Roadshow Die Hacker kommen

Transkript

1 Roadshow Die Hacker kommen Tatsachen Techniken Tipps Ralf Wildvang, Thomas Pusch, Peter Becker

2 Vorstellung Ralf Wildvang Senior Berater ML Consulting Berater und Trainer in der Kampagne Sicher gewinnt Trainer für IT und Informationssicherheit Ausbilder IT SiBöV Thomas Pusch Studium der Informatik Berater ML Consulting Berater und Trainer in der Kampagne Sicher gewinnt Trainer für technische Informationssicherheit Peter Becker MA Phil. Berater ML Consulting Berater und Trainer in der Kampagne Sicher gewinnt Trainer für IT und Informationssicherheit ML Consulting Leistungen Training Konzeption Trainingsorganisation Bildungsmedien Managed Training Services (MTS) ERP-Projekte Bildungskonzeption Change Management Bildungsmedien Prozessorientiertes Training Serviceanalyse & -qualifizierung Ganzheitlicher Ansatz Modulares Konzept Analyse und Bewertung Qualifizierungsprojekte Compliance & Informationssicherheit Individuelle Konzepte Bildungsmedien Sensibilisierung Qualifizierung IT Support Anwenderunterstützung First-,Second-,Third- Level-Support Rollout und Support

3 Agenda s, Trojaner und Online-Banking Gefahren bei der Internetnutzung Mobilität mit Tücken Passwörter Angriffsziel Mensch 3

4 4

5 Augsburger Allgemeine Zeitung, Bild.de

6

7 Tatsachen Faz.net,

8 Der NSA-Skandal und das PRISM-Programm 8

9 Anatomie eines Angriffs Der -Angriff und Phishing Das Opfer erhält eine mit gefährlichem Inhalt 9

10 Gefährdungen der Informationssicherheit Aktuelle Phishing Mails werden immer besser:

11 Tipps: Vorsicht vor unbekannten Absendern Aufmerksam sein im Zweifel Rückruf Einsatz von digitalen Signaturen Vorsicht vor Anhängen insbesondere in s unbekannter Absender derzeit in Mode sind *.ZIP - Dateien Vorsicht vor HTML- s ermöglichen z. B. eine Verschleierung von Links 11

12 Online-Banking praktisch und sicher?

13 Tipps: Phishing / Pharming Für Hacker sind folgende Informationen interessant Seiten mit Zugangsdaten (z.b. Outlook Web Access) Informationen zum Identitätsdiebstahl ( , Sociale Netzwerke) Seiten bei denen es uns ums Geld geht Vorteil beim Online-Banking: Nutzung sichererer TAN- Verfahren 13

14 Tipps: Anti-Malwareprogramm Prüfung von Dateien vollautomatisch im Hintergrund Neue Dateien Neue Datenträger Bieten auch einen manuellen Scan von Dateien und Verzeichnissen Nutzung im Zweifelsfall bei einzelnen Dateien Eine vollständige Prüfung kann evtl. vor schlummernder Schadsoftware schützen Nicht ausgeführt aber zuvor nicht erkannt 14

15 Tipps: Firewall Schützt vor direkten Angriffen von außen z.b. Bestandteil von DSL-Routern Personal Firewall Software auf dem PC selbst Windows 7: Windows Firewall bietet ausreichenden Schutz Zusätzlicher Schutz vor gesprächigen Programmen In fremden Netzwerken (WLANs) dringend empfohlen Windows Firewall vs. Drittanbieter 15

16 Tipps: Reaktion auf Sicherheitsvorfälle (1) Ruhe bewahren und nicht unüberlegt handeln (2) Unverzüglich melden an dezentralen Sicherheitsverantwortlichen (3) Maßnahmen nur nach Aufforderung durchführen (4) Begleitumstände ungeschönt und offen melden (5) Erste persönliche Einschätzung über Schadensauswirkung abgeben (6) Keine Informationen unautorisiert an Dritte weitergeben (7) Weitere Maßnahmen gemäß Richtlinien zu Behandlung von Sicherheitsvorfällen beachten 16

