INTERVJU: Visste om sårbarheten – gjorde ingenting før det var for sent [Ekstra]

[Gjest Marius B. Jørgenrud]

– I etterpåklokskapens lys kan vi si at dette fikk en uheldig konsekvens.

INTERVJU: Visste om sårbarheten – gjorde ingenting før det var for sent [Ekstra]

[Øystein H]

Er det for drøyt å si at NHH ikke tar IT-sikkerheten på alvor?  

En gjennomgang av den aktuelle sårbarheten viser:

• April 24, 2019 – Pulse Secure releases initial advisory and software updates addressing multiple vulnerabilities.
• May 28, 2019 – Large commercial vendors get reports of vulnerable VPN through HackerOne.
• July 31, 2019 – Full use of exploit demonstrated using the admin session hash to get complete shell.
• August 8, 2019 – Meh Chang and Orange Tsai demonstrate the VPN issues across multiple vendors (Pulse Secure) with detailed attack on active VPN exploitation.
• August 24, 2019 – Bad Packets identifies over 14,500 vulnerable VPN servers globally still unpatched and in need of an upgrade.
• October 7, 2019 – The National Security Agency (NSA) produces a Cybersecurity Advisory on Pulse Secure and other VPN products being targeted actively by advanced persistent threat actors.
• October 16, 2019 – The CERT Coordination Center (CERT/CC) releases Vulnerability Note VU#927237: Pulse Secure VPN contains multiple vulnerabilities.

 

Når NHH opplyser at de ikke fikk vite om feilen før i vår, så må det være tillatt å stille spørsmål med om hvilke rutiner de har og eventuelt om forhandler/partner på IT sikkerhet (hvis de har noen) har rutiner for oppfølging.  Feilen ble offentlig vår/sommer 2019 og de har hatt over 1 år på å foreta oppdatering.  Kommentarer som "vi oppgraderte ikke fordi vi skulle bytte ut tjenesten" kan nesten sammenlignes med å si "jeg legger ikke om til vinterdekk i vinter fordi jeg skal kjøpe ny bil neste vår".  

 

Håper ikke resten av offentlige høyskoler er på samme nivå....

Endret 6. august 2020 av Øystein H

[inside_942795]

Nei det synes jeg ikke er drøyt.

Sier ganske mye om hvor oppegående direktøren er og hvor lite ledelsen forstår IT.

Sikkert overbetalt hele gjengen. Spark dem alle sammen