Ohne Titel | Seite 13 | HiSolutions Research

25. Februar 2021News

C5 4 AI = AIC4: Cloud Service Compliance Criteria Catologue für KI

Klassische Security-Standards lassen sich aufgrund der Besonderheiten von KI-Systemen nicht einfach auf diese übertragen. Seit 2019 arbeitet das Kompetenzzentrum Künstliche Intelligenz im BSI daran, Aspekte wie Robustheit, Sicherheit, Verlässlichkeit, Integrität, Transparenz, Erklärbarkeit, Interpretierbarkeit und Nichtdiskriminierung zu normieren. Als erstes Ergebnis ist nun der „AI Cloud Service Compliance Criteria Catalogue“ (AIC4) veröffentlicht worden. AIC4 ist an den Cloud Computing Compliance Criteria Catalogue (C5) angelehnt, der ebenfalls auf dem internationalen Standard ISAE 3402 für Interne Kontrollsysteme (IKS) basiert, und kann wie dieser […]

25. Februar 2021News

Third Party Cookbook: OpenSSL

Gerade frisch erschienen ist die dritte Auflage des frei verfügbaren „Cookbooks“ zur beliebten Softwarebibliothek für sichere Kommunikation, OpenSSL. Während das erste Kapitel Installation und Konfiguration sowie PKI und Schlüssel- und Zertifikatsmanagement umfasst, behandelt das zweite den Aspekt, wie eigene Server auf eine sichere TLS-Konfiguration getestet werden können. https://www.feistyduck.com/books/openssl-cookbook/

25. Februar 2021News

Schwachstellendarstellungsstandardisierungsvorschlag: OASIS CSAF

Schwachstellen werden in der Regel individuell beschrieben und dokumentiert. Dabei würde eine einheitliche Darstellungsform die Verarbeitung und gar Automation in diesem Bereich erheblich erleichtern. Zwar existieren schon verschiedene Standardvorschläge dazu, bisher konnte sich jedoch keiner davon breiter durchsetzen. Nun sammelt sich hinter dem OASIS Common Security Advisory Format (CSAF) relevante Unterstützung u. a. von BSI, NIST und MITRE mit geplanten Aktivitäten wie einem Proof-of-Concept-Projekt zur Anwendung. https://github.com/oasis-tcs/csaf

25. Februar 20218. September 2021News

KMU und raus bist Du? IT-Sicherheit für den Mittelstand

Eine wachsende Zahl von Ressourcen und Handreichungen beschäftigt sich mit der Frage, wie mittelständische Unternehmen Informationssicherheit wirtschaftlich und effektiv umsetzen können. Die Abschlussarbeit unseres Kollegen Patrick Taege beleuchtet die besonderen Herausforderungen, denen sich KMUs in der Security stellen. https://research.hisolutions.com/2021/01/warum-der-mittelstand-besonders-auf-it-sicherheit-achten-sollte/ HiSolutions Empfehlung: Unsere Checkliste zur Cybersecurity für kleine und mittlere Einrichtungen

25. Februar 2021News

Lesetipps Februar 2021

A Corporate Anthropologist’s Guide to Product Security Was kann ein Unternehmensanthropologe zur Security beitragen? Viel, stellt sich heraus, jedenfalls wenn er Alex Gantman heißt und es um Produktsicherheit geht. Der Bericht seiner jahrzehntelangen Arbeit am Thema Product Security ist nicht nur erhellend, sondern auch äußerst nützlich als Handreichung. https://www.linkedin.com/pulse/corporate-anthropologists-guide-product-security-alex-gantman Security, Moore’s law, and the anomaly of cheap complexity Der (Ex-)Sicherheitsforscher Thomas Dullien alias Halvar Flake hat bereits 2019 einen bisher zu Unrecht weniger beachteten Vortrag zum Thema der ökonomischen Gründe […]

