Bei der Entwicklung einer Software stehen meist funktionale Anforderung im Fokus, um den ermittelten Bedarf schnellstmöglich erfüllen zu können. Erst nachrangig (oder auch gar nicht) werden Sicherheitsaspekte betrachtet, deren Umsetzung dann nicht nur ressourcen-, sondern auch kostenintensiv werden kann.
Unser Sicherheitsexperte zeigt, wie man Sicherheitsaspekte von Beginn an mitdenken kann.
Anordnungen von britischen Behörden können auch global Auwirkungen auf die Sicherheit von IT-Systemen haben. Denn einen sicheren Generalschlüssel, den wirklich nur die Guten nutzen können gibt es nicht.
Windows Domänen lassen sich durch Vertrauensstellungen zusammenbringen. Wird der Zugriff nur in eine Richtung benötigt kann man das Vertrauen auch nur einseitig aussprechen – aber sind damit Angriffe in die andere Richtung ausgeschlossen? Leider nicht, denn es gibt Wege um das Vertrauen entgegen der „Direction of Access“ auszunutzen. Das Problem ist schon länger bekannt und die Ausnutzung ist fester Bestandteil von einigen Pentest-Tools. Wir stellen aber immer wieder fest, das erfahrene Windows-Administratoren überrascht sind, wenn wir diesen Angriffsweg in Pentests nachweisen.
Anfang des Juni kam es zu einer Reihe von Vorfällen bei bekannten Einzelhandelsunternehmen aus UK. Co-op Group, Marks and Spencer und Harrods berichteten von Angriffen. Besonders spannend an den Vorfällen sind die verschiedenen Vorgehensweisen, wie die Unternehmen einerseits technisch reagieren, aber insbesondere auch die Krisenkommunikation vornehmen.
Nachtrag (2025-05-16): Nach Hinweisen einiger Lesender haben wir die Definition von Zero-Days am Anfang des Artikels angepasst. Vorher benannten wir Zero-Days als „Lücken, die am heutigen Tage bekannt werden“. Dies sorgte daraufhin intern für eine (akademische) Diskussion zu dem Thema, die allerdings am Ziel des Beitrages vorbei ging. Insbesondere war dies verwirrend im Kontext des referenzierten Beitrages der GTIG, deren Definition wir in der aktuellen Version übernommen haben. Vielen Dank für die Hinweise! Sicherheitslücken ohne verfügbaren Patch oder Mitigation, die […]
CVE ist für viele zum Synonym für “Sicherheitslücke” geworden. Daher war der Schreck groß, als vor Ostern ein Finanzierungsstopp für das CVE-Programms im Raum stand. Viele bereits bestehende und neu erdachte Ideen für Alternativen wurden deshalb lebhaft diskutiert. Inzwischen steht die Finanzierung wieder, aber erstmal nur für ein Jahr. Daher schauen wir uns mit etwas Abstand noch einmal die diskutierten Alternativen an. Wir gleichen sie mit typischen Anwendungsfällen bei uns sowie bei unseren Kunden ab und überlegen, was man vorbereiten kann, falls in einem Jahr das CVE-Programm erneut in Frage gestellt wird.
The „Contagious Interview“ campaign to steal crypto currencies is still going on. We share our analysis of a comprehensive sample of the Tsunami framework used by the Lazarus group together with Yara rules and IoC to help detecting it.
Die sogenannte Signal-Affäre hat in den letzten Wochen für erhebliche Aufregung in Washington gesorgt. Ein angesehener US-Journalist, Jeffrey Goldberg, wurde versehentlich in einen vertraulichen Signal-Chat der US-Regierung eingeladen, in dem hochrangige Regierungsvertreter militärische Operationen im Jemen diskutierten. Die Frage, die sich in diesem Zusammenhang stellt, ist, wie es zu diesem sicherheitsrelevanten Fauxpas kommen konnte. Wir können guten Gewissens ausschließen, dass es sich um einen Hack oder eine schadhafte Funktion in der Signal-App gehandelt hat, wie es von Seiten der amerikanischen […]
Es lässt sich eine signifikant zunehmende Verwendung von KI-Agenten in verschiedenen Bereichen zur Automatisierung von Aufgaben und zur Unterstützung bei Entscheidungsprozessen beobachten (i. d. R. mit Large Language Models – LLM). Die Kompetenz, diese KI-Systeme effektiv zu nutzen und zu steuern, gewinnt damit an Bedeutung.
Doch wie sicher sind diese KI-Agenten?
EU CER RICHTLINIE (EU) 2022/2557 des Europäischen Parlaments und des Rates über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates.