VS noemt Log4j-lek onacceptabel risico en kondigt noodmaatregelen af
De recent ontdekte kwetsbaarheid in Log4j waardoor aanvallers op afstand code op servers kunnen uitvoeren vormt een "onacceptabel risico" voor de Amerikaanse federale overheid waardoor noodmaatregelen nodig zijn. Dat stelt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security.
Het CISA kan in noodsituaties een "Emergency Directive" afgeven. Daarmee worden federale overheidsinstanties in de VS verplicht om beveiligingsupdates voor een bepaalde datum te installeren of mitigatiemaatregelen door te voeren. Eerder kwam het CISA vanwege het Log4j-lek al met een "Binding Operational Directive" waarin werd gesteld dat de Log4j-patch voor 24 december moet zijn geïnstalleerd.
Vanwege de impact van het beveiligingslek is nu ook een "Emergency Directive" afgegeven. Het CISA stelt dat de kwetsbaarheid een onacceptabel risico vormt en direct noodmaatregelen vereist. Dit is gebaseerd op het waargenomen misbruik van het beveiligingslek, de kans op verder misbruik, de aanwezigheid van de kwetsbare software binnen de Amerikaanse overheid en de grote kans dat aanvallers toegang tot vertrouwelijke systemen krijgen.
In de Emergency Directive staat dat overheidsinstanties alle kwetsbare systemen die vanaf internet toegankelijk zijn meteen moeten patchen. Wanneer dit niet mogelijk is moeten mitigatiemaatregelen worden genomen. Anders dient de kwetsbare software van overheidsnetwerken te worden verwijderd. Overheidsinstanties krijgen tot en met 28 december de tijd om aan het CISA te laten weten welke maatregelen ze hebben genomen en voor welke software.
Dat staat er toch ?
Het is een bindende aanwijzing voor federale instanties dat ze moeten patchen of mitigeren op heel korte termijn.
Overheidsinstanties zijn hierarchisch - maar voor een hoop keuzes is het hoogste management van een instantie de eindbeslisser - in prioriteit, budget e.d. . En voor veel dingen een stuk lager - directeur IT bijvoorbeeld.
Hier komt de beslissing dan van nog een stapje erboven , en wordt de prioriteit en deadline van (nog) hoger opgelegd aan federale overheidsinstanties. Als die instanties het goed voor elkaar hadden maakt het niet uit - dan hebben ze zelf al ingeschat dat dit issue hoogste prioriteit heeft en heel snel opgelost moet worden .
Maar zo niet is dit de schop onder kont dat ze andere zaken maar even moeten parkeren om dit op te lossen.
Was het maar zo, aankomende week weinig concentratie omdat de scholen dicht zijn, concentratie met thuis werken is ook niet te doen...
Was het maar zo, aankomende week weinig concentratie omdat de scholen dicht zijn, concentratie met thuis werken is ook niet te doen...
LOL.
Je kan ook:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
COMMIT
Was het maar zo, aankomende week weinig concentratie omdat de scholen dicht zijn, concentratie met thuis werken is ook niet te doen...
Het volgende scenario is wat er voorvalt bij een kortdurende landelijke ICT/Telecom uitval.
Categorie B
o Economische gevolgen > ca. 5 miljard euro schade of ca. 1,0 % daling reëel inkomen.
o Fysieke gevolgen: meer dan 1.000 personen dood, ernstig gewond of chronisch ziek.
o Maatschappelijk: > 100.000 personen emotionele problemen of ernstige overlevingsproblemen.
https://www.nctv.nl/onderwerpen/vitale-infrastructuur/overzicht-vitale-processen
LOL.
Je kan ook:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
COMMIT
Ik nam aan dat men de applicatie/servlet server wel in gebruik wilde blijven houden.
De iptables die jij noemt zijn nonsens. Je hebt een interface UP gebracht om vervolgens al het verkeer te droppen. Waarom de interface dan niet gewoon DOWN brengen?
Dat staat er toch ?
Het is een bindende aanwijzing voor federale instanties dat ze moeten patchen of mitigeren op heel korte termijn.
Overheidsinstanties zijn hierarchisch - maar voor een hoop keuzes is het hoogste management van een instantie de eindbeslisser - in prioriteit, budget e.d. . En voor veel dingen een stuk lager - directeur IT bijvoorbeeld. ... .
We zetten 1 miljoen ervaren beheerders aan het werk en de log4j groep krijgt onbeperkt budget en mankracht om het op tijd te regelen. Totaal niet realistisch, hoeveel nonsense dat wel zinnig lijkt valt er te produceren? Spoiler zeer veel.
Wat me opvalt dat de kwetsbaarheid vooral genoemd wordt voor web en anderen toegangen. Het lijkt door te slaan dat als het ergens met lokale bestandlogging zonder aparte toegangswegen (geen web) ook als probleem gezien wordt.
Gezien de lijst bij het NCSC kun je de computers overal beter uit zetten. https://www.ncsc.nl/onderwerpen/log4j
Dat staat er toch ?
Het is een bindende aanwijzing voor federale instanties dat ze moeten patchen of mitigeren op heel korte termijn.
Overheidsinstanties zijn hierarchisch - maar voor een hoop keuzes is het hoogste management van een instantie de eindbeslisser - in prioriteit, budget e.d. . En voor veel dingen een stuk lager - directeur IT bijvoorbeeld. ... .
Als bij een dreigende doorbraak van een rivierdijk zandzakken op de dijk worden geplaatst dan betekent het risico dat men niet snel genoeg is of dat het te weinig is, en de dijk toch doorbreekt, niet dat de beslissing om zandzakken te leggen niet genomen is.
LOL.
Je kan ook:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
COMMIT
Ik nam aan dat men de applicatie/servlet server wel in gebruik wilde blijven houden.
De iptables die jij noemt zijn nonsens. Je hebt een interface UP gebracht om vervolgens al het verkeer te droppen. Waarom de interface dan niet gewoon DOWN brengen?
Geen gevoel voor humor zeker?
LOL.
Je kan ook:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
COMMIT
Ik nam aan dat men de applicatie/servlet server wel in gebruik wilde blijven houden.
De iptables die jij noemt zijn nonsens. Je hebt een interface UP gebracht om vervolgens al het verkeer te droppen. Waarom de interface dan niet gewoon DOWN brengen?
Voor thuis: Gebruik een applicatie firewall en weet welk verkeer je toestaat. Heeft al veel ellende voorkomen.
Alleen als je het account wachtwoord hebt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
