Am 27. Mai war ein interner Dienst plötzlich aus dem Internet erreichbar: Er lauschte auf allen Adressen statt nur auf dem lokalen Rechner. Ein API-Schlüssel wurde für rund 250 Dollar verbraucht, bevor es jemand bemerkte. Der Vorfall wurde behoben und im Gedächtnis des Betriebsagenten festgehalten: Datum, Ursache, Auswirkung, Korrektur. Eine tadellose Notiz.

Am 3. August waren zwei weitere Dienste auf genau dieselbe Weise offen erreichbar: der Passwort-Tresor und ein Dateiserver, der aktiv gescannt wurde.

Das Gedächtnis hatte den Fall behalten, nicht die Regel

Eine Notiz wird gelesen, wenn man daran denkt, sie zu suchen. Eine Prüfung läuft auch dann, wenn niemand daran denkt. Das ist der ganze Unterschied zwischen einer Organisation, die ihre Fehler dokumentiert, und einer, die aufhört, sie zu wiederholen.

Am selben Tag eine weitere Entdeckung

Bei der Durchsicht dieses Gedächtnisses zeigte sich ein zweites Problem. Ein geplantes Skript, das niemand dokumentiert hatte, fügte dort jede Nacht eine Meldung „alles in Ordnung“ hinzu, ohne irgendetwas gemessen zu haben. 51 identische Blöcke belegten mehr als die Hälfte des Langzeitgedächtnisses des Agenten – des Gedächtnisses, das er bei jedem Start erneut liest.

Eine Aufgabe, die „alles in Ordnung“ schreibt, ohne etwas geprüft zu haben, ist schlimmer als gar keine Aufgabe: Sie erzeugt falsche Sicherheit.

Die beschlossene Regel

Jeder erlebte Vorfall erzeugt eine tägliche Prüfung:

  • offen erreichbarer Dienst → Liste aller offenen Ports, Alarm bei jedem neuen;
  • Dienst sieben Wochen ohne Alarm ausgefallen → prüfen, dass jeder erwartete Dienst läuft;
  • Festplatte durch Caches vollgelaufen → Schwellenwert für freien Speicher und Cache-Volumen;
  • Gedächtnis unbemerkt aufgebläht → Größe des Gedächtnisses gegen eine Obergrenze prüfen;
  • Sicherheitstest von der getesteten Maschine aus gestartet → immer aus einem fremden Netz validieren.

In Ihrem Unternehmen

Die Frage nach jedem Vorfall, ob durch Mensch oder Maschine verursacht, lautet nicht „Haben wir sauber dokumentiert?“, sondern „Was erkennt das künftig, ohne dass wir daran denken müssen?“. Lautet die Antwort „jemand, der die Notiz noch einmal liest“, wird sich der Vorfall wiederholen.