IT in Sicherheit Wie rüste ich meine IT gegen Angriffe von innen und außen?

Größe: px
Ab Seite anzeigen:

Download "IT in Sicherheit Wie rüste ich meine IT gegen Angriffe von innen und außen?"

Transkript

1 Fokus Datenklau Risiken Rechtslage Gegenstrategien IT in Sicherheit Wie rüste ich meine IT gegen Angriffe von innen und außen? Donnerstag 19. Mai Flemings Deluxe Hotel, Wien City

2 Statement SOFTWARE Bei kaum einem anderem Produkt lässt sich Qualität so schwer beurteilen und herstellen wie bei Software. Die Schwierigkeiten sind so groß, dass die Menschheit gelernt hat, mit schlechten Komponenten zu leben. Seite 2 Quelle IX-Magazin 1/2011

3 Überblick Allgemeines IT in Sicherheit Datenklau Kosten Zertifizierung Zusammenfassung Seite 3

4 Allgemeines Seite 4

5 Wolfgang Prentner Promotion an der TU-Wien im Sicherheitsbereich IT-Ziviltechniker und gerichtlich zertifizierter Sachverständiger für IT-Sicherheit (seit 1998) Gesellschafter der ZTPRENTNERIT GmbH (1999) Vorsitzender der Bundesfachgruppe IT der Bundeskammer der Arch+Ing (2003-4/2011, Stv) E-Government Beauftragter des Bundeskomitees der Freien Berufe Österreichs. Dazu zählen die Kammern der Ärzte, Apotheker, Notare, Patentanwälte, Rechtsanwälte, Wirtschaftstreuhänder und Ziviltechniker (seit 2003) Mitglied der Plattform Digitales Österreich im Bundeskanzleramt (seit 2004) Seite 5

6 Warum IT-Ziviltechniker? Facheinschlägiges Studium (!) Fachliche Kompetenz Objektivität Unabhängigkeit Staatliche Befugnis Hohe Akzeptanz beim Kunden Verschwiegenheitsverpflichtung gemäß ZTG Haftungsübernahme im Schadensfall (Mio. 1,5 pro Fall) Seite 6

7 Befugnis nach Ziviltechnikergesetz Beraten Planen Prüfen Überwachen und Koordinieren Treuhandschaften Urkundsfähigkeit - Zertifizierung nach ZTG 4 Abs. 3 Abgrenzung zum Gewerbe keine ausführenden Tätigkeiten keine Störungsbehebung aber z.b. Störungsanalyse kein Vertrieb von Software und Hardware, daher kein Interessenskonflikt mit gewerblichen Unternehmen Seite 7

8 Haftung des IT-Ziviltechniker 1. Öffentliche Urkunde gemäß Ziviltechnikergesetz zum heutigen Stand der Technik 2. Erhöhte Beweiskraft vor Gerichten im Streitfall 3. Haftung insbesondere nach 1299 ABGB für Sachverständigentätigkeit für grobe und leichte Fahrlässigkeit sowie 4. Haftungsübernahme je Schadensfall von 1,5 Mio. Euro durch die Berufshaftpflichtversicherung Seite 8

9 Kunden im IT-Sicherheitsbereich Kammern Behörden Handel Finanzsektor Energiesektor Gesundheitsbereich Seite 9

10 Daten 1. Was sind sensible Unternehmensdaten? 2. Wo sind sensible Daten gespeichert? 3. Wer verwendet sensible Daten? 4. Wie erstelle ich eine Richtlinie um sensible Daten zu schützen? 5. Welche Werkzeuge setze ich dafür ein? Seite 10

11 Wachstumsbranche Datendiebstahl Datendiebstahl Bundeskriminalamt (D) warnt Datendiebstahl Hacker beklauen Millionen Playstation-Kunden Datendiebstahl Chinesen sollen auch Morgan Stanley gehackt haben Datendiebstahl Sicherheitsexperten warnen vor kostenlosen WLAN Datendiebstahl Industriespionage: SAP muss 1,3 Milliarden Dollar an Oracle zahlen Seite 11

12 Kriminalitätsstatistik BKA/D (2009) Computerbetrug: Fälle (plus 35%) Kreditkartenbetrug: Fälle (plus 6,1%) Kreditkarten-Informationen: "Handelsware im Internet", Seite 12

13 Internet-Sicherheit On the Internet, nobody knows you are a dog. Seite 13

14 Realer Terrorismus im Internet Weitere Beispiele: CIO Land, CIO KH, BM LV, aktuelle Bedrohungen wie Stuxnet-Wurm Seite 14

15 Hacker kaperten Homepage der dt. Atomlobby Seite 15

16 Stuxnet - Computerwurm karikatur-cartoon.de Seite 16

17 Sony Playstation Hack 77 Mio. Betroffene weltweit, in Österreich Seite 17 de.toonpool.com

18 Datenklau I: unbeabsichtigt Seite 18

19 Datenklau II: vorsätzlich Steuer-CD: Datendieb soll Administrator in Bank gewesen sein. 09. Februar 2010, 12:28. Seite 19

20 Datenklau III: Social Engineering Seite 20

21 Datenklau IV: automatisiert Seite 21

22 IT-Sicherheit Seite 22

23 Sicherheitszonen Unternehmens sicherheit Informations sicherheit IT-Sicherheit Seite 23

24 IT-Sicherheit Vertraulichkeit eine bestimmte Information dem zuständigen Anwender Integrität Unversehrtheit und Korrektheit der Daten Information oder Funktion Verfügbarkeit zur rechten Zeit am rechten Ort Seite 24

25 Einordnung Standards und Normen CobIT, ITIL (20000), ISMS (2700x), GSHB, Ö-SHB Organisation Prozess GSHB A 7700 Websicherheit BSI Common Criteria Technologie Seite 25

26 Standards und Ihre Zuordnung ISO 9000 ISO ISO 2700x CobIT INTERNET SICHERHEI TSGURT A 7700, BSI Seite 26

27 Sicherheitsprozess P A D C Plan, Do, Check, Act Seite 27

28 IT-Sicherheitsanforderungen I (Standard) Seite 28

29 IT-Sicherheitsanforderungen II (High Risk) Seite 29

30 Datenklau extern Seite 30

31 1. E-Spionage Informationen sammeln Output Netzwerkplan des Ziel-Unternehmens Außensicht des Angreifers Seite 31

32 1a. E-Spionage Ergebnis Seite 32

33 2. Netzwerk- und Systemsicherheit Port 1337 offen - steht in der Hackerszene für LEET, also Elite Seite 33

