Mr.Logg: 2024

CVE-2024-3400 - IP list

I recommend blocking incoming traffic from this EDL IP list to all your public IPs, not just to your GlobalProtect portal.

My EDL IP update:
https://edl.nyggen.com/EDL-Bad-IP-CVE-2024-3400.txt

IP list from https://unit42.paloaltonetworks.com/cve-2024-3400/
110.47.250[.]103

126.227.76[.]24

38.207.148[.]123

147.45.70[.]100

199.119.206[.]28

38.181.70[.]3

149.28.194[.]95

78.141.232[.]174

38.180.128[.]159

64.176.226[.]203

38.180.106[.]167

173.255.223[.]159

38.60.218[.]153

185.108.105[.]110

146.70.192[.]174

149.88.27[.]212

154.223.16[.]34

38.180.41[.]251

203.160.86[.]91

45.121.51[.]2

IP list from my finding at 20.04.24 at 19.30 CEST

185[.]174[.]137[.]26

34[.]78[.]95[.]130

88[.]119[.]169[.]230

34[.]22[.]176[.]97

188[.]166[.]87[.]88

159[.]65[.]33[.]252

207[.]246[.]68[.]214

151[.]236[.]29[.]58

94[.]156[.]65[.]141

104[.]248[.]129[.]202

138[.]68[.]44[.]59

158[.]247[.]247[.]86

104[.]248[.]29[.]170

185[.]104[.]194[.]47

193[.]32[.]126[.]136

45[.]89[.]55[.]162

139[.]59[.]241[.]148

146[.]70[.]105[.]138

68[.]183[.]230[.]252

128[.]199[.]166[.]165

143[.]198[.]59[.]79

IP list from my finding at 20.04.24 at 20.30 CEST

189[.]206[.]227[.]226

5[.]42[.]92[.]152

168[.]100[.]8[.]13

165[.]227[.]44[.]48

189[.]206[.]227[.]150

18[.]143[.]129[.]154

170[.]64[.]230[.]1

37[.]19[.]218[.]176

1[.]53[.]51[.]174

23[.]227[.]194[.]230

198[.]13[.]35[.]229

202[.]44[.]54[.]13

103[.]113[.]8[.]101

192[.]46[.]208[.]206

34[.]118[.]89[.]45

34[.]77[.]8[.]21

34[.]118[.]19[.]13

104[.]28[.]215[.]70

178[.]128[.]212[.]140

139[.]180[.]210[.]69

207[.]180[.]246[.]67

94[.]156[.]68[.]4

38[.]60[.]212[.]206

101[.]99[.]91[.]107

154[.]88[.]26[.]223

111[.]185[.]242[.]156

144[.]91[.]66[.]213

172[.]232[.]148[.]32

154[.]90[.]49[.]108

103[.]15[.]29[.]171

202[.]182[.]105[.]189

45[.]76[.]163[.]154

78[.]141[.]241[.]7

42[.]114[.]205[.]128

104[.]46[.]193[.]46

106[.]104[.]162[.]35

146[.]70[.]116[.]201

193[.]56[.]113[.]69

45[.]32[.]156[.]173

167[.]99[.]96[.]133

140[.]120[.]136[.]11

23[.]158[.]104[.]193

193[.]56[.]113[.]9

206[.]166[.]251[.]43

185[.]246[.]189[.]97

104[.]168[.]145[.]244

123[.]192[.]168[.]60

58[.]69[.]38[.]83

85[.]66[.]8[.]187

45[.]11[.]59[.]136

23[.]94[.]158[.]73

58[.]69[.]38[.]126

203[.]160[.]72[.]245

154[.]16[.]192[.]50

165[.]22[.]111[.]168

185[.]239[.]69[.]159

140[.]82[.]63[.]209

42[.]119[.]60[.]242

146[.]70[.]143[.]142

193[.]43[.]104[.]199

5[.]182[.]211[.]148

107[.]155[.]55[.]118

8[.]208[.]45[.]145

8[.]208[.]112[.]87

45[.]61[.]150[.]2

66[.]42[.]55[.]167

115[.]78[.]224[.]54

Rethinking digital security beyond just Telegram

Telegram har lenge vært i søkelyset for sikkerhetsbekymringer, noe som har ledet mange bedrifter til å blokkere appen. Men dette langvarige fokuset mangler en viktigere innsikt: Vi må være bevisste på sikkerheten til alle digitale verktøy vi bruker, ikke bare Telegram.

