Autor: David Fuhr

Twitter: 0xdhf
News

Lage-Aware statt Lagerware: BSI-Lagebericht 2020

Mit dem neusten „Bericht zur Lage der IT-Sicherheit in Deutschland“ hat das BSI auch 2020 wieder einen umfassenden Überblick über die Bedrohungen und Risiken im Cyber-Raum aus deutscher Sicht vorgelegt. Demnach bleibt die IT-Sicherheitslage angespannt. Insbesondere wurden verstärkt aktuelle Themen wie die COVID-19-Pandemie von Angreifern ausgenutzt.

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2020.html

News

Up to date & verfügbar: Neuer BSI-Podcast

Und noch einmal BSI: Das Bundesamt betreibt jetzt unter dem Titel „Update verfügbar“ einen eigenen Podcast. Die Pilotfolge (34 Minuten) hat das Thema „Cyber-Sicherheit und Deep Fakes“. Mit den üblichen undiplomatischen Kommentaren etwa auf YouTube geht das Social Media Team des Bundesamts bisher galant um – und immerhin zeigen 52:1 Daumen von knapp 3000 Aufrufern bereits nach oben.

https://www.youtube.com/watch?v=WW7afBCUGow und „überall, wo es Podcasts“ gibt

News

Unbefriedigend: Self-Own Zoom Sex Bombing

Eine denkbar schlechte Idee ist es, wie der bekannte CNN- und New-Yorker-Reporter Jeffrey Toobin jüngst erfahren musste, aus Versehen in einem Zoom-Call während einer Pause die Kamera angeschaltet zu lassen und sich vermeintlich nur in einem anderen Call mit jemand anderem fernzuvergnügen, während die Kolleginnen und Kollegen im ersten Call zuschauen können/dürfen/müssen. Der Vorgang zeigt auf etwas andere Art und Weise, wie risikoreich das Eindringen der (Arbeits-)Technik in unser Privatleben für alle Seiten sein kann.

https://www.vice.com/en/article/epdgm4/new-yorker-suspends-jeffrey-toobin-for-zoom-dick-incident

News

Lesetipps Oktober 2020

#FOMO vs. #YOLO

Die Security-Ökonomie-Psychologie-Philosophin Kelly Shortridge hat in einem langen Blogartikel ihr Konzept der #YOLOsec (Black Hat 2017) um das Konzept der #FOMOsec ergänzt. Während You Only Live Once einen zu großen, häufig gar unbewussten Risikoappetit beschreibt, bezeichnet Fear Of Missing Out den Impuls, nur ja nichts falsch machen zu wollen und letztlich alle Controls umzusetzen, die eine Risikominimierung bringen *könnten*, ohne zu hinterfragen, ob so die Geschäftsziele nicht vielleicht sogar behindert werden.

https://swagitda.com/blog/posts/on-yolosec-and-fomosec


KI nder…

Produktmanager und Filmemacher Eugene Wei analysiert, wie TikTok als erste chinesische App überhaupt den amerikanischen Markt „knacken“ konnte – und erzeugt dabei tiefe Einsichten in die Wirkungsweise und Macht von KI.

https://www.eugenewei.com/blog/2020/8/3/tiktok-and-the-sorting-hat


Ältern!

Der witzige Cloud-Sparfuchs Corey Quinn hat seinen bekannten wöchentlichen Newsletter „Last Week In AWS“ genutzt, seine Gedanken zur Elternzeit als Mann, Gründer und Manager in der IT-Branche zu teilen. Auch wenn die US-Perspektive hier noch etwas anders ist als die deutsche und europäische: Wertvoll!

