Sicherheitswarnung:
Aktuelle Angriffskampagne auf Fortinet-Systeme
Sicherheitsforscher und Fortinet berichten derzeit über eine weltweit laufende Angriffskampagne auf FortiGate-Systeme.
Dabei nutzen Angreifer kompromittierte Zugangsdaten sowie Konfigurationsinformationen, um unberechtigte Zugriffe auf betroffene Systeme zu erlangen.
Nach aktuellem Kenntnisstand handelt es sich nicht um eine neue Sicherheitslücke in der Fortinet-Software. Stattdessen werden offenbar Zugangsdaten verwendet, die bereits in der Vergangenheit durch kompromittierte Systeme oder fehlerhafte Konfigurationen erlangt wurden. Dadurch können auch Systeme betroffen sein, die bereits auf einem aktuellen Softwarestand betrieben werden.
Die Situation entwickelt sich derzeit dynamisch. Über relevante neue Erkenntnisse werden wir Sie informieren.
Welche Systeme sind besonders gefährdet?
Ein erhöhtes Risiko besteht insbesondere bei FortiGate-Systemen,
- deren Administrator-Zugänge direkt aus dem Internet erreichbar sind,
- bei denen SSL-VPN-Zugänge öffentlich verfügbar sind,
- die keine Multi-Faktor-Authentifizierung (MFA) verwenden,
- oder bei denen Zugangsdaten über einen längeren Zeitraum nicht geändert wurden.
Wichtige Sofortmaßnahmen
Fortinet empfiehlt Administratoren, ihre Systeme kurzfristig zu überprüfen und folgende Maßnahmen umzusetzen:
Aktuelle Firmware und Sicherheitsupdates installieren
Stellen Sie sicher, dass alle verfügbaren Sicherheitsupdates und Firmware-Versionen eingespielt sind.
Benutzerkonten kontrollieren
Prüfen Sie Administrator-, Management- und VPN-Benutzerkonten auf unbekannte oder neu angelegte Benutzer.
Login-Protokolle analysieren
Kontrollieren Sie die Administrator- und VPN-Anmeldungen auf ungewöhnliche Zugriffe oder Anmeldeversuche.
Konfigurationsänderungen überprüfen
Vergleichen Sie aktuelle Konfigurationen mit bekannten Sicherungsständen und prüfen Sie Änderungen der letzten Tage und Wochen.
VPN- und Remote-Zugänge kontrollieren
Überprüfen Sie SSL-VPN- und sonstige Fernzugriffe auf verdächtige Aktivitäten.
Passwörter ändern
Sofern ein Verdacht auf eine Kompromittierung besteht, sollten sämtliche Administrator- und VPN-Passwörter unverzüglich geändert werden.
Multi-Faktor-Authentifizierung aktivieren
MFA stellt eine der wirksamsten Schutzmaßnahmen gegen den Missbrauch kompromittierter Zugangsdaten dar und sollte für alle administrativen Zugänge aktiviert sein.
Management-Zugänge absichern
Administrationsoberflächen sollten ausschließlich über vertrauenswürdige Netzwerke oder gesicherte Management-Zugänge erreichbar sein.
Unsere Empfehlung
Da die aktuelle Angriffskampagne auf bereits kompromittierten Zugangsdaten basiert, empfehlen wir grundsätzlich die Überprüfung und gegebenenfalls den Austausch aller Administrator- und VPN-Passwörter. Diese Maßnahme reduziert das Risiko eines erfolgreichen Angriffs erheblich.
Unterstützung durch MR Datentechnik
Unsere Sicherheitsexperten beobachten die aktuelle Bedrohungslage fortlaufend und unterstützen Kunden bei der Überprüfung ihrer Fortinet-Umgebung. Stellen wir Auffälligkeiten fest, kommen wir direkt auf unsere betroffenen Kunden zu.
Wir überprüfen unter anderem:
- Analyse von Anmelde- und Sicherheitsprotokollen
- Überprüfung von Benutzerkonten und Berechtigungen
- Kontrolle von Konfigurationsänderungen
- Bewertung der Erreichbarkeit von Management-Zugängen
- Unterstützung bei der Härtung und Absicherung der Systeme
Natalie Kickner
Teamleitung Regionalvertrieb Südost Innendienst
Niederlassungleitung Regensburg
Nehmen Sie Kontakt auf
Bei Fragen zur aktuellen Bedrohungslage oder zur Überprüfung Ihrer Fortinet-Infrastruktur stehen wir Ihnen gerne zur Verfügung.