Netzwerkgeräte bei Ransomware - Austausch oder Reset?

Moin,

ganz grob:

kommt auf die Größe des Unternehmens und meist auch auf die Frage an, ob eine Cyberversicherung involviert ist. Ist das der Fall, will diese ggf. - und ab gewisser Unternehmens- = Schadensgröße sogar sicher mit eigenem Gutachter besichtigen. Dagegen steht das Interesse des Unternehmens an schnellstmöglicher Wiederherstellung der Arbeitsfähigkeit *). Daher wird schon aus diesen Erwägungen jedenfalls teilweise neue Hardware im Spiel sein.

Sofern es das Budget her gibt, ist es darüber hinaus auch sinnvoll, das Kernnetz ausschließlich mit neuen Komponenten aufzusetzen, da ja erst einmal überprüft werden müsste (sofern die Kompetenz dafür vorhanden und zeitlich einsatzbereit ist), ob und inwieweit ein Befall möglich ist. Hat sich Ransomware aber erst einmal "gemütlich" ausgebreitet, müssen alle Einfallstore und Zentralkomponenten als kompromittiert betrachtet und vollständig neu aufgebaut werden. Clients etc. dürfen natürlich ebensowenig direkt an das neue Netz angeschlossen werden, sonst geht es im Zweifelsfall direkt wieder los.

Gruß

DivideByZero

*) Das darf man nicht unterschätzen. Der Stillstand eines Unternehmens, in dem IT-Prozesse elementar sind, kostet sehr schnell deutlich mehr als alle anderen Schadenpositionen zusammen. Ein Elektroinstallationsbetrieb kann fraglos trotzdem beim Kunden weiterarbeiten, ein Ingenieurbüro mit hochqualifizierten (=teuren) Mitarbeitenden dagegen ist lahmgelegt. Da geht es um Stunden, nicht Tage oder Wochen in der Wiederherstellung der Arbeitsfähigkeit, da bleibt gar keine Zeit, sorgfältig und gründlich die Komponenten zu überprüfen, so dass in einem solchen Fall eigentlich - Budget vorausgesetzt - nichts anderes als neue Hardware für ein Kernnetz infrage kommt.

Pauschal nicht zu beantworten.

Faktoren wie Zeit und Cyberversicherungen spielen sicherlich eine Rolle.

Technisch betrachtet finde ich es eher abwegig. Angenommen, du hast einen Verschlüsselungstrojaner der in Windows Dateien verschlüsselt und kein gezielter Angriff auf dein Unternehmen war. Es ist abwegig anzunehmen, das dann auch dein Cisco Switch in der Ecke plötzlich mit Russland Kontakt hält. Die Annahme, alles ist kompromittiert, ist zwar erstmal gut, aber kann unmöglich die einzige Wahrheit sein. Das würde auch bedeuten, das du keinen Restore von Daten aus deinem Backup in deine neue, saubere Umgebung machen dürftest. Diese Daten könnten Schadsoftware enthalten.

Einen Switch würde ich vermutlich nicht mal zurück setzen und wenn, dann die Config aus einem Backup eventuell wieder einspielen. Man wird sich aber immer ansehen müssen, was passiert ist und dann eine Entscheidung treffen.

Hi..
Bei einem ehem. Unternehmen hat die Versicherung darauf bestanden, dass das KOMPLETTE Netz ausgetauscht wird.
Hardwareseitig: PC's, Server, Drucker, Plotter, WLAN, Switches, Beamer... eben alles was am Netz hing. Es konnte nicht sichergestellt werden ob die Firmware betroffen war - die meisten Hersteller hatten für sowas keinen Support. Stand damals 2017 - Kostenpunkt damals ca. 5 Millionen... Was die Versicherung trug weiß ich leider nicht und wurde mir auch nicht mitgeteilt.

Gruss Globe!

Hey,

die Unternehmen welche ich mit solch einer Situation kenne, haben das komplette Equipment ausgetauscht.
Cyberversicherungen sind quasi nichtig wenn keine Lückenlose Doku über den Vorfall vorhanden ist.
Kann man nicht den Nachweis erbringen, dass zu Zeitpunk X folgender Angriff passiert, so sieht es mit Unterstützung von der Seite sehr schlecht aus.