34 3. Kommunikation - verschlüsselt Secure Socket Layer TLSv1 Record Layer: Application Data Protocol: http Content Type: Application Data (23) Version: TLS 1.0 (0x0301) Length: 622 Encrypted Application Data: CDC503543A6E10F79505C598D0802D44D0C332F0A74F3E04... Cipher Suite: TLS_RSA_WITH_RC4_128_MD5 (0x0004) e9 3f f 76 e h.?..?v...E b 32 ba a dd ac c c 41 3d bb f9 15 b7 d0 09 e A=u..1...P ff d1 8d e cd c a...S...n...T: e 10 f c5 98 d0 80 2d 44 d0 c3 32 f0 a7 n...-d f 3e c8 8a 65 ba a f 72 de d6 O>.A...e.../r c a6 4d b9 83 d3 37 a0 46 ae 16 4d ca de <.M...7.F..M.3e df 8f 08 6c c1 d2 56 0a c2 70 7f a7 8a 77...l.%..V..p...w d0 42 df ca a2 f8 22 a0 47 4f 3f 3f b4 f4 bd..b...".go??... Client 0090 d5 36 9a b1 30 2b b0 52 8a 07 2d 2f df 13 fb R..-/... 00a0 2d c b c 0f 00b0 b3 7f b3 38 2d f8 b1 a6 30 d c 80 b4 6e $L..n 00c0 0e 1f f0 e8 72 6b 9d f8 d df 51 fa 5a 32...rk...%.Q.Z2 00d0 89 5a 6e 2c ef 54 4a d2 71 0f e0 3d 55 3f 67 8c f3 2e eb 3e 72 df 69 8a a4 67 7e =U?g...>r.i..g~ 00f d 6a f8 df ca 5a a9 4e 1e 5c ba a2 f4 1$g.j...Z.N.\ c1 40 a5 44 e3 2a 0f c0 52 de 6f 2c 7f 19 1c...C..~Q.h.6}R.. Angreifer banking-server Seite 34

35 4. Applikationssicherheit Login/Doing/Logout Authentifikation Autorisierung Session Management Testen in unfreundlicher Umgebung Auditing Reporting Seite 35

36 Ergebnisse Seite 36

37 Technische Sicherheit Arbeitsplatzcomputer Server Firewall Status: nicht ok (hohes Risiko) Status: nicht ok (hohes Risiko) Status: nicht ok (mittleres Risiko) Seite 37

38 Organisatorische Sicherheit Systemwartung Status: nicht ok (hohes Risiko) Passwort-Handhabung Status: nicht ok (mittleres Risiko) Datensicherung Status: nicht ok (mittleres Risiko) Datenarchivierung Status: nicht ok (mittleres Risiko) Datenträger-Vernichtung Status: ok Virenschutz Status: ok Fernwartung Status: ok Wireless LAN Status: nicht anwendbar Telearbeit bzw. Home-Office Status: nicht anwendbar Geheimhaltungsvereinbarung mit Dritten Status: ok Seite 38

39 IT-Schwachstellen auf Netzwerkebene Seite 39

40 IT-Schwachstellen - Behebungsdauer Seite 40

41 Datenklau - intern Seite 41

42 Neue Bedrohung Professioneller Datenklauer Seite 42

43 Engagement Index Deutschland 2010 Seite 43 GALLUP (D)

44 Datenklau: Mitarbeitermeinungen Unternehmensdaten: Meinungen von Mitarbeitern Die Firma verdient es nicht, sie zu behalten 47% Die Firma kann die Informationen nicht zu mir zurückverfolgen. 49% Ich habe diese Informationen mit erstellt. Die Informationen könnten sich zukünftig als nützlich erweisen. 52% 53% % Alle anderen machen das anscheindend auch. 54% Quelle: heise.de Seite 44

45 Private Internet-Nutzung am Arbeitsplatz Seite 45

46 Der Standard (11. Jänner 2010) Überwachung am Arbeitsplatz nimmt zu! s, Internetnutzung oder etwa Krankenstandstage. Umfrage: 65% plädieren für ein Überwachungsverbot (AK OÖ) Seite 46

47 Ergebnis der Untersuchung I (AK OÖ) 65% traten bei der Befragung für ein Überwachungsverbot ein. 26% gehen davon aus, dass sie am Arbeitsplatz überwacht werden. 4% schließen eine Überwachung definitiv aus. Stichprobe: 600 AK-Mitarbeiter Seite 47

48 Ergebnis der Untersuchung II (AK OÖ) 47% nehmen an, s und Internetnutzung 36% vermuten eine kontinuierliche Beobachtung während der Arbeitszeit. 67% der Beschäftigten in Oberösterreich sind der Ansicht, dass derartige Überwachungen in letzter Zeit stark oder leicht zugenommen haben. 17% glauben, dass die Überwachung nicht ausgeweitet worden sei. Stichprobe: 600 AK-Mitarbeiter Seite 48

49 Schutz gegen internen Datenklau Seite 49

50 Data Loss Prevention (DLP) Schutzmaßnahmen, die direkt den Schutz der Vertraulichkeit von Daten unterstützen und je nach Ausprägung direkt oder indirekt die Integrität und Zuordenbarkeit sicher stellt. Quelle: Seite 50

51 Bedrohungsbereiche (Threat Coverage) Endpunkt (PC) Device Kontrolle Daten Kontrolle Applikationen Kontrolle Netzwerk Mail Web Instant Message,... Storage Archive/Backup Filesystem Datenbanken,... Seite 51

52 Data Loss Prevention Systeme I Seite 52

53 Mitarbeiter Benachrichtigung Seite 53

54 Rechtliche Aspekte Seite 54

55 Verschuldensfrage bei Angriffen Verschulden Auftraggeber (verflochtene Unternehmen) Entwickler (Anwendung und DB) Netzwerk/Infrastruktur (FW/Router/System) Betreiber/Outsourcer (lokal, international, Cloud) Haftung Gewährleistung Schadenersatz Seite 55

56 Strafbestimmungen Seite 56

57 Strafbestimmungen I Strafgesetzbuch (StGB) 118a (1) - Widerrechtlicher Zugriff auf ein Computersystem - Geldstrafe oder bis zu 6M Haft 119 (1) - Verletzung des Telekommunikationsgeheimnisses: Geldstrafe oder bis zu 6M Haft 119a (1) - Missbräuchliches Abfangen von Daten: Geldstrafe oder bis zu 6M Haft 126b - Störung der Funktionsfähigkeit eines Computersystems: Geldstrafe oder bis zu 6M Haft 126c - Missbrauch von Computerprogrammen oder Zugangsdaten: Geldstrafe oder bis zu 6M Haft Seite 57

58 Strafbestimmungen II Strafgesetzbuch (StGB) 122ff StGB: Verletzung Betriebsgeheimnis; Strafrahmen: bis 3 Jahre 246 StGB: Staatsfeindliche Verbindungen; Strafrahmen: bis 5 Jahre 252 StGB: Verrat von Staatsgeheimnissen; Strafrahmen: bis 10 Jahre 242 StGB: Hochverrat; Strafrahmen: bis 20 Jahre Datenschutzgesetz 52 bis ,- Mediengesetz 7 bis ,- Telekommunikationsgesetz 109 bis ,- Seite 58

59 Kosten Seite 59

60 Aufwandsverteilung Applikationsanalyse Kommunikationsanalyse Netzwerkanalyse Seite 60

61 Kosten Sicherheitsaudits Standard Sicherheitsaudit bis Spezielle Sicherheitsaudits bis Spezielle Sicherheitsüberwachung mit staatl. anerk. Zertifikat und Haftungsübernahme bis pro Jahr Seite 61

