AMSI

Common Vulnerability Scoring System Allgemeines Bewertungssystem für Schwachstellen.

• …ist ein Industriestandard zur Bewertung des Schweregrades von möglichen oder tatsächlichen Sicherheitslücken in Computer-Systemen
• Man wird durchgeführt und es wird dann kalkuliert was das Risiko ist - coole Sache!
• Wie wichtig und gefährlich ist die Schwachstellen? Update schon vorher einspielen oder an Zyklus halten? Bewertungssystem hilft dabei

Common Weakness Enumeration - …ist ein Kategoriensystem für Softwareschwachstellen und -verwundbarkeiten.

CI/CD-Pipeline (Continuous Integration/Continuous Deployment)

…ist eine von Unternehmen, Interessenverbänden, Privatpersonen oder Regierungsstellen betriebene Initiative zur Identifizierung, Behebung und Bekanntmachung von Fehlern in Software unter Auslobung von Sach- oder Geldpreisen für die Entdecker.

Möglichkeiten der Offenlegung:

• Responsible Disclosure: Entdecker stimmt sich mit den verantwortlichen Stellen ab und veröffentlicht Einzelheiten zu der Schwachstelle erst, wenn der Entwickler genügend Zeit hatte, diese zu beheben.
• Full Disclosure: Sofortige Veröffentlichung sämtlicher Informationen über die Sicherheitslücke und ohne Absprache mit den verantwortlichen Stellen.

…ist in der elektronischen Datenverarbeitung eine systematische Möglichkeit, Schwachstellen auszunutzen, die bei der Entwicklung eines Programms entstanden sind.

Lokale Exploits - Angreifer hat bereits Zugriff auf das System. Lokale Exploits zielen darauf ab, höhere Berechtigungen auf einem System zu erlangen oder die Sicherheit zu kompromittieren, sobald ein Angreifer bereits innerhalb des Systems ist
Remote-Exploits - Dies bedeutet, dass der Angriff von einem entfernten Standort aus durchgeführt werden kann, ohne dass der Angreifer physischen Zugriff auf den Computer oder das System haben muss
DoS-Exploits (Denite of Service, System in Knie zu bringen, typischer Angriff auf Verfügbarkeit)
Command-Execution-Exploits
SQL-Injection-Exploits
Zero-Day-Exploits (Ein Zero-Day-Exploit ist eine Sicherheitslücke oder Schwachstelle in einem Computersystem, für die zum Zeitpunkt der Entdeckung noch kein Patch oder keine Lösung verfügbar ist. Der Name "Zero-Day" bedeutet, dass es null Tage (keine Vorwarnung) für die Anbieter gibt, um die Schwachstelle zu beheben, bevor sie von Angreifern ausgenutzt wird. Zero-Day-Exploits sind besonders gefährlich, da sie die potenzielle Ausnutzung einer Sicherheitslücke ermöglichen, bevor der Hersteller oder Entwickler des Systems eine Möglichkeit zur Behebung bereits)

Das Open Web Application Security Project (OWASP) ist eine herstellerunabhängige Non-Profit-Organisation, die sich für die Verbesserung der Sicherheit von Software einsetzt.

Hauptziele:

• to help organizations develop and maintain secure applications
• to allow security service vendors, security tools vendors, and consumers to align their requirements and offerings.

Prüfung der Sicherheit möglichst aller Systembestandteile und Anwendungen eines Netzwerks oder Softwaresystems mit Mitteln und Methoden, die ein Angreifer (ugs. «Hacker») anwenden würde, um unautorisiert in das System einzudringen (Penetration)
Externe Sicht auf die Sicherheit einer Applikation durch einen Menschen

Identifikation von Schwachstellen
Aufdecken potentieller Fehler, die sich aus der (fehlerhaften) Bedienung ergeben
Erhöhung der Sicherheit auf technischer und organisatorischer Ebene 
Bestätigung der IT-Sicherheit durch einen externen Dritten.

Level 1 - First steps, automated, or whole of portfolio view --> Absolute Minimun, Basics
Level 2 - Most applications --> Normale Applikationen
Level 3 - High value, high assurance, or high safety --> Hohe Sicherheit und Anforderungen, bsp. Banking, Apps oder OT

• SAST (Static Application Security Testing) - Im Quellcode, z.B. mit «SonarQube» (www.sonarqube.org/)
• DAST (Dynamic Application Security Testing) --> Während dem Betrieb werden die Funktionalitäten getestet
  (https://portswigger.net/burp)
• IAST (Interactive Application Security Testing) - Interaktiv mit der Anwendung

• Ungenügende Wartung
• Nicht funktionierende Überwachungssysteme

• Angriffe über das Internet
• Unerlaubter Zugriff auf Systeme
• Ransomware
• Abhören und Modifizieren von Daten

Informationssicherheit (ist der breite Begriff wo IT-Sicherheit auch Bestandteil davon is)

• Schutz der Information als solche
• Medien unabhängig (Papier, elektr. Datenträger, in Köpfen von MA)

IT-Sicherheit

• Schutz der Information in ICT Systemen
  • Server
  • Clients
  • Mobile Datenträger

• Fehlendes Sicherheitsverständnis des Managements
• Unklare Verantwortlichkeiten
• Ungenaue oder fehlende Abläufe

• Geringere Verwundbarkeit
• Bewusster Umgang mit Informationen
• Gefahren kennen
• Bewusstes eingehen von Risiken / Restrisiko bekannt

Sicherheit in der Verarbeitung von Information, nicht beschränkt
auf die elektronische Verarbeitung!