Außerdem muss das Unternehmen so schnell wie möglich wieder sicher an den Start.
Wir haben dafür Notfall Verträge mit Dienstleistern, die uns ein Minimum an Hardware quasi sofort liefern können sofern so ein Fall Eintritt.

Eine Perfekte Lösung gibt es nicht. Außer man hat quasi unendlich Geld.

Gruß
Spirit

Moin

Wenn man der für das Netz verantwortliche ist, dafür sorgen, daß es erst gar nicht soweit kommt.Ransomware fällt nämlich nicht einfach so vom Himmel.


Und einen Notfallplan bereit haben, das man den (Not-)Betrieb innerhalb kürzester Zeit mit neuem Equipment wiederaufnehmen kann. Das ist nicht nur für Ransomwarefälle wichtig, sondern falls auch mal ie Bude abbrennt oder unter Wasser steht.

lks

Zuerst mal hängt das aus meiner Sicht davon ab - was WURDE überhaupt betroffen? War es die arbeitsstation von irgendeinem Mitarbeiter oder war es ne Admin-Station? Dann hängt es auch davon ab - was kann man überhaupt beschaffen? Hilft ja nix wenn ich sage "ich tausche alles aus", der Lieferant mir dann aber sagt "kein Ding, in 3 Monaten hast die Hardware". Und dann natürlich auch vom Status der Hardware - ist die eh EoL, dann das ganze gleich in einem Rutsch mitmachen, wenn die aber noch recht neu ist dann eher schauen ob die betroffen war und wie ich das verhindern kann. Für die Versicherung halt im zweifel nen Image von allen machen und klären wie es weiterläuft - denn ich kann die Geräte eh nicht einfach weiterlaufen lassen wenn ich nicht weiss wer da ggf. schon zugriff hat.

Moin,
das ist ab einer gewissen Größe, Geräte Anzahl, Komplexität fast unmöglich. In der Regel hast du dann nicht nur ein Betriebsteam sondern mehrere. Wenn du Pech hast quer verteilt in Europa/weltweit. Da hast du immer das Risiko, dass was passiert.

Wir haben bis dato alle Geräte in dem betroffenen Netzbereich getauscht, egal welcher Typ. Das Risiko ist einfach zu groß, dass es dort nochmals in 2 Wochen, 3 Monaten erneut soweit kommt. Das wäre doch suboptional für allen Beteiligten.

Wir haben in der Regel ein Lager für solche Fälle. Da sind für jeden Gerät Typ entsprechende Stückzahlen vorhanden. So dass wir in der Regel innerhalb von 2-3 Tagen wieder eine Grundfunktion haben. Klar, dass ist totes Kapital in dem Lager. Aber wer schon mal ausgerechnet hat, was ein Ausfall von Wochen oder Monaten kosten kann, ist das vertretbar bzw. sehr geringe Kosten. Mal abgesehen von Imageschaden, evtl. Strafzahlungen an Kunden, etc.

Es sollte auch der letzte inzwischen kapiert haben, dass es nur eine Frage ist wann es passiert. Es wird auf jeden Fall passieren.


Gruß,
Dani

Moin,

"klassische" Ransomware hat Netzwerkgeräte nicht als Ziel. Es gibt auf diesen kein passendes Dateisystem wie NTFS oder EXT4. Angriffsvektor ist dann aber kein direkter Hackerangriff durch die "Vordertür" sondern eher Email, unbekannte Datenträger oder Weblinks. Somit ist es essenziell wichtig, dass ein gut funktionierender Endpunkt-Schutz vorhanden ist.

Dieser Typ von Geräten wird, wenn es mal passiert, durch Sicherheitslücken kompromittiert und hat zur Folge, dass die Firmware verändert oder zerstört wird. Damit ist ein weiterer Betrieb zwecklos.

Es gab in der Vergangenheit einige Beispiele z.B. VPNFilter (Router von Linksys, MiktoTik, Netgear...) oder Cyclops Blink (Firewalls von Watchguard). Ziel war aber eher Spionage und/oder Zerstörung.

Die meiste Schadsoftware "von der Stange" kommt per E-Mail oder Browser und greift dann z.B. Dateien an. Das kann aber auch genau andersrum sein, deine Firewall oder dein Exchange fängt sich was, der Angreifer sitzt aber deswegen noch nicht überall im System.