62 Zertifizierung Seite 62

63 Sicherheitssiegel ELBA-internet Seite 63

64 Sicherheitszertifikat staatlich anerkannt. Seite 64

65 Zusammenfassung Wie rüste ich meine IT gegen Angriffe von innen und außen? Seite 65

66 Abwehr - interne Angriffe Regelungen und Richtlinien (Auszug) Benutzungsregelung Passwortrichtlinie (Benutzer und Admins) Eintritt und Austritt Dienstleistervertrag Protokollierung (revisionssicher) Einschränkung von Passwörtern Technologien (Auszug) Interne Firewalls, IDS Verschlüsselung Auditing Data Loss Prevention Seite 66

67 Nacktscanner Seite 67

68 Abwehr externer Angriffe Regelungen und Richtlinien (Auszug) Periodische Logfile Analyse Wartung (Auszug) Zeitnahe Updates Technologien (Auszug) Firewalls Virenschutz Spamfilter IDS/IPS Sichere Software Entwicklung Auditing und Zertifizierung Seite 68

69 Top 5 Probleme 1. Klassiker unbewusst offene Dienste. 2. Nicht aktueller Patchlevel von Serversoftware. Buffer Overflows, Code Injection und DoS-Angriffen, Nicht korrekt programmierte Webanwendungen. SQL-Injections, Cross-Site-Scripting, Falsch oder nicht korrekt konfigurierte Serversoftware Quelle für Informationen über das System: Banner 5. Verwenden nicht aktueller oder ausreichender Sicherheitsmechanismen Microsoft Remote Desktop über Internet -> Man-in-the-Middle Attacke. Stand Seite 69

70 Seite 70

71 Besten Dank für Ihre Aufmerksamkeit! Haben Sie noch Fragen? Seite 71

72 Top Ten Sicherheitsprobleme 2010 A1 - SQL injection, OS Command injection A2 - Cross Site Scripting (XSS) Cross-site scripting A3 - Broken Authentication and Session Management A4 - Insecure Direct Object References A5 - Cross Site Request Forgery A6 - Security Misconfiguration - No direct mappings A7 - Failure to Restrict URL Access A8 - Unvalidated Redirects and Forwards A9 - Insecure Cryptographic Storage A10 - Insufficient Transport Layer Protection OWASP Seite 72

73 Standards und Normen Seite 73

74 Ebenen 1. IT-Governance 2. IT-Compliance 3. IT-Informationssicherheit 4. IT-Sicherheit Seite 74

75 ZTPRENTNERIT - Know-How, Ausbildung und Zertifizierungen Organisation/Prozess ZTP - COBIT ZTP - ITIL (ISO 20000) ZTP - ISMS (ISO ) ZTP - Österreichisches Sicherheitshandbuch ZTP - IT-Grundschutz-Katalog Technik ZTP - ÖNORM A 7700, AT ZTP - Sicherheit von Webanwendungen, BSI ZTP - Common Criteria. INT ZTP - IT-Grundschutz-Katalog, BSI ZTP - CISCO, Vmware,., INT Seite 75

Con.ect Event 10. Oktober 2014, Wien. Mobile Security und staatlich anerkannte Software-Beweissicherung

Con.ect Event 10. Oktober 2014, Wien. Mobile Security und staatlich anerkannte Software-Beweissicherung Con.ect Event 10. Oktober 2014, Wien Mobile Security und staatlich anerkannte Software-Beweissicherung Überblick Einleitung Mobile Devices - Sicherheitsprüfungen Auffinden von E-Spionageaktivitäten Fünf

Mehr

Schutz vor Datenklau. Sinnvolle Regelungen zur Internet-Nutzung am Arbeitsplatz ARZ - Veranstaltung Do. 8. April, Windischgarsten

Schutz vor Datenklau. Sinnvolle Regelungen zur Internet-Nutzung am Arbeitsplatz ARZ - Veranstaltung Do. 8. April, Windischgarsten Schutz vor Datenklau Sinnvolle Regelungen zur Internet-Nutzung am Arbeitsplatz ARZ - Veranstaltung Do. 8. April, Windischgarsten Referent ZT DI Dr. Wolfgang g Prentner. ZT Prentner IT GmbH prentner@zt-prentner-it.at.

Mehr

Technische Aspekte der ISO-27001

Technische Aspekte der ISO-27001 ISO/IEC 27001 - Aktuelles zur IT-Sicherheit Technische Aspekte der ISO-27001 Donnerstag, 19. September 2013, 14.00-18.30 Uhr Österreichische Computer Gesellschaft. 1010 Wien Überblick Norm Anhang A normativ

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung Warum ist Sicherheit ein Software Thema? Sicherheit in heutigen Softwareprodukten & Trends OWASP Top 10 Kategorien Hacking Demo SQL Injection: der Weg zu den Daten

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung } Warum ist Sicherheit ein Software Thema? } Sicherheit in heutigen Softwareprodukten & Trends } OWASP Top 10 Kategorien Hacking Demo } SQL Injection: der Weg zu

Mehr

Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5.

Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5. Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5.21 Die Zusammenstellung der Gefährdungen für den Baustein 5.21 bediente sich

Mehr

FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona

FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Compass Security Cyber Defense AG Werkstrasse 20 T +41 55 214 41 60 F +41 55 214 41 61 admin@csnc.ch FileBox Solution Name des Dokumentes: FileBox_WhitePaper_de.doc Version: v2.0 Autor: Ivan Bütler Unternehmen:

Mehr

OpenWAF Web Application Firewall

OpenWAF Web Application Firewall OpenWAF Web Application Firewall Websecurity und OpenWAF in 60 Minuten Helmut Kreft Fuwa, 15.11.2010 Agenda Webapplikationen? Furcht und Schrecken! OWASP Top 10 - Theorie und Praxis mit dem BadStore Umgang

Mehr

Wie steht es um die Sicherheit in Software?

Wie steht es um die Sicherheit in Software? Wie steht es um die Sicherheit in Software? Einführung Sicherheit in heutigen Softwareprodukten Typische Fehler in Software Übersicht OWASP Top 10 Kategorien Praktischer Teil Hacking Demo Einblick in die

Mehr

IHK: Web-Hacking-Demo

IHK: Web-Hacking-Demo sic[!]sec, Achim Hoffmann IHK: Web-Hacking-Demo, Bayreuth 1. April 2014 1 von 34 IHK: Web-Hacking-Demo Achim Hoffmann Achim.Hoffmann@sicsec.de Bayreuth 1. April 2014 sic[!]sec GmbH spezialisiert auf Web

Mehr

Web Application Security

Web Application Security Web Application Security Was kann schon schiefgehen. Cloud & Speicher Kommunikation CMS Wissen Shops Soziale Netze Medien Webseiten Verwaltung Chancen E-Commerce Kommunikation Globalisierung & Digitalisierung