Mange apper, som Facebook, Instagram, TikTok, og Snapchat, samler inn store mengder brukerdata. Dette inkluderer ikke bare grunnleggende personlige detaljer som navn og e-postadresse, men også lokasjonsdata, søkehistorikk, kjøpshistorikk, kontaktlister, SMS-innhold, samt detaljer om hvem du kommuniserer med og hvordan du interagerer med innhold på nettet. Denne omfattende datainnsamlingen kan ikke bare avsløre dine personlige preferanser og vaner, men også potensielt sensitive informasjoner som kan utnyttes for målrettet reklame, sosial manipulasjon, eller mer alvorlige former for cyberkriminalitet.

For de som arbeider med sensitiv informasjon innen helsevesenet, juridiske tjenester, journalistikk, IT-sikkerhet, finansanalyse, og HR, er risikoen spesielt høy. En utilsiktet lekkasje av informasjon i disse yrkene kan føre til identitetstyveri, økonomisk tap, eller skade på personers liv og karrierer.

For å beskytte sensitiv informasjon effektivt, bør de i sensitive roller begrense bruken av potensielt risikofylte apper til et minimum, og kun bruke apper som er godkjent av IT-avdelingen. Dette, kombinert med regelmessig opplæring i digital bevissthet og oppdatering av sikkerhetspraksiser, vil styrke forsvar mot digitale trusler.

Security in layers

Sikkerhet legges i lag!

Å stole utelukkende på et antivirusprogram er ikke (og har aldri vært) tilstrekkelig.

For å effektivt beskytte våre digitale eiendeler, må vi utnytte et bredt spekter av sikkerhetstiltak. Ved å integrere brannmurer, kryptering, nettverkssegmentering, endepunktbeskyttelse, Group Policy Objects, e-postfiltrering, adferdsanalyse, tilgangskontroll, og dekryptering for inspeksjon av trafikk, kan vi bygge en mer omfattende forsvarslinje.

I tillegg er sikkerhetsbevissthetstrening for ansatte avgjørende for å styrke det menneskelige leddet i sikkerhetskjeden.

Disse lagene av sikkerhetstiltak arbeider sammen for å forme en robust sikkerhetsarkitektur som er i stand til å stå imot og tilpasse seg det stadig skiftende landskapet av cybersikkerhetstrusler.

Det er viktig å merke seg at dette er eksempler på sikkerhetstiltak; ulike organisasjoner kan ha tilgang til forskjellige "lag" av sikkerhet basert på deres spesifikke behov og ressurser, eller de kan implementere andre sikkerhetsstrategier som også er effektive. Tilpassing og fleksibilitet i sikkerhetsstrategien er nøkkel til å møte din organisasjons unike utfordringer.

Nothing is free (part 2)

Jeg har skrevet om at "ingenting er gratis" før,

her på https://www.mrlogg.no/2022/12/nothing-is-free.html

Grunnen til at jeg tar det opp igjen er at dette er viktig, har du f.eks. Virustotal.com åpen og en ansatt laster opp et viktig dokument for virus sjekk der så ligger dokumentet tilgjengelig for alle som vil laste det ned.

En noe uoffisielt test viser at en fil som ble lastet opp på virustotal ble lastet ned igjen fra forskjellige verdensdeler hele 9 ganger på de første 3 timene filen lå tilgjengelig.

Hva om en ansatt laster opp dokumenter som inneholder sensitiv informasjon om en av dine kunder?
Eller informasjon om et nytt produkt din bedrift jobber med?

Risikoen for at denne informasjonen kommer på avveie er høy.

Det er derfor essensielt å forstå at selv om tjenester som Virustotal tilbyr en verdifull ressurs for å sjekke filer for skadelig programvare,
må man være ekstremt forsiktig med hvilke dokumenter man velger å laste opp.

For bedrifter er det viktig å implementere strenge retningslinjer for bruk av slike tjenester og

ansatte bør opplæres i sikkerhetsrisikoer knyttet til deling av filer og informasjon på Internett.

Palo Alto Networks sin brannmur kan også hjelpe deg litt på vei men å ha et Block eller Continue varsel på slike sider.

PaloAltoNetworks - IoT

Gjør nettverket ditt sikrere med mikro-segmentering.

Mange virksomheter undervurderer mangfoldet av enheter som kjører på deres nettverk, ofte plassert innenfor samme VLAN, noe som kan føre til unødvendige sikkerhetsrisikoer og nettverks-belastning. Mikro-segmentering, prosessen med å dele opp nettverket i mindre, sikrere VLAN er basert på utstyrets funksjon, er nøkkelen til å forbedre både sikkerheten og ytelsen.

