Trainings zu mehr Sicherheit Hacking & Security 2015 Trainings zu mehr Sicherheit |3 Hacking & Security 2015 „Hacking & Security“ sind Hauptaspekte von IT-Sicherheit. Zu wissen, wie Hacker denken und agieren, hilft enorm bei der Stärkung der eigenen IT-Infrastruktur, ebenso jegliche sicherheitsrelevanten Themen rund um das Thema IT-Security. Erfahrene IT-Security Consultants vermitteln hierzu ihr Wissen in 13 Schulungen, wovon 8 explizit auf unterschiedliche Hacking-Szenarien abzielen, die durch „Hack“ gekennzeichnet sind, während die weiteren 5 auf IT-Sicherheit bezogenen Themen die Kennung „Secu“ haben. Unser Ziel ist es, IT-Verantwortlichen das notwendige Rüstzeug mitzugeben, damit sie ihre eigenen IT-Infrastrukturen so sicher wie möglich bauen können. Wir wollen durch diese speziellen Weiterbildungsmöglichkeiten erreichen, dass Sie Ihr Unternehmen wirksam gegen Hacker-Angriffe schützen und sich sowohl gegen Datenklau als auch jegliche Manipulationen von außen wappnen können. Diese Broschüre enthält die Beschreibungen aller unserer Schulungen. Auch außerhalb der aufgeführten Termine können Sie unsere Schulungen buchen, gerne exklusiv für Ihre Mitarbeiter in Ihrem Unternehmen. Auf Wunsch bieten wir alle Schulungen auch in englischer Sprache an. Sebastian Schreiber Diplom-Informatiker Geschäftsführer 4| |5 Inhaltsverzeichnis Vorwort . ................................................................................ 3 Inhaltsverzeichnis.................................................................... 5 Hack1: Hacking Workshop 1 . .................................................. 6 Hack2: Hacking Workshop 2.................................................... 7 Hack3: Angriffe gegen Windows-basierte Netzwerke............... 8 Hack4: Angriffe gegen VoIP-Infrastrukturen ............................. 9 Hack5: Exploit Development .................................................. 10 Hack6: Mobile Device Hacking ............................................... 11 Hack7: Sicherheit und Einfallstore bei Webapplikationen . ........ 12 Hack8: WLAN-Hacking und WLAN-Security . ......................... 13 Secu1: Digitale Forensik bei Computern und Smartphones ...... 14 Secu2: Incident Response . .................................................... 15 Secu3: IPv6-Security ............................................................. 16 Secu4: IT-Recht und Datenschutz für IT-Verantwortliche.......... 17 Secu5: Planung und Durchführung von Penetrationstests......... 18 Anmeldung ........................................................................... 20 6| |7 Hack1 / Hack2: Hacking Workshop Teil 1 & 2 Referenten: Rainer Boie, Jennifer Bornholt Computermissbrauch und Cyber-Kriminalität bedrohen IT-Netze tagtäglich. Meist geschehen sie sehr unauffällig und werden erst bemerkt, wenn der Schadensfall schon eingetreten ist. Somit sind sie eine ernstzunehmende Bedrohung. Damit Unternehmen ihre IT-Umgebung vor Gefahren dieser Art wappnen und besser schützen können, haben wir diese Workshops entwickelt. In ihnen betrachten wir das Thema IT-Sicherheit aus der Perspektive eines Täters bzw. „Hackers“. Beide Teile können unabhängig voneinander besucht werden, jedoch baut Workshop 2 auf Workshop 1 auf. Workshop 2 (2 Tage) Workshop 1 (2 Tage) Themen: Themen: •Informationsquellen Identifikation erreichbarer Systeme, Suche nach