Verkeerd geconfigureerde Oracle-servers lekken massaal data
Verkeerd geconfigureerde Oracle-servers zijn de oorzaak dat de gevoelige gegevens van meer dan 100.000 mensen, alsmede vertrouwelijke gegevens van havens, verzekeringsbedrijven, overheidsinstanties en gezondheidsorganisaties, eenvoudig via het internet toegankelijk waren of nog steeds zijn. Het probleem speelt bij installaties van de Oracle Reports databaseserver waar beheerders de beveiligingscontrole niet hebben ingeschakeld. Een probleem dat al sinds 2012 bekend is.
Normaliter hoort de databaseserver alleen toegankelijk te zijn voor geautoriseerde gebruikers die de informatie binnen een vertrouwd, privénetwerk benaderen. Sommige databasebeheerders zouden de installaties niet goed hebben geconfigureerd, waardoor vertrouwelijke informatie via een Google-zoekopdracht te vinden is. De misconfiguratie zorgt er ook voor dat de diagnostische pagina openstaat, waar wachtwoord en gebruikersnaam zijn te vinden om databasegegevens te benaderen.
Toen Oracle ontdekte dat klanten de beveiligingscontrole niet inschakelden, verscheen er in 2012 een patch die de optie standaard inschakelde. Er zijn echter nog tal van installaties waar de update niet is uitgerold. Sommige experts laten tegenover de Washington Post weten dat ook Oracle een deel van de blaam treft. Het bedrijf zou software hebben uitgegeven die te lastig was om goed te gebruiken en standaardinstellingen had die de beveiliging verzwakten.
http://www.oracle.com/technetwork/topics/security/cpuoct2014-1972960.html
Oracle has received specific reports of malicious exploitation of vulnerabilities for which Oracle has already released fixes. etc.
Na een tijd wordt je als administrator moe van het getalm van een vendor. Verder is er ook de overheersende 'dreiging' van management technieken als je dergelijke praktijken al als een 'techniek' mag benoemen. Het is eerder te vergelijken met kwakzalverij of oorlogje spelen.
Technici mogen niks meer maar worden elke step-of-the-way bij het handje genomen door goedbedoelende kwakzalvers die hen eens zullen leren wat efficiënt werken is, met het boekje in de hand natuurlijk.
Security IS niet zo moeilijk op een operationeel niveau. Maar je rijdt al snel een of andere ambitieuze goedbedoelende kwakzalver in z'n zakkenvullerij ( of wat denk je dat de trend tot outsourcing is ? ) of de CSO of de CISO of de CTO of zelfs de teamlead of allemaal tezaam. Tenminste, zij zijn van mening dat je als niet-specialist per definitie incompetent bent dus MAG je het niet omdat het niet in een of ander hopeloos verouderd 'plan' of 'gids' van het staat neergeschreven.
Kun je die onderbouwen?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?