ISICH

• WS-Policy
  • Festelgung der Sicherheitsanforderungen für eine Kommunikation
• WS-Trust
  • Festlegung des Formates sicherheitsrelevanten Daten (z. B. SAML-Token)
• WS-SecureConversation
  • Verfahren zum Austausch eines Session-Keys für symmetrische Verschlüsselung mit hilfe eines asymmetrischen Verfahrens -> Schaffung eines Sicherheitskontextes
• WS-Federation
  • Unterstützung der Herstellung gegenseitigen Vertrauens
  • Für SSO benötigt
• WS-Privacy
  • Definition der Anforderungen an Vertraulichkeit von Nachrichten
  • Methoden zur Sicherstellung der Einhaltung der Anforderungen
• WS-Authorizaion
  • Definition und Auswertung von Zugriffsrechten

• Web Application Firewall -> "eine Schutzlösung auf Webanwendungsebene, die technisch nicht von der Anwendung selbst abhängig ist.
• Eine Komponente die den Datenverkehr zwischen Browser und Webapplikation untersucht, ggf. ändert oder blockiert

• Erkennung von Logikfehlern (z. B. falsch Implementiertes Berechtigungsmodell)
• Fehlerhafte Implementierung von Sicherheit auf Client Seite (z. B. Berechtigungsmodell wird in JavaScript geprüft)
• Ausnutzung von Browserschwachstellen (z. B. Clickjacking)

• Vor bekannten Angriffen über Signaturen (PHP Würmer, Exploits)
• Vor unbekannten Angriffen über generische Mustererkennung (Zero Day Protection -> SQL Injection, XSS, Buffer Overflows)
• Gezielte Konfiguration zur Absicherung bekannt gewordener Schwachstellen

• Reverse / Transparent Proxy
• Plugin in Firewall / Loadbalancer / Webserver
• Plugin in Application Server
• Plugin in Applikation

Gründliche, technische, unprivilegierte und privilegierte Sicherheitsüberprüfung einer Applikation und der zugehörigen Systeme aus der Perspektive eines Angreifers mit Skill Level «Hacker / Cracker».
 

• Qualitätssicherung dank (unabhängiger) IT Security-Analyse
• Compliance: Nachweis bezüglich gesetzlicher Rahmenbedingungen und Vorgaben
• Prävention: Ermöglicht (in der Zukunft) direkte und indirekte Kosteneinsparungen
• Awareness auf allen Stufen
• Know-how Transfer
• Argumentationsgrundlage für zukünftige ◦ IT Security-Investitionen und ◦ Aktivitäten

• Sprechen Sie mit Ihrem Auftraggeber über den genauen Scope
• Achten Sie darauf, dass alle relevanten Stellen informiert sind, mindestens sind dies
  • Betreiber des Servers
  • Betreiber der Anwendung
  • ISP
  • Datenherr
  • Applikationsverantwortlicher
  • Security Officer

• Recherche nach Informationen über das Zielsystem
• Scan der Zielsysteme auf angebotene Dienste
• System- und Anwendungserkennung
• Recherche nach Schwachstellen
• Ausnutzen der Schwachstellen

• Web-Service spezifische Eigenschaften
• Andere Verteilung der Schwachstellen
• Zusätzliche Schwachstellen und Testmöglichkeiten
• Andere Informationsgewinnung

• On-demand Self Service
• Broad Network Access (from any device)
• Resource Pooling
• Rapid Elasticity
• Measured Service

Cloud sind komplexe, hochgradig verteilte und virtualisierte Umgebungen.

• Kernthemen
  • Vertrauen
  • Ressourcenteilung
  • Verschlüsselung
  • Portabilität
  • Compliance
  • Datenschutz

• Skalierbarkeit und Elastizität von Resourcen
• Effektivers Patchmanagement
• Vorteile durch Konzentration von Ressourcen (kann auch Nachteile bringen)
• Skalenvorteile
• Sicherheit 
• Standardisierte Schnittstellen
• Beweisssicherung und IT-Forensik

• Sicherheitsmanagement
• Sicherheitsarchitektur
• ID- und Rechte-Management
• Kontrollmöglichkeit für User
• Monitoring und Security-Incident-Management
• Notfallmanagement
• Portabilität und Interoperatbilität
• Sicherheitsüberprüfung und -nachweis
• Anforderungen an Personal
• Vertragsgestaltung
• Datenschutz und Compliance

• Physikalische Sicherheit
• Systemübergreifender Zeitservice
• Identity-Management
• Access Management
• Key Management 
• Security Monitoring 
• Incident Management
• Sicherheitstesting und Schwachstellenbekämpfung
• Konfigurationsmanagement

• 24/7 Überwachung und zeitnahe Reaktion bei Angriffen / Sicherheitsvorfällen
• Mitteilungspflicht des CSP gegenüber Kunden über Sicherheitsvorfälle oder Hinweise auf Sicherheitsvorfälle, die Kunden betreffen könnten.
• Geeignete Bereistellung relevanter Logdaten durch CSP
• Logging und Monitoring der Aktivitäten der Admins
• Kunden muss Möglichkeit haben, messbare Grössen wie im SLA vereinbart zu überwachen