Mehr

IT-Sicherheit Angriffsziele und -methoden Teil 2

IT-Sicherheit Angriffsziele und -methoden Teil 2 Karl Martin Kern IT-Sicherheit Angriffsziele und -methoden Teil 2 http://www.xkcd.com/424/ Buffer Overflows 2 Buffer Overflows Ausnutzen unzureichender Eingabevalidierung Begrenzter Speicherbereich wird

Mehr

Gesundheit für ihre IT

Gesundheit für ihre IT Gesundheit für ihre IT Sicherheitsmanagement - Enterprise & Risk Management Haftungsrechtliche und sicherheitstechnische Optimierung beim Cloud Computing ZT Dr. Wolfgang Prentner IT-Ziviltechniker, staatlich

Mehr

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 13.03.2013 Agenda Vorstellung Open Web Application Security Project (OWASP) Die OWASP Top 10 (2013 RC1) OWASP Top 3 in der

Mehr

Webapplikationssicherheit (inkl. Livehack) TUGA 15

Webapplikationssicherheit (inkl. Livehack) TUGA 15 Webapplikationssicherheit (inkl. Livehack) TUGA 15 Advisor for your Information Security Version: 1.0 Autor: Thomas Kerbl Verantwortlich: Thomas Kerbl Datum: 05. Dezember 2008 Vertraulichkeitsstufe: Öffentlich

Mehr

Netzwerksicherheit Übung 9 Websicherheit

Netzwerksicherheit Übung 9 Websicherheit Netzwerksicherheit Übung 9 Websicherheit David Eckhoff, Tobias Limmer, Christoph Sommer Computer Networks and Communication Systems Dept. of Computer Science, University of Erlangen-Nuremberg, Germany

Mehr

Vortragsreihe: Mittwoch 22. Mai 2013. CMS Wien. ZT Prentner IT GmbH A-1040 Wien. Mommsengasse 4/3 office@zt-prentner-it.at. www.zt-prentner-it.

Vortragsreihe: Mittwoch 22. Mai 2013. CMS Wien. ZT Prentner IT GmbH A-1040 Wien. Mommsengasse 4/3 office@zt-prentner-it.at. www.zt-prentner-it. Vortragsreihe: Mittwoch 22. Mai 2013. CMS Wien ZT Prentner IT GmbH A-1040 Wien. Mommsengasse 4/3 office@zt-prentner-it.at. www.zt-prentner-it.at Überblick 1. 2. 3. 4. 5. 6. Ausgangssituation Software IT-Compliance

Mehr

COMPLIANCE IN DER IT Risiken Rechtslage Gegenstrategien. Haftungsfragen bei Sicherheitslücken

COMPLIANCE IN DER IT Risiken Rechtslage Gegenstrategien. Haftungsfragen bei Sicherheitslücken COMPLIANCE IN DER IT Risiken Rechtslage Gegenstrategien Haftungsfragen bei Sicherheitslücken Dr. Johannes Juranek, Partner bei CMS Reich-Rohrwig Hainz Rechtsanwälte GmbH, Gauermanngasse 2-4, 1010 Wien

Mehr

V10 I, Teil 2: Web Application Security

V10 I, Teil 2: Web Application Security IT-Risk-Management V10 I, Teil : Web Application Security Tim Wambach, Universität Koblenz-Landau Koblenz, 9.7.015 Agenda Einleitung HTTP OWASP Security Testing Beispiele für WebApp-Verwundbarkeiten Command

Mehr

IT SICHERHEITS-AUDITOREN

IT SICHERHEITS-AUDITOREN PenTest-Module Produktportfolio UNABHÄNGIGE, ZUVERLÄSSIGE UND ERFAHRENE IT SICHERHEITS-AUDITOREN Blue Frost Security PenTest-Module Blue Frost Security 1 Einführung Konsequente Penetration Tests, regelmäßige

Mehr

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Ralf Reinhardt 28.11.2013, 16:40 Uhr Roadshow Sicheres Internet aiti-park Werner-von-Siemens-Str. 6 86159 Augsburg 1 Hacker-Tool Browser Über

Mehr

OWASP Top 10 Was t/nun? OWASP Nürnberg, 20.10.2010. The OWASP Foundation http://www.owasp.org. Dirk Wetter

OWASP Top 10 Was t/nun? OWASP Nürnberg, 20.10.2010. The OWASP Foundation http://www.owasp.org. Dirk Wetter Top 10 Was t/nun? Nürnberg, 20.10.2010 Dirk Wetter Dr. Wetter IT-Consulting & -Services mail bei drwetter punkt eu dirk punkt wetter bei owasp punkt org +49-(40)-2442035-1 Copyright The Foundation Permission

Mehr

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011 Secure Coding & Live Hacking von Webapplikationen Conect Informunity 8.3.2011 Dr. Ulrich Bayer Security Research Sicherheitsforschung GmbH Motivation Datendiebstahl über (Web)-Applikationen passiert täglich

Mehr

business.people.technology.

business.people.technology. business.people.technology. OWASP Top 10: Scanning JSF Andreas Hartmann 18.06.2010 2 OWASP Top 10: Scanning JSF 18.06.2010 Was ist Application Security? Application Security umfasst alle Maßnahmen im Lebenszyklus

Mehr

Sicherheit von Webapplikationen Sichere Web-Anwendungen

Sicherheit von Webapplikationen Sichere Web-Anwendungen Sicherheit von Webapplikationen Sichere Web-Anwendungen Daniel Szameitat Agenda 2 Web Technologien l HTTP(Hypertext Transfer Protocol): zustandsloses Protokoll über TCP auf Port 80 HTTPS Verschlüsselt

Mehr

Marc Skupin Werner Petri. Security Appliances

Marc Skupin Werner Petri. Security Appliances There s s a new kid in town! Marc Skupin Werner Petri Security Appliances tuxgate Ein Saarländischer Hersteller Wer ist? Sicherheit, warum? Wieviel Sicherheit? tuxgate Security Appliances tuxgate 1998

Mehr

Zertifikatsprogramm der Österreichischen Computer Gesellschaft. OCG IT-Security

Zertifikatsprogramm der Österreichischen Computer Gesellschaft. OCG IT-Security Zertifikatsprogramm der Österreichischen Computer Gesellschaft OCG IT-Security Syllabus Version 1.0 OCG Österreichische Computer Gesellschaft Wollzeile 1-3 A 1010 Wien Tel: +43 (0)1 512 02 35-50 Fax: +43

Mehr

Secure Webcoding for Beginners

Secure Webcoding for Beginners Secure Webcoding for Beginners $awareness++ Florian Brunner Florian Preinstorfer 09.06.2010 Hacking Night 2010 Vorstellung Florian Brunner Software Engineer CTF-Team h4ck!nb3rg Student sib08 Florian Preinstorfer

Mehr

No Risk, More Fun sichern Sie Software Qualität und schließen Sie Sicherheitslücken on Ihren Webanwendungen. Hamburg, 27.09.2011

No Risk, More Fun sichern Sie Software Qualität und schließen Sie Sicherheitslücken on Ihren Webanwendungen. Hamburg, 27.09.2011 No Risk, More Fun sichern Sie Software Qualität und schließen Sie Sicherheitslücken on Ihren Webanwendungen Hamburg, 27.09.2011 Ausgangssituation Webanwendungen sind aus unserem heutigen Leben nicht mehr

Mehr

Was ist bei der Entwicklung sicherer Apps zu beachten?

