Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt davor, dass Angreifer Sonicwall-Firewalls ins Visier nehmen — laut einem Bericht von Golem. Für alle, die Edge-Geräte-Sicherheit verfolgen, ist das eine vertraute Schlagzeile, und zugleich eine Erinnerung daran, warum Firewalls zu den wertvollsten Standorten in einem Unternehmensnetz zählen.
Die Anziehungskraft ist struktureller Natur. Eine Firewall oder ein VPN-Konzentrator steht konstruktionsbedingt im Internet, läuft mit hohen Rechten, hinkt bei Patches oft Jahre hinterher, weil ein Neustart allen den Zugang kappt, und protokolliert häufig in eine Konsole, die niemand liest. Wer sie übernimmt, ist bereits drin: kein Phishing nötig, kein Nutzer zu täuschen und legitimer verschlüsselter Datenverkehr als Tarnung.
Die SSL-VPN- und Secure-Mobile-Access-Appliances von Sonicwall sind immer wieder Ziele gewesen. Das Unternehmen hat in der Vergangenheit dringende Hinweise veröffentlicht und Kunden aufgefordert, sofort zu patchen oder internetzugewandte Management-Schnittstellen und nicht genutzte SSL-VPN-Dienste abzuschalten — eine Empfehlung, die offenbar nicht immer bei den zuständigen Administratorinnen und Administratoren ankommt, sonst müsste sie nicht wiederholt werden. Kampagnen gegen solche Geräte folgen meist demselben Muster: massenhaftes Scannen nach exponierten Anmeldeportalen, Fingerprinting der Firmware-Versionen, dann die Ausnutzung einer bekannten Lücke oder schlichte Angriffe auf Zugangsdaten mit wiederverwendeten, geleakten oder Standard-Passwörtern. Von einem VPN-Standort aus sammeln Eindringlinge üblicherweise Zugangsdaten, bewegen sich seitwärts und bereiten Ransomware vor.
Für Administratoren ist die praktische Checkliste etabliert. Hersteller-Patches und Firmware-Updates sofort einspielen statt beim nächsten Wartungsfenster. SSL-VPN, SSH- oder Management-Zugang aus dem Internet abschalten, wenn er nicht zwingend nötig ist, und den Rest auf bestimmte IP-Adressen oder einen internen Sprungserver begrenzen. Multi-Faktor-Authentifizierung erzwingen und lokale Konten auf veraltete oder geteilte Zugangsdaten prüfen. Protokollierung aktivieren und tatsächlich auswerten, nach den Kompromittierungsindikatoren suchen, die Hersteller und BSI mit solchen Warnungen veröffentlichen, das Netz segmentieren, damit ein kompromittiertes Gerät kein Pfad zum Domänencontroller ist, und Offline-Backups vorhalten. Wer im Internet erreichbar ist, wird permanent gescannt — das ist keine Vermutung.
BSI-Produktwarnungen dieser Art gehen üblicherweise mit konkreten Maßnahmenlisten für die betroffenen Modelle einher, und wer Sonicwall-Hardware betreibt, sollte sie als Arbeitsauftrag behandeln, nicht als Hintergrundrauschen. Die allgemeinere Lehre wiederholt sich über Hersteller und Jahre hinweg: Die Geräte, die wir an den Rand stellen, um Angreifer draußen zu halten, sind genau die, in die sie am hartnäckigsten einzudringen versuchen.