• Cloud Komponenten müssen geeignet und ausreichend dimensioniert sein (Kapazitätsmanagement)
• Mandantenfähige Zugriffskontrolle und sichere Isolierung der Cloud Anwendungen
• Separiertes Netz für Verwaltungs- und Administrationsschnittstellen der Cloud mit 2FA
• Überwachung der genutzten Cloud-Ressourcen
• Cloud-Dienste mit angemessenen Standardsicherheitsmassnahmen

• Software, die die virt. HW-Schnittstelle zur Verfügung stellt
• isoliert die VMs voneinander
• Verwaltet die Ressourcen des Hosts
• Erlaubt zudem die Implementierung zusätzlicher Dienste unterhalb der (virtuellen) Hardware wie System-Management, Monitoring, Logging

• isolation: VM's sind viel besser von einander und vom VMM abgeschottet als bspw. Prozesse in einem OS
• Überwachung: VMM hat jederzeit vollen Zugriff auf die Ressourcen und den Zustand der VMs und der virt. Hardware.
• Kontrolle: VMM kann VMs kontrollieren, verändern, anhalten, neustarten, NW-Verkehr filtern oder in früheren Zustand versetzen

• Angriffe auf die CPU (bspw. Spectre / Meltdown)
• NW-ANgriffe zwischen VM's auf einer physischen Maschine
• Load Balancing kann virtuelle NW-Topologie verändern
• Angriffe durch andere Cloud Customer
• Zugang zu den Provisioning APIs
• Zugang zur Managmement Umgebung
• Zugang zum Memory und zu den Disks der VM
• Schnelle, automatisierte und transparente Bereitstellung von Ressourcen
• Master-Images Manipulation
• Kompromittierung des Provisioning Service
• isolation
• Bedarf nach umfangreicher Versionskontrolle und automatisierten Konfigurationsmanagement
• Unerwünschter Zugriff durch Recycle ID's / IPs

• TCP-Implementierungen verwenden für die Generierung der Sequenznr. 32bit Zähler. Die Sequenznummer wird jedoch nicht zufällig gneriert sondern jeweils um 1 erhöht und bei einer neuen Verbindung um 64 erhöht.
• Sequenznummer können damit erraten werden und die Kommunikation mit dem Ziel damit verschleiert werden.
• Währenddessen wird Absender ebenfalls mit Nachrichten versorgt und damit von Senden eines Reset-Pakets gehindert.

Angreifer sendet ping Packete mit gefälschter Absendeadresse an IP-Broadcast Adresse. Alle Rechner aus dem Netz antworten dem Opfer.

Gegenmassnahmen

• ICMP deaktivieren (nur bedingt möglich und sinnvoll)
• IP Broadcast am Router deaktivieren (Ping Anfragen an Broadcast werden heute viel mehr nicht weitergeleitet=

Schwächen

• Konsistenz der Tabellen wird nicht sichergestellt
• Echtheit der Daten im DNS wird grundsätzlich angenommen
• Adressinfos werden über Netzwerk ausgetauscht
• aufgelöste Adressen werden im Cache des DNS-Servers gehalten.

Angriffe:

• Hauptziel istt es durch Manipulations DNS Teilnehmer auf falsche Web-Seiten zu lenken
• DNS Spoofing
  • Antwort mit falscher IP-Adresse untergeschoben
  • Verfälschung der reverse lookup-Tabelle
  • Gegenmassnahme: immer forward und reverse lookup
• DNS Cache Posioning:
  • Angreifer täuscht vor bestimmter Server zu sein um gefälschte Dten zu verbreiten
  • Antwortet schneller als Originial, dazu muss er Infos kennen

Standardisiertes Framework zur Sicherung der Netzwerkkommunikation auf IP-Ebene. IPSec arbeitet auf OSI-Layer 3. 

Optionaler Einsatz im IPv4 und verpflichtend für IPv6.

Gewährleistung von Schutzzielen auf IP-Ebene

• Authentizität des Datenursprungs
• Vertrauliche Datenübertragung (Payload)
• Integrität und Schutz vor Replay Attacken
• zusätzlich auch Schlüsselmanagement
• Verändert IPPake 
  • zusätzlicher Header
  • Verschlüsseln und/oder Hashen der Daten (Payload)

1. IP Authentication Header (AH)
   1. Integrität des verbindungslosen Verkehrs
   2. Authentisierung des Datenursprungs
   3. Optional: Anti-Replay-Dienst
2. IP Encapsulating Security Payload (RSP)
   1. Vertraulichekeit 
   2. Integrität
   3. Authentisierung 
   4. Anti-Replay-Dienst

Tunnel und Transportmode. Wobei im Tunnelmode die Verbindung über Security Gateways verläuft und im Transport Mode direkt zwischen den Endpunkten.