Was ist bei der Entwicklung sicherer Apps zu beachten? Was ist bei der Entwicklung sicherer Apps zu beachten? Ein Leitfaden zur sicheren App 1 Über mich Consultant für Information Security Studium der Wirtschaftsinformatik an der Hochschule München Entwicklung

Mehr

Open for Business - Open to Attack? Walter Lender, Geschäftsführer, Visonys IT-Security Software GesmbH

Open for Business - Open to Attack? Walter Lender, Geschäftsführer, Visonys IT-Security Software GesmbH Open for Business - Open to Attack? Walter Lender, Geschäftsführer, Visonys IT-Security Software GesmbH 2 Open for Business - Open to Attack? 75% aller Angriffe zielen auf Webanwendungen (Gartner, ISS)

Mehr

OWASP Top 10. Agenda. Application Security. Agenda. Application Security. OWASP Top Ten meets JSF. Application Security Komponente

OWASP Top 10. Agenda. Application Security. Agenda. Application Security. OWASP Top Ten meets JSF. Application Security Komponente Agenda OWASP Top 10 Andreas Hartmann Komponente Startup 04.04.2013 04.04.2013 2 OWASP Top 10 Agenda Komponente Startup Was ist umfasst alle Maßnahmen im Lebenszyklus von Software, die geeignet sind, sicherheitskritische

Mehr

Online-Portale 2.0: Security ist auch ein Web-Design-Thema

Online-Portale 2.0: Security ist auch ein Web-Design-Thema Online-Portale 2.0: Security ist auch ein Web-Design-Thema Dirk Reimers Bereichsleiter Pentest / Forensik secunet Security Networks AG +49 201 54 54-2023 dirk.reimers@secunet.com Vorstellung Dirk Reimers

Mehr

Datensicherheit im Family Office

Datensicherheit im Family Office Dipl.-Ing.(FH) Günther Orth enbiz gmbh, Kaiserslautern Datensicherheit im Family Office - vom systematischen Datendiebstahl bis zum zufälligen Vertwittern Wiesbaden, 27.04.2015 Agenda Zahlen und Fakten

Mehr

OCG IT-Security. OCG IT-Security 2.0. Lernzielkatalog. Syllabus Version

OCG IT-Security. OCG IT-Security 2.0. Lernzielkatalog. Syllabus Version OCG IT-Security OCG IT-Security Lernzielkatalog 2.0 Syllabus Version Österreichische Computer Gesellschaft Wollzeile 1-3, 1010 Wien Tel: + 43 1 512 02 35-0 Fax: + 43 1 512 02 35-9 E-Mail: ocg@ocg.at Web:

Mehr

OWASP Top 10 Wat nu? The OWASP Foundation http://www.owasp.org. OWASP Stammtisch. GUUG-Treffen. Dirk Wetter

OWASP Top 10 Wat nu? The OWASP Foundation http://www.owasp.org. OWASP Stammtisch. GUUG-Treffen. Dirk Wetter OWASP Top 10 Wat nu? Dirk Wetter OWASP Stammtisch GUUG-Treffen Dr. Wetter IT-Consulting & -Services mail bei drwetter punkt eu dirk punkt wetter bei owasp punkt org +49-(40)-2442035-1 Copyright The OWASP

Mehr

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Datensicherheit Vorlesung 7: 29.5.2015 Sommersemester 2015 h_da Heiko Weber, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie

Mehr

HISOLUTIONS - SCHWACHSTELLENREPORT

HISOLUTIONS - SCHWACHSTELLENREPORT HISOLUTIONS - SCHWACHSTELLENREPORT Eine Analyse der identifizierten Schwachstellen in Penetrationstests MOTIVATION HiSolutions führt jedes Jahr eine große Anzahl von unterschiedlichen Penetrations- und

Mehr

BSI IT-Grundschutztag, 13.06.2013, Regensburg 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.

BSI IT-Grundschutztag, 13.06.2013, Regensburg 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec. 1 BSI Grundschutzbaustein Webanwendungen Absicherung von Webanwendungen in der Praxis - Highlights aus den OWASP Top 10 Ralf Reinhardt 13.06.2013, 13:30 Uhr BSI IT-Grundschutztag Tagungs- und Besucherzentrum

Mehr

IT-Sicherheit auf dem Prüfstand Penetrationstest

IT-Sicherheit auf dem Prüfstand Penetrationstest IT-Sicherheit auf dem Prüfstand Penetrationstest Risiken erkennen und Sicherheitslücken schließen Zunehmende Angriffe aus dem Internet haben in den letzten Jahren das Thema IT-Sicherheit für Unternehmen

Mehr

Risikomanagement für IT-Netzwerke mit Medizinprodukten. FH-Prof. Dipl.-Ing. Alexander Mense, CISSP Ing. Franz Hoheiser-Pförtner, MSc, CISSP

Risikomanagement für IT-Netzwerke mit Medizinprodukten. FH-Prof. Dipl.-Ing. Alexander Mense, CISSP Ing. Franz Hoheiser-Pförtner, MSc, CISSP Risikomanagement für IT-Netzwerke mit Medizinprodukten FH-Prof. Dipl.-Ing. Alexander Mense, CISSP Ing. Franz Hoheiser-Pförtner, MSc, CISSP Agenda Ausgangssituation Herausforderungen Der erste Schritt als

Mehr

Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn

Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn Aktuelle Angriffstechniken auf Web-Applikationen Andreas Kurtz cirosec GmbH, Heilbronn Gliederung Schwachstellen-Überblick Präsentation aktueller Angriffstechniken XPath-Injection Cross-Site Request Forgery

Mehr

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In)Security - Themen Alte Freunde SQL Injections, Code Executions & Co. Cross Site Scripting Cross Site Scripting in der Praxis JavaScript

Mehr

isicore IDS/IPS auf Anwendungsebene Public IT Security 2012 Maxemilian Hilbrand

isicore IDS/IPS auf Anwendungsebene Public IT Security 2012 Maxemilian Hilbrand isicore IDS/IPS auf Anwendungsebene Public IT Security 2012 Maxemilian Hilbrand Vorstellung isicore isicore GmbH ist ein Softwarehaus mit Sitz in Wipperfürth (NRW) Entwicklung von systemnaher Software

Mehr

Datensicherheit. Vorlesung 5: 15.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 5: 15.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Datensicherheit Vorlesung 5: 15.5.2015 Sommersemester 2015 h_da, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie 4.

