Das etwas sperrige Wort Penetrationstest (abgekürzt als Pentest) bezeichnet die legitimierte Überprüfung der Sicherheit eines IT-Systems aus der Perspektive eines Angreifers (umgangssprachlich oft als Hacker bezeichnet). Bei einem solchen Test werden ähnliche oder sogar die gleichen Methoden und Tools eingesetzt, die sich auch Hacker zunutze machen. Ein Penetrationstest stellt dabei immer nur eine Momentaufnahme dar. […]
pb-penetrationstest
OWASP Top 10 – A1 – Injection
In diesem Beitrag aus unserer Reihe zur OWASP Top 10, den zehn häufigsten Sicherheitslücken in Webapplikationen, beschäftigen wir uns mit Injections – also der Einschleusung von Schadcode. Injection-Sicherheitslücken nutzen eine ungesicherte Verarbeitung von Nutzereingaben aus, z. B. in Eingabefeldern für Namen und Adressen. Statt die vorgesehenen Daten einzugeben, kann ein Angreifer z. B. Programmcode oder […]
Hitparade der Sicherheitslücken – Hacker wählen MS-Windows und -Office
In der Liste „Top 10 Routinely Exploited Vulnerabilities“ des CISA (Cybersecurity & Infrastructure Security Agency) in Zusammenarbeit mit dem FBI wurden vor kurzem die 10 bekanntesten und am meisten ausgenutzten Softwareschwachstellen der Öffentlichkeit präsentiert. In dieser Anleitung raten die Verfasser zur dringenden Behebung der Angriffspunkte, die Hacker in den vergangenen vier Jahren gerne nutzten. Ungepatcht […]
Penetrationstests für mehr Cybersicherheit
Penetrationstests sind seit langem als Sicherheitstools bekannt, die Schwachstellen durch simulierte Angriffe auf die IT-Umgebung eines Unternehmens aufdecken. Die Ergebnisse aus solchen Tests können helfen, Schwachstellen zu priorisieren und einen Fahrplan zur Behebung der Angriffspunkte zu erstellen. Die Ergebnisse leisten aber noch mehr: Sie identifizieren und quantifizieren Sicherheitsrisiken und können so als Schlüsselfaktor für Cybersicherheitsrichtlinien […]
Lücke in Citrix wird massenweise ausgenutzt
Mitte Dezember 2019 wurde eine Sicherheitslücke in den Produkten „Citrix Application Delivery Controller“ (ADC, früher „NetScaler ADC“ genannt) und „Citrix Gateway“ (früher „Netscaler Gateway“ genannt) entdeckt. Die Lücke betrifft alle noch unterstützten Versionen dieser Produkte. Die verwundbaren Produkte werden als Load Balancer zur Verteilung von Netzwerkpaketen resp. als zentrale Anmeldeplattform für eine Vielzahl von Diensten […]
BSI findet Sicherheitslücke im Code von VeraCrypt und verschweigt sie 10 Jahre
Diese Woche veröffentliche die Plattform Golem.de – IT News für Profis einen Artikel, in dem sie berichtete, dass das BSI in 2010 eine umfangreiche Analyse der Verschlüsselungssoftware TrueCrypt durchgeführt hat. Die dabei gefundenen Ergebnisse zu verschiedenen Sicherheitslücken und Schwachstellen wurden nie veröffentlicht. Bis jetzt. Nur durch Zufall wurde jetzt über eine allgemeine Anfrage über das […]
MDM – Mobile Device Management
„Mobilgeräteverwaltung“ zu gut Deutsch, bedeutet Mobile Endgeräte zentralisiert zu verwalten, zu inventarisieren aber auch Richtlinien zu erarbeiten sowie die Software- und Datenverteilung zu organisieren. Die große Herausforderung dabei ist, dafür Sorge zu tragen, dass Privates und Berufliches auf einem Gerät existieren kann, ohne dass Kompromisse entstehen oder etwas gefährdet wird. Dies zeigt, dass die mobilen […]
Fast 1 Million Computer noch anfällig für Windows BlueKeep RDP-Fehler
Fast 1 Million Windows-Systeme (Errata Security) sind immer noch nicht gepatcht und wurden zwei Wochen nach der Veröffentlichung des Sicherheits-Patches durch Microsoft für anfällig bei der Ausführung von Remote-Code im Windows Remote Desktop Protocol (RDP) befunden. Die als „BlueKeep“ bezeichnete und als CVE-2019-0708 verfolgte Sicherheitslücke betrifft die Editionen von Windows 2003, XP, Windows 7, Windows […]
EU Cybersecurity Act
Sechsundzwanzig Milliarden Geräte sind derzeit weltweit mit dem „Internet der Dinge“ verbunden, bis 2025 soll die Anzahl auf 75 Milliarden ansteigen ( IHS Markit). Allerdings wachsen mit der Verbreitung solcher Geräte auch die Risiken für Privatanwender, Unternehmen und Behörden. Der Gesetzgeber ist hier in einem Wettlauf mit der Zeit, um sicherzustellen, dass die neue Technologie […]
Kritische Schwachstelle bei Microsoft
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer kritischen Schwachstelle im Remote-Desktop-Protocol-Dienst (RDP) einiger Windows-Versionen. Die Schwachstelle, die ohne Zutun des Nutzers ausnutzbar ist, ermöglicht einen Angriff mit Schadsoftware, die sich wurmartig ausbreitet. „Diese kritische Schwachstelle kann zu ähnlich verheerenden Angriffen führen, wie wir sie 2017 mit WannaCry erleben mussten.“, so der […]
Alles neu macht der Mai – TLS anstatt SSL und eTLS
In einer kürzlich vom Bundesamt für Sicherheit in der Informationstechnik herausgegebenen Veröffentlichung mit Ratschlägen zum Einsatz von Verschlüsselungsstandards, die aus mehreren Gründen nötig geworden sind, wird die ausschließliche Verwendung des TLS-Standards Version 1.2 und 1.3 empfohlen. Die Abkürzung TLS steht für Transport Layer Security, ein Verschlüsselungsprotokoll zur sicheren Datenübertragung in Datennetzwerken. Insbesondere die Vertraulichkeit, die […]
IT-Forensik – spielte der letzte Tatort in Ihrem Unternehmen?
Trotz einer guten Präventionsstrategie und bester Sicherheitsvorkehrungen lassen sich Angriffe auf IT-Systeme nicht vollständig ausschließen. Oftmals bleiben diese Einbrüche in die Systeme sogar über lange Zeit völlig unbemerkt. So geschehen Ende letzten Jahres bei der Hotelkette Marriott. Schon im Jahre 2014 sind Hacker hier in ein zum Hotelverbund zählendes Unternehmen eingedrungen und haben über die […]
Bedrohungen für Industriesteuerungsanlagen ICS/SCADA
Industriesteuerungen (ICS) und Supervisory Control and Data Acquisition (SCADA) sind Systeme, die zunehmend Cyber-Risiken ausgesetzt sind. Durch ungerichtete Schadsoftware aber ebenso durch „Hacker“ werden sie wie konventionelle IT angegriffen. Diese Systeme werden nicht nur in Fabriken eingesetzt, sondern auch in der Energieerzeugung und -verteilung über Gas- und Wasserversorgung bis hin zur Fabrikautomation, Verkehrsleittechnik und modernem Gebäudemanagement. Somit […]
Konfigurierst Du noch oder bist Du schon sicher?
Sicherheitsrelevante Fehlkonfiguration Über mehrere Jahre waren aufgezeichnete Anrufe der schwedischen Gesundheitshotline unverschlüsselt auf völlig ungeschützten Servern gespeichert und für jeden erreichbar. Diese hochsensiblen Daten waren weder durch Passwörter noch andere Sicherheitsmaßnahmen geschützt. Nach erster Einschätzung von schwedischen Informationssicherheits-Experten ist dieser Vorfall auf eine sicherheitsrelevante Fehlkonfiguration zurückzuführen. Auf der OWASP-Top-10 Liste der Risiken für die Anwendungssicherheit […]
Durchblick im Dschungel von Verschlüsselung und Schlüssellängen – was ist der Stand der Technik?
Unternehmen und datenverarbeitende Stellen müssen sich stets Gedanken machen, wie sie die drei Ziele der IT-Sicherheit (Verfügbarkeit, Vertraulichkeit und Integrität) gewährleisten. Insbesondere zur Gewährleistung des Schutzziels der Vertraulichkeit kommt schnell das Thema Verschlüsselung ins Spiel. Doch Verschlüsselung ist nicht gleich Verschlüsselung und oftmals stellt sich die Frage: Welche Verschlüsselungsmethode entspricht eigentlich dem Stand der Technik? […]
1 2