{"id":11361,"date":"2019-03-14T16:24:27","date_gmt":"2019-03-14T15:24:27","guid":{"rendered":"https:\/\/wpethzprd.ethz.ch\/id\/?p=11361"},"modified":"2019-03-25T14:49:45","modified_gmt":"2019-03-25T13:49:45","slug":"jubilaum-25-jahre-eth-christian-hallqvist","status":"publish","type":"post","link":"https:\/\/blogs.ethz.ch\/id\/2019\/03\/14\/jubilaum-25-jahre-eth-christian-hallqvist\/","title":{"rendered":"Jubil\u00e4um 25 Jahre ETH Christian Hallqvist"},"content":{"rendered":"\n

Herzlichen Gl\u00fcckwunsch Christian Hallqvist, ID-Mitarbeiter\nbei der ID Netzwerksicherheit, ICT-Networks.<\/p>\n\n\n\n\n\n\n\n

\"\"<\/figure>\n\n\n\n

Was bis zum 20.ten Jubil\u00e4um passiert ist, k\u00f6nnt Ihr im Post \u00ab20 Jahren ETH<\/a>\u00bb lesen. In den letzten f\u00fcnf Jahren ist aber auch einiges passiert \u2013 mit kleinen Hochs und Tiefs.<\/p>\n\n\n\n

Vorfall WannaCry<\/h2>\n\n\n\n

Um einen Einblick zu bekommen, wie es manchmal laufen\nkann, nehme ich als Beispiel den WannaCry-Fall vom Mai 2017. Begonnen hat es\nmit einem Anruf am Samstag, 13. Mai 2017. Informiert wurde ich, dass eine\nRansomware um die Welt ging und das ETH-Netzwerk \u00fcberpr\u00fcft werden muss. <\/p>\n\n\n\n

Wir arbeiteten das ganze Wochenende durch \u2013 von fr\u00fch bis sp\u00e4t<\/h3>\n\n\n\n

Unter anderem auch durch die Zusammenarbeit mit SWITCH fanden\nwir schnell eine sichere und effiziente Methode, um verd\u00e4chtigte F\u00e4lle zu\nfinden. Unsere Quelle waren die lokalen DNS-Logs. Wir konnten zus\u00e4tzlich auch\nDNS-Anfragen nach Aussen durch IDS \u00fcberwachen. Die Methode hatte praktisch\nkeine False Negatives. <\/p>\n\n\n\n

Ein Gl\u00fcck haben wir viele neugierige und\nexperimentierfreudige Studentinnen und Studenten an der ETH, die auch diese\nWelle verfolgt haben. Durch ihre Versuche und Tests wurden mehrere Falsch-Meldungen\nin unseren Logs generiert, sogenannte False Positives. <\/p>\n\n\n\n

Wir gingen aber alle Meldungen durch<\/h3>\n\n\n\n

Es war nat\u00fcrlich einfach, da die Betroffenen von\nRansomware praktisch keinen Aufwand brauchten, um Befall oder keinen Befall zu\nbest\u00e4tigen. Jeder Betroffene konnte eindeutig sehen, ob sein Ger\u00e4t von Ransomware\nbetroffen war (oder nicht). Der Datenverlust durch Ransomware ist klar\nsichtbar. Zum Beispiel mit dem folgenden Text: \u00abAlle deine Daten sind\nverschl\u00fcsselt. Bezahle so und so viel auf das Bitcoin Konto und du kriegst den\nEntschl\u00fcsselungs-Code\u00bb.<\/p>\n\n\n\n

Wir gingen einen nach dem andern m\u00f6glichen Fall durch und\nals die Welle endlich zur Ruhe kam, konnten wir mit Erstaunen feststellen, dass\nunser ETH-Netzwerk gar nicht von dieser WannaCry-Welle betroffen war. Kein\neinziger True Positive-Fall. <\/p>\n\n\n\n

Durch diese \u00dcbung haben wir viel gelernt und sind auch\nunglaublich froh wie resistent \u2013 durch gut gepatchte moderne Systeme \u2013 unser\nETH-Netzwerk tats\u00e4chlich ist.<\/p>\n\n\n\n

False Positive<\/h2>\n\n\n\n

Eine Alarm-Meldung, welcher kein Alarm bedeutet:
Wie z.B., wenn jemand Feuer-Alarm grundlos oder aus Langweile ausl\u00f6st.<\/p>\n\n\n\n

True Positive<\/h2>\n\n\n\n

Eine Alarm-Meldung, welche in Tat und Wahrheit eine Alarm-Meldung bedeutet:
Wie z.B. jemand l\u00f6st Feuer-Alarm aus wegen Feuer. <\/p>\n\n\n\n

False Negative<\/h2>\n\n\n\n

Wenn keine Alarm Meldung erzeugt wurde, obwohl es eindeutig h\u00e4tte geschehen sollen:
Wie z.B. niemand meldet Feuer, obwohl Feuer ausgebrochen ist, \u2026 alle im Geb\u00e4ude rennen in Panik hinaus, ohne dabei Feueralarm auszul\u00f6sen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Herzlichen Gl\u00fcckwunsch Christian Hallqvist, ID-Mitarbeiter bei der ID Netzwerksicherheit, ICT-Networks.<\/p>\n","protected":false},"author":838,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[257890,1175,25,898],"tags":[204554,46782,257917],"class_list":["post-11361","post","type-post","status-publish","format-standard","hentry","category-it-sich","category-kommunikation","category-news","category-support","tag-25-jahre-eth","tag-jubilaum","tag-netzwerksicherheit"],"_links":{"self":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/posts\/11361","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/users\/838"}],"replies":[{"embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/comments?post=11361"}],"version-history":[{"count":0,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/posts\/11361\/revisions"}],"wp:attachment":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/media?parent=11361"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/categories?post=11361"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/tags?post=11361"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}