Cyber ​​Security Today, Wochenrückblick für die Woche bis zum 17. März 2023

Willkommen bei Cyber ​​Security Today. Dies ist die Ausgabe der Woche im Rückblick für die Woche bis Freitag, den 17. März 2023. Ich bin Howard Solomon aus Toronto und mitwirkender Reporter zum Thema Cybersicherheit für ITWorldCanada.com und TechNewsday.com in den USA

In wenigen Minuten wird David Shipley von Beauceron Security hier sein, um über aktuelle Neuigkeiten zur Cybersicherheit zu sprechen. Aber zuerst ein Blick auf einige der Schlagzeilen der letzten sieben Tage:

Ein kanadischer parlamentarischer Ausschuss Die Untersuchung von Bedrohungen aus Russland hat einen Bericht mit einer Reihe von Cybersicherheitsempfehlungen für die Bundesregierung herausgegeben. David kennt dieses Komitee sehr gut, weil er vor ihm ausgesagt hat, also wird er einige Einsichten haben.

Wir werden auch darüber sprechen Der nationale Verteidigungsausschuss des Parlaments, der sich mitten in eigenen Anhörungen zur Cybersicherheit befindet, hörte einen Zeugen, der die Bundesregierung aufforderte, kanadische Cybersicherheitsunternehmen bei der Suche nach Produkten besser zu unterstützen.

Die Regierung von Neufundland und Labrador veröffentlichte einen Bericht über den Ransomware-Angriff auf das Gesundheitssystem der Provinz im Jahr 2021. Unter den Ergebnissen: Ein kompromittierter Benutzername und ein kompromittiertes Passwort starteten den Angriff.

Und David wird Gedanken haben über die Zunahme von Phishing-Angriffen, die wir nach dem Zusammenbruch der Silicon Valley Bank in den USA und Kanada beobachten.

In anderen Nachrichten, Behörden in den USA und Deutschland haben ChipMixer abgeschaltet, einen Dienst zum Mischen von Kryptowährungen, der von Gaunern zum Waschen von Währungen verwendet wird. Es wird angenommen, dass der Dienst über 700 Millionen US-Dollar an gestohlenen Bitcoins und 17 Millionen US-Dollar an Ransomware-Zahlungen verarbeitet hat. Auch ein Vietnamese wurde in den USA angeklagt

Ein Florida-Website-Design und das Hosting-Unternehmen hat zugestimmt, 293.000 US-Dollar zu zahlen, um Vorwürfe zu schlichten, die es versäumt habe, persönliche Informationen für einen seiner Kunden zu sichern. Dieser Kunde war eine Kinderkrankenversicherungs-Website namens HealthyKids.org. Die Bundesregierung behauptete, der Anbieter, Jelly Bean Communications, habe seine Softwaresysteme nicht ordnungsgemäß gewartet, gepatcht und aktualisiert. Im Jahr 2020 wurde HealthyKids.org gehackt und musste geschlossen werden.

Zwei Personen wurden angeklagt in den USA mit der Verwendung des Passworts eines gestohlenen Polizeibeamten im vergangenen Jahr, um in das Webportal einer Strafverfolgungsbehörde zu gelangen. Das Paar soll dann Personen, die in Datenbanken aufgeführt sind, gedroht haben, dass Informationen über sie veröffentlicht würden, wenn sie nicht bezahlt würden. Cybersecurity-Reporter Brian Krebs sagt, das Portal gehörte der US Drug Enforcement Agency. Das Portal ist mit 16 Strafverfolgungsdatenbanken des Bundes verknüpft. Die beiden Angeklagten gehörten angeblich einer Datendiebstahl- und Erpressergruppe namens ViLE an.

In Russland ansässige Cyber-Bedrohungsakteure haben seit Beginn der Invasion in der Ukraine 74 Länder verfolgt. Das geht aus einer Analyse von Microsoft über russische Cyber-Taktiken hervor. Das Zielland außerhalb der Ukraine selbst waren die Vereinigten Staaten, gefolgt von Polen, dem Vereinigten Königreich und anderen europäischen Ländern sowie Kanada.

Separat, Microsoft warnte Firmen, die Outlook für Windows ausführen, vor einer ernsthaften Sicherheitslücke, die gepatcht werden muss.

Immer mehr Unternehmen geben zu Opfer einer Kompromittierung des von GoAnywhere verwalteten MFT-Dateiübertragungsdienstes zu werden. Die neuesten sind der kanadische Vermögensverwalter Onex Corp. und Rubrik, eine in den USA ansässige Datenwiederherstellungsplattform. Die Clop-Ransomware-Gang übernimmt die Verantwortung und behauptet, sie habe Daten zu 130 Opferorganisationen.