17 Gefahren bei der Internetnutzung

18 Tatsachen Deutschland ist Europameister bei der Zahl der Online-Verbrechen Deutschland ist Europameister bei der Zahl der Phishing-Angriffe Deutschland ist Vizemeister bei der Zahl der Web-basierten Angriffe Symantec Internet Security Threat Report 17 Deutschland ist Vizemeister bei der Zahl der infizierten Computer 18

19 Tatsachen - Gefährliche Webseiten TOP-10 Symantec Internet Security Threat Report 17 19,8%: Blogs/Web-Kommunikation 15,6%: Persönliche Webseiten 10,0%: Unternehmens-Auftritte 7,7%: Shopping 6,9%: Aus- und Weiterbildung 6,9%: Technologie-Webseiten 3,8%: Unterhaltung (Musik, ) 3,8%: Auto 2,7%: Gesundheit 2,4%: Pornographie! 19

20 Anatomie eines Angriffs Surfen im Internet Das Opfer im Internet 20

21 Techniken: Drive-by-Download Drive-by Angriffe werden automatisiert gestartet durch den Aufruf der Seite, oder wenn der Mauszeiger über den entsprechenden Inhalt fährt Sie sind deshalb nur schwer abzuwehren 21

22 Techniken: Webseiten-Manipulation Platzierung von gefährlichen Inhalten durch Dritte Links auf Angriffswebseiten Manipulierte Bilder Manipulierte Videos Manipulierte Dokumente (PDFs, Word, ) Möglich über Sicherheitslücken auf Webseiten Nutzer-generierter Inhalt (Web2.0) 22

23 Techniken: Cross-site-scripting (XSS) security/ meldung/heise- Leser-entdeckt- Sicherheitslueck en-auf-150- Webseiten html 23

24 Tipps: Updates

25 Tipps: Aktive Inhalte Nur auf vertrauenswürdigen Webseiten zulassen z.b. NoScript für Firefox leider aufwändig Deaktivieren falls nicht benötigt z.b. das kaum genutzte Java-Plugin Regelmäßige Aktualitäts-Prüfung der Erweiterungen Heise Browsercheck oder browsereigene Funktionen Manche Browser deaktivieren unsichere Erweiterungen 25

26 Mobilität mit Tücken

27 Tatsachen Quelle: Quelle: Penomen Institue, Computer Security Group, Gartner Group, High Bream Research, UK Home Office, Check Point Tatsachen 2008/ : Über 1 Million Computer gingen 2009 auf Flughäfen der ganzen Welt verloren oder wurden gestohlen. Mehr als Laptops auf US-Flughäfen pro Woche als abhanden gekommen oder gestohlen gemeldet. Verlust in Londoner Taxis innerhalb von sechs Monaten: Mobiltelefone, Handhelds, Notebooks und 900 USB Sticks. Über 53% aller reisenden Geschäftsleute geben an: Ihre Laptops enthalten vertrauliche Informationen. 65% dieser Reisenden geben zu, nicht alle Maßnahmen zu ergreifen, um diese Informationen zu schützen oder zu sichern. 27

28 Tatsachen Quelle: sspiegel. de/berlin/ brandenb urg/ rockerverwerten -datenvonspeersgeklaute m-laptop/ h tml 28

29 Und jetzt erstmal ins W-LAN

30 30

31 31

32 32

33 Gefährliche USB-Geräte 33

34 Gefährliche USB-Geräte 34

35 Legale Schadsoftware?

36 Und wie funktionierts? Installation Durch Dritte direkt auf dem Telefon Physischer Zugriff notwendig Verhalten wie Trojanische Pferde Verstecken sich nach der Installation erlauben das Abhören und Aufzeichnen von Gesprächen sowie das Auslesen von Daten ( s, SMS, Dateien, ) Legal erhältliche Programme zur Überwachung Der legalen Nutzung sind enge Grenzen gesetzt 36

