Cybersicurezza, Generali e Fantaccini

Dies ist ein automatisch aus dem Italienischen übersetzter Text. Wenn Sie unsere Arbeit schätzen und sie gerne in Ihrer Sprache lesen, denken Sie über eine Spende nach, damit wir sie weiterhin durchführen und verbessern können.

Die Artikel von Cassandra-Kreuzung Ich bin unter Lizenz CC BY-SA 4.0 | Cassandra-Kreuzung ist eine Spalte, die von erstellt wurde Marco Calamari mit dem „nom de plume“ von Kassandra, geboren 2005.

Über die Verdammte Hacker von letzter Woche...

Dieser Artikel wurde geschrieben am 6. Februar 2023 von Cassandra

Cassandra Crossing 531/ Cybersicherheit, Generäle und Infanteristen

In der Welt der Cybersicherheit weiß jeder, was los ist. Sie sind scheiße! Was könnte getan werden, um sie zu ändern?

Auch dieses Wochenende ist das „Verdammte Hacker„haben die Hauptsendezeitnachrichten erobert, den Premierminister bewegt und sogar den Mitgliedern der National Cybersecurity Agency schlaflose Nächte bereitet (mit einem „y“ und vielen Dank an DataKnightmare für das Schlagwort!).

Cassandra hingegen war sich dessen überhaupt nicht bewusst. Sie verbrachte den Samstag- und Sonntagmorgen ohne Verbindung und ohne Fernseher. Und als abends um 20.30 Uhr die erste große Schlagzeile in den Nachrichten erschien, fragte ihn sein Umfeld zu Recht: „Was ist los?“

Berechtigte Frage, denn die Lektüre von 10 Minuten Nachrichten, Pressemitteilungen und Erklärungen, sogar des Premierministers, erwies sich, wenn man sie der asimovischen Analysetechnik unterzog (siehe „Der Stiftungszyklus“), als leer von jeglichem Inhalt oder Informationen.

Da die oben genannte Person die höchste Autorität über den Unterzeichner hat, hat er kurz bei Google nachgeforscht und herausgefunden, dass eine spezielle Malware einen bestimmten Servertyp (VMWare ESXi) befallen hatte, der, nachdem er im Internet aufgedeckt wurde und zwei Jahre lang Patches fehlten, hatte eine Sicherheitslücke, die von spezialisierter Ransomware ausgenutzt wurde. Beachten Sie, dass der Hersteller das Problem bereits vor zwei Jahren erkannt und sofort behoben hat.

Er entdeckte auch, dass das Phänomen bereits 24 Stunden zuvor in Frankreich begonnen hatte, wo das Äquivalent des ACN In Frankreich, des örtlichen CERT und der ANSSI – Agence Nationale de la Sécurité des Systèmes d'Information (dort auch mit dem „y“) , aber unter Verwendung von Wörtern aus dem französischen Vokabular) – hatte eine einfache Erklärung ohne übermäßige Panikmache abgegeben, in der über das Phänomen und die notwendigen Gegenmaßnahmen berichtet wurde.

Ja, denn es hat gereicht, einen Patch einzufügen, und es wäre nichts passiert.

Jetzt weiß sogar Cassandra, dass das Patchen eines ESXi-Servers nicht trivial ist, denn man müsste zwei im Lastausgleich haben, die gesamte Last auf einen verlagern, den zweiten ausschalten und patchen und dann den Vorgang mit vertauschten Rollen wiederholen, mit wahrscheinliche Störungen für Kunden und schlaflose Nächte für Systemadministratoren. Redundante Systeme kosten ein Vermögen, sind aber nützlich.

Oder Sie mussten das spezielle VMWare-Softwaremodul zum Einspielen von Hot-Patches gekauft haben, was zwar einiges zu kosten scheint, aber auch hier offensichtlich nützlich ist.

Und in jedem Fall wäre es notwendig gewesen, über ausreichend technisches Personal zu verfügen, um die Situation unter Kontrolle zu halten (auf Italienisch heißt es einfach „Server verwalten“), und nichts davon wäre jemals passiert. Und im Übrigen gehören die meisten Cybervorfälle auch nicht der Vergangenheit an.

