Jahresrückblick 2025 – unser neuer Blogbeitrag ist online! ✨

[OliverIO]

@derrapf

Das ist ein extrem weites Feld.
In der IT Industrie wird da auch ein erheblicher Aufwand gemacht.
Ich habe bereits mal umfangreich mit Leuten zusammen gearbeitet, die sich darum kümmerten und alle diese it Security zertifizierungen 27001 hatten.
Aber alles was da gemacht wird geht meines Erachtens über das hinaus was tatsächlich zu Hause nur gemacht werden sollte. Teilweise würde ich auch sagen, das das mit Consumer Hardware (bspw Router) gar nicht möglich ist, da du an die Einstellungen gar nicht ran kommst.
Was sicherlich auch gut ist wei für viele der Techniken du auch dich wirklich intensiv mit beschäftigen musst um keine Fehler zu machen.

Hier mal ein paar tips vom BSI
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/cyber-sicherheitsempfehlungen_node.html

https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Internet-der-Dinge-Smart-leben/Smart-Home/smart-home_node.html

Insbesondere das segmentieren des Netzwerkes, also das einsperren der IoT Geräte in ein eigenes Netzwerk finde ich sehr sinnvoll. Einige von diesen Geräten haben eine billige zusammengeschusterte Firmware, die nicht wirklich sicher ist (es gab da ja schon ein paar Vorfälle mit botnetze oder Videokameras die jeder von außen nutzen konnte)
Leider ist das nicht ganz so simpel und man muss sich mit Firewall und Netzwerktechnologie beschäftigen. Man muss neben dem segmentieren dann aber auch Routen einrichten, so das die Geräte alle wieder bspw mit dem iobroker kommunizieren dürfen bzw. am besten im einem Slave iobroker.

[Thomas Braun]

@derrapf sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Gibt es noch andere Konzepte

Ein einfach umzusetzendes, aber sehr grundlegendes Konzept ist:
Geräte, Software usw. auf einem aktuellen Stand halten. Regelmäßig Updates einspielen, keine abgekündigte Software weiterschleifen.

[derrapf]

Hallo alle
Danke für die Tipps. Da habe ich Lesestoff
27001 ist für mich tatsächlich auch ein wenig ein rotes Tuch da unsere Firma auch 27001 zertifiziert ist und das macht das Arbeiten nicht leichter. Im Gegenteil: Ich bin oft am Fluchen weil ich nicht mehr an bestimmte Dateien oder Rechner komme und immer wieder einen riesen Aufwand habe wieder Zugriff zu bekommen. Aber das ist ein anderes Thema. Ich will diesen Thread nicht damit belasten.
Gruss Ralf

[OliverIO]

@derrapf

Ja Security ist immer unangenehm.
Die oben erwähnte Tätigkeit war sogar im Umfeld der Sicherheit die unser sozialversicherungsgesetzbuch vorschreibt und das setzt allen Vorstellungen (zu Recht ) noch das Krönchen auf

[derrapf]

@oliverio sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Leider ist das nicht ganz so simpel und man muss sich mit Firewall und Netzwerktechnologie beschäftigen. Man muss neben dem segmentieren dann aber auch Routen einrichten, so das die Geräte alle wieder bspw mit dem iobroker kommunizieren dürfen bzw. am besten im einem Slave iobroker.

Das interessiert mich besonders. Nur keine Ahnung wie das zu bewerkstelligen ist. Ich versuch mich aber einzulesen.

[Feuersturm]

Es geht weiter
https://www.heise.de/news/Shai-Hulud-2-Neue-Version-des-NPM-Wurms-greift-auch-Low-Code-Plattformen-an-11089607.html

[mcm1957]

Hmm - an sich sollten lt. NPM Ankündigung die classic token bereits wiederrufen sein.
Im Heise Artikel steht aber was von Anfang Dezember ...

[OliverIO]

Paket- und Versionsliste wurde aktualisiert.
Skript kann zur Prüfung direkt von der Komanndozeile ausgeführt werden

vgl Readme

https://github.com/oweitman/compromisedPackages

[Thomas Braun]

@OliverIO

Thx.

✅ No compromised packages found in lockfiles.

Vielleicht würde ich aber vorsichtiger formulieren:

✅ No known compromised packages found in lockfiles.

Edit: Und vielleicht noch einen Zeitstempel vom Informationsstand.

[OliverIO]

@Thomas-Braun

ich schaue mal,
hoffentlich wird man das ab demnächst nicht mehr benötigen