Microsoft se trudi prikriti ulogu u 0 dana koji su uzrokovali provalu u e-poštu

Cijela ova stvar izgleda prilično prokleto. Postoji 'stečeni' ključ o kojem nitko nema ništa za reći (osim da su se stvari od tada poboljšale, na neki način ili razloge); i pokazalo se da otmjeni Fed-Azure OWA očito sasvim dobro reagira na outlook.com tokene; a cijela je afera otkrivena, nakon nekog razdoblja eksploatacije, izvješćem kupca.

Sumnjam da je ipak bolja nezakrpana instalacija Windows Server Essentials od nečijeg rođaka; ali to nije ono što biste željeli od veličanstvenog oblaka tipa "nemojte ni razmišljati o dosadnoj infrastrukturi jer na njoj rade pametni profesionalci"; posebno sa sigurnosnim značajkama paywalla.

fuzzyfuzzyfungus je rekao:

Cijela ova stvar izgleda prilično prokleto. Postoji 'stečeni' ključ o kojem nitko nema ništa za reći (osim da su se stvari od tada poboljšale, na neki način ili razloge); i pokazalo se da otmjeni Fed-Azure OWA očito sasvim dobro reagira na outlook.com tokene; a cijela je afera otkrivena, nakon nekog razdoblja eksploatacije, izvješćem kupca.

Sumnjam da je ipak bolja nezakrpana instalacija Windows Server Essentials od nečijeg rođaka; ali to nije ono što biste željeli od veličanstvenog oblaka tipa "nemojte ni razmišljati o dosadnoj infrastrukturi jer na njoj rade pametni profesionalci"; posebno sa sigurnosnim značajkama paywalla.

Kliknite za proširenje...

Da, još uvijek je zbunjujuće kako ključ za potpisivanje, koji navodno radi samo za potrošačku stranu, preraditi i raditi na komercijalnoj/poslovnoj strani. Kao..to je sigurnost 101 kada kažeš "ovaj ključ stane samo u ovu bravu" i odjednom ljudi saznaju da otvara sve brave. Uopće nije dobar izgled.

Blokirali su određeni ključ, ali nitko nema pojma kako je zapravo došao ili odakle je izdan ili kako su ga negativci dobili. Samo puno nagađanja.

Usput, imajte na umu da Azure AD mijenja naziv u "Azure Entra ID".

Izvor:

Moglo bi biti korisno staviti novi naziv u zagradu negdje u članku, tako da ga je i dalje lako pronaći u budućim web pretraživanjima.

To nekako ima smisla, budući da AAD uopće nije imao nikakve veze s Active Directoryjem. Ali čovječe, mrzim sve stalne promjene imena koje nam Microsoft baca.

pullathomas je rekao:

Koliko ja razumijem, ako ga stavite u E3 ili niže, izbacit će konkurenciju. Zašto biste platili za još jedan sigurnosni alat ako vam Microsoft daje sve što vam je potrebno u vašem sub? Ako je Microsoft uspio utvrditi što je bio uzrok napada, a žrtva napada nije koristila njihove alate...koje su onda alate koristili a nisu otkrili napad?

Kliknite za proširenje...

Ne biste očekivali da će alat treće strane pokupiti ovu vrstu napada bez pristupa koji ima Microsoft prodaje zapisnicima: napadač je koristio krivotvorene autentifikacijske tokene za pristup Microsoftovom OWA poslužitelju; nema interakcije s kupcem.

Ne morate koristiti Microsoftovu ponudu da biste žvakali zapise i tražili stvari kao što su anomalni tokeni, ako plaćate za pristup zapisnicima, možete koristiti tuđe alate; ali ako ne kupujete otmjeni pristup zapisniku, nema se što prežvakati.

Uredi: izvješće CISA daje neke dodatne pojedinosti; neki administratori kupaca gledali su događaje MailItemsAccessed i uočili neočekivani appID, što je 'poboljšana' značajka revizijskog bilježenja. Napominju da "CISA i FBI nisu upoznati s drugim revizijskim zapisnicima ili događajima koji bi otkrili ovu aktivnost."

