News – Seite 18 – HiSolutions Research

11. Februar 2021News

Papier-Tiger oder Praxis-Löwe: Umsetzung des § 8a BSIG in der Praxis

Seit Juli 2015 ist das IT-Sicherheitsgesetz nun bereits in Kraft. Insbesondere die Anforderungen nach § 8a BSI-Gesetz haben dabei weitreichende Anforderungen für die Betreiber kritischer Dienstleistungen gebracht. Der ausführliche Beitrag „Umsetzung des § 8a BSIG in der Praxis – Eine Reise zwischen Nachweiserbringungen, Zertifizierungen und dem wirklichen Leben“ unseres Experten Daniel Jedecke im Research-Blog geht der Frage nach, ob die Regulierung nur einen Papier-Tiger erschaffen oder tatsächliche Hilfe für die Bevölkerung gebracht hat.

https://research.hisolutions.com/2021/01/umsetzung-des-%c2%a78a-bsig-in-der-praxis/

5. Februar 2021News

Medientipps Januar 2021

Heute einmal nichts zu lesen. Aber zu:

Hören: DLF Kultur Feature „Datensicherheit oder Abwehr von Cyberkriminalität“

Unter anderem zu KRITIS und IT-Sicherheitsgesetz 2.0, mit Manuel Atug von HiSolutions.

https://www.deutschlandfunkkultur.de/datensicherheit-oder-abwehr-von-cyberkriminalitaet-politik.976.de.html?dram:article_id=491400

Sehen: ZDF WISO – Gestohlene Payback-Punkte

Cyberangriff auf Payback-Punkte? Banken und andere Zahlungsdienstleister wie Paypal haben aufgrund der EU-Zahlungsdiensterichtlinie PSD2 ihre Sicherheitsmaßnahmen hochfahren müssen. Dadurch ist der Druck auf Anbieter wie Payback gestiegen. Eine Recherche von ZDF WISO ging dem am 11.1.2021 von 19:25-20:15 mit der Expertise von HiSolutions auf den Grund. Nachzuschauen online (ab Minute 25’40):

https://research.hisolutions.com/2021/01/zdf-wiso-gestohlene-payback-punkte/

Meeten: Scalable Security am 17.2.2021 16-17 Uhr beim it’s.BB – Das IT-Sicherheitsnetzwerk

Zweifellos wird Informationssicherheit für alle Arten von Organisationen immer wichtiger. Während Konzerne oder Behörden sich im Wesentlichen auf die „großen“ Standards IT-Grundschutz und ISO 27001 stürzen, stellt sich für viele andere Akteure die Frage: Wo fange ich an? Was sind die ersten drei Schritte, wenn ich ein junges Startup, ein mittelgroßer Verein, eine größere NGO, ein Sportclub oder ein KMU bin? Was könnte oder sollte mein Ziel in fünf Jahren sein? Dieser Vortrag versucht, die Grundfragen und aufgaben der Security auf ein Modell herunterzubrechen, aus dem sich für jede Größe und jeden Organisationstyp eine Leiter von Reifegraden und eine Security-Roadmap ableiten lassen.

https://www.itsbb.net/kalender/its-bb-webinar-scalable-security-5-level-von-sicherheitsniveau-fuer-fast-jeden-anwendungsfall/

5. Februar 2021News

Toller Takedown: Emotet total tot

Für einen Moment zumindest. Die Generalstaatsanwaltschaft Frankfurt und das BKA haben mit internationaler Kooperation einen Takedown von 17 Emotet-C2-Servern durchgeführt und die damit gewonnene Kontrolle genutzt, indem sie die Schadsoftware so modifiziert haben, „dass die Opfersysteme ausschließlich zu einer zur Beweissicherung eingerichteten Infrastruktur kommunizieren können“. Damit sind zunächst einmal zentrale Teile des Backends von Emotet zerstört. Hoffen wir, dass das ein kleines Weilchen hält, bevor andere die entstandene Lücke nutzen.

https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2021/Presse2021/210127_pmEmotet.html

5. Februar 2021News

Wider den reedlichen Mast- und Schotbruch der Integrität: UN verlangen IT-Resilienz von Schifffahrt

Während sich viele Konzerne auf dem Land und in der Luft schon länger um den Schutz ihrer Netze und Daten kümmern, verlangt die internationale Schifffahrtsorganisation der UNO, IMO, nun auch IT-Resilienz auf den Meeren. Seit Anfang des Jahres gelten neue Anforderungen für die Cyber-Sicherheit an Bord von Schiffen tausender Reedereien. Dafür wurden eigens die Regeln für den sicheren internationalen Schiffsbetrieb ergänzt, u. a. um ein Cyber-Risikomanagement. Systeme müssen nun durch technische und organisatorische Maßnahmen (TOM) geschützt werden.