Paternity Leave


I see ass…toundingly clear

Die Cyber-Edel-Bildungsfabrik SANS beschäftigt sich zunehmend mit dem Thema Industrial Security. Ein wertvolles Nebenprodukt davon ist diese wunderschön anschauliche Zusammenfassung der Geschichte von ICS(-Security).

https://ics.sans.org/media/An-Abbreviated-History-of-Automation-and-ICS-Cybersecurity.pdf


Bei S ist Stop

Diese Grafik stellt alle 50(!) bekannten kognitiven Biases dar, die uns in der Security und anderswo am rationalen Denken hindern.

https://storage.googleapis.com/titlemax-media/099372db-50-cognitive-biases-2_80per.png

Corona

Wo bleibt die Excel-ends-Initiative? MS Excel frisst Corona-Daten

Beim britischen Gesundheitssystem sind mehrere tausend Datensätze zu positiven Corona-Tests verloren gegangen, da das alte Excel-Dateiformat .xls nur eine begrenzte Anzahl von Zeilen speichern kann. Der Fehler fiel erst nach mehreren Tagen auf, sodass Betroffene teilweise erst sehr spät benachrichtigt werden konnten.

Das Problem unsicherer „Schatten-Softwareentwicklung“ durch Endnutzer in Office-Tools, insbesondere Excel, ist seit vielen Jahren bekannt und nicht leicht in den Griff zu bekommen.

https://t3n.de/news/excel-verursacht-corona-panne-1326375

Security-Kolumne „Spreadsheets töten“ in aktueller iX: https://www.heise.de/select/ix/2020/11/2026109274934915903

News

Fuhrpark im Visier – Erpresserangriff auf Fahrdienst der Bundeswehr

Die Fahrdienst-Tochter der Bundeswehr „Bundeswehr Fuhrpark Service“ ist Opfer eines Emotet-Angriffs geworden. Aufgrund besonders sensibler personenbezogener Daten innerhalb des Fahrdienstes des Deutschen Bundestages war zwischenzeitlich das politische Interesse an dem Vorfall sehr groß; inzwischen wurde jedoch klar, dass es sich nicht um einen gezielten Angriff handelt, sondern um ungezielte Erpressung ging.

Nach Hacker-Angriff auf Bundeswehr-Fahrdienstfirma: Kein Cyber-Schutz für Bundeswehr-Tochterfirmen
News

Schweigegeld: Organisationen trotz Backups erpressbar

Seit neuestem häufen sich die Fälle, in denen Institutionen die Forderungen von Ransomware-Erpressern zahlen, obwohl sie dank korrekter Backups die Daten wiederherstellen konnten: Die Verbrecher setzen das Mittel der Drohung der Veröffentlichung der vor der Verschlüsselung gestohlenen Daten derart geschickt ein, dass in diesem Fall etwa die University of Utah lieber 457.000 US-Dollar berappte.

https://www.zdnet.com/article/university-of-utah-pays-457000-to-ransomware-gang/

News

Von wegen diebische Elster: Nutzerdaten aus Elster-Anwenderforum gestohlen

In einem Anwenderforum zur Online-Finanzamt-Software „Mein Elster“ des bayerischen Landesamts für Steuern war eine lückenhafte Forensoftware vBulletin im Einsatz, über die Angreifer Nutzerdaten abgreifen konnten. Das Elster-Onlinefinanzamt selbst war hiervon ausdrücklich nicht betroffen, trotzdem droht in solchen Fällen ein zumindest vorübergehender Vertrauensverlust auch für das Hauptangebot.

https://www.heise.de/news/Elster-Anwenderforum-Angreifer-griffen-ueber-Sicherheitsluecke-Nutzerdaten-ab-4875316.html

News

Zero Trust verdient: Zerologon erlaubt Vollkompromittierung einer Domain

Forscher der niederländischen Firma Secura haben einen Exploit für die Windows-Sicherheitslücke „Zerologon“ (CVE-2020-1472) veröffentlicht, der es einem Angreifer erlaubt, von einem einzelnen Windows-Client aus die ganze Domäne zu übernehmen. Microsoft hat die mit der maximalen CVSS 10 bewertete Schwachstelle im August-Patch Tuesday geschlossen.

https://www.secura.com/pathtoimg.php?id=2055