Pretpostavljam da više od nekoliko E5 nema nikoga tko tako pomno promatra dnevnike; ali osim ako nemate dostupnu tu 'poboljšanu' stavku za bilježenje, bila bi učinkovito tiha.

jhodge je rekao:

E5 je "prava" MS365 usluga - sve ostalo su samo različiti stupnjevi zadirkivanja koji vas privlače, IMO. Prošao sam ples već nekoliko puta, uvijek postoji nešto zaključan iza E5 koji želite. Ovo, OTOH, je posebno nečuveno jer plaćate dodatno za zapise koje generira usluga za koju već plaćate.

Kliknite za proširenje...

Možda.

I dalje je glup potez prodati uslugu provjere autentičnosti gdje su najosnovniji zapisnici iza prokletog sustava plaćanja. Iskreno rečeno, to je (ili bi trebalo biti) neugodno.

DNick je rekao:

Lud. Troše milijune (milijarde?) na izgradnju prepoznatljivosti brenda, a zatim mijenjaju naziv brenda. To je gotovo kao da je vlasnik oglasne agencije u dosluhu s nekim na visokom položaju u MS-u.

Kliknite za proširenje...

Gotovo kao da ne ŽELE da pronađete članke o njegovim sigurnosnim propustima na internetu...

Također, Gmail ima sigurnosnu značajku E5 u svom doslovno besplatnom sloju (javni Gmail), kao i na svim plaćenim: https://support.google.com/mail/answer/45938?hl=en

Imaju to otkad su pronašli kineske hakere u svojoj mreži, koliko, 2012.? Microsoft kasni 10 godina i naplaćuje kupcima privilegiju da znaju je li njihovo sranje hakirano. Svaki dan se iskreno čudim što CISO-ovi dopuštaju obnavljanje MS-a.

ETA: Posebno sam začuđen što federalci nisu izravno rekli MS-u da ga doda u svaki sloj ili funtu pijeska; to je vrlo očito VELIKI rizik za važnu nacionalnu sigurnosnu infrastrukturu (npr. cjevovode i bolnice)!

SplatMan_DK je rekao:

Definitivno ne želim braniti Microsoft ovdje, ali općenito govoreći ne shvaća li se da je 0-dan rezultat buggy koda koji treba zakrpu?

Greška u dizajnu nije greška. Naravno, to još uvijek može biti ranjivost, ali svatko tko radi na stvaranju softvera rekao bi da postoje prilično velike razlike između "greške" i "greške u dizajnu".

Za sigurnosni sustav, rekao bih da je ovaj drugi zapravo lošiji.

Kliknite za proširenje...

Ovo je najgore cijepanje/semantika.

Nažalost, nije pokriveno jamstvom jer ovo nije proizvodni nedostatak, već inženjerska matematička pogreška.

Bug, greška, greška, nedostatak. Zaista nije važno kako to zovete ako je krajnji rezultat da vrata vašeg automobila prihvaćaju bilo koji ključ.

skotl je rekao:

Nisam ni pročitao članak jer... Kakvo je ovo brbljanje za naslov?
"Microsoft se trudi prikriti ulogu u 0 dana koji su uzrokovali provalu u e-poštu"

Kliknite za proširenje...

Microsoft je velika tehnološka tvrtka. Između ostalog izrađuju proizvode za e-poštu.

Podnosi bol znači uložiti dodatni napor.

Zamračiti znači sakriti nešto.

Uloga znači njihovu uključenost.

0-dan je nova ili prethodno nepoznata sigurnosna ranjivost.

Izazvati nešto znači da su njihovi postupci odgovorni za ishod.

Povreda e-pošte znači da je netko pristupio poslužitelju koji nije trebao, izlažući privatne podatke.

