Eine Angriffskampagne gegen Fortinet-Geräte kompromittiert Zehntausende Systeme

Was passiert ist

Von Reuters zitierte Sicherheitsforscher beschrieben eine groß angelegte Angriffskampagne gegen Firewall- und VPN-Geräte von Fortinet, bei der mutmaßlich Zehntausende Systeme kompromittiert wurden und der Diebstahl von Zugangsdaten ermöglicht wurde. Der Angriff erfolgte über aus dem Internet erreichbare Perimetergeräte, einen typischen Zugangspunkt zum Unternehmensnetzwerk.

Anders als bei Social Engineering war hier die Netzwerktechnik selbst das Ziel, wobei deren Erreichbarkeit aus dem Internet und vermutlich veraltete Versionen oder Konfigurationen ausgenutzt wurden.

Was sich daraus über aus dem Internet erreichbare Netzwerktechnik lernen lässt

Firewalls und VPNs sind das Eingangstor zum Netzwerk und daher ein vorrangiges Angriffsziel. Eine Kampagne dieses Ausmaßes zeigt deutlich, dass ein nicht aktualisiertes oder falsch konfiguriertes Perimetergerät einer unverschlossenen Eingangstür gleichkommt.

Die bei solchen Kampagnen gestohlenen Zugangsdaten werden anschließend für den Zugriff auf weitere Systeme genutzt, sodass die Auswirkungen weit über den ursprünglichen Angriff hinaus anhalten können wenn die Zugangsdaten nicht ausgetauscht und die Zugriffe nicht überprüft werden.

Was Sie überprüfen sollten

Prioritäten für jede Organisation mit Perimetergeräten von Fortinet oder vergleichbaren Herstellern:

• Aktuelles Inventar der Firewalls und VPNs, einschließlich Firmware-Version und Patch-Stand.
• Vorrangige Installation der vom Hersteller veröffentlichten Sicherheitsupdates.
• Warnmeldungen bei ungewöhnlichen administrativen Zugriffen auf diese Geräte.
• Rotation der Zugangsdaten und Überprüfung aktiver Sitzungen nach jeder Schwachstellenmeldung.

Häufig gestellte Fragen

Welche Gerätetypen waren betroffen?

Aus dem Internet erreichbare Firewall- und VPN-Geräte von Fortinet, laut der von Reuters zitierten Untersuchung.

Wie viele Systeme wurden schätzungsweise kompromittiert?

Zehntausende, laut den im Bericht zitierten Sicherheitsforschern.

Was sollte ein Unternehmen mit solchen Geräten tun?

Ihre Aktualisierung priorisieren und administrative Zugriffe mit derselben Sorgfalt überprüfen wie bei der übrigen kritischen Infrastruktur.