Secunet Security Networks Ag · XETR:YSN
Secunet Security Networks — Technical Presentation (March 2023)
25 slides from Secunet Security Networks's technical presentation, Mar 6, 2023
Slide 1: Pentest – Schwachstellenanalysen für Unternehmen jeder Größe
Beginn: 15:00 Uhr Pentest – Schwachstellenanalysen für Unternehmen jeder Größe Björn Jansen Dirk Reimers Webinar, 6. März 2023 secunet Security Networks AG
Slide 2: secunet auf einen Blick
secunet auf einen Blick Hamburg 12 Standorte in Deutschland Hannover Berlin Paderborn Essen Dresden über 1000 Siegen Bonn Ilmenau MitarbeiterInnen Frankfurt secunet.com Stuttgart München 2 06.03.2023 | Pentest - Schwachstellenanalysen für Unternehmen jeder Größe
Slide 3: secunet auf einen Blick
secunet auf einen Blick secunet Security Networks AG Division Industry Fokus • KRITIS-Betreiber / Versorger • Digitale Infrastrukturen • Industrielle Anlagen • Automotive & Mobilität Verteidigung Öffentliche Innere Gesundheits- und Industrie Auftraggeber Sicherheit markt Raumfahrt Öffentlicher Sekto
Slide 4: Schwachstellen in IT-Systemen – ein Presserundblick
Schwachstellen in IT-Systemen – ein Presserundblick TPM-2.0-Spezifikationen: Angreifer könnten Schadcode auf TPM schmuggeln heise online, 01.03.2023 LastPass-Hack: Angreifer hackten Privat-PC von DevOps-Entwickler heise online, 28.02.2023 BSI-Studie: Viele massive Sicherheitslücken bei Online-Shops
Slide 5: IT-Sicherheit in Deutschland
IT-Sicherheit in Deutschland Ein Bericht aus der Praxis 5 06.03.2023 | Pentest - Schwachstellenanalysen für Unternehmen jeder Größe
Slide 6: Konfiguration ungenügend
Konfiguration ungenügend Triviale Standard-Passwörter Passwort zum Patienteninformationssystem ist „1“ USB-Tastatur anschließen und schon sind alle Patientendaten sichtbar Sicherheit schafft Unsicherheit Überwachungskameras in Bank laufen auf internen Switch Kamera ab / Laptop ran und schon
Slide 7: Awareness mangelhaft
Awareness mangelhaft Mr. Hackermann E-Mail mit ZIP-Datei und Passwort Schlechter Tausch: Eine Datei entschlüsselt, danach alle Dateien verschlüsselt. „Hier haben wir Backups“ Gefundene USB-Sticks besser „auf Arbeit“ testen Rouge Access Points Login im internen LAN Warum muss ich auf einm
Slide 8: Patches nicht eingespielt
Patches nicht eingespielt Veraltete Systeme Steuerung der Zutrittskontrolle auf Basis von Windows XP Vom Besucher zum raumpflegenden RZ-Mitarbeiter Veraltete Komponenten PHP im Web-Portal Web-Shell Upload SQLi in Bankenportal Zugriff auf Kreditselbstauskunft Klartextpasswörter 8 06.03.
Slide 9: Unnötige Funktionen / nicht aktivierte Sicherheit
Unnötige Funktionen / nicht aktivierte Sicherheit Härtung Festplatten im Büro müssen nicht verschlüsselt werden Hier haben ja nur vertrauenswürdige Personen Zugang fehlende Systemhärtung veraltete/vergessene Systeme fehlende interne Schutzzonen fehlendes Sicherheitslagebild (temporär & d
Slide 10: Täter unbekannt?
Täter unbekannt? Wer ist in diesen Szenarien kein Täter? Wie sicher ist Ihr Passwort wirklich? Wie häufig verwenden Sie Passwörter weiter oder ändern einfach eine Ziffer? Wer prüft bei einer E-Mail wirklich den Absender und die URLs bspw. mit Virustotal oder Jotti.org Wer hat noch nie vers
Slide 11: Unsere Lösungskomponenten
Unsere Lösungskomponenten Prävention Reaktion Incident Readiness Network Reconnaissance N P Pentests Incident Response Wargaming Detailanalysen D Red Teaming IT-Forensic 11 06.03.2023 | Pentest - Schwachstellenanalysen für Unternehmen jeder Größe
Slide 12: Was ist ein Pentest und vor allem was nicht?
Was ist ein Pentest und vor allem was nicht? Wir suchen nach technischen und menschlichen Schwachstellen Wir suchen nicht nach dem Schuldigen im Unternehmen. Wir wollen nicht Ihre knappen Ressourcen über die Maßen belasten Wir zeigen Ihre Schwachstellen auf, bevor sie jemand anderes ausnutzt.
Slide 13: Das typische Vorgehen bei Pentests
Das typische Vorgehen bei Pentests Vorgehen pro Arbeitspaket folgt 2 Analyse grundsätzlich dem gleichen Schema 1. Asset-Identifikation 5 ReTest Auswahl von Analysetyp und Zielen 1 Asset-Identifikation 2. Durchführung der Analyse 3 Bewertung Technische Prüfung 3. Bewertung der Ergebnisse Überpr
Slide 14: Vom Pentest …
Vom Pentest … Einzelne Pentests schaffen Momentaufnahmen Zielabsprache D P Durchführung N R Objektive Bewertung nach CVSS v3 Base Score IT-Lagebild Übergabe der Dokumentation Schwachstellen werden durch Basis-Analysen Erweiterte Analysen den Kunden bewertet Fokus auf Systeme Fokus auf Date
Slide 15: … mit verbindlichen ReTests …
… mit verbindlichen ReTests … Zone 0 Test der etablierten Maßnahmen ? PLC ? Zone 1 80% der Unternehmen führen keine ReTests durch. Webserver Protokoll- Zone 2 Konverter Phone Es bleibt unklar, ob die Maßnahme wirksam ist. Database Zone 3 WLAN HMI Wurden vielleicht neue Schwachstellen geschaffe
Slide 16: … mit der Pentest-Wette …
… mit der Pentest-Wette … Zone 0 ! PLC Wir wetten mit Ihnen Zone 1 ! Webserver Protokoll- Wir addieren alle Schwachstellen mit Phone Zone 2 Konverter einem Base-Score >=7 Database Zone 3 Im ursprünglichen Pentest und HMI WLAN Im ReTest Auth-Server Leitwarte Wasser Gate pumpe way Drucker ! Is
Slide 17: …zur Pentest-Strategie im Unternehmenskontext
…zur Pentest-Strategie im Unternehmenskontext Zone 0 Zone 0 Zone 0 Zone 0 Zone 1 Zone 1 Zone 1 Zone 1 Zone 2 Zone 2 Zone 2 Zone 2 Zone 3 Zone 3 Zone 3 Zone 3 + Start mit Scans + Überprüfung + Lagebild ist + Alle Systeme in + Im Internet gefundener vorhanden einem guten Zustand erreichbare Systeme Sc
Slide 18: Butter bei die Fische (wie man so sagt)
Butter bei die Fische (wie man so sagt) Welcher Schritt sollte der Erste sein? Wir empfehlen eines von zwei Analysen von innen oder von außen? Standard Arbeitspaketen Mit Wissen der IT oder ohne? Technische Basisanalyse Verdeckt oder Offen? BSI Cyber Sicherheits-Check Alles oder einzelne
Slide 19: Technische Basisanalyse
Technische Basisanalyse Ein erster technischer Eindruck über die wichtigsten Angriffsvektoren Kick-Off Scans von außen Scans von innen Detailanalysen der Firewall(s) Strukturbetrachtung der internen Netze Detailanalyse eines typischen Arbeitsplatzes Abschlussbesprechung Dokumentation
Slide 20: BSI Cyber Sicherheits-Check
BSI Cyber Sicherheits-Check Technische Basisanalyse Organisatorische Betrachtung mit beleggestützten Interviews Organisation Sicherstellung eines aktuellen Informationsstands Physische Sicherheit Bewältigung von Sicherheitsvorfällen Absicherung von Netzübergängen Sichere Authentisierung
Slide 21: secunet T4 Tools, Techniken, Typen und Teams
secunet T4 Tools, Techniken, Typen und Teams Teams Typen 12 Pentester an drei Standorten Techniken Unterschiedliche „Hacker“-Mindset Zertifikate wie Tools Hohes persönliches OSCP, eCCP, BSI Engagement A fool with a tool … geprüfter Pentester, Einsatz von Tools Vertrauens- etc. würdigke
Slide 22: Fazit
Fazit Sicherheitsniveau für geprüfte Fakt ist… Was ist zu tun? Bereiche aufrechterhalten IT-Systeme werden Nur regelmäßige Pentests schaffen ein Mit der secunet Pentest- permanent angegriffen. vollständiges Sicherheitslagebild. Strategie werden die Werte des Einzelne Pentests Unternehmen s
Slide 23: Save The Date – unsere Industrial Security Webinare
Save The Date – unsere Industrial Security Webinare secunet monitor KRITIS – die Angriffserkennung gemäß IT-Sicherheitsgesetz 2.0“ 09. März, 10:00 – 11:00 Uhr Sichere Cloud-Anbindung in der Produktion 29. März, 10:00 – 11:00 Uhr Cyberangriff – Notfallplan für den Ernstfall 24. April, 15:00 – 1
Slide 24: Kontakt
Kontakt Dirk Reimers Björn Jansen Abteilungsleiter Pentest und Forensik Senior Sales Manager secunet Security Networks AG secunet Security Networks AG [email protected] [email protected] 24 06.03.2023 | Pentest - Schwachstellenanalysen für Unternehmen jeder Größe
Slide 25: secunet
secunet
secunet Security Networks — Technical Presentation (March 2023) on 6ix