Hinweisen auf potentielle Angriffsziele •Metasploit Framework Einführung und Umgang mit unterschiedlichen Modulen •Standard-Sicherheitswerkzeuge und ihr Einsatz (Portscanner, Sniffer) •Man-in-the-Middle-Angriffe Vor allem in lokalen Netzen können MitM-Angriffe verwendet werden, um verschlüsselten Verkehr oder auch VoIP-Telefonate mitzulesen bzw. zu hören. Durchführung von Angriffsszenarien, Besprechung von Schutzmechanismen. •Passwortsicherheit unter Linux, Windows und in WindowsNetzen Anhand von verschiedenen Cracking-Techniken schätzen wir die Sicherheit ein, welche eine Passwort-Richtlinie bietet. •Sicherheitslücken im Netz Vorgehensweise eines Angreifers bei der Ausnutzung von Schwachstellen im Netz (Verwendung von Exploits, Trojanisierung des Zielsystems) •Sicherheit in Windows-Netzen Eskalation von Benutzerrechten zum Domain-Administrator, Umgang mit Windows-Tokens •Security-Scanner Funktionsweise, Konfiguration und Umgang mit einem Security-Scanner •Tunneling Verwendung harmloser Protokolle zur verdeckten Übertragung von Daten oder Remote-Zugriff von außen •Exkurs: Sicherheit von Webapplikationen Das am besten gesicherte Betriebssystem kann nicht helfen, wenn eine Anwendung unsicher betrieben wird. Behandelt werden die häufigsten Sicherheitslücken wie XSS, Command- und SQL-Injection. Techn. Voraussetzungen: Grundkenntnisse über Betriebssysteme, Netzwerke, Linux, Windows, TCP/IP Techn. Voraussetzungen: Grundkenntnisse über Betriebssysteme, Netzwerke, Linux, Windows, TCP/IP Termine: Termine: 09.-10.03.15 04.-05.05.15 14.-15.09.15 19.-20.10.15 23.-24.11.15 11.-12.03.15 06.-07.05.15 16.-17.09.15 21.-22.10.15 25.-26.11.15 8| Hack3: Angriffe gegen Windows-basierte Netzwerke (3 Tage) Hack4: Angriffe gegen VoIP-Infrastrukturen (2 Tage) Referenten: Sven Wiebusch, Wolfgang Zejda Referent: Sven Freund Zur technischen Organisation von Computern, Benutzern, Gruppen und weiteren Objektklassen wird in Unternehmensnetzwerken in der Regel auf einen Verzeichnisdienst zurückgegriffen. Weit verbreitet sind in Windows-basierten Netzwerken die auf dem Domänen-Vertrauensprinzip basierenden Active Directory Domain Services. Gelingt es einem Angreifer, von außen ins interne Netzwerk einzudringen, so kann er innerhalb des eingesetzten Verzeichnisdienstes seine Rechte erfolgreich ausweiten. Im Rahmen dieses dreitägigen Workshops soll ein tieferer Einblick in die Vorgehensweise von Angreifern gewährt und Maßnahmen gegen Angriffe aufgezeigt werden. Theoretische Konzepte werden erläutert und erlernte Angriffsvektoren anhand von „Hands On“Übungen praktisch erprobt. Themen: •Windows-basierte Netzwerke: ·· Active Directory, Domain Controller ·· Berechtigungs- und Authentifizierungskonzepte ·· Hash-Typen in der Microsoft-Welt ·· Der Windows-Anmeldeprozess •Angriffe auf Einzelsysteme ·· Ausnutzung von Schwachstellen ·· Angriffe gegen Authentisierungsmechanismen ·· Ausnutzung schwacher Dienstekonfigurationen ·· Angriffe auf Protokollebene •Rechteausweitung / Ausbreitung ·· Mangelhafter Passwortschutz ·· Ausnutzung von „Features“ und Suche nach „Spuren“ ·· Access Tokens und „gecashte“ Passwörter ·· Pass-the-Hash-Angriffe ·· Security Support Provider ·· Group Policy Preferences •Einsatz geeigneter Tools ·· Metasploit Framework ·· Portscanner wie Nmap ·· Cracking-Tools ·· Tools für spezielle Einsatzzwecke Das Protokoll VoIP ist in den