Hardware-Firewall, die Viren in E-Mails erkennt

Hallo,
ich habe ein Verständnisproblem.

Da wurde jemandem eine Hardware-Firewall verkauft (Securepoint Black Dwarf) mit der Begründung, dass die Bedrohungen durch Schadsoftware in E-Mails immer schlimmer würden.

Nun war ich einmal so frei, beim vorgeblich so geschützten PC die E-Mail-Einstellungen nachzusehen.
Outlook 365 benutzt als Posteingangsserver secureimap.t-online.de.

Meinem Verständnis nach rauschen also die E-Mails als verschlüsselte Datenpakete durch die Firewall. Wie schafft es die Firewall, da „mitzulauschen“ und zu scannen?

Im Zweifelsfall wird dir ein Root Zertifikat des vollkommen über alles Zweifel erhabenen Schlangenölverkäufers ins Betriebssystem geworfen, welches erlaubt, dass „valide“ Zertifikate für den T-Online-Server aus dem Hut gezaubert werden und dann praktisch ein Man-In-The-Middle Angriff gefahren wird.

Willste nicht weiter drüber nachdenken, aber das kommt eben dabei raus, wenn man mit den Antivirus-Buden Geschäfte macht…

Moin,
ich habe mal in den Anleitungen gestöbert. Da wird die Einrichtung eines Mail-Relays beschrieben - das Gerät holt dann die E-Mails vom Anbieter ab. Das wurde wohl „vergessen“.

Die Firma, der man die Notwendigkeit so einer Lösung eingeredete hat, gehört einer technisch nicht versierten Dame und was ich da gestern mitbekommen habe, schlögt dem Fass den Boden aus.

3 Like
  1. Telekom ruft an. „Wir haben einen besseren Tarif. Nur 15€ teurer, aber doppelt so schnell. Schneller ist besser, Sie müssen nur ja sagen“ -> Kundin stimmt zu. Erfolg: Sie zahlt seit zwei Jahren 15€ (netto) mehr, aber wegen des inkompatiblen Routers bekommt sie nicht die erhofften (aber völlig unnötigen) 250/40 Mbit/s, sondern der Router läuft in einer Art Notprofil mit 100/23 Mbit/s. 400€ für langsameres Internet!

  2. Sie beauftragt Webservice Mustermann „Mach mir eine Homepage“. Der kassiert 175€ im Monat für Erstellung, Wartung, Hosting.
    a) Die Seite ist grottig. Zuerst noch nicht einmal über https erreichbar. Dann mit ungültigen Zertifikaten (Mustermann will extra Geld für Zertifikate)
    b) Mustermann schickt unregelmäßig Rechnungen über 300€ für „Aufladung Google-Ads Konto“. Dabei wird die Webseite über Google fast nicht gefunden, nicht beworben und es werden sogar bei Suche nach „Firmenname / Branche / Stadt“ direkte Konkurrenten als Werbe-Treffer angezeigt. Nach Konfontration schaltet Mustermann dann doch Google Ads.

  3. Kunde schickt daraufhin Kündigung via Einschreiben mit Rückschein. Mustermann verweigert Annahme.

  4. Kunde schickt Kündigung via Zustellung durch Gerichtsvollzieher. Mustermann ruft an und beschimpft Kunde.

  5. Mustermann schaltet darauf alles ab. Gut. Mustermann hatte die DENIC-Registrierung aber nicht auf den Kundennamen gemacht, sonder auf seine eigenen Firmennamen. Mustermann löscht auch Registrierung.

  6. URL names „Kundenname-Branchenname.de“ fällt weg. Webseiten-Aufkäufer schnappt sie sich und will sie neu verkaufen.

  7. Telekom legt Glasfaseranschluss ins Haus und will Blechkanäle durch das Treppenhaus legen. Treppenhaus vor wenigen Jahren renoviert, viel Stuck vorhanden. Kundin lehnt ab. Daraufhin verweigert Telekom die Glasfaserschaltung auch für den Kunden und den einen von fünf Mietern, der ohne Blechkanäle erreichbar wäre.

