8. Februar 2009
Soso, die Bundeswehr gründet eine Cyberwar-Einheit, die „Abteilung Informations- und Computernetzwerkoperationen“ schreibt der Spiegel. 76 Mann stark und abgeschottet in einer Kaserne. Das kann nicht funktionieren. Gerade Hacking lebt stark vom Austausch mit anderen, die neue Verfahren entwickeln, Sicherheitslücken analysieren und Ideen ausprobieren. Und eine „geheime“ Bundeswehrtruppe ist ungefähr genau das Gegenteil davon.
Andererseits tut sich mir da eine prima Geschäftsidee auf. Genau wie es in konventionellen Konflikten private Söldnertruppen gibt, beispielsweise die berüchtigte Blackwater, deren Leute neulich erst aus dem Irak rausgeflogen sind, könnte man sich das im Cybewar doch auch vorstellen.
Wenn also dieses Blog hier demnächst unter der URL www.schwarzwasserhacking.de erscheint … 😉
Nachtrag:
Fefe lästert auch schon fleißig 🙂
Die Webseite des Snake Oil- Virenscanner-Herstellers Kaspersky in den USA wurde offensichtlich ein klein wenig gehackt. Genau genommen mittels SQL-Injection komplett übernommen. Inklusive Kundendaten, Vertragsinformationen, License-Keys, etc. Kaspersky hat sich noch nicht dazu geäußert.
Naja, Pech. Das kommt vor. Bei einem IT-Security-Anbieter ist das natürlich doppelt peinlich. Aber trotzdem, das kommt vor. Im Grunde zeigt das nur meine alte Leier, dass Webseiten und Webapplikationen viel zu oft von Schnarchnasen erstellt werden, die HTML für eine Programmiersprache halten.
Es zeigt aber auch noch etwas anderes … Kaspersky war auf so einen Vorfall in keinster Weise vorbereitet. Das zeugt entweder von einiger Überheblichkeit („uns passiert so etwas nicht“) oder schlichter Ignoranz („wir kümmern uns, wenn es soweit ist“). Und das macht mir mehr Sorge denn es zeigt, wie wenig Risikomanagement bei Kaspersky ausgeprägt ist. Risikomanagement besteht nämlich nicht nur daraus, zu bewertet wie gefährlich z.B. der Betrieb einer Webapplikation ist sondern auch daraus, Vorkehrungen für den Fall der Fälle zu treffen, um die Schadensauswirkungen zu minimieren.
Man könnte beispielsweise Kundendaten auf verschiedene Datenbanken verteilen, ein Zugriff auf eine Datenbank gibt dann noch nicht direkt alle Informationen heraus. Typische Aufteilung ist eine Datenbank zur Nutzerauthentisierung und eine zweite Datenbank mit den eigentlichen Kundendaten. Man könnte auch eine interne Sprachregelung vorbereiten um aktiv mit Informationen an die Medien zu gehen, bevor sich so ein Ereignis verselbständigt und offizielle Medien sowie Blogger wild über Ursachen und Folgen spekulieren. Bei Marketingfritzen nennt man das wohl die Informationshoheit zu behalten. Jedenfalls dürfte Kaspersky einiges zu tun haben, um dieses Ereignis intern vernünftig aufzuarbeiten.
(via Fefe, Heise)