letzten Jahren für Unternehmen nicht zuletzt aufgrund langfristiger Kosteneinsparung oder einer einheitlichen Infrastrukturnutzung immer mehr in den Vordergrund gerückt. Mit der Einführung von VoIP beginnt oder erweitert sich auch der Wunsch nach einer strikten Trennung bestimmter Daten im Netzwerk. Diese Trennung wird in der Regel nicht physikalisch, sondern auf logischer Ebene via VLANs erreicht. Gelingt es einem Angreifer beispielsweise, im internen Netzwerk auf andere VLANs zuzugreifen, so ist er eventuell in der Lage, vertrauliche Gesprächsverbindungen mitzuschneiden oder die eigenen Zugriffsberechtigungen zu erweitern. Im Rahmen eines zweitägigen Workshops wird die Perspektive eines Angreifers eingenommen. Es werden Verfahren gezeigt, mit denen die oben genannten Ziele erreicht werden können. Der Workshop soll tiefere Einblicke in die Vorgehensweise von Angreifern aufzeigen, damit Teilnehmer in der Nachbereitung die Risiken im eigenen Netzwerk minimieren können. Theoretische Konzepte werden erläutert und erlernte Angriffsvektoren anhand von „Hands On“-Übungen praktisch erprobt. Themen: •Technische Grundlagen ·· Einführung in die Techniken ·· VoIP-Terminologie und -Aufbau ·· Passive und aktive Traffic-Analyse ·· VLAN-Terminologie und -Aufbau •VoIP-Angriffsverfahren ·· Netzbasierte Angriffe gegen VoIP-Phones und -Anlagen ·· Angriffe gegen Authentisierungsmechanismen ·· Angriffe gegen die Vertraulichkeit von Daten ·· Boot-Angriffe und weitere physische Angriffsmöglichkeiten •VLAN-Angriffsverfahren ·· Trunking-Angriffe ·· Inter-VLAN-Routing ·· Angriffe gegen Authentisierungsmechanismen •Capture the Flag •„Best Practice“-Schutzmaßnahmen ·· Detektionsverfahren ·· IT-Security-Prinzipien ·· Konfigurationsempfehlungen Techn. Voraussetzungen: Grundkenntnisse von Windowsbasierten Systemen und Netzen Termine: 24.-26.03.15 09.-11.06.15 Techn. Voraussetzungen: Grundkenntnisse in Netzwerktechnik 10.-12.11.15 |9 Termine: 12.-13.05.15 18.-19.11.15 10 | Hack5: Exploit Development (2 Tage) Hack6: Mobile Device Hacking (2 Tage) Referent: Matthias Deeg Referent: Philipp Buchegger Diese Schulung vermittelt die theoretischen und praktischen Grundlagen für die Funktionsweise und die Entwicklung von Exploits. Dabei soll vorrangig betrachtet werden, wie Zielplattformen aufgebaut sind, welche Besonderheiten sie aufweisen, welche verschiedenen Formen der Schwachstellenanalyse existieren, welche Werkzeuge für die Exploit-Entwicklung wichtig sind (Debugger, Disassembler, Exploit-Frameworks, etc.) und wie diverse Schwachstellen-Typen ausgenutzt werden können. Ferner geht die zweitägige Schulung noch auf die Frage ein, welche Möglichkeiten existieren, sich gegen eine Ausnutzung der gezeigten Schwachstellen durch Angreifer zu schützen und wie Hacker solche Schutzmaßnahmen umgehen können. Themen: •Besonderheiten verschiedener Zielplattformen ·· Prozessorarchitektur: x86 ·· Betriebssysteme: Windows, Unix/Linux, Mac OS •Verschiedene Formen der Schwachstellenanalyse ·· Statische Codeanalyse ·· Quellcodeanalyse ·· Analyse von Binärprogrammen (Reverse Code Engineering) ·· Dynamische Codeanalyse (Laufzeitanalyse) ·· Verhaltensbasierte Sicherheitsanalyse ·· Fuzzing •Tools of the Trade: Wichtige Werkzeuge für die Exploit-Entwicklung ·· Debugger / Disassembler / Exploit-Framework / Assembler (x86) ·· Programmiersprache der Wahl (z. B. C/C++, Python, Perl, Ruby, etc.) •Ausnutzen verschiedener Schwachstellentypen ·· Fehler in der Hard- und Softwarearchitektur ·· Fehler in der Anwendungslogik ·· Fehler in der Datenverarbeitung, z. B. ·· Buffer Overflow-Schwachstellen (Stack, Heap, Off-By-One) ·· Format String-Schwachstellen •Schutzmaßnahmen und Möglichkeiten, diese zu umgehen: ·· Stack Cookies ·· SafeSEH ·· Data Execution Prevention (DEP) ·· Address Space Layout Randomization (ASLR) Mobile Devices sind aus dem Unternehmensumfeld nicht mehr wegzudenken und übernehmen schon lange nicht mehr nur die Aufgabe eines Telefons. Mittlerweile ist es gang und gäbe, dass viele Arbeitnehmer auf ihren Smartphones und iOS-Geräten E-Mails bearbeiten, ins Internet gehen und eine hohe Menge an oftmals vertraulichen Unternehmensdaten bewegen. Diese Konzentration an interessanten Daten machen Mobile Devices für Angreifer sehr attraktiv. Dieses Seminar richtet sich an Nutzer, die mobile Endgeräte mit dem Fokus auf deren Sicherheit besser verstehen wollen, beispielsweise für die Integration in die eigene Unternehmensinfrastruktur. Neben der Verwaltung der Geräte werden die kritischen Angriffspunkte beleuchtet. Ferner werden durch Hands-On-Übungen verschiedene Schwachstellen analysiert und aufgezeigt, deren theoretische Grundlagen zuvor erarbeitet wurden. Themen: •Allgemeine Informationen ·· Eigenschaften von Mobile Devices ·· Verwaltung mobiler Endgeräte im Unternehmen •Angriffstechniken ·· Physischer Zugriff auf das Gerät ·· Hardware-Hacks ·· Mitschnitt des Datenverkehrs ·· Man-in-the-Middle-Attacken •Apple iOS ·· Sicherheitskonzept von iOS-Geräten ·· Mobile Device Management-Lösungen ·· Jailbreak eines iOS-Gerätes ·· Forensik von A4-Geräten ·· Angriffe auf Apps mit einem Proxy ·· Reverse-Engineering von Apps per Debugger •Google Android ·· Sicherheitskonzept von Android ·· Angriffe auf alte und aktuelle Android-Versionen ·· Emulation eines Android-Smartphones ·· Was Google über Android-User weiß •Windows Phone, Blackberry, etc. ·· Ausnutzung aktueller Schwachstellen ·· Sicherheitskonzept und Schutzmechanismen Techn. Voraussetzungen: Grundkenntnisse über Betriebssysteme und Rechnerarchitektur Techn. Voraussetzungen: Grundlagen in Linux sind von Vorteil Termine: Termine: 28.-29.04.15 13.-14.10.15 | 11 14.-15.04.15 01.-02.07.15 01.-02.12.15 12 | Hack7: Sicherheit und Einfallstore bei Webapplikationen (2 Tage) Hack8: WLAN-Hacking und WLAN-Security (2 Tage) Referent: Marcel Mangold Referenten: Kirsten Heitmann, Christian Rothländer, Matthias Sattler Für Hacker sind Webapplikationen heutzutage das Ziel Nummer 1. Oftmals finden sie Schwachstellen, die ihnen ermöglichen, vertrauliche Daten zu entwenden und weiter in das System bis hin zum Unternehmensnetzwerk vorzudringen. Im Rahmen dieses zweitägigen Workshops lernen die Teilnehmer, wie Hacker in Webapplikationen einbrechen und welchen Gefahren Anwendungen ausgesetzt sein können. Der Workshop stellt die gängigsten Angriffe zunächst in der Theorie dar und geht anschließend mit Übungen darauf ein, wie sie in der Praxis umgesetzt werden können. Ziel des Workshops ist es, dass die Teilnehmer am Ende des zweiten Schulungstages selbst Angriffe auf eine eigens für den Workshop erstellte Webapplika tion durchführen können. Wireless LAN ist eine äußerst attraktive Technologie. Sie ermöglicht einer Vielzahl von Geräten die