Was ist die PrintNightmare-Sicherheitslücke?

Die PrintNightmare-Schwachstelle ermöglicht es Angreifern, Remotecode auf unseren Geräten auszuführen und so die Kontrolle über sie zu übernehmen. Es ist nicht ganz klar, wann die Sicherheitslücke zum ersten Mal entdeckt wurde, obwohl in der meisten Literatur zu diesem Thema angegeben wird, dass sie etwa im Juni 2021 von der US-amerikanischen Cybersecurity Infrastructure Security Agency entdeckt wurde.

Was ist die PrintNightmare-Sicherheitslücke?

Die Sicherheitslücke besteht auf allen Geräten mit Windows 7 oder höher. Es befindet sich im Windows-Druckspoolerdienst und wirkt sich auf die Windows-Druckwarteschlange aus. Genauer gesagt schränkt der Print Queue-Dienst den Zugriff auf die RpcAddPrinterDriverEx-Funktion nicht ein, die es einem Angreifer ermöglicht, Schadprogramme auf dem Gerät eines Benutzers auszuführen. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, ist in der Lage, Vorgänge mit Privilegien auf Systemebene durchzuführen, was bedeutet, dass er auf vertrauliche Daten zugreifen, diese bearbeiten und löschen, Programme installieren und neue privilegierte Konten erstellen kann.

Was wurde getan, um die PrintNightmare-Sicherheitslücke zu beheben?

Microsoft hat am 1. Juli 2021 einen Patch für die PrintNightmare-Schwachstelle veröffentlicht und wurde zuletzt am 16. Juli 2021 aktualisiert. Derzeit sind Patches für Windows 10, Windows 8.1, Windows RT 8.1, Windows 7 und mehrere Versionen verfügbar von Windows Server, einschließlich der Versionen 2019, 2012 R2 und 2008. Updates für Windows Server 2012 und 2016 sowie ein Update für Windows 10 Version 1607 stehen in Kürze zur Verfügung. Bis zur Veröffentlichung dieses Artikels werden voraussichtlich Patches für alle Windows-Versionen verfügbar sein.

Tipps zum Schutz vor der PrintNightmare-Sicherheitslücke

Wenn Ihr Computer nicht direkt mit einem Drucker verbunden ist und Sie automatische Updates erhalten, reicht es wahrscheinlich aus, den Print Queue-Dienst einfach zu deaktivieren, um Ihr Gerät vor der PrintNightmare-Schwachstelle zu schützen. Andernfalls sollten Sie eine Reihe zusätzlicher Schritte unternehmen.

1. Installieren Sie die relevanten Updates

Der offensichtlichste erste Schritt zur Behebung der PrintNightmare-Schwachstelle besteht darin, die entsprechenden Patches/Updates zu installieren. Wenn Sie die Updates aus irgendeinem Grund manuell installieren müssen, müssen Sie zu Einstellungen > Update & Sicherheit > Windows Update gehen und dann Ihren Computer neu starten, damit die Änderungen wirksam werden.

2. Deaktivieren Sie den Druckspoolerdienst

Durch die Deaktivierung des Druckspooler-Dienstes werden lokale und Remote-Druckfunktionen deaktiviert. Dies ist insbesondere für Geräte, Anwendungen und Dienste relevant, die keine Druckfähigkeit erfordern. Beispielsweise benötigen Domänencontrollerserver keinen Zugriff auf einen Drucker. Daher sollten Sie sicherstellen, dass der Druckspoolerdienst auf allen Domänencontrollern deaktiviert ist. Sie können den Druckspoolerdienst mit dem folgenden PowerShell-Befehl deaktivieren:

Stop-Service -Name Spooler -Force

Set-Service -Name Spooler -StartupType deaktiviert

3. Deaktivieren Sie eingehendes Remote-Drucken über Gruppenrichtlinien

Sie können Gruppenrichtlinien auch so konfigurieren, dass eingehendes Remote-Drucken blockiert wird, indem Sie die Option „Druckspooler darf Clientverbindungen akzeptieren“ unter „Computerkonfiguration“ > „Administrative Vorlagen“ > „Drucker“ deaktivieren. Sie müssen den Druckspoolerdienst für Gruppenrichtlinien neu starten, damit die Änderungen wirksam werden. Auch wenn Ihr Server keine eingehenden Remote-Druckvorgänge mehr akzeptiert, kann er dennoch eine Verbindung zu einem lokalen Drucker herstellen.