Danation je rekao:

Želio bih znati više o određenim zapisnicima koji su bili zaštićeni. Koliko ja razumijem, na azure portalu je besplatno pregledavanje dnevnika revizije, prijave i dodjeljivanja. Rekavši to, možda je ovo drugačiji skup zapisa i možda postoje druga poboljšanja za koja ja ne znam.

Kliknite za proširenje...

Evo Microsoftov članak o tome kako koristiti revizijski događaj MailItemsAccessed; dio Microsoftov pregled nadležnosti (premium), dostupno za račune s E5s ili E3s s dodatkom E5 Compliance ili E5 Discovery and Audit add-on. To je jedna od razlika između Audita (Standard) i Audita (Premium). Ovdje je tablica koja raščlanjuje vrijednosti koje se prema zadanim postavkama revidiraju ili ne; s bilješkama za koje su one dostupne samo uz E5-tier licenciranje revizije.

Evo CISA komad opisujući kako su nepodudarnosti AppID-a u revizijskom događaju MailItemsAccessed dovele do otkrivanja problema.

I da, to u osnovi znači da se određeni događaji za koje povremeni pogled na revizijski dnevnik sugerira da se nadziru u vašem okruženju potencijalno nisu ako dani poštanski sandučić ne spada u opseg E5-ekvivalenta jer se dijeli ili imate heterogeni ugovor o licenciranju s nekim F1/F3/E3 ili Kao. Vaše zadane postavke revizije na razini zakupca pokazat će događaj koji treba omogućiti; ali samo tiho neće učiniti ništa za poštanske sandučiće koji nisu unutar opsega licence.

Koliko ja znam, ne postoji licenca za cijelog stanara ili po događaju/po GB koju možete koristiti (barem ako postoji, to je fancy pričajte sa svojim predstavnikom koja se ne pojavljuje ni u službenoj ni u neslužbenoj SKU dokumentaciji) do općeg premiuma sječa; Pretpostavljam da kupci s dovoljnom privlačnošću mogu natjerati prodavače da im daju popust na E5 Discovery i Audit; ali radi se o korisniku, a ne o stanarima.

U ostalim vijestima, softverski div Microsoft odlučio se rebrendirati. Na konferenciji za novinare 14. srpnja, predsjednik i glavni izvršni direktor, Satya Nadella, otkrio je novi naziv tvrtke kao "Feta".

Paul Thurrott iz Supersite za Windows aplaudirao je "hrabrom, novom imenu" i opisao ga kao "izvanrednog razmišljanja i različitog od bilo čega drugog u industriji, ali pristupačnog."

Međutim, ne osjećaju svi tako pozitivno prema novom identitetu. Internetski stručnjaci tvrde da je preobrazba pokušaj zabljeđivanja tradicionalne sigurnosti "švicarskog sira" proizvođača softvera zamjenom različitog, manje rupičastog sira.

Do sada, Feta ostaje škrt na riječima o tome kako će tvrtka biti drugačija u budućnosti. Međutim, BloombergMark Gurman izvijestio je da će "Patch Tuesday" biti preimenovan u "Opa!"

Novo ime za Microsoft - Feta

Osobno, to je upravo ono što nam je rečeno da će "Cloud" spriječiti, ili barem oblak usluga bi otkrila jer mogu imati mnogo više resursa i bolje osoblje od organizacija srednje veličine mogao. Ali to nikada nije bila istina - i ovdje vidimo točno onakvu vrstu napada za koji sam uvijek mislio da bi bio vrlo vrijedan protiv velike usluge u oblaku, koju "super sigurnost" usluge u oblaku nije otkrila, klijent je!

Nastavit ću to ponavljati - Fed i poduzeća moraju prekinuti svoju iskreno zastarjelu opsesiju Outlookom/Exchangeom i dobiti malo konkurencije u ovom prostoru. Clearly GovCloud / ekstra siguran oblak za savezne agencije... nije - ako uzima potrošačke karte bilo koje vrste FFS. I znate što, da je ovo na prem AD kod vlade, nikad ne bi uzeo token za autentifikaciju s obiteljskog računa s ulice. Ne kažem da je sama po sebi bolja, ali čovječe, potrebne su vam zasebne domene za provjeru autentičnosti između svakog stanara.