kabellose Nutzung des Internets und einen schnellen, unkomplizierten Zugang zum Worldwide Web. Im Zuge ihrer Verbreitung nehmen öffentliche HotSpots zu und in gleicher Weise wächst auch die zur Verfügung stehende Bandbreite stetig an. Doch wie sicher ist WLAN? Gehen die Entwicklung von WLAN und von entsprechenden Schutzmaßnahmen gegen Missbrauch Hand in Hand? Themen: •Grundlagen der WLAN-Technologie ·· Standards ·· Begriffe Themen: •Aufbau einer WLAN-Umgebung ·· Unter Linux (Adhoc, Infrastruktur) •Cross-Site Scripting (XSS) Angriffe auf Sitzungsinformationen, Phishing und Defacing •WLAN-Sniffing ·· Ausspähen ungesicherter Drahtlosnetzwerke •Cross-Site Request Forgery (XSRF) Wie Angreifer Applikationsnutzer dazu bringen, das zu tun, was sie wollen •Sicherheitsansätze des 802.11-Standards ·· Betrachtung von Schwächen ·· (SSID-/MAC-basierte Filter, WEP) •(Blind) SQL-Injection Unberechtigtes Auslesen von Daten aus einer Datenbank •Erweiterungen des 802.11-Standards ·· (WPA, WPA2, 802.11i) •OS Command Injection Einschleusen von eigenen Betriebsystem-Kommandos in eine Webapplikation •Authentifizierung in 802.11i ·· 802.1x ·· EAP •Local / Remote File Inclusion (LFI/RFI) Wie Hacker eigenen Programmcode auf dem angegriffenen Server ausführen können •Schlüsselmanagement in 802.11i ·· Schlüsselhierarchien ·· Handshaking •Session-Hijacking Übernahme fremder Sitzungen mit Hilfe von Cross-Site Scripting-Angriffen •Funktionsweise der Verschlüsselungsmechanismen ·· WEP ·· TKIP ·· CCMP •Cookies Was bei der Generierung und Verwendung von (Session-)Cookies zu beachten ist •HTTP Parameter Pollution (HPP) Mehrfachverwendung von Parametern zur Zugriffsumgehung •WLAN-Hacking ·· DoS-Angriffe ·· WEP-Cracking ·· Angriffe gegen WPA/WPA2-PSK ·· Session Hijacking & Man-in-the-Middle-Angriffe •Angriffe gegen Captive Portals •Das Smartphone: Ein handlicher Angreifer Techn. Voraussetzungen: Grundkenntnisse in HTML, HTTP und SQL Termine: 04.-05.03.15 16.-17.06.15 Techn. Voraussetzungen: Linux-Grundlagen 27.-28.10.15 | 13 Termine: 19.-20.05.15 08.-09.12.15 14 | Secu1: Digitale Forensik bei Computern und Smartphones (3 Tage) Secu2: Incident Response (3 Tage) Referent: Dr. Markus a Campo Referenten: Sebastian Nerz, Dr. Klaus Tichmann Immer wieder sind Firmennetze Ziele für Hackerangriffe und Unternehmen Opfer von Eindringlingen, die sensible Daten ausspähen und diese illegal weiterverwenden. Um in solchen Fällen Klarheit zu bekommen, wird der Angriff forensisch untersucht. Dies bedeutet, dass Spuren identifiziert und (gerichtsverwertbar) gesichert werden. Die Ergebnisse werden ausgewertet und als Beweismittel aufbereitet. In der Schulung werden grundlegende Fragestellungen der IT-Forensik und angewandte Standardtechniken analysiert und ausprobiert. Da auf Smartphones sowohl private als auch dienstliche Daten in großer Zahl abgelegt werden, sind auch diese Geräte eine ergiebige Quelle forensischer Untersuchungen. Ein Zugriff auf die Daten ist meist nur eingeschränkt möglich, sodass spezielle Tools zum Einsatz kommen. Themen: •IT-Forensik und Incident-Response •Behandlung von Sicherheitsvorfällen konform zu den BSIGrundschutzkatalogen •Suche nach Spuren, versteckte Spuren •Sicherung von Beweisen, lokal und über das Netzwerk •Sicherstellung der Authentizität von Beweisen, Gerichtsverwertbarkeit •Forensik-Tools und -Toolkits •Analyse der