News

Lesetipps Dezember 2019

Jenseits von SVERWEIS Die eierlegende Wollmilchsau Excel, Microsofts gleichzeitig produktivstes und am meisten Produktivität vernichtendes Tool aller Zeiten, kann sogar forensische „Big Data“-Analyseaufgaben übernehmen – solange „Big“ nicht zu groß wird. Für ernsthafte große Analysen müssen dann allerdings doch Add-ins oder sogar spezialisierte Tools bzw. Programmierkenntnisse in Python und Co. her. https://www.fireeye.com/blog/threat-research/2019/12/tips-and-tricks-to-analyze-data-with-microsoft-excel.html Jenseits von Prod Mit BeyondCorp hatte Google 2014 als Reaktion auf einen Einbruch ins Firmennetz 2009 („Aurora“) das Konzept der Perimetersicherheit komplett über Bord geworfen und in Richtung […]

Security Engineering

SHIFT LEFT – Linksruck im Neuland?

Linksruck in der IT? Was soll das bedeuten? Gewerkschaften bei Amazon? Google-style Walkouts bei SAP? Mindestlohn für Consultants bei Accenture und Co.? Keineswegs! Der aktuell „trendende“ Kampfruf „Shift Left“ spielt an auf die Bewegung nach links im Entwicklungszyklus von Software oder anderen IT-Produkten, also im SDLC (Software Development Life Cycle). Es mag merkwürdig anmuten, in Bezug auf einen Kreis(lauf) von „links“ und „rechts“ zu sprechen. Gemeint ist eine Bewegung hin zu den Tätigkeiten, die in der Entwicklung früh vorgenommen werden […]

News

Bitte warten Sie nicht länger! Untote und Wiedergänger

In vielen Unternehmen sind noch „Legacy“-Systeme im Einsatz. Bei Audits finden wir immer wieder Systeme, welchen aktuelle Patches fehlen, Server unter Windows Server 2008 oder Clients unter Windows XP. Das ist problematisch, da diese schwer ausreichend abzusichern sind, auch wenn es prinzipiell möglich ist. Allzu bunt hat es in den letzten Jahren, um nicht zu sagen Jahrzehnten, die Berliner Justiz getrieben. Nach einer Emotet-Attacke auf das Kammergericht der Hauptstadt musste nun der Berliner Justizsenator höchstpersönlich Fehler einräumen. Das Haus sei […]

News

Fairsichert – Cyberversicherung soll reguliert werden

Der Markt für Cyberversicherungen wächst in den letzten Jahren rasant. Das lässt sich u. a. auch daran ablesen, dass die Regulierung sich nun das Thema vornimmt: Die Aufsichtsbehörde BaFin will sich im kommenden Jahr mit dem Einstieg der Versicherer ins Geschäft mit dem Schutz vor Hacker-Angriffen und Computer-Kriminalität beschäftigen. Der Umgang der Branche mit Cyber-Policen sei einer der Schwerpunkte der Aufsicht 2020. Insbesondere wird dabei spannend zu beobachten, welche Normen die Versicherer für Versicherte etablieren werden. Gerade im KMU-Bereich – in […]

News

Verzer(r)tifiziert – Schwachstelle in elliptischen Kurven

Wenn Implementierungen von kryptografischen Signaturen mit elliptischen Kurven nicht vor Timing-Angriffen geschützt werden, kann ein Angreifer unter Umständen den privaten Schlüssel berechnen. Das zeigte ein tschechisches Forscherteam am Beispiel eines Krypto-Chips namens Athena. Auch mehrere Open-Source-Bibliotheken sind verwundbar. Die verwundbaren Chipkarten wurden nach FIPS und Common Criteria zertifiziert. Den Angriff nennen die Forscher Minerva. Am selben Forschungsinstitut wurde 2017 die Sicherheitslücke ROCA in der RSA-Implementierung von Infineon-Chips gefunden. Auch Letztere waren zertifiziert, unter anderem vom BSI.  Dies zeigt wieder einmal, […]