Endlich, Manchmal sind es die kleinen ungepatchten Anwendungen, die Sie töten. Hier ist das jüngste Beispiel: Eine drei Jahre alte, ungepatchte Schwachstelle in einer Anwendungsentwicklungsplattform namens Progress Telerik ermöglichte es mehreren Angreifern, sich kürzlich in den Webserver einer US-Regierungsbehörde zu hacken. Das sagen die US-Cybersicherheitsbehörden. Das Gutachten nennt die betroffene Zivilbehörde nicht. Sie können nicht vermeiden, auf diese Weise schikaniert zu werden, wenn Sie nicht über ein vollständiges Inventar aller Anwendungen verfügen, die Ihre Mitarbeiter verwenden.

(Das Folgende ist eine Abschrift einer der Nachrichten, die David Shipley und ich besprochen haben. Um den vollständigen Vortrag zu hören, spielen Sie den Podcast ab.)

Howard: In der Sitzung dieser Woche werden wir uns mit Cyber-Sicherheitsnachrichten befassen, die aus zwei kanadischen parlamentarischen Ausschüssen kommen. Zunächst veröffentlichte das Komitee für öffentliche Sicherheit und nationale Sicherheit einen Bericht über die Sicherheitsbedrohung durch Russland. Diese Untersuchung wurde unmittelbar nach dem Einmarsch Russlands in die Ukraine vor einem Jahr eingeleitet. Viele der 21 Empfehlungen befassten sich mit Cyber-Bedrohungen und Fehlinformationen. Unter den Zeugen, die ausgesagt haben, warst du. Zu den Empfehlungen gehört, dass Betreiber und Unternehmen, die sich mit kanadischer kritischer Infrastruktur verbinden, über das Cybersicherheits-Know-how und die Ressourcen verfügen sollten, um sich gegen böswillige Cyber-Aktivitäten aus jeder Quelle zu verteidigen und sich davon zu erholen. Das [government set] Cybersicherheitsstandards werden eingehalten und darüber berichtet; dass die Bundesregierung die Instrumente erweitert, mit denen kleine und mittlere Unternehmen über die Notwendigkeit der Einführung von Cyber-Sicherheitsstandards aufgeklärt werden; und dass die Bundesregierung Anreize für kleine und Medienunternehmen gibt, in Cybersicherheit zu investieren. Was haltet ihr von diesem Bericht?

David Shipley: Insgesamt war ich begeistert zu sehen, dass eine Reihe von Empfehlungen, die ich in meiner Zeugenaussage gemacht habe, in den Abschlussbericht aufgenommen wurden, insbesondere die Idee, die Finanzierung für kleine und mittlere Unternehmen durch Steuergutschriften sowie erweiterte Zuschüsse zu erhöhen. Denn wenn Sie an kleine mittelständische Unternehmen in Kanada denken, die mit rekordhohen Schulden aus der Pandemie kommen, können sie sich Cybersicherheit einfach nicht leisten. Wir wissen, dass bis zu 50 Prozent der kanadischen Kleinst- und Kleinunternehmen heute nichts für Cybersicherheit ausgeben. Ich denke also, dass dies aus wirtschaftlicher und nationaler Sicherheitssicht eine Win-Win-Situation für die Regierung und ein Gewinn für kleine Unternehmen wäre.

Howard: Aber mir ist aufgefallen, dass viele dieser Empfehlungen sehr allgemein gehalten sind. Hilft das der Regierung?

David: Sie sind sehr allgemein, und es gab einige spezifische Punkte, die ich in meiner Zeugenaussage angesprochen hatte, die nicht den Biss hatten, den ich mir erhofft hatte, insbesondere Dinge wie einen Standard für Unternehmen, die an die Bundesregierung verkaufen – eine grundlegende Hygiene Standard ähnlich dem Cyber ​​Essentials-Programm im Vereinigten Königreich. Ich vermute, dass dies Teil des Ausschussverfahrens ist, bei dem Regierungs- und Oppositionsmitglieder Kompromisse hinsichtlich des Berichts, seines Wortlauts und seiner Empfehlungen eingehen müssen.

Howard: Eine der Empfehlungen fordert, dass die Bundesregierung Betreiber kritischer Infrastrukturen verpflichtet, sich auf schwerwiegende Cyber-Sicherheitsvorfälle vorzubereiten und diese zu melden. Mir scheint, das ist das Cybersicherheitsgesetz C-26, das jetzt dem Parlament vorliegt. Es ist wirklich seltsam, diese Empfehlung ohne Bezugnahme auf einen Gesetzentwurf zu haben, der gerade dem Haus vorliegt.