Mehr

Compliance oder wie wir lernten, unsere Logs zu lieben! Autor: Martin Grossberger, MSc

Compliance oder wie wir lernten, unsere Logs zu lieben! Autor: Martin Grossberger, MSc Compliance oder wie wir lernten, unsere Logs zu lieben! Autor: Martin Grossberger, MSc Die Herausforderung Unternehmen sind in der Pflicht, Log Informationen zu sammeln und zu analysieren, wenn Sie einen

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Sebastian Schinzel Virtual Forge GmbH University of Mannheim SAP in a Nutshell Weltweit führendes Unternehmen für

Mehr

BYOD RISIKEN + VORBEUGUNG

BYOD RISIKEN + VORBEUGUNG BYOD RISIKEN + VORBEUGUNG RA Dr. Markus Frank office@frank-law.at 1. DEFINITION BYOD Bring Your Own Device (kurz: BYOD) = Bring Dein Eigenes Arbeitsmittel Mitarbeiter nutzen private Lap Tops, Smart Phones,

Mehr

web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Montag, 14. Mai 12

web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Montag, 14. Mai 12 Hochschule Niederrhein University of Applied Sciences Elektrotechnik und Informatik Faculty of Electrical Engineering and Computer Science web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Inhalt

Mehr

SSL-Protokoll und Internet-Sicherheit

SSL-Protokoll und Internet-Sicherheit SSL-Protokoll und Internet-Sicherheit Christina Bräutigam Universität Dortmund 5. Dezember 2005 Übersicht 1 Einleitung 2 Allgemeines zu SSL 3 Einbindung in TCP/IP 4 SSL 3.0-Sicherheitsschicht über TCP

Mehr

Advanced Cyber Defense im Spannungsfeld zwischen Compliance und Wirksamkeit. Uwe Bernd-Striebeck RSA Security Summit München, 12.

Advanced Cyber Defense im Spannungsfeld zwischen Compliance und Wirksamkeit. Uwe Bernd-Striebeck RSA Security Summit München, 12. Advanced Cyber Defense im Spannungsfeld zwischen Compliance und Wirksamkeit Uwe Bernd-Striebeck RSA Security Summit München, 12. Mai 2014 Security Consulting Planung und Aufbau von Informationssicherheit

Mehr

IT kompetent & wirtschaftlich

IT kompetent & wirtschaftlich IT kompetent & wirtschaftlich 1 IT-Sicherheit und Datenschutz im Mittelstand Agenda: - Wieso IT-Sicherheit und Datenschutz? - Bedrohungen in Zeiten globaler Vernetzung und hoher Mobilität - Risikopotential

Mehr

Informationen schützen Ihr Geschäft absichern ConSecur GmbH www.consecur.de

Informationen schützen Ihr Geschäft absichern ConSecur GmbH www.consecur.de Informationen schützen Ihr Geschäft absichern Aktuelle Bedrohungen und wie man sie mindert. Matthias Rammes rammes@consecur.de ConSecur GmbH Schulze-Delitzsch-Str. 2 D-49716 Meppen Fon +49 5931 9224-0

Mehr

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 The OWASP Foundation http://www.owasp.org Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 Tobias Glemser tobias.glemser@owasp.org tglemser@tele-consulting.com Ralf Reinhardt

Mehr

HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH. Stefan Schlott @_skyr

HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH. Stefan Schlott @_skyr HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH Stefan Schlott @_skyr DIE OWASP TOP-10 Alpha und Omega der Security-Talks :-) TOP 10 VON 2013 1. Injection 2. Broken Authentication/Session Management

Mehr

LogApp Compliance oder wie wir lernten, unsere Logs zu lieben! Autor: Martin Grossberger, MSc

LogApp Compliance oder wie wir lernten, unsere Logs zu lieben! Autor: Martin Grossberger, MSc LogApp Compliance oder wie wir lernten, unsere Logs zu lieben! Autor: Martin Grossberger, MSc Die Herausforderung Unternehmen sind in der Pflicht, Log Informationen zu sammeln und zu analysieren, wenn

Mehr

Web Application {Security, Firewall}

Web Application {Security, Firewall} Web Application {Security, Firewall} Mirko Dziadzka mirko.dziadzka@gmail.com http://mirko.dziadzka.de 18.1.2011 / IEEE SB Passau Alle Abbildungen aus http://www.heise.de/newsticker/archiv/ Inhalt Kurze

Mehr

Georg Heß. Grünes Licht für verlässlichere Online- Services WEB APPLICATION SECURITY. Deutschland sicher im Netz e.v. Köln, 24.01.

Georg Heß. Grünes Licht für verlässlichere Online- Services WEB APPLICATION SECURITY. Deutschland sicher im Netz e.v. Köln, 24.01. Sicherheit von W eb- Applikationen Grünes Licht für verlässlichere Online- Services Deutschland sicher im Netz e.v. Köln, 24.01.2008 Georg Heß Agenda Kurzprofil der art of defence GmbH Sicherheitsleck

Mehr

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Dr. Marc Rennhard Institut für angewandte Informationstechnologie Zürcher Hochschule Winterthur marc.rennhard@zhwin.ch Angriffspunkt

Mehr

IS YOUR INFORMATION SECURE? Sichere und zuverlässige ICT. Unsere Erfahrung. Ihr Vorteil. SWISS CYBER SECURITY

IS YOUR INFORMATION SECURE? Sichere und zuverlässige ICT. Unsere Erfahrung. Ihr Vorteil. SWISS CYBER SECURITY IS YOUR INFORMATION SECURE? Sichere und zuverlässige ICT. Unsere Erfahrung. Ihr Vorteil. SWISS CYBER SECURITY Security Services Risiken erkennen und gezielt reduzieren Ein zuverlässiger Schutz Ihrer Werte

Mehr

Hacker-Methoden in der IT- Sicherheitsausbildung. Dr. Martin Mink

Hacker-Methoden in der IT- Sicherheitsausbildung. Dr. Martin Mink Hacker-Methoden in der IT- Sicherheitsausbildung Dr. Martin Mink Hacker-Angriffe 3.11.2010 Hacker-Methoden in der IT-Sicherheitsausbildung Dr. Martin Mink 2 Typische Angriffe auf Web- Anwendungen SQL Injection

Mehr

Webapplikationen wirklich sicher?! 10. Mai 2006 IT-TRENDS Sicherheit Zentrum für IT-Sicherheit, Bochum

Webapplikationen wirklich sicher?! 10. Mai 2006 IT-TRENDS Sicherheit Zentrum für IT-Sicherheit, Bochum Webapplikationen wirklich sicher? 10. Mai 2006 IT-TRENDS Sicherheit Zentrum für IT-Sicherheit, Bochum Die wachsende Bedrohung durch Web-Angriffen Test, durchgeführt von PSINet und Pansec 2 "dummy" Web-Sites

Mehr

Sicherheit mobiler Apps. Andreas Kurtz

Sicherheit mobiler Apps. Andreas Kurtz Sicherheit mobiler Apps Andreas Kurtz Agenda OWASP Mobile Security Project OWASP TOP 10 Mobile Risks Beispiele und Erfahrungen aus der Praxis Fokus auf Defizite bei Authentisierung/Autorisierung Zusammenfassung

Mehr

SWAT PRODUKTBROSCHÜRE

SWAT PRODUKTBROSCHÜRE SWAT PRODUKTBROSCHÜRE SICHERHEIT VON WEB APPLIKATIONEN Die Sicherheit von Web Applikationen stellte in den vergangenen Jahren eine große Herausforderung für Unternehmen dar, da nur wenige gute Lösungen