https://www.tagesspiegel.de/wirtschaft/it-ausfaelle-in-der-schifffahrt-wie-cyberattacken-den-welthandel-bedrohen/26781164.html

5. Februar 2021News

Ganz schön forsch: Security-Researcher im Visier

Googles Abteilung Threat Research Group hat eine Kampagne aufgedeckt, mittels derer ein Geheimdienst versucht hat, Forschungsergebnisse zu Schwachstellen zu stehlen. Dafür wurden eigens Netzwerke aus Trollen und Bots – sogenannten Sock Puppets (Sockenpuppen) – aufgesetzt, die mit den Researchern interagiert haben, um deren Vertrauen zu erschleichen. Sogar Gastartikel von realen Expertinnen und Experten konnten die Fake-Forscher für ihre Blogs, in denen zur Tarnung eigene und niederwertige Fake-Forschung publiziert wurde, gewinnen. Diese „Ergebnisse“ und Kooperationen wurden über eine Vielzahl von Social Media Accounts verbreitet und beworben. Ziel der Kampagne schien nach ersten Analysen, eine trojanisierte VS-Projekt-Datei unterzuschieben, die in einigen Fällen Systeme der Researcher erfolgreich kompromittiert hat. Dies stellte sich allerdings nur als Backup-Angriffsvektor heraus. Die eigentliche Kompromittierung erfolgte via Chrome-0-day in Form eines Drive-By-Exploits, der sich in einem Blog befand, von dem ein PGP-Schlüssel zur Übertragung einiger minderwertiger Lock-Exploits (PoCs) heruntergeladen werden sollte.

Im Netz machte sich darob zunächst vor allem (ironischer) Neid breit von Seiten derer, die die Gauner nicht angesprochen hatten. In Zukunft ist also eine weitere mögliche Schwachstelle besonders zu beachten: die eigene Eitelkeit, wenn Fremde zur Kooperation einladen…

https://blog.google/threat-analysis-group/new-campaign-targeting-security-researchers/

5. Februar 2021News

Aller guten 200er sind 4: BSI-Standard 200-4 veröffentlicht

Aller guten Dinge sind vier. Das gilt bekanntermaßen auch für Standards, und so hat das BSI gerade den lange erwarteten Standard 200-4 als Community Draft veröffentlicht. Der nun nach 200-1, 200-2 und 200-3 endlich ebenfalls modernisierte BSI-Standard 200-4 gibt eine praxisnahe Anleitung, um ein Business Continuity Management System (BCMS) in der eigenen Institution aufzubauen. Der in Co-Autorschaft mit HiSolutions entwickelte Standard wurde auf dem 1. IT-Grundschutz-Tag 2021 am 19.01. vorgestellt.

Das BSI freut sich über jeden Kommentar zum Draft an it-grundschutz@bsi.bund.de bis zum 30.06.2021. Schon während der Kommentierungsphase sollen die Kommentare gesichtet und konsolidiert werden, sodass bedarfsweise auch frühzeitig überarbeitete Fassungen zur Verfügung gestellt werden können.

Ankündigung von HiSolutions: https://www.hisolutions.com/detail/bsi-standard-200-4-business-continuity-management-community-draft-veroeffentlicht

Download des Community Draft: https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzStandards/Standard204/ITGStandard204_node.html

Heise-Artikel zum 200-4: https://www.heise.de/news/Neuer-BSI-Standard-zum-Business-Continuity-Management-5030647.html

5. Februar 2021News

Neues Schulungsformat bei HiSolutions: „Vorfall-Experte“

In unserer neuen dreitägigen Aufbauschulung zum Vorfall-Experten werden Teilnehmer befähigt, im Falle von IT-Sicherheitsvorfällen schnell und effektiv reagieren zu können sowie Schnittstellen zu den Vorfall-Experten des Cyber-Sicherheitsnetzwerks (CSN) des BSI aufzubauen. Das Training richtet sich an IT-Sicherheitsbeauftragte, CISOs, Business Continuity Manager (Notfallmanager), Auditoren und Experten, die mit einem Zertifikat den Status als Dienstleister des CSN oder IT-Sicherheitsdienstleister anstreben.

https://www.hisolutions.com/security-consulting/academy#c5601