erhobenen Daten ·· Werkzeuge unter Windows und Linux ·· Ermittlung von Ursachen, Schäden und Angriffsszenarien ·· Rückschlussmöglichkeiten auf Ziele und Kenntnisstand des Täters •Smartphone-Forensik ·· Grundsätzliche Fragestellungen sowie Forensik bei iOS, Android, BlackBerry, Windows Phone ·· Spezielle Werkzeuge für die Smartphone-Forensik •Verfassen von gerichtskonformen Berichten •Projektmanagement: IT-Forensik Zusammenarbeit mit Strafverfolgungsbehörden, rechtliche Situation Alle Welt redet von „Cyberwar“, Industriespionage und Datenklau. Werden Angriffe bemerkt, ist es wichtig, überlegt und organisiert zu handeln. Aus diesem Grund bieten wir einen Workshop an, der eine Handlungsgrundlage bieten soll, auf IT-Sicherheitsvorfälle reagieren zu können. Themen: •Grundsätzlicher Ablauf Incident Response: ·· 5-Phasen-Modell ·· Was geht nur intern? Was ist auslagerbar? ·· Dos and Don‘ts (Unbekannte Tools, „Blaming”, etc.) •Vorbereitung – Incident Readiness ·· Grundsätzliche Tools ·· Personelle Vorbereitung („Know your tools, know your procedures“) ·· Organisatorische Vorbereitung (Meldeketten und Awareness) ·· Technische Vorbereitung („Logging, Logging, Logging“) ·· Analyse des bestehenden Netzwerkes („Baselining“, Struktur, etc.) •Angriffserkennung ·· Arbeitsweise von Hackern ·· Anti-Forensik-Maßnahmen und was man dennoch sieht ·· Warnungen von Dritten ·· IPS, SIEM, etc. •Angriffsanalyse ·· Log-Dateien und Protokolle ·· Sicherheitstests und Malware-Analyse ·· Forensische Untersuchungen vs. Triage: Abwägung indiviueller ·· Analysemethoden ·· Identifikation des Angriffsvektors • Abwehrmaßnahmen und Aufräumen ·· Die Wichtigkeit des Menschen beim Schutz von Systemen ·· Konzentration auf Bordmittel ·· Grenzen von IPS, SIEM, AV und Firewall •„Lessons Learned“ und organisatorische Strukturen •Angriffsmuster und Analyse beispielhafter Angriffe ·· „Kenne Deinen Feind“ ·· Phishing und klassische Internetkriminalität ·· Ausforschung und gezielte Angriffe ·· OpSec und das Zusammenspiel von IT- und anderer Sicherheit ·· Analyse beispielhafter Angriffe Die Sicherung und Analyse von Beweismitteln wird anhand von praktischen Übungen und Fallbeispielen verdeutlicht. Techn. Voraussetzungen: Grundkenntnisse über Netzwerke, in Windows, Linux oder Unix Techn. Voraussetzungen: Grundlegende Netzwerk- und Forensik- sowie Linux-Kenntnisse Termine: Termine: 21.-23.04.15 29.09.-01.10.15 | 15 23.-25.06.15 22.-24.09.15 16 | Secu3: IPv6-Security (1 Tag) Secu4: IT-Recht und Datenschutz für IT-Verantwortliche (1 Tag) Referent: Marcel Mangold Referent: Horst Speichert Die Tage des Internet Protokolls in der Version 4 (IPv4) sind bald gezählt. Daher setzen viele Bereiche schon heute das Internet Protokoll in der Version 6 (IPv6) ein. Aktuelle Betriebssysteme unterstützen dieses Protokoll meist schon von sich aus, ohne dass eine Interaktion des Benutzers notwendig wird. Dieser Umstand birgt die Gefahr, dass hier Sicherheitslücken entstehen können, von denen IT-Sicherheitsbeauftragte oft nichts wissen, da sie sich dessen nicht bewusst sind. Dennoch sollte der IPv6-Datenverkehr in gleicher Weise gesichert werden wie der IPv4-Datenverkehr. Themen: •Kurze Einführung in IPv6 Einführung in die Adressschemata und Hilfsprotokolle •Firewalls und IPv6 Unfreiwillige Löcher im Sicherheitssystem durch IPv6 •Schwächen im internen Netzwerk ·· Denial of