Review TOsecurity Breakfast Herbst 2018
Gemeinsam mit der Wirtschaftsförderung Region Stuttgart präsentierten wir den Teilnehmern, welche Erfahrungen wir in den letzten Jahren beim Pentesting sammeln konnten und erläuterten wie ihre IT-Sicherheit von diesen Erkenntnissen bezüglich Prävention profitieren kann. Daneben stellten wir ihnen mögliche Lösungen zur Risikominimierung vor, zum Beispiel unsere Managed Security Services und die Einsatzmöglichkeiten von User Awareness Maßnahmen.
Begrüßung
Michael Schrenk, Bereichsleiter Vertrieb & Marketing bei der TO, eröffnete die Veranstaltung mit einem Schwank aus seiner aktuellen Lieblingsserie. Sie kennen sie vielleicht: „Deutschland ´83“ (derzeit auf Amazon zu sehen). In der Serie gibt es eine Szene zu sehen in der ein Spion eine Wanze am Schreibtisch der Sekretärin platziert, um über die Frequenz der Schreibmaschinen-Tastenanschläge geheime Nachrichten abzuhören und zu entschlüsseln.
Heutzutage funktioniert das „Abhören“ von Nachrichten anders. Wie genau, das erfuhren die Teilnehmer des TOsecurity Breakfasts im Lauf des Tages. Außerdem wurden folgende Fragen beantwortet:
- Kann man bemerken, dass man abgehört wird?
- Hilft eine Sandbox, in der Daten verschlüsselt sind?
- Habe ich Schwachstellen?
- Was mache ich mit gefundenen Schwachstellen?
Risiken und Erfahrungen aus 24 Monaten Pentesting – Fundstücke & Interessantes
Markus Klingspor, Geschäftsführer der TO, eröffnete seinen Vortrag mit einer Frage ins Publikum: „Was ist das spannendste, was die Pentester der TO bei Kunden finden?“ Heißester Tipp aus dem Publikum „Passwörter“.
Auffällig ist, dass Accounts häufig mit Test Credentials gestartet und nie geändert werden. Sogar den „Großen“ passieren Login-Fauxpas. Beispielsweise der englischen konservativen Partei. Deren Event-App hatte eine Schwachstelle, mit Hilfe derer man sich allein mit der richtigen (erratenen) E-Mail-Adresse, also ohne Passwort, anmelden und die Daten der anderen Nutzer auslesen konnte.
Doch auch, wenn ein Passwort zum Login benötigt wird, ist es nicht unmöglich, dieses in Erfahrung zu bringen. Freie Tools zu diesem Zweck sind im Internet verfügbar und bei einfachen Passwörtern auch recht simpel anzuwenden. Gefährlich ist das vorallem, wenn ein Passwort mehrfach verwendet wird.
Was wir auch häufig auffinden: Passwortlisten, zum Beispiel in Excel-Tabellen, Konfig-Dateien von Monitoring-Lösungen und eben Passwort-Reuse. Das heißt: Wir brauchen sichere Passwörter (merkbar, gut zu tippen UND: LANG!). Bleibt das Problem: je mehr Passwörter ich brauche, umso schwerer kann ich mir alle merken. Die Lösung hierfür sind Passwort-Manager. Hier können alle Passwörter abgespeichert werden und es muss sich nur das Master-Passwort gemerkt werden.
Neben der Passwort-Problematik, gibt es noch ein weiteres Risiko, welches mit der Zeit zugenommen hat. Es gibt immer mehr Zeilen Code in Software und mehr Code bedeutet auch mehr potenzielle Schwachstellen. Ein Positivbeispiel ist hier (man glaubt es kaum) die Deutsche Bahn: Warum ist dieses Beispiel positiv? Die Anzeigetafeln wurden bewusst auf XP gelassen und waren damit angreifbar, jedoch waren die Systeme isoliert in einem eigenem Netz, weswegen der Vorfall keine Auswirkung auf den eigentlichen Zugverkehr hatte.
Am Ende seines Vortrags zieht Markus Klingspor ein Fazit: viele Schwachstellen (und deren Ausnutzung) könnten alleine schon durch mehr Awareness verhindert werden.
Kann Malware eine Sandbox umgehen? – Ein kritischer Blick
Im Rahmen seiner Abschlussarbeit hat unser Kollege Tobias Györfi anhand verschiedener Produkte getestet, ob Malware eine Sandbox umgehen kann, indem sie bemerkt, dass sie sich in einer solchen Umgebung befindet. Seine Ergebnisse sind in seinem Blogbeitrag zu lesen.
3 moderne Lösungen für Probleme aus dem Mittelalter
Götz Weinmann, Bereichsleiter TOsecurity Technologie, eröffnete seinen Vortrag mit einem Film zum Thema „Gefahren für eine Burg im Mittelalter“. Der Film stellt, entsprechend dem Titel, dar, welchen Gefahren eine mittelalterliche Burg und ein nahegelegenes Dorf ausgesetzt waren und, wie sich gegen Angriffe gewappnet wurde.
Die Burg im Überblick: die Kronjuwelen sind weit weg versteckt und im Burgturm mehrfach abgesichert. Es gibt eine Mauer und eine Zugbrücke innerhalb der Burg. In der Nähe befindet sich ein Dorf. Schwachstellen gibt es auch ein paar: es gibt einen ungesicherten Nebeneingang und gegen Luftangriffe gibt es auch keine Absicherung. Vor dem Burgtor steht eine Wache, jedoch ist diese nicht bewaffnet. Lieferanten werden von der Wache einfach in die Burg gelassen und nicht überprüft. Die Türen innerhalb der Burg sind zwar abgeschlossen, es gibt allerdings einen Schlüssel, der alle Türen öffnet. Auch im angrenzenden Dorf gibt es Risiken. Die Schmiede besitzt ein Strohdach, obwohl in ihr mit Feuer gearbeitet wird. Da es keine Hygienevorschriften gibt, verbreiten sich Krankheiten wie Virenerkrankungen rasend schnell im Dorf, sobald eine Person infiziert ist.
Was hat das mit der heutigen IT zu tun? Einfache Antwort: Sehr viel!
Ähnlichen Herausforderungen, wie die Burgherren damals, steht auch die heutige IT gegenüber. Was beispielsweise früher die Lücke in der Burgmauer oder unbewachte Nebeneingänge waren, sind heute Schwachstellen in Firewalls. Zu solchen Schwachstellen gehören Default Passwörter, fehlende Updates und Any-Any-Rules. Ein Schwachstellen-Scan kann hier Abhilfe schaffen. Er scannt über alle Systeme und findet offene Schwachstellen. Je nachdem wieviel gefunden wird, kann das im ersten Moment überfordern, bringt aber viel Transparenz. Etwas einfacher macht es hier die Managed Variante des Schwachstellen Scans. Der Scan wird regelmäßig automatisiert durchgeführt und es wird im Anschluss eine individuelle Schadensbeurteilung mit Priorisierung abgegeben inklusive einer Schritt-für-Schritt-Anleitung mit Zeitangabe zum Schließen der gefundenen Lücken.
Im Laufe seines Vortrags ging Götz Weinmann auf die weiteren Gemeinsamkeiten der mittelalterlichen Burg und der heutigen IT ein und stellte für jede Herausforderung die passenden Lösungen vor, wie beispielsweise SIEM und Security Awareness Maßnahmen.
Nach den Vorträgen gab es noch eine kleine Stärkung und Zeit für direkte Gespräche. Einen kleinen Einblick in unsere Veranstaltung bekommen Sie auch in unserem Video:
