NCSC: Exchange-lek zorgt voor grote schade bij Nederlandse organisaties
Kwetsbaarheden in Exchange waardoor kwetsbare mailservers op afstand zijn over te nemen zorgen voor grote schade bij Nederlandse organisaties, zo stelt het Nationaal Cyber Security Centrum (NCSC) vandaag. Zo is er data van getroffen organisaties gestolen, zijn servers met malware besmet, backdoors geïnstalleerd en worden mailboxen te koop op internet aangeboden.
Op 2 maart bracht Microsoft noodpatches uit voor vier kwetsbaarheden in Exchange waarmee aanvallers kwetsbare systemen op afstand volledig kunnen overnemen. De beveiligingslekken worden wereldwijd op grote schaal misbruikt. Microsoft meldde vorige week dat er nog 83.000 Exchange-servers op internet zijn te vinden die kwetsbaar voor aanvallen zijn omdat ze de uitgebrachte beveiligingsupdates missen.
Volgens het NCSC zijn er in Nederland nog twaalfhonderd kwetsbare Exchange-servers te vinden waarop de beveiligingsupdates niet zijn geïnstalleerd en moet worden aangenomen dat al deze machines geïnfecteerd zijn. De organisaties achter deze Exchange-servers krijgen het advies om de updates zo snel mogelijk te installeren en te onderzoeken welke schade is aangericht.
Ook voor organisaties en bedrijven die de updates wel hebben uitgevoerd blijft de dreiging van een aanval aanwezig, aldus het NCSC. Voordat Microsoft de beveiligingsupdates op 2 maart uitrolde werd er namelijk al misbruik van de beveiligingslekken gemaakt, onder andere voor het installeren van backdoors. Zo kunnen aanvallers nog steeds toegang tot Exchange-servers houden, ook al zijn die inmiddels gepatcht.
Mailtje sturen of bellen is al voldoende zou je zeggen.
Mailtje sturen of bellen is al voldoende zou je zeggen.
Vermoed dat vele organisaties hun ICT hebben uitbesteed, en door de wijdverspreide aanval nu op een lijstje staan om geholpen te worden.
Daarbij komt ook dat vele organisaties hun documentatie niet op orde hebben. Dus bij elke organisatie moet eerst bepaald worden of back-up systemen goed zijn ingeregeld, voordat een patch wordt uitgerold. Ook al is er een zgn. 'one-click' solution, het daadwerkelijke werk duurt meerdere uren (voorrij tarief, inventarisatie, actieplan, executie patch, acceptatie, administratie, etc.).
De externe ICT dienstverlenende organisaties draaien overuren, met leuk tarief.
Vermoed dat vele organisaties hun ICT hebben uitbesteed, en door de wijdverspreide aanval nu op een lijstje staan om geholpen te worden.
Daarbij komt ook dat vele organisaties hun documentatie niet op orde hebben.
Mocht in de praktijk blijken dat het bij uitbesteden evengoed niet voor elkaar is dan mag daar wel eens een goed gesprek over gevoerd worden!
Zeker als er ook nog eens zoveel kouwe drukte omheen gemaakt wordt als je voorrekent...
Mailtje sturen of bellen is al voldoende zou je zeggen.
Vermoed dat vele organisaties hun ICT hebben uitbesteed, en door de wijdverspreide aanval nu op een lijstje staan om geholpen te worden.
Daarbij komt ook dat vele organisaties hun documentatie niet op orde hebben. Dus bij elke organisatie moet eerst bepaald worden of back-up systemen goed zijn ingeregeld, voordat een patch wordt uitgerold. Ook al is er een zgn. 'one-click' solution, het daadwerkelijke werk duurt meerdere uren (voorrij tarief, inventarisatie, actieplan, executie patch, acceptatie, administratie, etc.).
De externe ICT dienstverlenende organisaties draaien overuren, met leuk tarief.
mjaaaaanee.
Dat is allemaal een goed idee, maar liever geen exchange server dan eentje die gehacked is.
Uit, snapshot, aan, patchen. ja, je domain schema wordt bijgewerkt als je een stevig aantal CU's achterloopt, maar daar backup je over het algemeen ook slecht tegen, dit is er eentje van de klasse "Gewoon gaan"
Ik heb er 2 zelf mogen doen,en een stuk of 20 mogen begeleiden, meer dan de helft van de systeembeheerders dacht dat het wel goed zat omdat ze windows updates draaide.
Mailtje sturen of bellen is al voldoende zou je zeggen.
mailtje sturen lijkt me niet zo handig :-D
FW, IDS/IPS, EPP, snadbox etc updaten/blacklisten met de inmiddels bekende hashes, IPs, DNS.. filepaths, tools
Mailtje sturen of bellen is al voldoende zou je zeggen.
Je weet toch dat MS alleen belt vanuit India? :D
Mailtje sturen of bellen is al voldoende zou je zeggen.
mailtje sturen lijkt me niet zo handig :-D
Je weet toch dat MS alleen belt vanuit India? :D
De exchange servers of de hele organisatie afsluiten van het internet totdat ze hun zaakjes op orde hebben.
Dat werkt veel sneller.
Mailtje sturen of bellen is al voldoende zou je zeggen.
Niet denken dat dat niet gebeurt ...
Ook niet denken dat de toko's waar ze alle patch urgentie gemist hebben wel goed bereikbaar zijn en iets gaan doen als ze even een mailtje krijgen of de receptie een telefoontje krijgt ...
Dat is echt een leermoment als je een tijdje werkt - afleren te verwachten dat mensen zoals je zelf bent en je ICT klasgenoten overal waar een systeem staat werken.
Zouden we niet zoiets ook moeten doen voor die Exchange servers? ze komen hoe dan ook denk ik op een blacklist?
Vermoed dat vele organisaties hun ICT hebben uitbesteed, en door de wijdverspreide aanval nu op een lijstje staan om geholpen te worden.
Daarbij komt ook dat vele organisaties hun documentatie niet op orde hebben.
Mocht in de praktijk blijken dat het bij uitbesteden evengoed niet voor elkaar is dan mag daar wel eens een goed gesprek over gevoerd worden!
Zeker als er ook nog eens zoveel kouwe drukte omheen gemaakt wordt als je voorrekent...
joh naief hoor! die gespreken zijn er pas nadat het kalf....
Zouden we niet zoiets ook moeten doen voor die Exchange servers? ze komen hoe dan ook denk ik op een blacklist?
ik ben benieuwd... waarom had je je MS small business server niet goed gepatched?
Mailtje sturen of bellen is al voldoende zou je zeggen.
Zouden we niet zoiets ook moeten doen voor die Exchange servers? ze komen hoe dan ook denk ik op een blacklist?
Mijn OCD zegt dat dat niets met patchen, maar met configuratie te maken heeft.
sorry!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
