Jump to content

martins

Premium Member
 Profil anzeigen  Aktivitäten des Benutzers anzeigen

  • Gesamte Inhalte

    1.037

  • Registriert seit

  • Letzter Besuch

 Inhaltstyp 

Beiträge erstellt von martins

  2. Ransomware - Server verschlüsselt

    in Windows Forum — Security

    Geschrieben

    k.A. welche Leistungen der vorherige ITler deinem "Neukunden" verkauft hat und schon gar k.A. welche Anforderungen der Kunde zuvor formuliert hat. Jedenfalls ist es nach meiner Erfahrung häufig so, dass das Budget doch sehr überschaubar ist und der Kunde erwartet dann häufig Wunder... wenn überhaupt Anforderungen definiert werden. Das entbindet natürlich den Dienstleiter auch nicht davon, die Leistung abzuliefern, die dem technischen Standard entspricht... aber das ist eine ganz andere, viel grundsätzlichere Diskussion!

     

    Zu den von dir bereits getroffenen Maßnahmen möchte ich nur anmerken, dass es für die Beweissicherung speziell geschulte Dienstleister gibt. Im eigenen Interesse sollte man dies dem Kunden auch mitteilen und sich nicht selbst in eine "Haftungsfalle" begeben. Admins sind i.d.R. keine Forensiker!

     

    Ich kenne auch Fälle bei denen sich angeblich jemand in das Netzwerk "gehacked" hat. Bei genauerer Betrachtung war es dann kein Hacker, sondern man (GF, Admin oder ein Mitarbeiter) hat ein Tool / Programm heruntergeladen und ausgeführt und sich gewundert, dass kurz nach dem Öffnen nur kurz ein Fenster aufgepoppt ist und sich danach nichts mehr getan hat. Dem wurde dann keine große Beachtung geschenkt und man hat sich dann nur irgendwann gewundert, dass ein Großteil der Daten verschlüsselt war. Dass die ursprünglich selbst heruntergeladene u. ausgeführte (Schad-) Software dafür verantwortlich war, wollte man dann nicht wirklich wahrhaben. Es war viel bequemer einen russischen Hacker dafür verantwortlich zu machen!

     

     

  3. Ransomware - Server verschlüsselt

    in Windows Forum — Security

    Geschrieben

    Ich kann Docdata schon verstehen - unabhängig davon, ob der Betrieb ab dem 7.01. wieder "arbeiten" kann, sind doch sehr viele Probleme hausgemacht. Offensichtlich wurde das Thema "IT-Sicherheit" in den letzten Jahren auch in diesem Unternehmen stark vernachlässigt... und zumindest bei diesen Firmen hält sich mein Mitleid in Grenzen. Ich selbst bin seit ca. 10 Wochen in einem ähnlichen Fall involviert. "Neukunde" ruft vor ca. 10 Wochen an und schildert "Emotet verdächtiges Verhalten". Ich empfehle diverse Sofortmaßnahmen und parallel dazu auf neuer Hardware mit den verbliebenen sauberen Backups die Umgebung so weit es geht wiederherzustellen. 6 Wochen später ruft der Verantwortliche ITler wieder mit der Botschaft an, dass die Maßnahmen der GF zu teuer waren und nun auch die aktuellsten Backups verschlüsselt sind. Er hat jetzt nur noch ein Backup vom letzten Sommer im Schrank! :shock2: Der Laden laboriert also seit Oktober im Notbetrieb mit den Daten vom Sommer 2019! :-|

     

    Zu der bestehenden Situation bei deinem Kunden @Squire möchte ich jedenfalls unbedingt dazu raten nicht zu vergessen, den Infektions- / Verbreitungsweg ggf. zu beleuchten, zumindest die GF daran zu erinnern, dass die bestehenden Systeme evtl. für die Beweissicherung benötigt werden. Je nach Rechtsform / Unternehmensart könnten sich diverse Verpflichtungen der Geschäftsleitung ergeben. Daher sollte nicht vergessen werden zu prüfen, ob die Infrastruktur von einem IT-Forensiker / Sachverständigen untersucht werden sollte (muss) und auch, ob es ggf. Meldepflichten bzgl. des Befalls gibt!

     

  6. Livemigration dauert 2 Minuten - VM dann nicht benutzbar

    in Virtualisierung

    Geschrieben

    Guten Morgen liebes Board! 

     

    ich habe ein etwas kurioses Problem bei der Livemigration diverser VMs (alle aktueller Patchstand) auf einem neuen Cluster mit 3 Nodes (alle Nodes = Windows Server 2016, aktueller Patchstand).