Mehr

Web Application Security mit phion airlock. Walter Egger Senior Sales Web Application Security

Web Application Security mit phion airlock. Walter Egger Senior Sales Web Application Security mit phion airlock Walter Egger Senior Sales phion AG 2009 history and background of airlock Entwicklungsbeginn im Jahr 1996 Im Rahmen einer der ersten e-banking Applikation (Credit Swisse) Übernahme der

Mehr

Sicherheit im IT - Netzwerk

Sicherheit im IT - Netzwerk OSKAR EMMENEGGER & SÖHNE AG IT - SERVICES Email mail@it-services.tv WWW http://www.it-services.tv Stöcklistrasse CH-7205 Zizers Telefon 081-307 22 02 Telefax 081-307 22 52 Kunden erwarten von ihrem Lösungsanbieter

Mehr

Security Information und Event Management (SIEM) erweiterte Sicherheitsanforderungen bei wachsender Datenflut

Security Information und Event Management (SIEM) erweiterte Sicherheitsanforderungen bei wachsender Datenflut TWINSOF T Security Information und Event Management (SIEM) erweiterte Sicherheitsanforderungen bei wachsender Datenflut 05.06.2013 GI Themenabend BIG DATA: Matthias Hesse, Twinsoft Ablauf 1. Wer ist denn

Mehr

DLP Data Loss / Leakage Prevention

DLP Data Loss / Leakage Prevention DLP Data Loss / Leakage Prevention An der Generalversammlung der vom Donnerstag 23. September 2010 in Zürich bei Google Erich Vogt, SignPool Group AG 1 Medienbruchfreie Abläufe elektronische Prozesse -

Mehr

Was nicht erlaubt ist, ist verboten

Was nicht erlaubt ist, ist verboten Was nicht erlaubt ist, ist verboten E-Government-Initiativen und Investitionen in Netzwerktechnologie setzen das Thema IT-Sicherheit ganz oben auf die Agenda der öffentlichen Verwaltung. Moderne Informationstechnologie

Mehr

Secure Sockets Layer (SSL) Prof. Dr. P. Trommler

Secure Sockets Layer (SSL) Prof. Dr. P. Trommler Secure Sockets Layer (SSL) Prof. Dr. P. Trommler Übersicht Internetsicherheit Protokoll Sitzungen Schlüssel und Algorithmen vereinbaren Exportversionen Public Keys Protokollnachrichten 29.10.2003 Prof.

Mehr

IT-Sicherheit. Abteilung IT/2 Informationstechnologie. Dr. Robert Kristöfl. 3. Dezember 2010

IT-Sicherheit. Abteilung IT/2 Informationstechnologie. Dr. Robert Kristöfl. 3. Dezember 2010 IT-Sicherheit Abteilung IT/2 Informationstechnologie Dr. Robert Kristöfl 1 3. Dezember 2010 Begriffsdefinitionen Safety / Funktionssicherheit: stellt sicher, dass sich ein IT-System konform zur erwarteten

Mehr

Softwaresicherheit. Sicherheitsschwachstellen im größeren Kontext. Ulrich Bayer

Softwaresicherheit. Sicherheitsschwachstellen im größeren Kontext. Ulrich Bayer Softwaresicherheit Sicherheitsschwachstellen im größeren Kontext Ulrich Bayer Conect Informunity, 30.1.2013 2 Begriffe - Softwaresicherheit Agenda 1. Einführung Softwaresicherheit 1. Begrifflichkeiten

Mehr

Software unsicher entwickeln in sieben Schritten Markus Wutzke, 26.01.2011 wutzke@secaron.de

Software unsicher entwickeln in sieben Schritten Markus Wutzke, 26.01.2011 wutzke@secaron.de Software unsicher entwickeln in sieben Schritten Markus Wutzke, 26.01.2011 wutzke@secaron.de Vorstellung Markus Wutzke Senior Consultant Secaron AG Certified Secure Software Lifecycle Professional (CSSLP

Mehr

Informations- / IT-Sicherheit Standards

Informations- / IT-Sicherheit Standards Ziele Informations- / IT-Sicherheit Standards Überblick über Ziele, Anforderungen, Nutzen Ingrid Dubois Grundlage zuverlässiger Geschäftsprozesse Informationssicherheit Motivation Angemessenen Schutz für

Mehr

Hacking & Computerstrafrecht. lukas.feiler@lukasfeiler.com http://teaching.lukasfeiler.com

Hacking & Computerstrafrecht. lukas.feiler@lukasfeiler.com http://teaching.lukasfeiler.com Hacking & Computerstrafrecht lukas.feiler@lukasfeiler.com http://teaching.lukasfeiler.com Was tun? - Zivilrechtlicher Anspruch auf Schadenersatz (Prozessrisiko!) - Strafanzeige (Anschluss als Privatbeteiligter)

Mehr

Intrusion Detection / Intrusion Prevention. Technologie zwischen Anspruch und Wirklichkeit

Intrusion Detection / Intrusion Prevention. Technologie zwischen Anspruch und Wirklichkeit Intrusion Detection / Intrusion Prevention Technologie zwischen Anspruch und Wirklichkeit IDS Bisher Zwei Bereiche Netzwerk basiert Host basiert Erkennung von Angriffen aufgrund von Mustern / Signaturen

Mehr

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen. OWASP Nürnberg, 13.10.09

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen. OWASP Nürnberg, 13.10.09 AppSec Germany 2009 AppSec Germany 2009 Conference http://www.owasp.org/index.php/germany Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Nürnberg, 13.10.09 Sebastian

Mehr

ESA SECURITY MANAGER. Whitepaper zur Dokumentation der Funktionsweise

ESA SECURITY MANAGER. Whitepaper zur Dokumentation der Funktionsweise ESA SECURITY MANAGER Whitepaper zur Dokumentation der Funktionsweise INHALTSVERZEICHNIS 1 Einführung... 3 1.1 Motivation für den ESA Security Manager... 3 1.2 Voraussetzungen... 3 1.3 Zielgruppe... 3 2

Mehr

Security Breaches: Rechtliche Maßnahmen vor und nach dem Ernstfall

Security Breaches: Rechtliche Maßnahmen vor und nach dem Ernstfall Security Breaches: Rechtliche Maßnahmen vor und nach dem Ernstfall Dr. Lukas Feiler, SSCP Associate, Wolf Theiss Rechtsanwälte GmbH Security Breaches: Rechtliche Maßnahmen vor und nach dem Ernstfall, Symposium

Mehr

Sicherheit in der SW-Entwicklung und beim Betrieb einer Identity und Access Management Lösung

Sicherheit in der SW-Entwicklung und beim Betrieb einer Identity und Access Management Lösung Sicherheit in der SW-Entwicklung und beim Betrieb einer Identity und Access Management Lösung Best Practice Standardportal Bundesministerium für Inneres und Land-, forst- und wasserwirtschaftliches Rechenzentrum