David: Es ist interessant, und ich denke, im Großen und Ganzen sollte es die Initiative der Regierung um C-26 und auch die bevorstehende unterstützen [updated] Nationale Cybersicherheitsstrategie. Ich gebe zu, dass es einige Dinge gibt, auf die ich für meine Aussage gedrängt habe, die in dem Bericht zitiert wurden, einschließlich der Notwendigkeit, über die staatlich regulierte kritische Infrastruktur hinauszugehen [in legislation] andere Bereiche wie das Gesundheitswesen und die Lebensmittelversorgung einzubeziehen, und die Notwendigkeit eines neuen Rahmens für die Zusammenarbeit auf Provinz- und Territorienebene [on cybersecurity]. Ich bin zutiefst besorgt darüber, dass wir in Bezug auf Cybersicherheitsressourcen weiterhin Besitz- und Habe-nicht-Provinzen sehen werden. Es ist ein schmerzhaftes Beispiel in Kanada dafür, wie wir unsere Konföderation anscheinend nicht weiterentwickeln können, um den Governance-Herausforderungen einer ganz anderen Ära zu begegnen als der Zeit, als unser Land 1867 gegründet wurde, und sicherlich ganz anders als damals, als wir 1982 unsere moderne Verfassung erhielten.

Während hier in Honolulu [this week] Ich hatte die Chance, Pearl Harbor zu besichtigen. Ich habe viel an den Dialog um ein potenzielles „Cyber ​​Pearl Harbor“ zurückgedacht, und ich denke, dass einige von uns vielleicht falsch interpretiert haben, worüber die Experten sprachen. Sie haben uns vielleicht davor gewarnt, was das eigentlich bedeutet. Ich frage mich, ob ein ‘Cyber ​​Pearl Harbor’ genauso ist wie der Angriff, hier fehlen uns alle Warnzeichen. Wir ignorieren und machen Annahmen über die relative Sicherheit der Systeme, die wir haben. So wie die US-Marine annahm, dass aus der Luft abgeworfene Torpedos nicht funktionieren würden, weil der Hafen hier so seicht ist. Oder wie Kommunikationssysteme zusammenbrachen und kritische Warnungen erst in letzter Minute eintrafen. Die andere Sache an der Geschichte von Pearl Harbor – und ich glaube, wir haben das ein wenig im Ukraine-Russland-Konflikt gesehen – ist, dass die Japaner dachten, es wäre ein viel katastrophalerer Angriff, als er war. Während es sicherlich einen tragischen Verlust von Tausenden von Menschenleben gab, wurden die meisten Schiffe der US Navy repariert und wieder in Dienst gestellt. Der psychologische Effekt, den sich Japan von diesem Überraschungsangriff erhofft hatte, hatte eigentlich den gegenteiligen Effekt. Ich frage mich, wenn wir an das nächste Jahrzehnt denken und an offensives und defensives Cyber ​​denken, ob wir nicht die gleichen Fehler in der Geschichte machen.

Howard: Eine weitere Empfehlung in diesem Bericht ist, dass die Bundesregierung eine kombinierte Befehlsstruktur für die Cyberabwehr von Kanada und den USA in Betracht zieht. Halten Sie das für eine gute Idee und was ist der Vorteil?

David: Ich denke, es könnte einen großen Vorteil geben, aber ich bezweifle, dass die Amerikaner großes Interesse daran sehen werden. Warum sollten sie? Was genau bringen wir heutzutage in Bezug auf Fähigkeiten auf den Tisch? Wir haben kein Äquivalent zum US Cyber ​​Command. Wir verfügen innerhalb des CSE (Communications Security Establishment, das für den Schutz von föderalen IT-Netzwerken und das Knacken des Codes von Gegnern verantwortlich ist) über offensive Cyber-basierte Fähigkeiten mit allen möglichen Auswirkungen. Aber wir haben einfach nicht die Ressourcen darauf verwendet, Partner der Amerikaner zu sein. [See also this document about the Canadian Armed Forces cyber responsibilities]

Ich denke, wir sind sehr gefährdet, wieder einmal als Trittbrettfahrer angesehen zu werden, so wie wir es seit Jahrzehnten mit NORAD tun. Und ich sehe auch nicht, dass die Amerikaner uns so sehr vertrauen. Wir können nicht weiter schauen als auf die Tatsache, dass Kanada mit der neuen Militärpartnerschaft Australien-USA-Großbritannien (AUSUK) aus dem Club ausgeschlossen wurde. Ich meine, wir sind eine pazifische Nation. Man hätte meinen können, es wäre sinnvoll, uns einzubeziehen, es sei denn, unsere bisherige Außenpolitik gegenüber China und die jahrelange Erfahrung, was wir mit Huawei machen, haben uns im Regen stehen gelassen. Während das Komitee dies empfehlen könnte, glaube ich nicht, dass die Amerikaner wirklich daran interessiert wären, uns auf der Party zu haben.

Howard: Es wird interessant sein zu sehen, wie schnell oder ob die kanadische Regierung beschließt, auf diesen Bericht zu reagieren und wie viele der Empfehlungen sie in Kraft setzen wird.