Weltweite Angriffe auf FileMaker Server: Was Sie und wir jetzt tun sollten
Seit Ende letzter Woche werden FileMaker Server weltweit gezielt angegriffen. Die Angreifer setzen sogenanntes Password Spraying ein. Dabei probieren automatisierte Systeme massenhaft gängige Benutzernamen und Passwörter durch. Betroffen sind vor allem die Admin Console, WebDirect, die Data API, OData und die XML API. Diese Dienste laufen alle über Port 443.
Erste Hostinganbieter mussten ihre Server vorsorglich vom Netz nehmen. Nach aktuellen Erkenntnissen beschränken sich die Angriffe nicht auf FileMaker. Angegriffen wird jedes System, das vom Internet aus erreichbar ist.
Wir möchten Sie nicht verunsichern. Die wichtigsten Schutzmassnahmen sind bekannt und lassen sich rasch umsetzen. Welche davon für Sie gelten, hängt davon ab, wie Ihre Lösung betrieben wird.
- Für alle Kunden: Massnahmen in den FileMaker-Dateien
Diese Punkte betreffen die Dateien selbst. Sie gelten unabhängig davon, wo der Server steht. Gerne übernehmen wir diese Prüfung für Sie.
- Auto-Login entfernen. Dateien sollen sich nicht automatisch mit einem hinterlegten Konto öffnen.
- Gastzugang deaktivieren, besonders für WebDirect, OData und die Data API. Wer öffentliche Daten anbieten muss, legt diese in eine separate Datei, die nur öffentliche Inhalte enthält.
- Schwache und Standardpasswörter ersetzen, insbesondere bei Konten mit [Voller Zugriff].
- [Voller Zugriff]-Konten absichern. Für diese Konten sollen fmxml, fmrest und fmodata nicht aktiviert sein. Pro Berechtigung bleiben nur die erweiterten Zugriffsrechte aktiv, die tatsächlich benötigt werden.
- Separate Dienstkonten verwenden. Für FileMaker Pro, WebDirect und Schnittstellen wie die Data API oder OData braucht es jeweils eigene Konten mit minimalen Rechten. Das Prinzip lautet: so viel Zugriff wie nötig, so wenig wie möglich.
- Encryption at Rest aktivieren. Verschlüsselte Dateien lassen sich ausserhalb von FileMaker nicht auslesen.
- Keine Passwörter in FileMaker-Feldern speichern. Zugangsdaten gehören in einen Passwortmanager oder Secrets Manager.
- Keine sensiblen Daten in Logs oder Exporten. Personendaten, API-Schlüssel und Passwörter dürfen nicht in Protokolldateien oder frei zugänglichen Exporten landen.
- Kunden mit Hosting bei uns
Für Server, die bei unserem Partner nordend.cloud gehostet sind, setzen wir folgende Massnahmen um:
- Prüfung, dass für jeden Server ein Backup ausserhalb des Netzwerks besteht
- Erneuerung der Admin-Console-Zugangsdaten und Beschränkung des Zugriffs auf bekannte IP-Adressen
- Aktivierung von «Datenbanken in Client-Anwendungen filtern», damit Benutzer nur noch die Dateien sehen, für die sie Zugangsdaten haben
- Abschalten von Diensten, die Sie nicht nutzen
- Einschränkung des Zugriffs über VPN, IP-Freigaben oder Rate Limiting
- Laufende Überwachung der Zugriffsprotokolle. Bei einem akuten Angriff sperren wir sofort neue Verbindungen. Dadurch kann der Zugriff kurzzeitig unterbrochen werden.
Ihr Beitrag: Teilen Sie uns mit, welche Dienste Sie nutzen (FileMaker Pro/Go, WebDirect, Data API, OData, XML) und von welchen IP-Adressen aus zugegriffen wird. Alles Übrige können wir dann schliessen.
- Eigener Server (on-prem), vom Internet aus erreichbar
Ist Ihr FileMaker Server öffentlich erreichbar, etwa für Aussendienst, Homeoffice oder WebDirect, sind Sie direkt im Visier dieser Angriffe. Wir empfehlen dringend:
- Zugriff einschränken. Den Server hinter ein VPN stellen oder Port 443 in der Firewall nur für bekannte IP-Adressen freigeben.
- Admin Console schützen. Starke, neue Zugangsdaten setzen und den Zugriff nur aus dem internen Netz oder von fixen IP-Adressen erlauben.
- Nicht benötigte Dienste abschalten, zum Beispiel WebDirect, Data API, OData oder XML.
- WAF oder Rate Limiter vorschalten, wenn der Server öffentlich bleiben muss.
- Remote Desktop deaktivieren oder zumindest nicht aus dem Internet erreichbar machen.
- Firewall und Systeme aktuell halten.
- PHP aktualisieren, falls PHP auf dem Server läuft (Custom Web Publishing, WordPress, Webhook-Empfänger). Mindestens nötig sind Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Ältere Versionen enthalten kritische Lücken, für die öffentliche Exploits existieren.
- OttoFMS aktualisieren, falls Sie es einsetzen. Version 4.19.0 enthält wichtige Sicherheitsverbesserungen.
- Eigener Server (on-prem), nur intern erreichbar
Ist Ihr Server nur im Firmennetz oder über VPN erreichbar, ist das Risiko deutlich geringer. Ganz entwarnen können wir trotzdem nicht. Die Angreifer nehmen auch andere Systeme ins Visier, etwa VPN-Zugänge, Firewalls und Remote Desktop. Gelingt der Einbruch dort, ist der FileMaker Server von innen erreichbar. Wir empfehlen:
- Prüfen, ob der Server wirklich nicht öffentlich ist. Gibt es alte Portweiterleitungen, zum Beispiel für Port 443 oder 5003? Das ist oft schnell geklärt und lohnt sich.
- VPN und Firewall absichern. Firmware aktuell halten, starke Passwörter verwenden, wenn möglich Zwei-Faktor-Authentifizierung einsetzen und die Logs auf gehäufte Fehlanmeldungen prüfen.
- Backups ausserhalb des Netzwerks. Mindestens ein Backup sollte getrennt vom Firmennetz aufbewahrt werden. Es schützt auch vor Ransomware.
- Admin-Console-Passwort erneuern und den Zugriff auf Administrations-PCs beschränken.
- Ungenutzte Dienste abschalten. Was nicht läuft, kann nicht angegriffen werden.
- Die Massnahmen aus Abschnitt 1 umsetzen. Sie schützen auch vor Angriffen aus dem eigenen Netz.
- Woran Sie einen Angriff erkennen
- Gehäufte fehlgeschlagene Anmeldungen in den Access- und Event-Logs
- Wiederholte Zugriffsversuche von unbekannten IP-Adressen
Im Ernstfall:
- In der Admin Console «Neue Benutzer blockieren» aktivieren.
- Den Zugriff auf Port 443 sperren.
- Uns umgehend kontaktieren.
Wir unterstützen Sie!