    Bei der Livemigration einiger VMs dauert der Prozess der Livemigration rund 120 Sekunden, wovon die letzten 90 Sekunden der Migration die VM nicht mehr erreichbar ist, auch nicht per ping. Andere VMs (scheinbar alles identisch: vSwitch / LAN, Storage, Disks, RAM, CPU) lassen sich komplett in ca. 3 Sekunden migrieren, ohne dass z.B. bei einem Ping überhaupt ein Paket verloren geht. 

    Es handelt sich bei der Hardware der Nodes um HPE ProLiant DL380 GEN 10, 512 GB RAM, 2x Dual 10Gbit Nics, Storage: MSA 2052, Firmware + Treiber = aktuell


    Nach der Livemigration wird dann im Eventlog des Nodes, auf den die VMs migriert wurde, einige Male folgender Fehler dokumentiert:


    Protokollname: Microsoft-Windows-Hyper-V-Worker-Admin
    Quelle:        Microsoft-Windows-Hyper-V-Integration
    Datum:         10.11.2018 09:46:11
    Ereignis-ID:   4092
    Aufgabenkategorie:Keine
    Ebene:         Fehler
    Schlüsselwörter:
    Benutzer:      NT VIRTUAL MACHINE\93DB4CA3-1691-47EB-B0A7-9DEE3C5318C4
    Computer:      CLS-Node-1.domain.local
    Beschreibung:
    Win2012R2-VM: Der Datenaustausch-Integrationsdienst ist entweder nicht aktiviert, nicht initialisiert oder wird nicht ausgeführt (ID des virtuellen Computers: 93DB4CA3-1691-47EB-B0A7-9DEE3C5318C4).

    Allerdings wird der "Hyper-V-Datenaustauschdienst" auf allen VMs ausgeführt! 

    Ansonsten ist das Eventlog auf den beteiligten Nodes unauffällig und auch innerhalb der VM gibt es keine Auffälligkeiten. :-|


    Habt ihr einen Rat?

    Gruß
    Martin

  13. Ransomware: Euer Umgang damit

    in MS Exchange Forum

    Geschrieben

    Neue ransomware greift Personalabteilungen an. Hacker senden gefälschte Lebensläufe. Manchmal verwenden sie MS Word mit Makros. [ Werbe-Link entfernt ] Es ist ein sehr gezielter Angriff Wie werden Sie schützen?

     

    1. Beitrag und dann auf unbekannte Seite zu linken, mit dem Hinweis zum Schluss, sich den "Goldeneye Ransomware Entferner" herunterzuladen? Naja, muss jeder selbst wissen, wohin er klickt!  :suspect:

  14. Trojaner per Bewerbung (Petya)

    in Windows Forum — Security

    Geschrieben

    Muss ich mal ranschaffen lassen. Hab nur nen Screenshot vom Kollegen Bekommen.

    Eine Kopie kann ich dir gerne zukommen lassen! ;)

     

    Das PDF scheint erstmal sauber zu sein, versucht offenbar (lt. TCPView) keinen Verbindungsaufbau nach draußen. Das PDF ist ein ganz normales Anschreiben mit Bild des "Bewerbers", personalisiert auf den Namen der entsprechenden Ansprechaprtnerin in der Personalabteilung. 

  15. Ransomware: Euer Umgang damit

    in MS Exchange Forum

    Geschrieben

    Moin,

     

    bei uns werden die Empfänger benachrichtigt, dass eine an sie gerichtete Mail aus diesem oder jenem Grund (Häufigster Grund: Ausführbare Inhalte ;) ) in Quarantäne gelandet ist.

    Wird die Mail vom Anwender als wichtig erachtet, können sie sich ans Helldesk wenden. Nur dann wird die Mail manuell geprüft.

     

     

    Machen wir auch so. Anlagen mit ausführbarem Code wandern generell erstmal in die Quarantäne, zusätzlich Applocker und verschiedene Antiviren-Engines auf Gateway, Mailserver und RDS-Server.

     

    Hier gibt's noch interessantes Lesefutter zum Thema: https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/Ransomware/Ransomware_node.html ;)

  16. Ransomware: Euer Umgang damit

    in MS Exchange Forum

    Geschrieben · bearbeitet von martins

    Es gibt dazu ein Urteil. Dabei ging es um einen RA, der einen Termin für einen Mandanten versäumte weil die Mail vom Mandanten in seinem Junk Mail Ordner lag. Das Gericht gab dem Kläger recht, der hatte den RA auf Schadenersatz verklagt. Jeder muss einmal täglich in den Junk Mail Ordner schauen und die Mails dort sichten, das war das Resultat und die Begründung des Gerichtes für das Urteil. D.h. für mich heißt das, die MAs müssen einmal täglich den Junk Mail Ordner öffnen und die Mails sichten.