Pogledao sam, ali ovaj put nisam vidio. Gdje su svi ljudi u komentarima koji ponavljaju refren "bio bi totalni idiot da pokreneš vlastiti server za razmjenu"? 365 pošta je probijena, a moj Exchange poslužitelj nije. Samo kažem.

Niti 365 niti Exchange on-prem nisu savršeni, ni na koji način. Ali jedna je masovno veća meta, sama definicija "lova na veliku divljač". Radije bih bio mali miš nego ogromni spori slon. Prelazak na oblak ne čini vas na neki način "sigurnim".

4XjrPz6t je rekao:

Pogledao sam, ali ovaj put nisam vidio. Gdje su svi ljudi u komentarima koji ponavljaju refren "bio bi totalni idiot da pokreneš vlastiti server za razmjenu"? 365 pošta je probijena, a moj Exchange poslužitelj nije. Samo kažem.

Niti 365 niti Exchange on-prem nisu savršeni, ni na koji način. Ali jedna je masovno veća meta, sama definicija "lova na veliku divljač". Radije bih bio mali miš nego ogromni spori slon. Prelazak na oblak ne čini vas na neki način "sigurnim".

Kliknite za proširenje...

Naravno, ali pogodite tko je kriv kad dođu tužbe? Ne ti.

Ne kažem da je to sjajna obrana ili pravi način za obavljanje stvari, ali to je apsolutno jedno od razmatranja koje tvrtke uzimaju u obzir.

Dvije riječi: Stroga odgovornost. Komercijalni softver i usluge imaju takvu neravnotežu između dobavljača i korisnika da ismijavaju svaki pretpostavljeni "sporazum jednakih" koji je temelj ugovornog prava. U slučajevima kao što je ovaj, gdje namjerne prakse dobavljača smanjuju ili uklanjaju mogućnost korisnika da ispita kvalitetu robe i usporediti isporučeno s onim što se reklamira, zakon bi trebao eliminirati svaki "kakav jest" bijeg od prikladnosti za svrhu kršenja.

Microsoft tvrdi da je stručnjak, u svakom slučaju za velika slova. Vrijeme je da se drže standarda za koje žele da drugi vjeruju da ih prikazuju.

4XjrPz6t je rekao:

Pogledao sam, ali ovaj put nisam vidio. Gdje su svi ljudi u komentarima koji ponavljaju refren "bio bi totalni idiot da pokreneš vlastiti server za razmjenu"? 365 pošta je probijena, a moj Exchange poslužitelj nije. Samo kažem.

Niti 365 niti Exchange on-prem nisu savršeni, ni na koji način. Ali jedna je masovno veća meta, sama definicija "lova na veliku divljač". Radije bih bio mali miš nego ogromni spori slon. Prelazak na oblak ne čini vas na neki način "sigurnim".

Kliknite za proširenje...

Mnoge tvrtke nemaju proračun za dodatno osoblje samo da pravilno osiguraju on-prem postavljanje ili varijantu poslužitelja u oblaku.

Koristimo poštu koju hostira Microsoft, WordPress koji hostira WPEngine (za web mjesto sa samo marketinškim informacijama), Zendesk hosted desk itd. jer košta samo mali dio onoga za što se unajmljuje IT osoblje sigurno upravljati vlastitim bi koštalo.

Da, ovaj članak govori o tome da hostirana usluga nije osigurana u ovom slučaju, ali to se događa i sa poslužiteljima koji sami upravljaju. Ako su vaši poslužitelji povezani s internetom, ranjivi su na automatizirane napade koji koriste 0 dana ili ako je vaša IT osoba bolesna i ne može primijeniti zakrpu na vrijeme.