

Laat jij nu net dat document niet gelezen hebben. Je kan dat MS document
ook gebruiken nadat je Linux servertje is gekraakt...

Mijn Linux-server kraken ze alleen niet zo snel als een MS-bak.

Keep living in a dream world... Jouw linux-server is net zo snel te kraken
als mijn MS server :p Het is gewoon een kwestie van configureren en weten waar je mee bezig bent.... Als je me niet gelooft moeten we een keer wat afspreken. Dan zet ik een MS server op en mag jij naar hartelust proberen ;-)

Dit lijkt op: mijne is groter dan die van jou.

mailen naar info at nhtcc.nl, het National High Tech Crime Center. Ben net
naar een lezing van ze geweest en dit soort meldingen horen ze graag.
Niet zozeer om direct de dader te achterhalen wellicht (al gebeurt dat wel
soms), maar ook voor de statistieken en onderzoek naar daderprofielen en
zo.

Whahaha die gast wil veiligheidslekken wegconfigureren.

Alsof bijvoorbeeld default passwords en world writable
directories geen beveiligingslekken zijn. :S Als dat geen
configuratiefouten zijn, dan hoor ik graag wat er volgens
jullie wel onder valt. Zelfs als unix sympathisant sluit ik
me aan bij het punt dat een default linux/unix installatie
vaak net zo onveilig is als een default windows installatie.
Tenzij het systeem OpenBSD heet natuurlijk. :)

En ja, buffer overflows, malloc exploits, integer overflows,
sql injections, en wat voor fouten in de code dan ook, zijn
inderdaad ook beveiligingslekken. Als je bedoelt dat je
dergelijke fouten niet kunt "wegconfigureren"( die stond nog
niet in mijn vocabulaire trouwens :P) kan ik me er tot op
zekere hoogte wel iets bij voorstellen. Alhoewel
bijvoorbeeld een stack overflow met een non executable stack
configuratie wel degelijk wegconfigureerbaar(ik leer iig
vette scrabblewoorden van je :P ) is. ;)

Maar goed, ongegronde statements roepen schijnt hier stoer
te zijn heb ik af en toe het idee. Moet ik ook maar eens
proberen dan. "Unix zuigt!". ;)

Shit. Laat ik me toch weer door zo'n troll uit m'n tent lokken...