Service-Angriffe ·· Man-in-the-Middle-Angriffe ·· Routing-Angriffe Administratoren und IT-Verantwortliche müssen täglich Entscheidungen treffen, ohne sich der rechtlichen Tragweite bewusst zu sein. Oft stehen sie dabei „mit einem Bein im Gefängnis“, was topaktuelle Themen wie Software-Lizenz-Audits, Haftungsfragen oder das neue IT-Sicherheitsgesetz aufzeigen. Ein ausgereiftes Sicherheitskonzept besteht aus der erfolgreichen Synchronisation von technischen und juristisch-organisatorischen Komponenten. Das Seminar informiert über die aktuelle Rechtslage im weiten Feld der IT-Compliance und zeigt die Lösungswege eines ganzheitlichen Sicherheitskonzeptes auf. Der Referent, Rechtsanwalt Horst Speichert, ist Spezialist für ITRecht und Datenschutz, Lehrbeauftragter für Informationsrecht an der Universität Stuttgart und Autor des Fachbuches „Praxis des IT-Rechts“ (2. Auflage, Vieweg-Verlag). Themen: •Software-Lizenz-Audits Wie bereiten Sie sich vor? – Rechtsfragen Lizenzmanagement •Schwächen in Sicherheitsmechanismen Umgehung durch Fragmentierung •KRITIS Neues IT-Sicherheitsgesetz, Stand EU-Datenschutzverordnung •(remote) Host Discovery •Big Data – SIEM – etc. Große Datenmengen rechtssicher verarbeiten •Sicherheitsmaßnahmen Secure Neighbour Discovery •Wirtschaftsspionage und Geheimnisverrat – NSA-Affäre Was dürfen Geheimdienste? •Mobile Computing + BYOD IT-Nutzung am Arbeitsplatz, private Nutzung •Cloud Computing Sicherer globaler Datentransfer, sichere Auftrags-DV •Einsatz sozialer Netze, Social Media Richtlinien •Online-Werbung, Umgang mit Cookies, Gestaltung der Datenschutzerklärung •Gestaltung und Dokumentation von IT Compliance Wie können Richtlinien sinnvoll eingesetzt werden? •Archivierungspflicht, neue GoBD, elektronisches Rechnungswesen •Hacking und Penetration Rechtliche Einordnung, Hackerstrafrecht, § 202c StGB •Vermeidung von Haftungsrisiken für IT-Verantwortliche und Datenschutzbeauftragte Techn. Voraussetzungen: Grundkenntnisse zu IPv4 Techn. Voraussetzungen: Grundkenntnisse und gute Allgemeinbildung im Bereich IT Termine: Termine: 07.07.15 15.12.15 | 17 22.05.15 16.11.15 18 | Secu5: Planung und Durchführung von Penetrationstests (1 Tag) Referent: Sebastian Schreiber Eine unsichere IT-Landschaft kann den Betrieb oder sogar den Fortbestand von Unternehmen erheblich gefährden. Meist reißen kleine, unscheinbare Fehler gefährliche Löcher in IT-Netze. Voraussetzung für die Behebung dieser Fehler ist, die Lücken zu identifizieren. IT-Infrastrukturen und Applikationen können hochwertig und robust konzipiert sein und dennoch Schwachstellen aufweisen. Um diesen auf die Spur zu kommen, eignet sich der Penetrationstest hervorragend als Kontrollinstrument. Denn nur auf diese Weise können IT-Netze von außen und innen auf Sicherheitslücken hin effektiv untersucht werden. Themen: •Warum Penetrationstests? •Gegenstand der Prüfungen (Perimeter, LAN, WLAN, Web-Applikationen, Web-Services, Clients, iOS, Android, Spezialtests, ...) •Gestaltungsmöglichkeiten ·· Angekündigt / unangekündigt? ·· Einmalig oder als Prozess? ·· Blackbox- oder Whitebox-Test? ·· Durch einen externen Experten oder intern? Sorgfältige Auswahl des Dienstleisters. ·· Aggressive oder vorsichtige Vorgehensweise? •Kosten-/Nutzenverhältnis, Budgetoptimierung •Vorgehensweise; interne und externe Kommunikation zu Tests •Projektmanagement •Metriken und Standards •Rechtliche und ethische Aspekte •Nachverfolgung von Schwachstellen •Prüfpläne •Planung und Durchführung von Penetrationstests in Konzernstrukturen •10 Tipps von Sebastian Schreiber Termine: 02.03.15 19.06.15 30.10.15 | 19 20 | | 21 Anmeldung Trainings zu mehr Sicherheit Hacking & Security 2015 Die Workshops finden in den Schulungsräumen unseres Büro gebäudes in Tübingen statt. Einen Workshop-Tag bieten wir zum Preis von € 720,00 zzgl. MwSt. an. Der Preis umfasst eine ausführliche Schulung, einen professionellen Referenten, einen komplett eingerichteten Arbeitsplatz und die Verpflegung. Bei der Buchung von mindestens 5 Schulungstagen gewähren wir einen Rabatt in Höhe von 10% (dieser ist nicht teilnehmerbezogen). Bei Fragen hierzu stehen wir Ihnen jederzeit zur Verfügung. Zeitraum KW 10 Penetrationstests Web-App 02.03.151 04. - 05.03.151 Windows-Angriffe KW 13 - - 24. - 26.03.152 - - 09. - 11.06.15 KW 25 19.06.15 16. - 17.06.15 - KW 44 30.10.159 27. - 28.10.159 - Zeitraum KW 11 - - Hacking I Hacking II 09. - 10.03.151 KW 16 11. - 12.03.151 - KW 19 - 04. - 05.05.15 KW 27 06. - 07.05.15 - - Mobile Device 01. - 02.07.156 - KW 43 19. - 20.10.158 21. - 22.10.158 - KW 48 23. - 24.11.15 25. - 26.11.15 - - - Zeitraum IT-Forensik Exploits Incident Response KW 17 21. - 23.04.15 - - KW 18 - - 23. - 25.06.15 - - 22. - 24.09.15 - 29.09. - 01.10.15 KW 42 - Zeitraum 13. - 14.10.157 VoIP KW 20 12. - 13.05.153 KW 21 - KW 47 18. - 19.11.15 KW 50 WLAN - - 22.05.155 16.11.15 - - IT-Recht - Straße PLZ, Ort Telefon Fax E-Mail 01. - 02.12.15 KW 26 KW 40 Firma - 16. - 17.09.15 KW 39 Name 14. - 15.04.15 14. - 15.09.15 28. - 29.04.15 Fax: 07071 - 407856-19 E-Mail: [email protected] 10. - 12.11.15 KW 38 KW 49 SySS GmbH Wohlboldstraße 8 72072 Tübingen - KW 24 KW 46 Bitte senden Sie Ihre Anmeldung per Fax, E-Mail oder Post an uns zurück: 19. - 20.05.154 08. - 09.12.15 Rechnungsadresse (wenn abweichend) Umsatzsteuernummer (falls Firmensitz des Auftraggebers außerhalb Deutschlands) Sonstiges Ich benötige einen KFZ-Stellplatz während des Workshops: ja nein Ich akzeptiere die Teilnahmebedingungen (siehe www.syss.de) Zeitraum 1 2 3 4 IPv6 KW 28 07.07.156 KW 51 15.12.15 Osterferien in Hamburg Osterferien in Bremen, Niedersachsen, Rheinland-Pfalz Pfingstferien in Hamburg Pfingstferien in Sachsen-Anhalt Pfingstferien in Mecklenburg-Vorpommern, Sachsen-Anhalt 6 Sommerferien in Nordrhein-Westfalen 7 Herbstferien in Nordrhein-Westfalen, Sachsen, Thüringen 8 Herbstferien in Berlin, Brandenburg, Bremen, Hamburg, Hessen, Niedersachsen, Rheinland-Pfalz, Saarland, Sachsen, Sachsen-Anhalt, Schleswig-Holstein 9 Herbstferien in Berlin, Brandenburg, Bremen, Hamburg, Hessen, Mecklenburg-Vorpommern, Niedersachsen, Rheinland-Pfalz, Saarland, Schleswig-Holstein 5 Datum Unterschrift 22 | Notizen Wir, die SySS GmbH, sind ein Unternehmen für IT-Sicherheit, spezialisiert auf Penetrationstests. Seit der Gründung 1998 durch unseren Geschäftsführer Sebastian Schreiber führen wir mit mittlerweile 50 festangestellten Mitarbeitern hochwertige Sicherheitstests durch. Bei unserer Arbeit verbinden wir einen sehr hohen technischen Anspruch mit der von uns entwickelten Ethik für Penetrationstester. SySS GmbH Wohlboldstraße 8 72072 Tübingen Tel.: +49 - (0)7071 - 407856-0 Fax: +49 - (0)7071 - 407856-79 E-Mail: [email protected] www.syss.de
© Copyright 2024 ExpyDoc