Mehr

IT-Sicherheit Kapitel 11 SSL/TLS

IT-Sicherheit Kapitel 11 SSL/TLS IT-Sicherheit Kapitel 11 SSL/TLS Dr. Christian Rathgeb Sommersemester 2014 1 Einführung SSL/TLS im TCP/IP-Stack: SSL/TLS bietet (1) Server-Authentifizierung oder Server und Client- Authentifizierung (2)

Mehr

Markus Dopler Rainer Ruprechtsberger. Security und Trust Aspekte in Service-Orientierten Web-Applikationen

Markus Dopler Rainer Ruprechtsberger. Security und Trust Aspekte in Service-Orientierten Web-Applikationen Markus Dopler Rainer Ruprechtsberger Security und Trust Aspekte in Service-Orientierten Web-Applikationen SOSE: Vision Automatische Auswahl und Integration von angebotenen Services Inhalt Beispiel SOA

Mehr

PCI Security Scan. Beweisen Sie Ihre Sicherheit! Ihre Vorteile auf einen Blick:

PCI Security Scan. Beweisen Sie Ihre Sicherheit! Ihre Vorteile auf einen Blick: Beweisen Sie Ihre Sicherheit! Unser Security Scan ist eine Sicherheitsmaßnahme, die sich auszahlt. Systeme ändern sich ständig. Selbst Spezialisten kennen nicht alle Schwachstellen im Detail. Der PCI Scan

Mehr

Inhaltsverzeichnis. Web Hacking

Inhaltsverzeichnis. Web Hacking Inhaltsverzeichnis zu Web Hacking von Manuel Ziegler ISBN (Buch): 978-3-446-44017-3 ISBN (E-Book): 978-3-446-44112-5 Weitere Informationen und Bestellungen unter http://www.hanser-fachbuch.de/978-3-446-44017-3

Mehr

Gerd Armbruster Gerd.Armbruster@GMX.De

Gerd Armbruster Gerd.Armbruster@GMX.De Viren, Trojaner & Hacker - so schützen Sie Ihren PC Gerd Armbruster Gerd.Armbruster@GMX.De 100 Mio Sony Kunden gehackt Aktuell Alles 2011 Immer noch 2011 Geschäftsmodell Agenda! Sicherheit im Internet!

Mehr

IT-Sicherheit im Fakultätsnetz

IT-Sicherheit im Fakultätsnetz IT-Sicherheit im Fakultätsnetz 16.12.2013 Falk Husemann, IRB -1- IT-Sicherheit im Fakultätsnetz Sicherheitsmaßnahmen seit Existenz Seit 2011 eigenes Projekt Secops Unterstützung des operativen Betriebs

Mehr

State of the Art in Network-Related Extrusion Prevention Systems. Andreas Hackl, Barbara Hauer

State of the Art in Network-Related Extrusion Prevention Systems. Andreas Hackl, Barbara Hauer State of the Art in Network-Related Extrusion Prevention Systems Andreas Hackl, Barbara Hauer Übersicht Extrusion Prevention Systems Network-Related Extrusion Prevention Systems Schwachstellen Zusammenfassung

Mehr

HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE. Münchener Open-Source-Treffen, Florian Maier, 23.05.2014

HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE. Münchener Open-Source-Treffen, Florian Maier, 23.05.2014 HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE Münchener Open-Source-Treffen, Florian Maier, 23.05.2014 ÜBER MICH 34 Jahre, verheiratet Open Source Enthusiast seit 1997 Beruflich seit 2001 Sicherheit,

Mehr

Unified Threat Management als Ersatz für das Microsoft TMG/IAG

Unified Threat Management als Ersatz für das Microsoft TMG/IAG Unified Threat Management als Ersatz für das Microsoft TMG/IAG Infotag 19.09.2013 Daniel Becker Microsoft TMG/IAG Einsatzzwecke Firewall Proxyserver AntiSpam Gateway Veröffentlichung von Webdiensten Seit

Mehr

PKI im Cyberwar. Nutzen, Angriffe, Absicherung. Dr. Gunnar Jacobson. 2015 PKI im Cyberwar

PKI im Cyberwar. Nutzen, Angriffe, Absicherung. Dr. Gunnar Jacobson. 2015 PKI im Cyberwar PKI im Cyberwar Nutzen, Angriffe, Absicherung Dr. Gunnar Jacobson 1 Cyberwar Anti virus 2 Der SONY-Hack Hackerangriff könnte Sony hunderte Millionen Dollar kosten. unverschlüsselte E-Mails Passwörter im

Mehr

SICHERE INTEGRATION VON APPLE MOBILE DEVICES IN UNTERNEHMENSNETZWERKE

SICHERE INTEGRATION VON APPLE MOBILE DEVICES IN UNTERNEHMENSNETZWERKE Ihr starker IT-Partner. Heute und morgen SICHERE INTEGRATION VON APPLE MOBILE DEVICES IN UNTERNEHMENSNETZWERKE Bechtle Secure Mobility Solution(SMS) Charles Kionga, Leitung Bechtle Internet Security &

Mehr

BYOD und ISO 27001. Sascha Todt. Bremen, 23.11.2012

BYOD und ISO 27001. Sascha Todt. Bremen, 23.11.2012 BYOD und ISO 27001 Sascha Todt Bremen, 23.11.2012 Inhalt Definition BYOD Einige Zahlen zu BYOD ISO 27001 Fazit Planung & Konzeption Assets Bedrohungen/Risiken Maßahmen(ziele) BYOD Definition (Bring Your

Mehr

Keynote. SSL verstehen. Prof. Dr. Peter Heinzmann

Keynote. SSL verstehen. Prof. Dr. Peter Heinzmann ASec IT Solutions AG "Secure SSL" Tagung 9. September 2005, Hotel Mövenpick Glattbrugg Keynote SSL verstehen Prof. Dr. Peter Heinzmann Institut für Internet-Technologien und Anwendungen, HSR Hochschule

Mehr

Securepoint Security Solutions 2013. Presented by

Securepoint Security Solutions 2013. Presented by Securepoint Security Solutions 2013 Presented by Suchmaschinenoptimierung Deutsches Unternehmen Mehr als 15 Jahre IT-Security-Erfahrung: gegründet 1997 Hauptsitz Lüneburg 65 hochqualifizierte Mitarbeiter

Mehr

Angreifbarkeit von Webapplikationen

Angreifbarkeit von Webapplikationen Vortrag über die Risiken und möglichen Sicherheitslücken bei der Entwicklung datenbankgestützter, dynamischer Webseiten Gliederung: Einführung technische Grundlagen Strafbarkeit im Sinne des StGB populäre

Mehr

Rolle eines Threat Management Centers im Rahmen des Risikomanagements nach ISO 27001

Rolle eines Threat Management Centers im Rahmen des Risikomanagements nach ISO 27001 Rolle eines Threat Management Centers im Rahmen des Risikomanagements nach ISO 27001 Aleksei Resetko, CISA, CISSP Security Global Competence Center 18.02.2009 Agenda 1.! ISO 27001 Überblick 2.! Anforderungen

Mehr