  8. Kunde bemerkt manchmal fehlerhaftes Verhalten des Rechners. Softwarehersteller und Verkäufer der Firewall macht dann eine Fernwartung und sagt „Oh, da hatten Sie einen Virus. Gut, dass Sie unser Sicherheitspaket haben, ich habe den Rechner soeben wieder bereinigt.“

  9. Softwarehersteller sagt "Sie haben ja zwei Firmen, eine mit Sitz im [EU-Nachbarland] und eine hier. Daher brauchen Sie auch zwei Server. Unter dem Schreibtisch stehen zwei Big-Tower mit Xeon-Prozessoren. Durchschnittliche CPU-Auslastung bei Benutzung der Firmensoftware (eigentlich nur eine Datenbank): 0 Prozent.

  10. Softwarehersteller empfiehlt dringend eine Datensicherung und legt jeweils eine externe Festplatte auf jeden Server, die dort auch dauerhaft liegt.

  11. Die Firewall ist auch für das WLAN zuständig. Aber irgendwie klappt das nicht. Elektriker (ich) stellt fest, dass eine der WLAN-Antenne in dem LTE-Anschluss eingeschraubt wurde.

  12. WLAN ist immer noch unbefriedigend. Softwarehersteller schickt Techniker, der einen TP-Link Repeater 4m neben der Firewall in eine Steckdose steckt. Rechnung: > 300€.

3 Like

Meine Lieblingsgeschichte:

$GERÄT wurde neu mit dem „Alles-Programm“ des Unternehmens verknüpft werden und die Bedienung soll den Nutzern gezeigt werden.

Große Versammlung um $GERÄT: neugierige Nutzer, ein Abgesandter der EDV-Abteilung und ein angereister Spezial-Spezialist der Firma, die das „Alles-Programm“ herstellt. Ungeduldig scharrende Nutzer, ratlose Profis. Irgendwie klappt die Datenübertragung nicht so richtig, aber ein paar Daten sind eben doch irgendwie im $GERÄT angekommen. Ratlose Profis, falls ich das noch nicht erwähnte.

Ich komme in den Raum, weil ich mir $GERÄT auch ansehen wollte. Hmm … die Daten die ins $GERÄT gekommen sind, stehen alle auf einem Barcode, der zuvor gescannt wurde. Ich sehe kein Kabel an $GERÄT, über das mir eine Datenübertragung wahrscheinlich scheint, für WLAN ist $GERÄT eher zu alt. Ich murmele „Das hat doch keinen Netzwerkanschluß“.

Spezialspezialist zeigt widerprechend auf ein Kabel am $GERÄT, das einzige außer der Stroversorgung „Da ist der Netzwerkanschluß“.

(Er deutet auf dickes grün-gelbes Kabel). Ich schlage mir innerlich an die Stirn, ziehe das Kabel ab (Vollmetallstecker, ein Pol) und sage „Das. Ist. Kein. Netzwerkabel!“.

Spezialspezialist antwortet: „Dooooch! Das ist ein altes Netzwerkkabel“. Meine Stirn bekommt einen weiteren tiefen Abdruck meiner Handinnenfläche.

Ich verlasse den Raum und atme durch.

Tief. Ganz tief.

2 Like

Moin,

Keine Schnappatmung? Du bist ein echter Profi!

Hättest du nicht damit aushelfen können?

Bildquelle: https://www.hartware.de/2003/04/01/geniestreich-von-gardena/

-Luno

ps: wenn ich deine und die Geschichte von @X_Strom so lese, dann beschleicht mich die unheilvolle Ahnung, dass auch der obige Adapter schon real im Einsatz war, oder es wurde zumindest versucht.

2 Like

Tolle Werkzeuge - und solche Adapter haben die auch.

4 Like

Systemhaus aus dem Sauerland, Spezialist für Netzwerk, Software, Sicherheit und den ganzen Rest:
Zwei spezielle Spezialisten verlegen ein temporäres Glasfaserkabel zwischen einem Turnierbüro und einem VIP-Counter. Sie stecken an beiden Ende Medienkonverter ein. Die Medienkonverter zeigen mit grünen LED den vorhandenen Link an. Ein Spezialist funkt den anderen Spezialisten an: „Lass uns noch den Link prüfen, du kannst das Messgerät jetzt einstecken.“
Er greift zum Kupfernetzwerkabel-Schnelltest (LED-Lauflicht, welches auf alle Adern eines Netzwerkkabels hintereinander folgend ein paar Volt Spannung aus einer 9V-Batterie gibt) und sagt „Und, leuchtet es bei dir?“ Der andere funkt zurück „Oh Mist, kein Durchgang - auf keiner der Adern!“

Sie haben dann noch die Batterie am „Sender“ gewechselt (obwohl da die Sende-LED alle blinkten).
Dann haben sie Sender und Empfänger gewechselt, „vielleicht geht ja die andere Verbindung“.

