Spaziergang mit Sicherheit

https://mind-bytes.de/zero-trust-angreifer-kommen-dahin-wo-du-sie-am-wenigsten-erwartest/

Ergänzende Links

https://www.youtube.com/watch?v=-LZe4Vn-eEo&ab_channel=LeakSignal

https://on2it.net/wp-content/uploads/2023/06/Zero-Trust-Dictionary-EN.pdf

Abschlussfrage

Wenn du einen Zauberstab hättest, welches Securityproblem würdest du für immer lösen?

Antwort von Nina:

"Ich würde ein sicheres Anmeldeverfahren herzaubern, das per Fingerschnippsen unkompliziert überall umsetzbar ist."

Kontakt Gast:

Nina Wagner

https://www.linkedin.com/in/nina-wagner-mindbytes/

https://mind-bytes.de

Kontakt:

⁠https://www.linkedin.com/in/florian-franke-b2085175/⁠

⁠https://infosec.exchange/@SpaziergangMitSicherheit⁠

⁠https://twitter.com/SpaziergangS⁠

⁠https://www.infosec-podcast.de/shownotes/ep24/⁠

⁠https://www.infosec-ulm.de⁠

⁠https://www.phlowsec.com

⁠

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://www.linkedin.com/in/florian-franke-b2085175/⁠

⁠https://infosec.exchange/@SpaziergangMitSicherheit⁠

⁠https://twitter.com/SpaziergangS⁠

⁠https://www.infosec-podcast.de/shownotes/ep23/⁠

⁠https://www.infosec-ulm.de⁠

⁠https://www.phlowsec.com⁠

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://www.bsi.bund.de/DE/Themen/KRITIS-und-regulierte-Unternehmen/Kritische-Infrastrukturen/KRITIS-Nachweise/Wahl-des-Geltungsbereiches/wahl-des-geltungsbereiches_node.html

All-Gefahren-Ansatz

https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/KRITIS-Gefahrenlagen/kritis-gefahrenlagen_node.html

Prüfen ob ein Unternehmen (wahrscheinlich) unter NIS2 fällt

https://nis2-check.de

NIS2 Informationen

https://www.phlowsec.com/blog/nis2-compliance-auf-basis-iso-iec-27001/

https://www.openkritis.de

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555

https://intrapol.org/wp-content/uploads/2023/05/NIS2UmsuCG.pdf

Kontakt:

⁠⁠https://www.linkedin.com/in/florian-franke-b2085175/⁠

https://infosec.exchange/@SpaziergangMitSicherheit

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep22/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

Hierzu gibt es auch einen Blogpost von mir: https://www.phlowsec.com/blog/nis2-bzw-it-sicherheitsgesetz-3-0/

https://www.openkritis.de

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555

https://intrapol.org/wp-content/uploads/2023/05/NIS2UmsuCG.pdf

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep21/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://2023.bsidesmunich.org

https://twitter.com/bsidesmunich

https://www.linkedin.com/company/bsidesmunich/

Referenzen aus Interview:

• Meet-Ups
  https://www.meetup.com/de-DE/MUC-SEC/
• Sponsoringpakete
  https://2023.bsidesmunich.org/sponsors/
• Call for paper
  https://2023.bsidesmunich.org/callforpapers/

Abschlussfrage

Für was sollten Unternehmen dieses Jahr Geld ausgeben um ihre Informationssicherheit zu verbessern?

Antwort von Ingmar: Gute ausgebildetes und motiviertes Personal

Antwort von Christoph: Gut ausgebildetes Personal und Sponsoring der BSides

Kontakt Gäste Ingmar Kaiser

https://www.linkedin.com/in/ingmarr/

Christoph Kemetmüller

https://www.linkedin.com/in/kemetmueller/

Kontakt:

⁠https://www.linkedin.com/in/florian-franke-b2085175/⁠

⁠https://infosec.exchange/@SpaziergangMitSicherheit⁠

⁠https://twitter.com/SpaziergangS⁠

⁠https://www.infosec-podcast.de/shownotes/ep20/⁠

⁠https://www.infosec-ulm.de⁠

⁠https://www.phlowsec.com⁠

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

• https://tryhackme.com/room/adventofcyber4

Tag 19 bis 22

• Podcast zum Thema Responsible Disclosure

https://www.infosec-podcast.de/shownotes/ep7/

Diskussion

Ist Embedded Security überhaupt notwendig. Ist doch in ganzheitliches Security eingebettet und nur was für wenige Unternehmen?

Ergebnis: Definitiv für viele (und nicht nur die großen) Unternehmen sinnvoll (Stichwort Mirai Botnet)

Abschlussfrage

Für was sollten Unternehmen dieses Jahr Geld ausgeben um ihren Datenschutz zu verbessern?