4. Verwenden Sie eine zuverlässige Endpoint-Sicherheitslösung

Nachdem wir Updates installiert und Funktionen deaktiviert haben, die Sicherheitsbedrohungen mit sich bringen, sollten wir darüber nachdenken, wie wir die Wahrscheinlichkeit eines zukünftigen Vorfalls minimieren können. Wir sollten die Bedeutung von Endpunkt-Sicherheitslösungen nicht außer Acht lassen, die darauf ausgelegt sind, Endpunkte (Desktops, Laptops und mobile Geräte) vor der Ausnutzung durch Angreifer zu schützen. Moderne Endpoint Protection-Plattformen (EPP) nutzen Deep Packet Inspection (und andere Techniken), um auftretende Bedrohungen zu erkennen, zu analysieren, zu blockieren und unter Quarantäne zu stellen.

Ein EPP kann verwendet werden, um eine Vielzahl von Sicherheitsbedrohungen zu erkennen und darauf zu reagieren, darunter Ransomware-Angriffe, dateilose Malware, polymorphe Angriffe und, im Zusammenhang mit dem Schutz vor der PrintNightmare-Schwachstelle, Remote-Codeausführungsangriffe. Ein EPP bietet Administratoren ein zentrales Dashboard, mit dem sie steuern können, wie Endpunkte im Netzwerk verwendet werden. Über dieses Dashboard können Administratoren steuern, welche Programme ein Benutzer ausführen kann, und bei Bedarf Updates/Patches an Endpunkte übertragen.

5. Überwachen Sie die Erstellung von Benutzerkonten und den Zugriff auf vertrauliche Daten

Wie bereits erwähnt, kann ein Angreifer, der die PrintNightmare-Schwachstelle erfolgreich ausnutzt, auf Daten zugreifen und Benutzerkonten mit Berechtigungen auf Systemebene erstellen. In diesem Fall benötigen Sie eine Lösung, die sowohl die unbefugte Erstellung von Benutzerkonten als auch den unbefugten Zugriff auf sensible Daten erkennen, warnen und darauf reagieren kann.

Natürlich kann die Entscheidung, welche Technologien zu welchem Zweck verwendet werden sollen, für Sicherheitsteams eine Herausforderung sein. Schließlich gibt es eine Vielzahl von Begriffen und Akronymen, die zu ihrer Beschreibung verwendet werden, wie zum Beispiel EPP/EDR, IPS/IDS, SIEM, UBA, DCAP, DLP und mehr.

Erschwerend kommt hinzu, dass viele Technologien zur Bedrohungserkennung eine Mischung aus einigen oder allen der oben genannten Elemente beinhalten.

Im Zusammenhang mit der Überwachung von Konten und Daten sind die beiden Begriffe am relevantesten: User Behavior Analytics (UBA) und Data-Centric Auditing & Protection (DCAP). Die meisten hochentwickelten UBA/DCAP-Lösungen verwenden Algorithmen des maschinellen Lernens, um verdächtiges Benutzerverhalten zu erkennen und darauf zu reagieren, wie z. B. die Erstellung eines anomalen privilegierten Kontos, wenn ein bestimmter Benutzer zum ersten Mal auf Dateien zugreift, oder andere Verhaltensweisen, die von dem abweichen, was in Betracht gezogen werden würde. normal ". Wenn Sie sicherstellen, dass Administratoren Echtzeitwarnungen erhalten, wenn verdächtige Änderungen vorgenommen werden, können Sie rechtzeitig auf die PrintNightmare-Schwachstellenangriffe (und andere ähnliche Angriffsvektoren) reagieren.

Abschluss

Die Lepide Data Security Platform ist eine datenzentrierte Audit- und Schutzlösung, die speziell dafür entwickelt wurde, Ihnen Einblick in das Verhalten Ihrer Benutzer in Bezug auf Ihre sensiblen Daten zu verschaffen. Es bietet außerdem vollständige Transparenz über alle Änderungen, die an Benutzern, Computern, Berechtigungen, Konfigurationen und vielem mehr vorgenommen werden.

Wenn Sie sehen möchten, wie die Lepide Data Security Platform Ihnen dabei helfen kann, mehr Transparenz über Ihre sensiblen Daten zu erlangen und Sie vor Sicherheitsbedrohungen zu schützen, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.