Super spezialisierte Elektriker installieren Netzwerkkabel und -schränke in einer Lagerhalle. Zwischen je zwei Schränken legen sie je zwei Netzwerkkabel und beschriften sie mit „Uplink“ und „Downlink“. (Wohlgemerkt: 1000BaseT, keine Glasfasern!).

Während der Inbetriebnahme liefern sie einfache Switches und klemmen sie ans Netzwerk des Kunden an. Der arbeitet mit VLANs. Sie verbinden zwischen allen Switchen jeweils ZWEI Netzwerkstrecken. Derweil bekommen die Disponenten im Büro nebenan Schnappatmung, greifen zu den privaten Handys und schlagen bei der EDV-Abteilung Alarm.

Während eines Reitturniers beschließt der Turnierchef, dass er oben im Richterturm sitzend nicht das zugewiesene WLAN nutzen möchte, sondern seine MacBooks per Kabel verbinden will. Er zieht den PoE-versorgten Accesspoint aus der Buchse, stöpselt seinen privaten Switch ein, steckt seine MacBooks und den Accesspoint ein (der deutlich erkennbar nur über ein Netzwerkkabel und kein Netzteil verfügt). Er bekommt keinen Zugang und experimentiert mit IP-Adress-Einstellungen herum. Als das nichts bringt, ruft er mich an und beschwert sich auf hochnäsige Art.

Ja, wir haben da zu wenig Netzwerkkabel im Turm. Ich kann nur eins benutzen, an den anderen hängen WDR, Zeitnahme, Ergebnisdienst. Ich benutze zum Accesspoint getaggte VLANs. Er versteht „Bahnhof“ und will sich beschweren. Ich zeige ihm, dass er dort über WLAN rund 200 / 80 Mbit/s hat. Er will aber nicht. Also schnappe ich mir einen gemanageten 8-Port-Switch und verhelfe ihm so zu seinen Netzwerkanschlüssen.

Ein Mieter bezieht eine Wohnung. Er hat Glasfaseranschluss und Netzwerkbuchsen in einem „Medienverteiler“. Telekomtechnike richtet den Router ein und sagt „Da bitte nichts verändern.“
Mieter steckt seinen PC in eine Netzwerkbuchse im Büro ein und bekommt kein Netz. Er beschwert sich bei mir. Ich frage, welche Ziffer die Netzwerkbuchse hat. „Sechs“. Ich frage, ob denn im Medienverteiler die Buchse sechs auch wirklich mittels Patchkabel mit dem Router verbunden ist. „Da darf ich nicht dran.“ Doch, Sie müssen das Internet vom Router mit der Buchse 6 im Verteiler verbinden, damit es aus der Buchse 6 im Arbeitszimmer herauskommt. „Ich habe hier Netzwerkbuchsen und werde jetzt ganz bestimmt nicht irgendwelche Patchkabel verlegen! Was soll der Quatsch, da kann ich schon mal gleich eine Mietminderung ankündigen, bis SIE das wieder in Ordnung gebracht haben!“

1 Like

Ja, das kommt immer häufiger vor. Offenbar haben die Security Spezial Spezialisten unserer verschiedenen Kunden jetzt immer häufiger was von Logging gehört und verlangen zunehmend von uns, dass wir jeden eingehenden und ausgehenden Netzwerkverkehr loggen, wegen papierraschel Cybersecurity.

Man würde ja sonst nicht erkennen, wenn ein unzufriedener Mitarbeiter die heiligen Daten der Kunden aus dem Haus verschickt.

Einwände wie „https aufbrechen erhöht aber die Sicherheit eher nicht“ oder „wie soll ich bitteschön automatisiert erkennen, ob der Mitarbeiter verschlüsselte Daten erlaubt oder unerlaubt versendet?“ oder „das logging jeder einzelnen Netzwerkanfrage ist ein Datenschutzproblem“ verhallen und werden quittiert mit „das macht man aber heute so“.

Ja. Man benutzt heute auch Virenscanner oder zwingt seine Mitarbeiter zum Passwortwechsel alle 30 Tage. Das ist doch kein Argument.

Es macht echt immer weniger Spaß.

Die neue Sau im Dorf unserer Kundschaft ist übrigens „haben Sie automatisches Alerting, wenn ungewöhnliche Netzwerkaktivitäten sind“. Wenn ihr da sachdienliche Hinweise habt, wie ich automatisch erkennen soll, ob ein Mitarbeiter gerade erlaubt oder unerlaubt größere Datenmengen bewegt bin ich total interessiert.

Ach ja. Die relevanten Kundendaten belaufen sich je Projekt zwischen 1 und 500MB.

Ernst gemeinte Frage: Wie macht ihr das denn mit Logging und automatischem Alerting?

Der kannte sicher noch Yellow-Cable (ich habe damit tatsächlich noch zu tun gehabt) und hielt das jetzt für die Weiterentwicklung, die ohne Vampire-Klemme und Transceiver auskommt.

Das ist Betriebsgeheimnis.
Vertrau uns!
So lange du uns 1000 GELD im Monat gibst, kümmern wir uns um deine Sicherheit.
Versprochen!
Das hat der Luigi bereits dem Pizzabäcker Andrea am Bahnhof versprochen und schau her: Kaum hat der Andrea die Zahlungen eingestellt, schon gab es diesen verheerenden Brand!

1 Like

Mit KI und logging in die Blockchain.

(Nicht ganz ernst gemeinte Antwort)

Gut, dass du das noch drangeschrieben hast. Sonst hätte ich doch glatt bei ChatGPT nachgefragt, was in meinem Netzwerk los ist.

ChatGPT sagt:
Ohne weitere Informationen kann ich nicht bestimmen, was in Ihrem Netzwerk nicht funktioniert. Es gibt viele mögliche Ursachen für Probleme im Netzwerk, einschließlich Konfigurationsfehler, Ausfälle von Netzwerkgeräten, Störungen im Internetdienstanbieter und vieles mehr. Um eine genaue Diagnose zu erstellen und das Problem zu lösen, benötige ich weitere Informationen wie das Art des Netzwerks, Symptome, Fehlermeldungen usw.

Gut, dann kommt die etwas ernstgemeintere Antwort: Der gesamte Internetverkehr wird über einen „Online-TrendMicro-Scandingsbums“ geleitet und fällt dann irgendwo aus einer Amazon-Cloud-Instanz heraus.

Sensible Daten? Scheiße, wer was zu verbergen hat …

Fun fact: Die Anmeldung in meinem $GOOGLE-Account ist darüber gesperrt, keine Ahnung warum genau. Ich vermute, weil Google etwas dagegen hat, das $TRENDMICRO die Verbindungen aufmacht und $PASSWÖRTER erfahren kann.

Aber was weiß ich schon …

Ach so. Na wenn ChatGPT es auch nicht weiß, dann ist ja alles gut.

Nein, dann fehlt einfach nur das passende Tool. Und in Zeiten von GitHub Copilot kannst auch $DU das spielend programmieren…

Oder die KI hat gelernt zu Lügen :grimacing::sweat_smile:

Während meiner Anwesenheit beim Kunden:
„Herr X_Strom, gucken Sie mal, ich hab da schon wieder so eine komische E-Mail bekommen.“
Mit Anhang: „rechnung.pdf.exe“
Dank super-duper Windows-Voreinstellung (bekannte Dateiendungen ausblenden) wird das natürlich als „rechnung.pdf“ angezeigt .
Ich habe das geändert.
Mitarbeiter sagt „Warum verbietet man das eigentlich nicht?“.
Herrlich.
Ist doch super, wie die Firewall wirkt.

Nebenfrage:
Ich kann über meinen Anbieter (Strato) keine Mails mit Viren verschicken - die EICAR Testdatei reicht dazu, dass der Versand unmöglich wird.
Ankommende E-Mails mit derselben Testdatei (und auch mit echter Schadsoftware) werden mir aber zugestellt.
Was ist denn das für eine Logik?

Wenn sie Viren rausschicken, werden sie schön langsam auf eine Blacklist kommen.
Beim Empfang von Viren passiert dies nicht, sondern nur dem Absender, also ist ihnen das sch*-egal.

2 Like