Die Tatsache, dass es sich dabei um spezialisierte Server zur Verwaltung virtueller Maschinen handelt, kann erklären, warum nicht einmal die wenigen Journalisten mit IT-Kenntnissen etwas verstanden haben. Und das hatte zur Folge, dass widerspenstige Computersicherheitsprofessoren von Fernuniversitäten vor die Kamera gestellt und lange vergewaltigt wurden, bis sie sagten: Ja, es könnten russische Hacker gewesen sein.

Bitte geben Sie diesen armen Journalisten, die Sie eindringlich fragen, sofort einen „verdammten Hacker“; Sie brauchen es so sehr, dass sie die Fakten nicht verstehen müssen und über etwas anderes sprechen können, nicht über wichtige Neuigkeiten!

Die Tatsache, dass es Sonntag war, kann erklären, warum Medien und Politik ein erhebliches, aber nicht außergewöhnliches oder blockierendes Problem übertrieben haben. Die Region Latium und ACEA zum Beispiel wurden mit viel weniger Fanfare und dem Zerreißen von Kleidung zu Fall gebracht, dennoch handelte es sich um ein Problem mit Folgen auf nationaler Ebene und für die gesamte Bevölkerung, das wochenlang anhielt.

Nach dieser langen Einführung kann Cassandra erklären und prophezeien.

Wenn wir die Medien bei Laune halten und über den „Krieg gegen russische Hacker“ sprechen wollen, ist die Ursache von allem ein Krieg, der mit einer Armee geführt wird, die nur aus Generälen und einigen wenigen Offizieren besteht. Wo es mehr Luftwaffen-Generäle als Flugzeuge, Armee-Generäle als Panzer gibt. Wo es nur sehr wenige oder gar keine Soldaten gibt, nicht die der Spezialeinheiten, sondern die einfachen Infanteristen in den Schützengräben, wie der Soldat Nemecsek in „Die Jungs aus der Paalstraße“.

Selbst die ACN-Einstellungsausschreibungen mit einem „y“ sind so formuliert, dass ohne ein „Anschreiben“ einer „maßgeblichen“ Person eine Bewerbung gar nicht möglich ist, ebenso wenig wie bei großer Erfahrung aber es hat zu viel Zeit und Jahre gedauert, es anzusammeln.

Cassandra, aber auch mindestens hundert andere Leute aus der italienischen „Szene“, könnten jedem und ohne Aufwand mindestens zwanzig Namen von Leuten nennen, die sowohl in Hochschul- als auch in Rekrutierungspositionen aufgenommen werden sollten (keine Generäle, um Himmels willen). Vorausgesetzt natürlich, dass ihm angemessene Positionen und Gehälter angeboten wurden (ja, es ist auch notwendig, über abscheuliche Pecunia nachzudenken)

Würde der Staat sie wollen? Anscheinend nicht, sie sind keine Beamten, der Staat ist es gewohnt, nur Beamte oder Pseudo-„Techniker“ einzustellen, die es kaum erwarten können, einer zu werden.

Würden Unternehmen sie wollen? Egal, Computersicherheit und gut gemachte Informationssysteme sind nur Kosten, die es zu senken gilt, zumal es Versicherungspolicen zur Deckung von Schäden gibt.

Es gibt keine politische Lösung. Es gibt keine technische Lösung.

Eine gesetzgeberische Lösung könnte funktionieren.

Eine GSPR nach dem Vorbild der DSGVO oder 626. Ein Gesetz, das a priori die Verantwortung für die Folgen eines nicht umgesetzten IT-Sicherheitsproblems auf Kosten (auch krimineller, wenn Betrug vorliegt) der obersten Leitung staatlicher Stellen und privater Unternehmen auferlegt, und das könnte sie 4% des weltweiten jährlichen Bruttoumsatzes kosten.

Andernfalls wird der schmerzhafte Status quo der italienischen Cybersicherheit, den jeder außer Journalisten und Politikern kennt und der nicht nur auf italienischer, sondern weltweiter Ebene weit verbreitet ist, für immer bestehen bleiben.

In jedem Fall werden die Folgen in Bezug auf Ineffizienzen, Schäden und Kosten der Folgen des Schadens immer von den Üblichen getragen.

Marco Calamari