Microsoft: Beim Slammer-Sicherheitstest durchgefallen

Eine Reihe von internen E-Mails brachte ans Licht, dass das eigene Netzwerk des Software-Riesen nicht immun ist gegen den SQL-Slammer-Wurm, der das Internet vor kurzem befallen hat.

Die Meldungen, die CNET News.com vorliegen, zeigen das Bild eines Unternehmens, das mit einer massiven Infektion durch den SQL Slammer-Wurm zu kämpfen hat. Kürzlich, an einem Samstag, überschwemmte dieser Wurm zahlreiche Unternehmensnetzwerke, legte die Internetverbindungen lahm und verstopfte die Leitungen.

„Sämtliche Anwendungen und Services sind möglicherweise betroffen, und die Performance befindet fast auf dem Nullpunkt“, schrieb Mike Carlson, Director of Data Center Operations von Microsofts Information Technology Group, in einer E-Mail, die um 8:04 Uhr (PST) an diesem Samstag an andere Mitglieder der Microsoft-Unternehmensgruppe geschickt wurde. „Das Netzwerk ist fast völlig mit Traffic überschwemmt, was es schwierig macht, die Auswirkungen im Einzelnen zu ermitteln.“

Diese Meldungen bringen Microsoft in eine prekäre Situation: Das Unternehmen verlässt sich darauf, dass die Kunden Sicherheitslücken per Patch schließen, aber die Ereignisse an jenem Wochenende belegen, dass auch Microsoft selbst verwundbar ist. In diesem Fall empfahl Microsoft seinen Kunden dringend, eine Sicherheitslücke in der SQL Server 2000-Software zu patchen – doch offensichtlich hat das Unternehmen sich nicht an seine eigenen Ratschläge gehalten. Darüber hinaus sind unternehmenskritische Server des Software-Riesen auch 1 Jahr nach der groß angekündigten Sicherheitsinitiative immer noch verwundbar für Attacken aus dem Internet.

„Das beweist, dass das Konzept von Patching nicht funktioniert“, so Bruce Schneier, CTO von Counterpane Internet Security, einem Unternehmen für Netzwerksicherheit. „Öffentlich behaupten sie, es sei nicht ihre Schuld, da Sie als Kunde die Patches eingespielt haben sollten. Aber wie nun bei Microsoft selbst zu sehen ist, kann man vernünftigerweise von den Leuten nicht erwarten, dass sie bei den Patches immer auf dem Laufenden sind.“

Seit Jahren klagen Systemadministratoren, sie seien nicht in der Lage, mit dem ständigen Strom von Patches Schritt zu halten, der von Microsoft und anderen Softwareherstellern ausgeht. Im Oktober legte das Unternehmen die Messlatte dafür, was als „kritische“ Verwundbarkeit zu gelten hat, sogar noch höher, damit Administratoren nicht mit derart vielen Patches zu kämpfen haben, die unverzügliches Handeln erfordern.

„Es scheint so, als würde immer dann, wenn ich einen System-Patch installiere, irgend etwas Anderes an meinem System kaputtgeht“, klagt Frank Beier, Präsident der Webdesign-Firma Dynamic Webs. Der Designer sagt, dass viele Systemadministratoren über Monate hinaus nicht patchen, weil sie Microsoft nicht zutrauen, das Problem zu lösen, ohne irgend eine andere Funktion der Software zu beeinträchtigen.