37 Echte Schadsoftware Bisher: Flexispy und die Alternativen Müssen noch per Hand aufgespielt werden Angreiferkreis ist deshalb begrenzt Heute/Zukunft: Schadsoftware über das Internet Infizierte Apps in den App-Stores Bisher überwiegend betroffen: Android Klassische Angriffswege: Webseiten und s Bisher nur in Machbarkeitsstudien 37

38 Tipps: Smartphones 38

39 Tipps: Smartphones (1) Geräte nicht aus der Hand geben (2) Korrekter Umgang mit Apps Minimal-Prinzip: Je weniger Apps desto besser Keine Apps aus Fremdquellen Auf Zugriffs-Rechte achten (3) Geräte mit Passwort vor Zugriff schützen 4-stellige Zahlen-PINs sind nicht ausreichend (4) Schutzsoftware, falls verfügbar (5) Kein Jailbreak/Root 39

40 Tipps: WLAN Fremde Hotspots nur mit Vorsicht nutzen Keine sensiblen Daten übermitteln Verschlüsselung einsetzen (https) falls möglich Firefox: HTTPS everywhere Für die Profis: VPN PC: Firewall, Virenscanner, Updates Smartphones: Falls möglich UMTS nutzen Nicht alle Apps übertragen ihre Daten verschlüsselt (https) Automatischen Verbindungsaufbau zu offenen Hotspots deaktivieren 40

41 Tipps: Mobiles Arbeiten (1) Management mobiler Geräte einrichten gestohlene oder verloren gegangene Geräte aus der Ferne sperren und wichtige Daten löschen (2) Festplattenverschlüsselung und VPN Schutz vor Diebstahl/Verlust Sichere Kommunikation (3) Die private Nutzung von Geräten sollte geregelt sein 41

42 Tipps Problem: Arbeiten an öffentlichen Plätzen (Bahn, Flug etc.) Seitenblick Punktuelle Fotoaufnahmen (z. B. Foto-Handy) Filmen (z. B. Handy; ideal für Login-Prozeduren) Problem: Arbeiten mit dem (Mobil-)Telefon Telefonieren kann viele Zuhörer haben (offensichtliche und versteckte) Bei Einreise in fremde Länder können mobile Datenträger beschlagnahmt oder die Entschlüsselung verschlüsselter Daten gefordert werden 42

43 43

44 Passwörter

45 Tatsachen Quelle: e.de/ thema/ Passw %C3%B 6rter! 45

46 Passwort Top 50 (englischsprachig) Top 1-10 Top Top Top Top letmein 6969 batman hockey password baseball jordan trustno1 killer master harley thomas george 1234 michael ranger tigger sexy pussy football iwantu robert andrew shadow jennifer access charlie dragon monkey hunter love superman qwerty abc123 fuck buster asshole pass fuckyou mustang fuckme test soccer dallas

47 Häufige Angriffe auf Passwörter Brute-Force-Angriff Durchprobieren aller möglichen Kombinationen von Buchstaben, Ziffern und Sonderzeichen Wörterbuch-Angriff Durchprobieren eines definierten Wörterbuchs Herkömmliche Wörterbücher Bekannte Passwörter Beliebte Passwort-Variationen Viele Dienste versuchen sich vor solchen Angriffen zu schützen Begrenzung der fehlerhaften Anmeldevorgänge

48 Alternative Angriffe Alternativer Ansatz Ein beliebtes Passwort bei möglichst vielen Konten testen Nur ein Versuch pro Konto à Keine Begrenzung Kombination mit einem Botnetz sehr effektiv 1000 PCs probieren je ein anderes Passwort an beliebig vielen Konten Beispiel: GMX (Juli 2012) 48