For de som ønsker å få en rask oversikt over nettverkets sammensetning og identifisere potensielle forbedringsområder, anbefales en IoT-lisens fra Palo Alto Networks. Denne lisensen kan aktiveres som en prøveperiode på brannmurene deres, og tilbyr en fantastisk kartlegging av tilkoblede enheter i løpet av få dager. Ved å utnytte denne innsikten kan virksomheter ta informerte steg mot en mer segmentert og sikker nettverkstruktur.

Her er et eksempel på hvordan du kan dele opp nettverket ditt for optimal sikkerhet og effektivitet, inspirert av faktiske behov og beste praksiser.

1. Alarmsystemer VLAN: Normalt har tilgang til overvåkningssentraler og sikkerhetsadministrasjonssystemer for å sende alarmer og statusoppdateringer.

2. Applikasjonsserver VLAN (per unik enhetstype): Gir tilgang til databaser og andre back-end systemer nødvendige for applikasjonens funksjonalitet, samt utviklings- og testmiljøer for oppdateringer.

3. Backup VLAN: Har tilgang til lagringsnettverk og administrasjonssystemer for sikkerhetskopiering og gjenoppretting av data.

4. Betalingsenheter VLAN: Kobles til transaksjonsbehandlere og banknettverk, med streng tilgangskontroll for å oppfylle betalingsindustriens sikkerhetsstandarder.

5. Brukerdatamaskin VLAN: Har tilgang til internett, interne applikasjoner, e-posttjenester, og delte ressurser som filservere og skrivere.

6. Domene Kontroller VLAN: Interagerer med servere og endepunkter innen organisasjonen for autentisering, autorisering og policyhåndheving.

7. E-postserver VLAN: Kobles til internett for inn- og utgående e-post, samt interne brukere for e-posttilgang.

8. Gjestenettverk VLAN: Begrenset tilgang til internett og eventuelt noen offentlige tjenester tilbudt av organisasjonen, uten tilgang til interne systemer.

9. HVAC VLAN: Har tilgang til bygningsadministrasjonssystemer og eventuelt eksterne vedlikeholdstjenester for overvåking og styring.

10. Microsoft SQL Server VLAN: Gir tilgang til applikasjonsservere som krever databasetjenester, samt administrasjonssystemer.

11. Møteromsteknologi VLAN: Kobles til presentasjonsutstyr, konferansesystemer, og utvalgte eksterne videokonferansetjenester.

12. MySQL Server VLAN: Tilbyr databasetjenester til web- og applikasjonsservere, samt tilgang til utviklingsverktøy.

13. NAS/SAN VLAN: Tilgjengelig for servere som krever lagringstjenester, backup-systemer, og administrasjonsverktøy.

14. Oracle Server VLAN: Gir databasetjenester til applikasjonsservere som trenger høy ytelse og pålitelig datalagring, med tilgang til databaseadministrasjonsverktøy.

15. Partner VLAN: Tilgang begrenset til spesifikke tjenester og systemer som kreves for samarbeid eller integrasjon med partnerorganisasjoner.

16. PostgreSQL Server VLAN: Serverer databasetjenester til applikasjoner, med tilgang til utviklings- og test-verktøy.

17. Printer VLAN: Gir utskriftstjenester til brukerdatamaskiner og møterom, med administrativ tilgang for vedlikehold og overvåking.

18. Sikkerhetskamera VLAN: Har tilgang til videoovervåkingsstasjoner og sikkerhetsadministrasjonssystemer for opptak og overvåking.

19. Smart Lighting Systems VLAN: Kobles til bygningsadministrasjonssystemer for styring og overvåking av belysning, med potensiell ekstern tilgang for vedlikehold.

20. Smartbygg/IoT-enhet VLAN (per unik enhetstype): Isolert tilgang til spesifikke styringssystemer og vedlikeholdstjenester dedikert for hver enhetstype.

21. Testmiljø VLAN: Gir tilgang til utviklings- og applikasjonsservere for testing av nye applikasjoner og oppdateringer under kontrollerte forhold.

22. Trådløse Tilgangspunkt (AP) VLAN: Serverer trådløs tilkobling for enheter, med tilgang til internett og interne nettverksressurser basert på brukerrettigheter.

23. Utviklingsmiljø VLAN: Tilgang til utviklingsverktøy, kodearkiver, og interne testservere for applikasjonsutvikling og -testing.

24. VoIP VLAN: Kobles til VoIP-servere og telefonsystemer for intern og ekstern talekommunikasjon, med kvalitetssikring for taletrafikk.

25. Webserver VLAN (per unik enhetstype): Gir webtjenester til interne og eksterne brukere, med tilgang til relevante backend-systemer og internett for utvalgte nettsteder.

Trust Through Verification

Fra Zero Trust til Trust Through Verification:

"Zero Trust" er et begrep som ofte misforstås som en sikkerhetsstrategi som indikerer en grunnleggende mistillit til alle. I virkeligheten fokuserer det på kontinuerlig verifisering for å sikre nettverk, enheter, og tilgang til skytjenester. For å fremme en bedre forståelse, kan det være nyttig å vurdere en endring til begrepet "Trust Through Verification".

Vanlige mistolkning av Zero Trust:

Feiltolkningen her er at Zero Trust-prinsippet innebærer en grunnleggende mistillit til ansatte eller medlemmer av en organisasjon. I virkeligheten fokuserer Zero Trust på nødvendigheten av å verifisere tilgang til systemer og data for å beskytte mot sikkerhetstrusler. Det handler ikke om personlig mistillit, men om å anerkjenne at trusler kan komme fra hvor som helst.

Kritikere mener at Zero Trust-strategier er uforenlige med en kultur av gjensidig tillit, og at det skaper en 'militærstruktur' hvor hierarki dominerer over gjensidighet. Dette perspektivet overser at Zero Trust primært er et teknisk sikkerhetskonsept som sikter mot å minimere risiko for datalekkasjer og angrep. Det er designet for å styrke, ikke svekke, den organisatoriske tilliten ved å etablere klare og rettferdige sikkerhetsprotokoller som beskytter alle i organisasjonen.

En annen vanlig misforståelse er at implementering av Zero Trust automatisk fører til en overvåkingsintensiv tilnærming som kompromitterer personvernet. Selv om Zero Trust krever detaljert logging og overvåking av nettverksaktivitet, er målet å sikre datatilgang basert på nødvendighet og minste privilegiums prinsipp, ikke å overvåke ansatte unødvendig.

PaloAltoNetworks - GlobalProtect

Det kan være utfordrende å sette opp GlobalProtect og det kan gjøre på forskjellige måter så her viser jeg litt hvordan det er satt opp hos meg.

Her er noen av feilmeldingene jeg har hatt og som er løst med mitt nåværende oppsett:
PanHttpsClient: 1738, found exception
The network connection is unreachable
Gateway does not exist

Har også hatt noen tilfeller at noen Android enheter får koblet opp på GlobalProtect, andre ikke.

Sertifikater laget på brannmuren har noen ganger gitt meg problemer så jeg laget et gratis (90dagers) via https://app.zerossl.com/certificate/new

Jeg har importert 350 sertifikater fra før så om du mangler de 3 andre så legg inn dem også.

Så må en ha en SSL / TLS Service Profil. Hos meg ser den slik ut:

Jeg har laget meg en Auth Sequence slik at om jeg logger på med noen utvalgte brukere så får jeg MFA via Jumpcloud, men på andre bruker (mobil til ungene) så er det ikke MFA krav.

GlobalProtect Gateway

GlobalProtect Portal

I tillegg har jeg selvfølgelig en sikkerhets regel som sier at bare noen utvalgte land/Regions kan koble opp mot min GlobalProtect.

PaloAltoNetworks - GlobalProtect Clientless VPN

GlobalProtect Clientless VPN er en ganske enkel og kul funksjon som finnes på en PaloAltoNetworks brannmur.
Om du alt har satt opp GlobalProtect så tar det bare noen minutter å legge til Clientless delen.
Guide finner du her:

https://docs.paloaltonetworks.com/globalprotect/10-1/globalprotect-admin/globalprotect-clientless-vpn/configure-clientless-vpn#idb1376316-e123-441e-a5cb-3dcc559cd2ea

En kan sette opp forskjellige applikasjoner for forskjellige brukere,
så på min bruker får jeg pr nå opp disse, men alle andre bruker får kun opp "download client" siden som er den vanligste å ha på GlobalProtect.

Trafikken vil da gå internt til interne sider, men en kan også legge på f.eks. google slik at en kan surfe via filteret en har på den aktuelle PA brannmuren.

