Bundesamt für Sicherheit in der Informationstechnik

G 4.53 Unsichere Default-Einstellungen bei Speicherkomponenten

Speicherkomponenten werden von Herstellern oft mit unsicheren Default-Konfigurationen ausgeliefert, die den sicheren Einsatz gefährden.

Folgende Aspekte sind häufig problematisch:

Betriebssystem

Speichersysteme werden oft mit einem veralteten Versionsstand des Betriebssystems ausgeliefert. Dieser entspricht oft nicht dem aktuellen Sicherheitsstand.

Hostname

Voreingestellte Hostnamen verraten oft den Hersteller der Geräte. Dadurch könnten gezielte Angriffe auf bekannte Sicherheitslücken dieser Geräte gestartet werden.

Dienste

Werkseitig werden Geräte mit Standardkonfigurationen ausgeliefert, auf denen eine Vielzahl von Diensten aktiviert sind. Beispielsweise können dies HTTP, Telnet, FINGER oder sonstige Dienste sein, die aus Sicherheitsgründen bei Speichersystemen nicht aktiviert sein sollten.

Benutzerkonten und Passwörter

Vom Hersteller eingerichtete Benutzerkonten haben oft dokumentierte und damit allgemein bekannte Standardnamen und -passwörter. Auf einschlägigen Internet-Seiten stehen Listen mit herstellerspezifischen Standard-Accounts und Passwörtern zum Download bereit, so dass hierüber ein einfacher Zugriff auf die Systeme für Unbefugte möglich ist.

Unsichere SNMP-Versionen

Die Authentisierung erfolgt bei SNMPv1 und SNMPv2 lediglich mittels eines unverschlüsselten sogenannten Community Strings. Als Standardeinstellung bei nahezu allen Herstellern ist der Read-Community-String auf den Wert "public" eingestellt, während der Write-Community-String auf den Wert "private" gesetzt ist. Wenn die unsicheren SNMP-Versionen genutzt werden und für die Administration kein eigenes Administrationsnetz eingerichtet wurde, kann ein Angreifer leicht die Kontrolle über Netzkomponenten erlangen, wenn diese Default-Einstellungen beibehalten werden.

Stand: Stand 2006

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK