Efter intrånget: Tietoevry anser att de har hög säkerhet

Själv är jag mest förvånad att man inte använt "immutable snapshots" i sin lagring. Finns bl.a. hos NetApp och heter SnapLock. Andra leverantörer har liknande.

Har man den funktionen så är det i princip omöjligt att radera ett snapshot när det väl är taget tills att tiden för snapshotet går ut, med mindre än att man har fysisk access till lagringsservern och går lös på diskarna med en slägga eller liknande. Eller att man lyckas hitta en sårbarhet i själva lagringssystemet i sig.

Det är inte en universallösning som löser allt på något sätt, men det är en enkel lösning för att minimera nertid till följd av ransomware. Efter att du kastat ut eventuellt bus ur miljön så behöver du åtminstone inte återläsa all data för backup för att komma igång igen, något som gör att återställning efter en ransomware attack kan ta betydligt kortare tid än annars.

Sen är det här inte här första gången Tieto haft omfattande IT-incidenter som tagit sönder deras lagringssystem, man tycker de borde kunna ha lärt sig något sedan senast.

Precis, en backup så kunde man återställa alla VMs på minuter. Fattar inte riktigt

Att återläsa en backup kanske tar några minuter eller en timme, men när det är många maskiner samtidigt som behöver återställas så kan det ta dagar eller veckor.

Man vill aldrig hamna i en situation där man måste återläsa allt från backup, man bör ha andra lager att kunna falla tillbaka på, som t.ex. immutable snapshots som jag nämnde innan. Det är den lärdomen Tieto inte verkar ha tagit till sig efter deras förra totala lagringshaveri 2012.

Det är ingen kund som drabbades som sänkte allt som jag har förstått det utan det var TE själva som hade den dåliga säkerheten, ingen kund. Sen kan sånt här hända vem som helst, men nu togs ju ett helt datacenter ner, vilket inte bör kunna hända. Det är lite här som det blir fel när TE går ut och säger att kunder betalar för mindre säkerhet (Eller nått i den stilen) När det var dom som tydligen hade lite lägre säkerhet.

https://www.aftonbladet.se/nyheter/a/4qlgLR/professorn-om-evr...

Skitföretag. Det är inte första gången och inte sista gången de kommer vara på tapeten.

Säkra principer rör sig förvånansvärt långsamt: Nätverkssegmentering, bra patchningsrutiner, rutiner för verklig offline-backup. Och ta inte in kunder med krav som skulle överstyra dessa grundprinciper.

Nackdelen är att det är struligt, arbetsintensivt och därmed relativt dyrt.

Jag minns bolaget som Tieto Enator.

Tänker du inte på Svenska kyrkan nu?

Blev också nyfiken och hittar heller ingen källa på att detta var det exakta tillvägagångssättet.
Däremot verkar det vara ett typiskt operandum för gruppen om man ska tro artikeln i Bleeping Computer:
""The incidents were particularly related to weakly secured Cisco VPN implementations or their unpatched vulnerabilities. Recovery is usually hard," warned the Finnish NCSC."
https://www.bleepingcomputer.com/news/security/tietoevry-rans...

Hög säkerhet?

1: De vet inte hur attacken gick till 3 veckor efter den skedde.

2: De har uppenbarligen inte en särskilt väl fungerade krishanteringsberedskap.

Akira har använt detta tillvägsgångssättet innan: https://www.truesec.com/hub/blog/akira-ransomware-and-exploit...

https://vdc-repo.vmware.com/vmwb-repository/dcr-public/d1902b...

Sen är IT-sverige väldigt litet, har man jobbat 20 år inom IT som jag har så har man kontakter lite överallt.

Tack för info! Brukar försöka att inte förutsätta kön och använda könsneutralt språk, men ibland halkar jag in i gamla ovanor. Antar väl att min hjärna inte lät mig föreställa något annat än en man som gör dåliga bilanalogier.

Ska redigera inlägget du citerade.

Det är just det: Även om det faktiskt var en kundmiljö som var angriparens språngbräda bör man kunna förvänta sig att det är ruskigt svårt att ta sig vidare till tjänsteleverantörens infrastruktur därifrån.

Om Bosses Bildelar var enda kunden som drabbats skulle kanske Venke kunna kasta dem under bussen och säga att de erbjudits säkerhetstjänster och tackat nej. Men så fort flera kunder drabbats och den enda gemensamma nämnaren är att deras miljöer går hos en leverantör, så är det leverantören, inte kunderna, som ställt till det för sig.

Tillåt mig att sätta på min foliehatt nu.
Det finns ingen verklighet där det rimligt att Sverigechefen för bolaget på blodigt allvar i media hävdar att de har "en väldigt hög säkerhet" efter en sån här incident när de uppger sig bokstavligen inte ha någon aning om hur attacken gick till. Det händer bara inte.

Det enda scenariot jag kan föreställa mig är när de faktiskt är fullt medvetna om vad som har hänt, men där det genom att hävda "jag vet inte" får de att framstå i bättre dager. Annars erkänner de i princip att de har vetat om säkerhetsbristen men valt att inte göra något åt det.

Med tanke på att Akira tidigare utnyttjat brister i Cisco AnyConnect, där specifikt en exploit varit känd sedan 2020, så tror jag att det är precis vad som händer här.

Men jag är förstås bara en glad ovetandes amatör.

Jag har också funderat på det. Det går verkligen inte ihop, förutom med din tes om att dom faktiskt vet men väljer att låtsas som att det regnar.

Oavsett vems felet är så tror jag att det grundar sig i att "säkerhet får inte kosta pengar", eller att det varit så tidigare och att det finns en enorm teknikskuld att arbeta av och lyfta alla system till en säker nivå.