Verkeerd geconfigureerde Oracle-servers lekken massaal data
Verkeerd geconfigureerde Oracle-servers zijn de oorzaak dat de gevoelige gegevens van meer dan 100.000 mensen, alsmede vertrouwelijke gegevens van havens, verzekeringsbedrijven, overheidsinstanties en gezondheidsorganisaties, eenvoudig via het internet toegankelijk waren of nog steeds zijn. Het probleem speelt bij installaties van de Oracle Reports databaseserver waar beheerders de beveiligingscontrole niet hebben ingeschakeld. Een probleem dat al sinds 2012 bekend is.
Normaliter hoort de databaseserver alleen toegankelijk te zijn voor geautoriseerde gebruikers die de informatie binnen een vertrouwd, privénetwerk benaderen. Sommige databasebeheerders zouden de installaties niet goed hebben geconfigureerd, waardoor vertrouwelijke informatie via een Google-zoekopdracht te vinden is. De misconfiguratie zorgt er ook voor dat de diagnostische pagina openstaat, waar wachtwoord en gebruikersnaam zijn te vinden om databasegegevens te benaderen.
Toen Oracle ontdekte dat klanten de beveiligingscontrole niet inschakelden, verscheen er in 2012 een patch die de optie standaard inschakelde. Er zijn echter nog tal van installaties waar de update niet is uitgerold. Sommige experts laten tegenover de Washington Post weten dat ook Oracle een deel van de blaam treft. Het bedrijf zou software hebben uitgegeven die te lastig was om goed te gebruiken en standaardinstellingen had die de beveiliging verzwakten.
http://www.oracle.com/technetwork/topics/security/cpuoct2014-1972960.html
Oracle has received specific reports of malicious exploitation of vulnerabilities for which Oracle has already released fixes. etc.
Na een tijd wordt je als administrator moe van het getalm van een vendor. Verder is er ook de overheersende 'dreiging' van management technieken als je dergelijke praktijken al als een 'techniek' mag benoemen. Het is eerder te vergelijken met kwakzalverij of oorlogje spelen.
Technici mogen niks meer maar worden elke step-of-the-way bij het handje genomen door goedbedoelende kwakzalvers die hen eens zullen leren wat efficiënt werken is, met het boekje in de hand natuurlijk.
Security IS niet zo moeilijk op een operationeel niveau. Maar je rijdt al snel een of andere ambitieuze goedbedoelende kwakzalver in z'n zakkenvullerij ( of wat denk je dat de trend tot outsourcing is ? ) of de CSO of de CISO of de CTO of zelfs de teamlead of allemaal tezaam. Tenminste, zij zijn van mening dat je als niet-specialist per definitie incompetent bent dus MAG je het niet omdat het niet in een of ander hopeloos verouderd 'plan' of 'gids' van het staat neergeschreven.
Kun je die onderbouwen?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
