Grundschutz

IT-Grundschutz

An dieser Stelle soll es um eine weit verbreitete Vorgehensweise zur Absicherung von Firmen und öffentlichen Einrichtungen gehen: den IT-Grundschutz. Der IT-Grundschutz ist eine Vorgehensweise zum Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Dies bedeutet der IT-Grundschutz zeigt einen Weg auf, wie Informationssicherheit systematisch geplant, verbessert und überprüft werden kann. Das hört sich Weiterlesen…

Authentication

Broken Authentication

Broken Authentication ist aktuell Platz 2 auf der Liste der größten Risiken für Webanwendungen und kann frei übersetzt werden mit ‚defekte Identitätsprüfung‘. Damit ist dieser Punkt enger gefasst als Sensitive Data Exposure, aber immer noch ein sehr undefinierter Begriff, welcher viele Überschneidungen mit anderen Themen (auch auf der Liste der Weiterlesen…

Daten

Sensitive Data Exposure

Der aktuelle zweite Platz auf der OWASP Top 10 ist ‚Sensitive Data Exposure‘. Direkt übersetzt bedeutet dies ‚Preisgabe sensibler Daten‘. Damit ist dieser Punkt im Gegensatz zu Platz 1 (Injection) meistens eine Folge einer Schwachstelle und eines Angriffs. Sensitive Data Exposure bedeutet meistens, dass Informationen nicht nur für den zugedachten Weiterlesen…

Injection

Injection

Injection ist aktuell (2020) der traurige Sieger der OWASP Top 10, also das größte Risiko für Webanwendungen. Dies bedeutet, dass Entwickler von Webanwendungen wissen sollten, wie Injection-Schwachstellen verhindert werden können und Bug-Bounty-Hunter wissen sollten, wie man diese findet und Injection-Angriffe ausführt. Injection ist leicht direkt übersetzt und bedeutet Injektion. Was Weiterlesen…

OWASP

OWASP Top 10

Die OWASP Top 10 sind eine Liste der 10 kritischsten Risiken für Webanwendungen. Dabei dient die OWASP Top 10 hauptsächlich zu Sensibilisierung von Entwicklern, Sicherheitsforschern und damit auch Bug-Bounty-Huntern. Für mich als Einsteiger in Penetrationtesting und Bug-Bounty-Hunting war diese Liste eine große Hilfe, um zu Entscheiden auf welche BEreich man Weiterlesen…

IS

Einführung in Informationssicherheitsmanagement

Informationssicherheitsmanagement (IS-Management) ist ein ziemlich langes Wort dafür, dass Informationen in Organisationen ordentlich geschützt werden sollten. Die Notwendigkeit für diese Disziplin hat sich daraus ergeben, dass IT-Sicherheit ein Thema war, was eigentlich nur die IT-Admins etwas anging und diese haben nach bestem Wissen und Gewissen gehandelt, indem Passwortrichtlinien festgelegt, Firewalls Weiterlesen…

Kali Startup

Installation Kali Linux

Meine aktuelle Wahl als Betriebssystem für Pentesting- und Bug-Bounty-Vorhaben fällt auf Kali Linux auf einer virtuellen Maschine (VM) mit VirtualBox. Wie bereits im vorherigen Beitrag erwähnt, existieren einige andere Linux Distribution speziell zum Thema Hacking, welche zu gegebener Zeit auch hier vorgestellt werden. Installation VirtualBox Um eure VM mit Kali Weiterlesen…

Money

Mein erstes Bounty

Nein, ich meine nicht die Süßigkeit mit Kokosgeschmack 😀 Hier will ich euch den Weg zu meinem ersten Bug-Bounty beschreiben. Das hat mir plötzlich gezeigt, dass man mit Hacking unabhängig von Qualifikation, Standort und verfügbarer Zeit Geld verdienen kann. Niemand will hier Qualifikation X sehen oder Zertifikat Y. Wenn du Weiterlesen…

White Hat

Warum White-Hat-Hacking?

Beim mir kam der initiale Antrieb durch reines Interesse. Oft spricht oder liest man nur über die neueste Schwachstellen in Betriebssystemen oder den kriminellen Datenklau bei einer großen Firma. Meist versucht man dann oberflächliche Erklärungen zu verstehen oder Maßnahmen ohne tieferes Verständnis umzusetzen. Nach einer Weilte habe ich mich aber Weiterlesen…

Kali in VM

Hacking Umgebung

Bevor wir irgendwelche Angriffsvektoren, Verteidigungen, Protokolle oder Techniken besprechen können, wird erstmal eine Grundlage benötigt, um Hackingmethoden ausprobieren zu können. Mir hat es extrem geholfen die praktische Seite der IT-Sicherheit selbst auszuprobieren, auch wenn ich bis dahin nur nur im strategischen Bereich oder auf der Seite der Verteidigung (als IT-Administrator) Weiterlesen…