Antwort von Thomas: Absichern der Key Assets z.B. durch Architekturreview und/oder Evaluieren der Sicherheit von Geräten

Kontakt Gast:

Thomas Weber

https://www.linkedin.com/in/thomas-weber-ce/

https://cyberdanube.com/de/

Kontakt:

https://www.linkedin.com/in/florian-franke-b2085175/

https://infosec.exchange/@SpaziergangMitSicherheit

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep19/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://www.linkedin.com/in/florian-franke-b2085175/

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep18/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

• CISO Survival Guide: Vital questions to      help guide transformation success
  https://cloud.google.com/blog/products/identity-security/vital-questions-to-help-guide-transformation-success?hl=en

Diskussion - Ist es denn gut oder schlecht das Datenschutz jetzt ein juristisches Thema ist?

Für was sollten Unternehmen dieses Jahr Geld ausgeben um ihren Datenschutz zu verbessern?

• Training der Mitarbeiter

Kontakt Dr. Bettina Kraft

https://it-sec.de/datenschutz/

datenschutz@it-sec.de

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep17/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

• Schwachstelle in VMware ESXi weltweit massiv      ausgenutzt
  https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Cybersicherheitswarnungen/DE/2023/2023-205338-1032.pdf?__blob=publicationFile&v=2
• „Kaum zu      bewältigen“: Neue EU-Richtlinie für Cybersicherheit setzt Unternehmen      unter Zeitdruck
  https://www.handelsblatt.com/technik/it-internet/it-sicherheit-kaum-zu-bewaeltigen-neue-eu-richtlinie-fuer-cybersicherheit-setzt-unternehmen-unter-zeitdruck/28925008.html

Diskussion - Bedeutet Compliance das ich sicher bin und was ist wichtiger Compliance oder Technik?

Für was sollten Unternehmen dieses Jahr Geld ausgeben um ihre Informationssicherheit zu verbessern?

Housekeeping und reduzieren der Angriffsfläche:

• Verbessern des      Patch-Management: Ausweiten auf alle Systeme, nicht nur Microsoft
• Migration von Alt-Systemen
• Einhalten bereits etablierter      Prozesse (z.B. Playbook für Malwarealarm)

Kontakt Hans-Martin Münch

https://mogwailabs.de/de/

Kontakt:

https://infosec.exchange/@SpaziergangMitSicherheit

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep16/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://www.phlowsec.com/blog/neue-version-der-iso-iec-27001-wurde-endlich-veroeffentlicht/

https://escapingtech.com/tech/guides/a-twitter-users-guide-to-mastodon.html

https://levelup.gitconnected.com/cloud-security-table-top-exercises-629d353c268e

Feedback zu SANS 530

https://www.sans.org/cyber-security-courses/defensible-security-architecture-and-engineering/

Kontakt:

https://twitter.com/SpaziergangS

https://infosec.exchange/@SpaziergangMitSicherheit

https://www.infosec-podcast.de/shownotes/ep15/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

• https://www.bvp.com/atlas/how-to-hire-and-build-your-cybersecurity-team
• https://www.news.com.au/technology/online/security/it-wasnt-cyber-security-minister-clare-oneil-slaps-down-optuss-claim-that-it-suffered-sophisticated-attack/news-story/0736d362a220e12dfa7b435495b2a017
• https://pentesting.cloud

Hausaufgabe der Episode lautet Stufenmodell im Active Directory

Deaktivieren: LLMNR, mDNS und NBT-NS

https://www.cynet.com/attack-techniques-hands-on/llmnr-nbt-ns-poisoning-and-credential-access-using-responder/

https://posts.specterops.io/establish-security-boundaries-in-your-on-prem-ad-and-azure-environment-dcb44498cfc2

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep14/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

LAPS Nachtrag: https://blogs.windows.com/windows-insider/2022/06/22/announcing-windows-11-insider-preview-build-25145/

Aktuelle Nachrichten

• https://eaton-works.com/2022/06/20/hacking-into-the-worldwide-jacuzzi-smarttub-network/
• https://www.heise.de/news/Cybersecurity-Spiel-Sich-auf-den-Ernstfall-vorbereiten-7159047.html
  • https://bakgame.de
  • https://alarm.wildau.biz/
  • https://kmu-einfach-sicher.de
• https://research.ifcr.dk/certifried-active-directory-domain-privilege-escalation-cve-2022-26923-9e098fe298f4
  • https://github.com/ly4k/Certipy
  • https://github.com/GhostPack/PSPKIAudit

Hausaufgabe der Episode lautet Review Privilegierter Gruppen im Active Directory

Skript: https://github.com/phlowsec/ActiveDirectory.git

Übersicht Gruppen: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/dn579255(v=ws.11)

Angriffe:

https://cube0x0.github.io/Pocing-Beyond-DA/

https://securityonline.info/backupoperatortoda-from-backup-operator-to-domain-admin/

https://www.tarlogic.com/blog/abusing-seloaddriverprivilege-for-privilege-escalation/

https://medium.com/@esnesenon/feature-not-bug-dnsadmin-to-dc-compromise-in-one-line-a0f779b8dc83

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep13/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