25. Februar 2021News

Baustein-Baustelle: IT-Grundschutzkompendium 2021 veröffentlicht

Das BSI hat turnusgemäß die 2021er-Version des IT-Grundschutz-Kompendiums veröffentlicht, zunächst nur als PDF. In der Version 2021 sind wieder zwei Bausteine neu hinzugekommen: „CON.10 Entwicklung von Webanwendungen“ und „INF.11 Allgemeines Fahrzeug“. Die übrigen 96 Bausteine wurden überarbeitet, davon 6 Bausteine umbenannt, zusammengefasst und/oder in eine andere Schicht verschoben. Anwendern des Standards bleibt es daher nicht erspart, ihre Sicherheitskonzepte weitgehend zu überarbeiten, um IT-Grundschutz-konform zu bleiben. https://www.heise.de/news/Neues-IT-Grundschutz-Kompendium-Web-Anwendungs-und-Fahrzeug-IT-Sicherheit-5051743.html Das BSI hat übrigens kürzlich seine Web-Präsenz relauncht, sodass sich die meisten Deep-Links zu […]

25. Februar 2021News

HISOLUTIONS – Erfolgreiches Krisenmanagement nach Ransomware-Angriff

Infolge eines Ransomware-Angriffs wurden kürzlich sämtliche Betriebsabläufe einschließlich des vollautomatisierten Herstellungsprozesses bei der Firma Schäfer Trennwandsysteme GmbH, Produzentin von Systemen für Umkleide- und Sanitäranlagen, unterbrochen und das Unternehmen erpresst. Dass ein solcher Vorfall bei professionellem Krisenmanagement nicht katastrophal ausgehen muss, zeigt eine gerade veröffentlichte Fallstudie von Schäfer und HiSolutions: Dank umgehender Unterstützung in Form von Krisenmanagern vor Ort und Beratung zum Aufbau eines Krisenmanagements, der dazugehörigen Kommunikation sowie bei der forensischen Analyse und Wiederherstellung der Geschäftsfähigkeit konnten nach vier Wochen […]

25. Februar 2021News

Kettenreaktion: Supply-Chain bleibt ein schwaches Glied

Spätestens seit den Enthüllungen um #Sunburst aka #Solorigate zum Ende des vergangenen Jahres ist immer klarer geworden, wie tiefgehend und schwer zu beheben das Problem der Supply-Chain-Security ist. Wie die französische Nationale Agentur für Sicherheit der Informationssysteme (ANSSI) nun mitteilte, wurde auch Centreon, ein französischer Mitbewerber zu SolarWinds, zum indirekten Angriff auf mehrere französische Unternehmen und Behörden missbraucht. Hierbei soll eine Schwachstelle in einem Webserver das Einfallstor gewesen sein. https://www.heise.de/news/Frankreich-Centreon-Server-waren-jahrelang-infiltriert-5055835.html

25. Februar 2021News

Kompromisslos geliefert: MITRE-Report Supply-Chain-Security

Derweil sucht die IT-Sicherheitsforschung fieberhabt nach Wegen, wie das komplexe Problem der Supply-Chain-Security in den Griff zu bekommen ist. So hat das US-Forschungszentrum MITRE jüngst den Bericht „Deliver Uncompromised: Securing Critical Software Supply Chains“ veröffentlicht. Dieser enthält nichts geringeres als einen Vorschlag für ein Framework, das Softwareintegrität über die ganze Lieferkette Ende-zu-Ende gewährleisten kann. https://www.mitre.org/sites/default/files/publications/pr-21-0278-deliver-uncompromised-securing-critical-software-supply-chains.pdf

15. Februar 202115. Februar 2021Red Teaming

Nicht über den Jordan gehen: TIBER-EU

TIBER-EU ist das europäische Framework für Threat Intelligence-basiertes Red-Teaming. Der zugehörige EU Leitfaden beschreibt, wie Behörden und Unternehmen mit Threat-Intelligence- und Red-Team-Anbietern zusammenarbeiten können, um die Cyber-Resilienz zu testen und zu verbessern. Das TIBER-EU Framework Bei Tests nach TIBER-EU werden Taktiken, Techniken und Vorgehensweisen (TTPs, Tactics, Techniques and Procedures) realistischer Angriffe auf die kritischen Funktionen eines Unternehmens und seine zugrundeliegenden Systeme simuliert, welche auf maßgeschneiderter Threat Intelligence basieren. Daher gibt es als Ergebnis auch kein „bestanden“ oder „nicht bestanden“. Viel […]