Dieser Fall hier geht gerade durch die Presse:
http://en.community.dell.com/support-forums/servers/f/956/t/19339458.aspx
Der Inhalt – leicht verkürzt: Dell hat eine Charge Mainboards im Service verbaut, deren Flash-Speicher eine Windows-Malware enthält. Aufgefallen ist es wohl erst, nachdem das Board bei einigen Kunden verbaut wurde.
Die Kunden wurden informiert, gefährdet sind Server mit Windows-Betriebssystemen, die keine aktuellen Virenscanner haben. Demnächst will Dell die betroffenen Server reparieren.
Ich sehe das ganze recht kritisch: Nicht jede Installation eines x86-Servers wird von einem Image mit integriertem Malware-Scanner gemacht. Von daher sind sämtliche Server gefährdet, die – nach einem Mainboardtausch – einfach nur mit dem vorinstallierten Windows oder einem simplen Installationsmedium installiert werden. Das dürften, gerade bei kleineren Unternehmen, recht viele sein. Leider sind die betroffenen Server für kleine und mittlere Kunden ausgerichtet.
Es ist lobenswert, dass Dell recht schnell reagiert und die betroffenen Kunden informiert. Es ist auch lobenswert, dass man die Server kurzfristig repariert. Ich vermisse allerdings eine klare Empfehlung, was jetzt mit den Maschinen zu tun ist. Ob Abschalten hilft?
Generell ist es natürlich peinlich, dass die Qualitätsicherung von Dell, die vermutlich den Fehler bei den Boards für die Serienfertigung gefunden hatte (es wurden keine „verseuchten“ Boards in der Serienproduktion verbaut), für die Boards im Service nicht greift.
Doch deutet dies darauf hin, dass Dell im Service andere Komponenten verbaut als in der Serienfertigung. Das kommt mir bekannt vor – vor Jahren als Dell-Kunde hatte ich mehrfach das Problem, dass getauschte Boards nicht mehr Image-kompatibel waren.
Was kann man nun als Nutzer von Windows- Servern lernen:
- Windows und Antivirus sind nur gemeinsam zu nutzen. Viren und andere Bedrohungen sind mittlerweile selbst auf neuer Hardware präsent. Es ist zwar der erste mir bekannte Fall bei dem der Virus auf dem Mainboard sitzt. Doch wurden schon Viren auf USB-Sticks verschenkt, oder Installationsmedien wurden „verseucht“ ausgeliefert.Auf einer virenfreien Plattform sollte man sich Images oder Installationsmedien bauen, die den Antivirus bereits enthalten (Stichwort „Slipstream“). Diese Images muss man aktuell halten, da bietet sich eine Netzwerkinstallation an.
- Neue Server lieber erst mal in einer DMZ mit IDS ans Netz hängen, um Windows-Viren in den Flash-Bausteinen zu identifizieren.
Man könnte auch andere Betriebssysteme verwenden. Das hilft zumindest beim Fencing, falls mal der Virus trotzdem ausbricht. Also sollte man auch daraus lernen:
- Keine 1-Betriebssystem-Landschaften aufbauen. Man sollte auch für das Betriebssystem einen Ausweichsplan haben. Montonie hat schon immer geschadet. Bei vielen RZs gibt es 2-4 gängige OSes, das scheint ein gesunder Wert zu sein. Weniger wird unsicher, mehr wird lästig und teuer.
- Sicherheit bedeutet manchmal auch teure Prozesse beim Hersteller. El-Cheapo wird natürlich noch billiger sein als Dell, doch wird er überhaupt merken, wenn es solch ein Problem gibt? (Ja, Dell ist meist auch eher preiswert, doch werden andere Hersteller vermutlich auch die Service-Teile exakter prüfen, und diese gemeinsam mit den Serien-Teilen beschaffen und vorrätig halten)