@agmü schrieb:
Ändert aber auch nichts daran, dass Exchange online genauso vulnerabel ist, wie Exchange on premise.
Nö, dass auch die 2FA Apps nicht unfehlbar sind; geschenkt. Bei golem.de gab's auch andere "Fallstricke" mit 2FA Apps. Es kommen dann z.B. so viele Anfragen auf eine Freigabe aufs Smartphone per Push Notification, dass der Endnutzer am Ende dann einfach freigibt, um Ruhe zu haben, weil er genervt ist.
Ja, aber wer auch mit dem Klammersack geweckt wird 🙄 ... sorry, irgendwo kann man den gesunden Menschenverstand technisch nicht ersetzen. Das ist wie mit Antiviren Programmen. Einmal scharf nachdenken kann kein Programm ersetzen.
Und wenn Exchange online vulnerabel ist, muss ich da keine Arbeit in eigene Firewall und Patches und Co. stecken. Und wirklich sicher sein, ob das eigene Wissen und Handeln ausreicht, kann man auch nie gehen. Da verlasse ich mich auf die Experten von Apple, Microsoft und Co.
Als Fazit zum Wochenende😎:
Jede noch so technisch ausgefeilte Sicherheitsfunktion kann durch den Anwender unterlaufen werden, oder: Auch nach 30 Jahren IT bleibt das größte Sicherheitsrisiko der Anwender.😞
@metalposaunist schrieb:Achtung ⚠️ Da könnte was kommen: Exchange Server werden über 0-day Exploit angegriffen
Nur zur Info: Ich sehe gerade in freier Wildbahn EX Installation die tatsächlich von Microsoft über EEMS mit Sofortmaßnahmen ausgestattet werden.
Das Thema ist noch nicht durch:
https://www.heise.de/news/Exchange-Server-Zero-Day-Bisheriger-Workaround-unzureichend-7283072.html
https://www.heise.de/news/Exchange-0-Day-Microsoft-korrigiert-Workaround-7284241.html
Microsoft hat dann nun auch mal reagiert. Das Aktualisieren via EEMS ist bei uns aber noch nicht angekommen. 🤔
Ick bün all dor
Oder es liegt daran, dass wir bereits den (neuen) korrekten Eintrag manuell gesetzt hatten, aber ich glaube nicht, dass Microsoft sowas wirklich vorher abfragt, sondern knallhart via EEMS die Regel dort reinschreibt. 🤔
@pascal_duennebacke schrieb:Oder es liegt daran, dass wir bereits den (neuen) korrekten Eintrag manuell gesetzt hatten, aber ich glaube nicht, dass Microsoft sowas wirklich vorher abfragt, sondern knallhart via EEMS die Regel dort reinschreibt. 🤔
lt. MS soll man sogar evtl. doppelte/alte Regeln löschen
Hier kommt die nächste Lücke, die uns mit DATEV betrifft: Deutsche Sicherheitsfirma DCSO findet Maggie-Backdoor in MS SQL-Servern
Frage: Ist das von DATEV gesetzte SQL Server Passwort auf allen DATEV Instanzen gleich oder wird pro Installation ein eigener Benutzer mit eigenem Kennwort erstellt? Könnte damit auch nichts zu tun haben - da bin ich SQL Laie.
Und Microsoft muss nochmals nachbessern:
https://www.heise.de/news/Exchange-Zero-Day-Luecke-Nochmals-nachgebesserter-Workaround-7304522.html