     

    Frag mal nach wieviele mit dem Begriff Junk Mail Ordner etwas anfangen können. ;)

     

    Müsste das Urteil (LG Bonn, 15 O 189/13) hier sein: http://www.justiz.nrw.de/nrwe/lgs/bonn/lg_bonn/j2014/15_O_189_13_Urteil_20140110.html 

     

     

    Es kommt allerdings - wie immer - auf den Einzelfall an, z.B. darauf, an welche Mailadresse denn überhaupt der vermeintliche Spam geschickt wurde. Das LG führt dazu u.a. folgendes aus:

    (...) Der Beklagte kann sich nicht damit entlasten, dass die Email vom 23.05.2011 angeblich nicht in seinem Email-Postfach einging, sondern durch den Spam-Filter aussortiert wurde. Der Beklagte hat die im Verkehr erforderliche Sorgfalt nicht beachtet, weil er seinen Spam-Filter nicht täglich kontrolliert hat. Die Emailadresse ####@##.## führt der Beklagte auf seinem Briefkopf auf und stellt sie dadurch als Kontaktmöglichkeit zur Verfügung. Es liegt im Verantwortungsbereich des Beklagten, wenn er eine Emailadresse zum Empfang von Emails zur Verfügung stellt, dass ihn die ihm zugesandten Emails erreichen. Bei der Unterhaltung eines geschäftlichen Email-Kontos mit aktiviertem Spam-Filter muss der Email-Kontoinhaber seinen Spam-Ordner täglich durchsehen, um versehentlich als Werbung aussortierte Emails zurück zu holen. (...)

     

    Können wir ja im Off-topic weiter diskutieren! ;)

     

    bye

    Martin

  21. wie bekomme ich einen Key bei erworbener Lizenz um WS2012 Testversion zu aktivieren

    in Microsoft Lizenzen

    Geschrieben

    Hallo M-A-C, was sagt denn nun dein Händer zu der Lizenz? Imho ist die Additional License als zusätzliche Lizenz für eine virtuelle Umgebung zu verstehen, wenn du bereits z.B. eine OEM-Version von Windows Server 2012 erworben hast und die inkludierten virtuellen Maschinen nutzt. Mit der Additional Lizenz kannst du dann eben zusätzliche VMs betreiben. Macht also nur Sinn, wenn bereits eine Standard-Lizenz vorliegt.

  23. Gesetzeskonforme Mailarchivierungslöung gesucht

    in MS Exchange Forum

    Geschrieben · bearbeitet von martins

    Hallo liebes Board,

     

    da Astaro, bzw. Sophos seine Mailarchivierungslösung zum 31.10.2013 einstellt, sind wir auf der Suche nach einer Alternativlösung. Derzeit setzen wir Exchange 2010 als Mailserver für ca. 75 User ein. Die Astaro-Lösung wurde in der Cloud betrieben. Beim Nachfolgeprodukt sind wir uns noch nicht ganz einig, ob die Lösung inhouse oder wieder ausgelagert werden soll. Es kommt auf das Gesamtpaket an.

     

    Welche Produkte nutzt ihr und könnte ggf. auch für uns passen?

     

    Wünschenswert wäre eine Lösung, die ebenfalls nach dem 4-Augen Prinzip funktioniert, bzw. eindeutig dokumentiert, wann und von wem das Archiv genutzt wurde.

     

    Vielen Dank für eure Tipps! ;)

     

    Gruß
    Martin

  25. Fehler nach VSS-Backup u. Replikation im Ereignisprotokoll (Hyper-V-VMMS)

    in Virtualisierung

    Geschrieben

    Hallo,

     

    der Eintrag der Fehler 10170 / 16010 im Ereignisprotokoll des zu sichernden Hosts, bei Sicherung der entsprechenden Gast-VMs, war in meinem Fall darauf zurückzuführen, dass die Option: "Eigenschaften des Backup-Jobs" => "Guest Processing" => "Advanced" => "Eigenschaften der Gast-VM" => "Transaction Logs" => "Truncate logs on succesful backup only" nicht aktiviert war. Zwar wird dies nur von MSSQL und Exchange unterstützt, aber offenbar lässt sich ohne aktivieren dieser Option kein "erfolgreiches / konsistentes" Backup erstellen. Nach Aktivierung dieser Option wurde der Fehler nicht mehr protokolliert.

     

    Gruß

    Martin

×
×
  • Neu erstellen...