49 Passwortkomplexität Quelle: online/ htm Passwortlänge Alphabet: 84 Zeichen 4 5 ms ms 6 39 sek min. 8 3 Tage 9 8 Monate Jahre Jahre 12 0,4 Mio. Jahre Mio. Jahre t(max) 9 Mrd. Hashes/s (NTLM) 14 3,1 Mrd. Jahre Zahlen gültig für NTLM- Hashwerte. 49

50 Übliche Fehler Zu kurz Je kürzer, desto unsicherer Zu einfach Bekannte Wörter Simple Kombinationen (z. B. Sommer12) Weitergabe Absichtlich: An Freunde und Arbeitskollegen Unabsichtlich: Eingabe auf fremden, infizierten Computern Mehrfachverwendung Wirkt wie ein Generalschlüssel 50

51 Tipps: Das sichere Passwort Wie baue ich ein gutes Passwort Lang (mehr als 10 Stellen) Groß- und Kleinschreibung Ziffern verwenden Sonderzeichen verwenden Sinnfreie Zusammensetzung Geheim ist ein schlechtes Passwort Hier ein gutes: MFhidMi24.G! Und hier die Passwortregel: Meine Freundin hat in diesem Monat ihren 24. Geburtstag!

52 Angriffsziel Mensch

53 Tatsachen Vorgehensweise eines Social Engineers Vortäuschen falscher Tatsachen Wie ein Schauspieler wird ein Social Engineer zu einer Person und spielt sie nicht nur Es geht um die Schaffung eines erfundenen aber glaubwürdigen Szenarios Die Qualität definiert sich über die gesammelten Informationen Je mehr desto besser und je relevanter desto erfolgreicher spielt er seine Rolle

54 Tatsachen Methoden des Social Engineering Reziprozität Das Leben ist ein Geben und Nehmen Verpflichtung Mentale Verträge Knappheit Das darf ich eigentlich nicht... Social Proof Das haben Ihre Kollegen bereits... Zugeständnis Verlange viel und dann... Hilfsbereitschaft nutzen oder anbieten

55 Tatsachen Willst Du mein Freund sein? Robin Sage, 25 Jahre alt, Absolventin der Technischen Hochschule in Massachusetts, Analystin für Cybersicherheit der US- Marine zehn Jahre Berufserfahrung Quelle Bild:

56 Soziale Netze (2b) Sage ist eine Kunstfigur ca. 300 hochrangige Militärs, Industrielle und Politiker Soldat gab militärische Geheimdokumente weiter Stabschef eines Parlamentariers, Informationsdirektor der Marine und Mitarbeiter der NSA Sage-Bilder stammen einer Partnerbörse Quelle Bild:

57 Soziale Netze (2b) 57

58 Tipps: Soziale Netzwerke (1) Datensparsamkeit Je weniger Informationen Sie preisgeben, desto weniger Angriffsfläche. Dass Netz vergisst nicht! (2) Informationstrennung (beruflich/privat) Berufliche Informationen gehören nicht in privat genutzte Soziale Netzwerke. (3)Privatsphärenschutz (schützen) Regelmäßige Änderung der AGBs bedeutet auch regelmäßige Überprüfung der Profil-Einstellungen. 58

59 Tipps: Social Engineering (1) In der Öffentlichkeit Keine vertraulichen Gespräche (2) Identitätsprüfung Prüfen Sie die Identität Ihres Gegenübers 59

60 FAZIT 60

61 Fazit: Sie legen die Angriffsschwelle fest Quelle: Microsoft- Analyse zur IT- Sicherheit Ausgabe 11, S

62 Informieren Bundesamt für Sicherheit in der Informationstechnik (BSI) Newsletter Sicher Informiert à BAKöV à Deutschland sicher im Netz à Marktplatz IT-Sicherheit à

63 Vielen Dank! Wildvang, Pusch, Rast 63