De linkene/appene som vil se ca slik ut: https://vpn.company.no/https-443/10.0.20.3/#/login

En må selvfølgelig lage sikkerhetsregler som slipper gjennom trafikken, de reglene skal da ha med brukernavn slik at den kun treffer den personene som skal ha tilgangen.

Med denne Clientless så slipper en altså å installere GlobalProtect klienten på PC`en, noe som gir brukere mulighet å utføre utvalgte arbeidsoppgaver selv om de ikke er tilkoblet VPN og/eller har jobb-PC`en tilgjengelig.

Husk MFA på alle kontoer som logger på GlobalProtect Clientless!

Dealing with a compromised Microsoft Office account

Har din Microsoft Office-konto blitt hacket?

Disse stegene kan hjelpe deg å sikre kontoen igjen.

1. Endre passord
Umiddelbart endre passordet til kontoen. Velg et sterkt, unikt passord som ikke er brukt på andre kontoer for å forhindre gjentatt uautorisert tilgang.

2. Tilbakestill MFA (Multi-Faktor Autentisering)
Etter å ha endret passordet, tilbakestill MFA-innstillingene for å fjerne eventuelle koblinger hackere kan ha opprettet. Verifiser at MFA er aktivert på alle relevante kontoer for et ekstra lag med sikkerhet.

3. Gjennomgå kontoaktivitet
Fra brukers konto:
Sjekk kontoaktiviteten for uautorisert tilgang ved å besøke https://mysignins.microsoft.com/ og https://myaccount.microsoft.com/device-list for å se om det er noen ukjente enheter i bruk.

Fra administrator konto:
Bruk https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/SignIns for å gjennomgå innloggingsforsøk og aktiviteter for bruker (eller alle brukere)

4. Skanne etter malware
Kjør en fullstendig malware-skan på brukerens enheter for å identifisere og fjerne eventuell skadelig programvare som kan kompromittere sikkerheten.

5. Fjerne mailkontoen fra eventuelle Blacklist`er
Hvis kontoen er blitt svartelistet, start prosessen for fjerning ved å bruke verktøy som https://multirbl.valli.org/email-test/ for å identifisere og ta tak i problemet.

6. Informere relevante parter
Varsle relevante parter om sikkerhetsbruddet, spesielt hvis sensitiv informasjon har blitt kompromittert. Dette kan inkludere kunder og interne eller eksterne parter.

7. Revisjon av e-postregler
Se etter uautoriserte e-postregler og automatiske videresendinger.
Kontroller endringer i filtrering og søppelpostinnstillinger.

8. Oppdater software
Sørg for at all software på alle enheter til bruker er oppdatert.

9. Videre opplæring og bevisstgjøring
Bruk denne erfaringen som en læremulighet for å forbedre digitale sikkerhetsrutiner.
Vurder å gjennomføre ytterligere opplæring i sikkerhetsbevissthet for alle ansatte.

Årsaken til at kontoen ble hacket kan være mange, men det skader ikke med å gi bruker(ne) litt MFA opplæring, som du finner her

Skjermbilde multirbl.valli.org

PaloAltoNetworks firewall - Device certificate not found

Noen ganger kan det være problemer med å få ny PA til å hente sertifikat fra license.api.paloaltonetworks.com

En kan da få feilmeldinger som:
Failed to Fetch the Device Certificate eller Device certificate not found

Om en sjekker Monitor --> Traffic så ser en ofte at applikasjon er incomplete.

Det er flere ting som kan være årsaken.

DNS konfigurasjon er feil, eller trafikk er blokkert

NTP konfigurasjon er feil, eller trafikk er blokkert

I noen få tilfeller er DNS og NTP riktig men en får likevel feilmelding,
da kan en forsøke å endre MTU fra 1500 som er default på PA MGMT interface til f.eks. 1374.

Ta en Commit og forsøk å hente sertifikatet på ny.

Som du sikkert vet så trenger du OTP, som du får slik:

Log på Customer Support Portal med en konto som er Superuser.

Velg Products --> Device Certificates og Generate OTP.

Legg inn riktig serienummer og velg Generate OTP.

Velg Copy to Clipboard.

Trafikk loggen bør nå vise paloalto-shared-services

En bør også kunne se Successfully fetched Device Certificate

Cybersecurity awareness training

Legger ut en liten phishing test her:

https://phishingquiz.withgoogle.com/

Denne er gratis, det er ingen registrering, den spør etter din email for at angrepet skal se reelt ut, men du kan legge inn hvilken som helst mailadresse!

..og noen gode lære videoer her: