CYBERSECURITY UND TESTING. Swiss Testing Night

Größe: px

Ab Seite anzeigen:

Download "CYBERSECURITY UND TESTING. Swiss Testing Night"

Tomas Scholz
vor 5 Jahren
Abrufe

1 CYBERSECURITY UND TESTING Swiss Testing Night

2 CYBER SECURITY TESTING

3 Cybersicherheit «Cybersicherheit befasst sich mit allen Aspekten der Sicherheit in der Infor- mations- und Kommunikationstechnik. Das Aktionsfeld der Informationssi- cherheit wird dabei auf den gesamten Cyber-Raum ausgeweitet. Dieser um- fasst sämtliche mit dem Internet und vergleichbaren Netzen verbundene In- formationstechnik und schließt darauf basierende Kommunikation, Anwen- dungen, Prozesse und verarbeitete Informationen mit ein. Häufig wird bei der Betrachtung von Cybersicherheit auch ein spezieller Fokus auf Angriffe aus dem Cyber- Raum gelegt» (BSI, o.j.b) Es gibt keine perfekte Sicherheit Zwei Freunde auf Safari in Afrika

4 Testing Funktionales Testen Macht das Programm was es soll? Passt das runde Holz in das runde Loch? Security Testing Was kann ich mit dem Programm machen? Bringe ich das viereckige Holz in das runde Loch? Video: Levis Square Peg:

5 Vorstellung Redguard Dominik Nufer Daniel Tschabold

6 Inhalt Anatomie eines Angriffes Motivation Ablauf Beispiele aus dem Alltag eines Security Testers Gegenmassnahmen

7 ANATOMIE EINES ANGRIFFES 7

8 Motivation des Angreifers Die Firma ist das Ziel Firmengeheimnisse Informationen Ressourcen Die Infrastruktur wird zum Ziel Schwache Infrastruktur Bekannte Schwachstellen Fehlerhafte Konfiguration 8

9 Motivation des Angreifers Script Kiddies Langeweile / Interesse / Credibility Kein klares Ziel Kleine Fachkenntnis Kleine Ressourcen Politisch Motivierte / Hacktivisten Politisches / Persönliches Ziel Klares Ziel (Anonymous: Scientology, PayPal) Kleine bis sehr grosse Fachkenntnis Kleine bis sehr grosse Ressourcen 9

10 Motivation des Angreifers Konkurrenz Klares Ziel Unternehmsdaten Kleine bis sehr grosse Fachkenntnis Kleine bis sehr grosse Ressourcen Professionelle Angreifer / Kriminelle Klares Ziel Auftragsarbeit Businessmodell (Kreditkarten, Botnets, Daten) Kleine bis sehr grosse Fachkenntnis Kleine bis sehr grosse Ressourcen 10

11 Motivation des Angreifers Staaten Klares Ziel (Strategische Informationen, Wirtschaftsspionage) Kleine bis sehr grosse Fachkenntnis (Kommt auf den Staat an) Kleine bis sehr grosse Ressourcen 11

12 Ablauf eines Angriffes 12

13 BEISPIELE 13

15 15

16 Broken File Upload Webapplikation mit Fileupload Applikation nimmt Parameter entgegen Speicherpfad Dateiname Dateityp Zugriff 16

17 User Input Shopsysteme Social Media Komentarfunktion User Input wird nicht korrekt gefiltert Code kann ausgeführt werden 17

18 Batchverarbeitung Vertrauliche / Datenschutzrelevante Daten Berechtigte Personen dürfen mehr als für Ihre Rolle erforderlich wäre 18

19 DevOps Berechtigungen Nutzer Programme Dateien 19

20 Schnittstellen USB WLAN Bluetooth ZigBee NFC CAN / OBD2 Alexa buy a thousand 20

21 Vertrauen ist gut, Kontrolle ist besser Lieferanten Partner Betriebssystem Software 21

22 GEGENMASSNAHMEN 22

23 Layered Security 23

Security vs. Safety https://upload.wikimedia.

24 Security vs. Safety

25 Integrale Sicherheit Prozesse Technologien Menschen

26 Menschen Architekten Security by Design Komplexität reduzieren Frameworks / Standards Was brauchen wir? Projektleitung Sicherheit in Projekt eingeplant Termine Entwickler Weiterbildung SDL Sensibilisierung

27 Menschen Management Treibende Kraft Awareness Alle Mitarbeiter

28 Technik Aktuelle Hardware und Software Deployment Best Practices Technik ist Mittel zum Zweck (ML, Blockchain, AI) Komplexität reduzieren 28

29 Prozesse Prozesse definiert Prozesse bekannt Sicherheitstest integriert 29

30 Fazit Reduktion der Angriffsoberfläche Reduktion der Komplexität Reduktion der Interaktivität Nutzen von Standards und Frameworks Befolgen von Best Practices Expertenrat

31 FRAGEN 31

32 BERN Redguard AG Eigerstrasse 60 CH-3007 Bern ZÜRICH Redguard AG Josefstrasse 225 CH-8005 Zürich Phone: +41 (0)

Ähnliche Dokumente

Informationssicherheit in Unternehmen Worum geht es und worauf kommt es an?

Informationssicherheit in Unternehmen Worum geht es und worauf kommt es an? 53. ITS Techno-Apéro, 20.6.2016 Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW School of Engineering