Nieuws
Duizenden Halcyon Mail-systemen vanaf internet bereikbaar
Illustratie bij dit bericht.
Uit een inventarisatie blijkt dat duizenden systemen met Halcyon Mail rechtstreeks vanaf het internet bereikbaar zijn, waaronder honderden in Nederland.
Eigenaren van de systemen worden via hun provider geinformeerd.
Achtergrond
Het gaat vooral om systemen waarvan de beheerinterface bewust of per ongeluk open is gezet.
Een deel van de gevonden systemen draait een versie waarvoor al maanden een update beschikbaar is.
21 reacties
Shodan is een deprimerende manier om je dag te beginnen.
Dat is te kort door de bocht. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Ik zou toch echt eerst willen weten of er data is weggesluisd voordat ik zeg dat het meevalt.
Niet helemaal. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Aanvullend: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Ik draai hier al jaren alles in containers met read-only filesystem. Scheelt enorm bij dit soort meldingen.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Mooi dat er een patch is, maar wat doe je met apparatuur die end-of-life is? Die staat er over vijf jaar nog.
Precies dit. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Dank, dat verklaart wel het een en ander. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Reageren kan na registratie.
Inloggen
Meer nieuws