News

I got the sPower – Cyberattacke auf Ökostrom

sPower ist der erste Erzeuger von regenerativen Energien, der bekanntermaßen von einer Cyberattacke getroffen wurde. Das Unternehmen aus Utah betreibt Stromnetze im Bereich der erneuerbaren Energien und wurde nach eigenen Angaben bereits im März Opfer eines Cyberangriffs, welcher Erzeuger und Netz voneinander trennte. Damit wird zum ersten Mal öffentlich, dass eine Cyberattacke eine Unterbrechung der Kommunikation mit Wind- und Solaranlagen bewirkte. Die Erzeugung selbst war nach Unternehmensangaben nicht beeinträchtigt. Bekannt wurde der Vorfall durch eine Anfrage auf Grundlage des Informationsfreiheitsgesetzes […]

Malware

BlueKeep of Death – Kommt der nächste Wurm?

Aktuell werden wieder Wetten angenommen, wann wir mit der nächsten wirklich großen Infektionswelle rechnen können. „BlueKeep“ – so der umgangssprachliche Name für die Schwachstelle CVE-2019-0708 vom Typ „nicht authentifizierte Remote Code Execution“ unter Windows 7, Windows Server 2008 und Windows Server 2008 R2 – hat Microsoft bereits am 14. Mai gepatcht. Aber noch, das war nicht anders zu erwarten, sind viele Systeme weltweit verwundbar. In den letzten vier Wochen haben Angreifer nun mit der systematischen Ausnutzung begonnen. Bisher produzieren sie […]

News

Lesetipps November 2019

Skandal um ROSI „You can’t control what you can’t measure“ ist ein beliebter Glaubenssatz. Gleichzeitig ist Messen in der Informationssicherheit ein schweres Problem, an dem schon viele gescheitert oder aber zumindest wahnsinnig geworden sind. Eine Galerie der ehrenwertesten Versuche rund um Frameworks, Scorecards, ROI und ROSI (Return On Security Investment) findet sich hier auf 24 Seiten PDF. https://www.rstreet.org/wp-content/uploads/2019/10/Final-Cyberbibliography-2019.pdf hacker:HUNTER – WannaCry: The Marcus Hutchins Story Nun ist sie endlich verfilmt: Die Geschichte von Marcus Hutchins aka MalwareTech, der – wir […]

News

(Not Only) Size Matters: 179 GB Rekord-Leak mit Regierungs- und Militärdaten

Rein mit der Größe können Datenleaks heute kaum mehr Aufmerksamkeit erhaschen. 179 GB sensible Daten klingt zwar nach einer Menge (und ist es auch). Was dieses Leak jedoch besonders pikant macht, ist, dass vergangene und zukünftige Reisen- und Buchungsdaten auch von amerikanischen Regierungs- und Militärangehörigen frei abrufbar im Internet standen. So konnten Forscher etwa die Reisen von US-Generälen nach Russland und Israel nachvollziehen. Nach Benachrichtigung durch das Security-Scanning-Projekt des VPN-Anbieters vpnMentor, dass die Elasticsearch-Datenbank eines Reisedienstleisters in AWS ohne jeden […]

News

Ununhackbar: NordVPN erleidet (Breach und) Shitstorm

Der renommierte und von vielen Experten empfohlene VPN-Anbieter NordVPN hat auf die Finger bekommen. Einerseits wegen eines Breaches: Bei einem finnischen Rechenzentrumsbetreiber bestand Zugriff über ein NordVPN unbekanntes Managementinterface auf einen Server, welcher jedoch keine Verbindungsdaten der Kunden enthielt. Selbstverständlich lag hier ein Fehler des Betreibers vor, welchen NordVPN durch Ablösung des Rechenzentrums sowie verschärfte Audits in den Griff zu bekommen verspricht. Der größere Schaden dürfte der Reputationsverlust sein, den sich zum Teil die Marketingabteilung zuschreiben darf: Kurz vor Bekanntwerden […]