• Datenverlust
  • Diebstahl / Verlust
  • Unberechtiger Zugang zum Netzwerk
  • Datenabfluss über schädliche Apps
• Abgreifen der Koummunikationskanäle
  • E-Mail
  • Telefonie, SMS
• Kompromittierung des Netzwerks
  • Smartphone als Einfallstor
  • Missachtung der Sicherheits-RL des NW
• Kompromittierung des Engeräts (Abhören)
• Nutzer (z. B. Anrufer) täuscht falsche Identität vor.

• Bibliothken
  • Risiko Überschneidungen zwischen Plattformen
  • Da Verwendung von Standard Komponenten aus OpenSource Welt
  • Cross Plattform Exploit selten aber möglich
• Applikation und DIenste
  • App oder Dienst einfachster Angriffsweg
  • Sandboxing nicht Wunderwaffe als die es gerne präsentiert wird
  • Auch herstellereigene SW birgt viele Risiken

• Lokale App-Prüfunungen auf Testgeräten
• Zentrale App-Prüfungen mit Mobile Device Manager
• Zentrale Werkzeuge für Applikationssicherheit
• App-Prüfung in Cloud
• App-Prüfung als externer Service

•  Basissicherheit
• Verschlüsselung
• Zugriffsschutz
• Applikationsquellen
• Updatesituation
• Cloud-Anbindung
• Mobile-Device-Management (MDM)
• Bring-Your-Own-Device (BYOD)

• Address Space Layout Randomization (ASLR)
  • Randomisieriung von Speicherbereichen um Vorhersagen von Speicheradressen (und damit Buffer Overflow) zu erschweren
• Data Execution Prevention (DEP)
  • strikte Trennung zwischen ausführbaren Code und nicht  ausführbaren Daten
  • unterbindet Ausführung von Quellcode im Datenbereich
• Secure Boot Prozess
  • Soll Ausführung eines kompromittierten OS unterbinden
  • alle vom System geladenen Module (Bootloader, Kernel, Firmware, etc.) sind kryptographisch signiert
  • Signatur der Module wird während Boot Vorgangs überprüft
• Sandboxing
  • soll verhindern, dass Schadsoftware andere Apps oder das Gerät kompromittiert / Daten anderen Apps ausliest.
  • Interaktion zwischen Anwendungen nur kontrolliert möglich

• Soll verhindern, dass Schadsoftware andere Apps oder das Gerät kompromittiert bzw. Daten anderer Apps ausliest
• Jede Anwendung läuft in gesicherter Umgebung
• Interaktion zwischen Anwendungen ist nur kontrolliert (über Rechtevergabe) möglich
• Unterscheidung der Rechte um solche die Benutzer vergeben muss und solche welche die Überprüfung der Laufzeit vornehmen

• Methoden zum Zugriffsschutz (PIN, Biometrisch, etc.)
• Verschlüsselung
  • des Dateisystems
  • applikationspezifisches Verschlüsselungssystem

• Consumerisation bezeichnet die Entwicklung, dass IT-Systeme, Programme und DIenste aus dem privaten Umfeld auch dienstlich genutzt werden.
• BYOD eine Strategie die Mitarbeiter zu animieren, ihre privaten Endgeräte auch dienstlich zu nutzen.
• Herausforderungen
  • Auflösung der Grenze zwischen privatem und diesntlichem Bereich
  • Datenschutz- und lizenzrechtliche Probleme
  • Gefährdung für die Informationssicherheit

• Geräte sind nicht für professsionellen EInsatz konzipiert
• Umsetzung der SicherheitsRL ist schwierig
• Zentrale Administration von privaten Geräten unerwünscht 
• und durch Vielzahl der Plattformen erschwert
• Ungeprüfte Apps im Netz der Institution
• Fehlende Trennung zwischen dienstlicher und privater Nutzung - Datenschutzkonformität

1. Strategische Ebene
   1. BYOD Strategie
2. Taktische Ebene
   1. Org. Rahmenbedingungen
   2. Tech. Rahmenbedingungen
   3. Rahmenbedingungen des Netzes
3. Operative Ebene 
   1. Organisatorische Massnahmen
   2. Technische Massnahmen am Endgerät
   3. Massnahmen zur sicheren Anbindung an das Netz

• Ermöglicht Zugriff auf Daten mit anderen Origin
• Implementiert als Teil des XmlHTTPRequest Objekts
• Risiko ist die Aufweichung der Same Origin Policy, diese definiert von wo ein Script Ressourcen afnordren darf.
• Die Herkunft der Ressourcen wird dabei anhand von Domain und Port bestimmt.

• Server entscheidet ob er die Anfrage zu lässt: Einschränkung über Access-Control-Allow-Origin-Header
• Dies wird über einen HTTP Header mitgeteilt
• Ein * und die Anwendung ist offen für alle
• Vorsicht vor Vereinfachungen (z. B. eingebundene Konfigurationsdatei)
• Zusätzliche Authentifizierung nötig