• Frustierte Mitarbteiter
• Geheimdienste
• Hacker
• Industriespionage
• Fremdpersonal

• Fahrlässigkeit
• Gleichgültigkeit
• Unwissenheit
• Leichtgläubigkeit

Hauptabweichungen:

• Ein gesamtes Normkapitel wurde nicht umgesetzt
• Produkte & Dienstleistungen erfüllen die Anforderungen nicht
• Hauptabweichung führt zu Nicht-Bestehen des Zertifizierungsaudits

Nebenabweichungen:

• Norm-Kapitel zwar umgesetzt, die Umsetzung und Wirksamkeit aber mehrere Mängel und Lücken aufweist
• Führt nicht zum Nicht-Bestehen eines Zertifizierungsaudits
• Nebenabweichungen müssen bis zu den vereinbarten Terminen abgestellt werden
• Wenn sie unbegründet bis zum nächsten Termin nicht abgestellt sind, droht eine Hauptabweichung, da sich die Org. scheinbar gegen die Fortlaufende Verbesserung (Kapitel 10.2) entschieden hat.

• des «Kontext» (Abschnitte 4.1, 4.2, 4.3)
• des «Top-Managements» (5)
• der «Massnahmen zum Umgang mit Risiken und Chancen» (6.1)
• von «Zielen, Ressourcen und Kompetenzen» (6.2, 7.1, 7.2)
• von «Bewusstsein und Kommunikation» (7.3, 7.4, 7.5.2/3)
• von «Betrieb und Überwachung» (8, 9.1)
• der «Kontinuierlichen Verbesserung» (9.2, 9.3, 10.1, 10.2)

• Reduziertes Risiko
  Eine höhere Datensicherheit reduziert die unternehmerischen Risiken insgesamt und hilft, die Auswirkungen eventueller Pannen zu begrenzen.
• Geringere Kosten
  Eine ISO 27001 senkt das Risiko für Sicherheitsvorfälle und kann die Kosten der IT-Sicherheit sowie kostspielige Auswirkungen von Datendiebstahl verringern.
• Wettbewerbsvorteil
  ISO/IEC 27001-zertifizierte Organisationen signalisieren klar, dass sie sich der Sicherheit vertraulicher Informationen verpflichtet fühlen. Damit haben sie einen entscheidenden Vorteil gegenüber nicht zertifizierten

• Konformität & positive Auditfeststellung, wirksame und gutfunktionierende Prozesse
• Chancen zur Verbesserung (Opportunity for improvement), wirksamer Prozess aber nich effizient genug
• Potenzielle Risiken (Beobachtungen bei dem Schwachpunkte vorhanden waren)
• Nichtkonformität

1. Voraudit
   Bestandsaufnahme inkl. Sichtung der Dokumente auf Vollständigkeit und Normkonformität (GAP-Analyse)
2. Zertifizierungsaudit
   Stufe 1: Prüfung der Dokumentation des ISMS
   Stufe 2: Prüfung der Wirksamkeit des ISMS
3. Bericht:
   Dokumentation des Audits inkl. Bewertung des Managementsystems
4. Zertifikat & Siegel
   Nachweis der erfolgreichen Zertifizierung mit maximal 3 Jahren Laufzeit
5. Erste Überwachung:
   Auditierung der Praxisumsetzung des ISMS (nach 1 Jahr)
6. Zweite Überwachung:
   Wiederholte Auditierung der Praxisumsetzung des ISMS
7. Rezertifizierung:
   Wiederholung der Schritte 2 bis 6 zur Verlängerung für weitere 3 Jahre

• Technik (Fire Walls bspw.)
• Prozesse müssen abgesichert werden, auf Sicherheit getrimmt werden
• Der Mensch, der die Technik bedient, muss geschult sein

Der Mensch ist zugleich grösster Risiko- aber auch grösster Schutzfaktor der Informationssicherheit.
Siehe Bild

Zusatz:

- Gutgläubigkeit
- Naivität
- Autoritätsangst (CEO etc.)

Social Engineering nennt man zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.

Wirkung von Autorität
Bereitschaft zur Kooperation

• bei Zuneigung
• für soziale Bestätigung

Mit Awareness werden Individuen zu einem bewussten und verantwortungsvollen Verhalten ausgebildet.
Die dadurch erhöhte Sicherheitskultur schafft ein grundlegend neues kollektives und nachhaltiges Sicherheitsverhalten.

Kunstwort aus «password» und «fishing»
Bedeutung: Nach Passwörtern fischen
Genauer: Informationen für die Online-Anmeldung ausspionieren
Begehrte Angriffsziele sind: Finanzinstitute, Bezahldienstleister (PayPal etc.)

Mit den ausspionierten Informationen versucht der Angreifer Transaktionen auf Kosten des Opfers auszuführen.

• Schadprogramm, welches den Zugriff auf Daten oder die Nutzung des gesamten Gerätes verhindert
• Verschlüsselt Daten oder ganze Systeme
• Erpressung/Forderung nach Lösegeld
  • Der Schlüssel wird gegen Bezahlung eines Lösegelds herausgegeben…vielleicht
• Die Infektion erfolgt über den Download aus E-Mail-Anhängen

Zusatz:

• Ramsomware 4.0 es wird nicht nur das Unternehmen sondern auch Kunden der Unternehmen erpresst. Die Zitrone richtig "auspressen".
• WannaCry einer der ersten Ramsomware. Hat weltwit 200'000 Computer infiziert.

Der Erstzugriff über ein erstes Opfer über einen MA über E-Mail. Dann wird Emotet heruntergeladen. Danach im Netzwerk Schwachstellen suchen und sich im Netzwerk einnisten bzw. infizieren.

• Limits on training time per employee
• Lach of time for program management
• Lack of staffing
• Lack of budget