Schon mal gehackt worden? Und wenn nein woher wissen Sie das?

Transkript

1 Andreas Tomek CISSP,CISA,MCSE,MCITP,CPTS, CISA MCITP CPTS AMBCI Security Research Sicherheitsforschung GmbH yresearch.at Schon mal gehackt worden? Und wenn nein woher wissen Sie das? DI Mag. Andreas Tomek Security Research Sicherheitsforschung GmbH

2 Agenda yresearch.at Häufige Sicherheitslücken in der Praxis Zusammenspiel Mensch & Technik Demos die täglich in Ihren Unternehmen passieren könnten Top Schwachstellen aus organisatorischen und technischen Audits Empfehlungen & Regeln für mehr Sicherheit in Ihrem Unternehmen

3 yresearch.at Demo Physische Attacke auf einen PC Mit und Ohne Benutzerinteraktion t

4 Fazit Demo 1 yresearch.at Physischer Zugriff auf einen Rechner erlaubt jede Art der Manipulation Physischer Zugriff auf ungeschützte Festplatten gibt alle Daten inkl. Passwörter frei (gilt auch für einsame Filialserver.)

5 yresearch.at Demo Sicherheitslücken ausnutzen

6 Sicherheitsupdates 2008 yresearch.at Microsoft Windows 11 Mozilla Firefox 6 Microsoft Office 6 Apple Quicktime 6 Apple MacOSx 6 Opera Browser 4 Sun Java 3 Apple Safari 3 Adobe Acrobat Reader 3 VLC MediaPlayer 2 Adobe FlashPlayer 2 Anzahl der Warnungen 2008 unabhängig von der Anzahl der Patches Quelle

7 Fazit Demo 2 Nicht nur Microsoft hat yresearch.at Sicherheitslücken h i Alle Schwachstellen müssen gepatched werden

8 yresearch.at Demo Aber mein Virenschutz!

9 Scanstatistik yresearch.at

10 Scanstatistik mit ASPack um 29 yresearch.at

11 Virus Total yresearch.at

12 Virus Total Beispiel 1 yresearch.at

13 Virus Total Beispiel 2 yresearch.at

14 Virus Total Beispiel 3 yresearch.at

15 Fazit Demo 3 yresearch.at Virenscanner sind wichtig, können jedoch gezielt umgangen werden Umso wichtiger ist bei der Umsetzung von Informationssicherheit das Zwiebelprinzip

16 yresearch.at Demo Hacken ist nur für Experten!

17 Demo 4: Metasploit yresearch.at

18 Demo 4: Metasploit yresearch.at

19 Demo 4: Metasploit yresearch.at

20 Demo 4: Metasploit yresearch.at

21 Demo 4: Metasploit yresearch.at

22 Demo : Metasploit yresearch.at

23 Fazit Demo 4 yresearch.at Standard-Hacking Tools sind frei verfügbar und leicht einzusetzen Eine gute Abschottung gegen bekannte Schwachstellen ist unumgäglich Es braucht keinen Experten, um Schaden anzurichten, jedoch einen, um Schaden zu verhindern

24 Top 10 Lücken bei technischen Audits Usernamen und Gruppen (anonym) aus dem Active Directory auslesbar yresearch.at Zu viele Domain Admins v.a. Service Accounts mit Trivialpasswörtern Keine/Schlechte Passwörter und Passwort Policies sowie Protokollierung Rückwärtskompatible/Default Passworthashes und Sicherheitsoptionen Services unter Local System bzw. hohen h Rechten (v.a. Datenbanken)

25 Top 10 Lücken bei technischen Audits Unverschlüsselte Speicherung sensibler Daten (Passworthashes, Private Keys, Personen und Kreditkartendaten, usw.) yresearch.at Patch Management aller Systeme, Server & Applikationen Vertrauen in bewährte Netzwerkbasisdienste (DNS, DHCP, ARP) Ungeschützte (eigenentwickelte) Webapplikationen und Services Schlechte Firewall Regeln (Proxy, usw.) & Netzwerk Segmentierung

26 Top 5 Lücken bei org. Audits Fehlende Security Awareness bei Top Management, User und auch Administratoren yresearch.at Kein SW & HW Inventory, keine gesicherten Konfigurationen, Change- Management & Prozesse fehlerbehaftet Fehlende Verantwortlichkeiten für Systeme und Applikationen Fehlendes oder unvollständiges Security Management Schlechter Security Ausbildungsstand bei den Technikern um Systeme adäquat schützen zu können

27 Regeln für Ihre Sicherheit Patch everything Standardisieren, Zentralisieren, Modernisieren yresearch.at Netzwerke segmentieren und absichern Serverrollen klar definieren / Server Hardening Festplatten verschlüsseln Least Privilege bei Usern

28 Questions & Answers yresearch.at Vielen Dank für Ihre Aufmerksamkeit! Es würde uns freuen Sie für ein vertiefendes Gespräch bei unserem Stand begrüßen zu dürfen!