Verwaltungssoftware als Fehlerfalle

Einem Bericht zufolge, den zwei Experten auf der Black Hat Konferenz 2006 vorgestellt haben, können Kriminelle vor allem Botnets damit bauen. Dafür müssen sie nur Programmierfehler ausnutzen.

Dave Goldsmith, President von Matasano Security und sein Kollege Thomas Ptacek erwähnten zwar keine Herstellernamen. Doch sie nannten Beispiele. So sei auch eine zu laxe Implementierung ohne die notwendigen Sicherheitsvorkehrungen eine ständig lauernde Gefahr für ein Unternehmen. Wie sie sagten, könnten die Systeme für Virusbekämpfung, Patch Management und Systemverwaltung von Angreifern kontrolliert und in äußerst wirksame Botnets verwandelt werden, sagten sie laut einem US-Pressebericht auf der Konferenz.

Von der Architektur her, so Goldsmith seien die Systeme, die bei der Verwaltung von Netzen helfen, nichts anderes als Bots, wie sie von Spammern für Schadsoftware und Spam verwendet werden. Sie laden Informationen an einer Stelle auf und an einer zentralen Stelle, von der aus sie administriert werden, wieder ab. Das sei dasselbe Grundprinzip wie bei Botnets. Und wer seine Systeme nicht ausreichend sichere, liefere Angreifern schon die Grundlagen mit.

Programmierfehler in den Produkten und Installationsfehler – beispielsweise mangelnde Authentifizierung und Nichtbeachtung von Hierarchien im System – könnten den Angreifern noch helfen. Die beiden Forscher verwiesen auf zwölf besonders augenfällige Angriffpunkte. Helfen könne nur eine unabhängige Code-Kontrolle, wie sie bereits von Dienstleistern angeboten wird, sowie eine Kontrolle der Systeme und der Art wie sie aufgesetzt sind. Ptazek rät den Nutzern, sich bei einer neuen Software über die möglichen Sicherheitsvorkehrungen ein Bild zu machen und diese Funktionen zu aktivieren. Sonst, so der Forscher, installieren die Firmen ein “Botnet direkt auf dem Netzwerk”.