• https://www.polizei-praevention.de/aktuelles/anrufe-von-angeblich-europol-oder-interpol.html
  • https://www.polizei-praevention.de
• https://www.heise.de/news/Versicherer-Hiscox-Cybercrime-fuer-deutsche-Unternehmen-besonders-teuer-7092420.html
• https://www.coalfire.com/the-coalfire-blog/governing-the-organization

Hausaufgabe der Episode lautet Einrichten von LAPS

https://www.phlowsec.com/blog/konfiguration-von-laps-und-warum-es-sinnvoll-ist/

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep12/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://devd.me/log/posts/startup-security/

• https://about.gitlab.com/handbook/engineering/security/#-resources

https://support.google.com/a/answer/9211704

https://github.com/Lissy93/personal-security-checklist

Thema der Episode lautet Neuerungen in der neuen Version der ISO/IEC 27002

https://www.phlowsec.com/blog/neuerungen-in-der-iso-iec-27002/

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de/shownotes/ep11/

https://www.infosec-ulm.de

https://www.phlowsec.com

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://www.darkreading.com/operations/microsoft-multifactor-adoption-remains-low

https://bishopfox.com/blog/unredacter-tool-never-pixelation

https://www.pwndefend.com/2021/09/15/post-compromise-active-directory-checklist/

Hausaufgabe der Episode das Thema Risiko Analyse

Was ist ein Risiko:

https://www.risikomanagement-wissen.de/risikomanagement/risikomanagement-einfuehrung/iso_31000/

Zentrale IT-Gefährdungen

https://www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/it-digitalpolitik/bsi-lagebericht-cybersicherheit-2021.pdf?__blob=publicationFile&v=3

Eintrittswahrscheinlichkeit

1. Sehr wahrscheinlich - wird im nächsten Monat passieren
2. Wahrscheinlich - wird im nächsten halben Jahr passieren
3. Möglich - wird in den nächsten 2 Jahren passieren
4. Unwahrscheinlich - Wird eher nicht passieren

Schadensausmaß

1. Sehr hoch - Auswirkung auf Gesundheit oder Sicherheit von Personen, Systemausfall führt zum Verlust von Kundenverträge
2. Hoch - Systemausfall führt zum Verletzten von SLAs
3. Mittel - Systemausfall führt zum vereinzelten Verletzten von SLAs
4. Niedrig - Kaum Auswirkungen auf Systembetrieb

Risiko

• 2 und 3 steht für ein sehr hohes Risiko
• 4 für hohe Risiken
• 5 und 6 für mittlere Risiken
• Und 7 und 8 für niedrige Risiken

Risiken mit einem Wert größer gleich 5 können akzeptiert werden

Risikoidentifizierung: Welche Ereignisse können zu einem negativen Impact führen?

Risiko Analyse: Was sind die Ursachen und Konsequenzen des Risikoeintritts und wie wahrscheinlich ist der Risikoeintritt?

Risikobewertung: welche Risiken kann ich tragen, und bei welchen muss ich aktiv werden?

Risikobehandlung: Wie wird mit den Risiken umgegangen?

Kontakt:

https://www.infosec-podcast.de/shownotes/ep10/

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de

https://www.infosec-ulm.de

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-549032-10F2.html?nn=520690

Hausaufgabe der Episode das Thema Software Stücklisten

Lesenswerte Artikel

https://devblogs.microsoft.com/engineering-at-microsoft/generating-software-bills-of-materials-sboms-with-spdx-at-microsoft/

https://jfrog.com/knowledge-base/best-practices-for-software-bill-of-materials-sbom-management/

Hinweis von CISA zu Software Stücklisten

https://www.cisa.gov/sbom

Shownotes:

https://www.infosec-podcast.de/shownotes/ep9/

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)

1. https://www.merkur.de/wirtschaft/kuendigung-rache-cyber-kriminalitaet-daten-zerstoert-new-york-credit-union-bank-fbi-warnung-90963946.html
2. https://krebsonsecurity.com/2021/08/wanted-disgruntled-employees-to-deploy-ransomware/
3. https://therecord.media/cisa-adds-single-factor-authentication-to-its-catalog-of-bad-practices

Hausaufgabe der Episode das Thema Asset-Management

https://www.cisecurity.org/controls/inventory-and-control-of-enterprise-assets/

https://www.cisecurity.org/controls/inventory-and-control-of-software-assets/

Fragen für die Bewertung

• Kosten für Kauf bzw. erstellen
• Kosten für nochmals erstellen bzw. wiederherstellen
• Kosten für die Wartung
• Wert für das Unternehmen
• Wert für die Wettbewerber

Empfohlene Spalten

• Nummer
• Asset
• Asset Eigentümer
• Beschreibung
• Kategorie
• Bewertungsblock (Verfügbarkeit, Vertraulichkeit, Integrität)
• Prozessabhängigkeit

Tool für AD Prüfung - https://www.pingcastle.com/

Kontakt:

https://twitter.com/SpaziergangS

https://www.infosec-podcast.de

Musik: Goto80 and the Uwe Schenk Band - Cable Swingin' Ferret (lizensiert unter CC0 1.0 Universal License)