Ein (nicht-technischer) Überblick über die Grundlagen der Cybersicherheit und die Werkzeuge, die man im Rahmen eines DevSecOps-Ansatzes einsetzen kann.

1. Geoinformation @Basel-Stadt
Cybersecurity

2. Einige
Zahlen

3. Dies ist die Gesamtzahl der Sicherheitslücke,
die im Jahr 2020 entdeckt und gemeldet wurden.
18 103
https://www.redscan.com/media/Redscan_NIST-Vulnerability-Analysis-2020_v1.0.pdf

4. Application Anzahl Sicherheitslücke
1 Android 859
2 Windows 10 807
5 Debian Linux 546
13 iOS 305
16 Chrome 228
Anzahl Sicherheitslücke im 2020
https://www.cvedetails.com/top-50-products.php?year=2020

5. Das ist die Gesamtzahl der Konten (E-Mail-Adresse + Passwort),
die in einem Datenleck vom Januar 2019 vorhanden waren.
2 692 818 238
https://www.troyhunt.com/the-773-million-record-collection-1-data-reach/

6. Entwicklung der
Gesamtzahl von Malware
Jeden Tag werden über 450 000
neue Malware entdeckt

7. 14 Sekunden
Das ist die Zeit, die zwischen zwei
Ransomware-Angriffen auf der Welt
vergeht

8. Das sind die Gesamtkosten der Cyberkriminalität im Jahr 2020.
Das sind 30 000 US-Dollar pro Sekunde.
945 000 000 000 $
https://parachutetechs.com/2021-cyber-attack-statistics-data-and-trends/
https://www.troyhunt.com/the-773-million-record-collection-1-data-reach/

9. Was wollen
die Hacker?

10. Fähigkeiten verbessern,
technische Herausforderung,
…
Lernen
Geld verdienen
Ideologie, Anerkennung,
Propaganda, …
Eine Botschaft
vermitteln
Industriespionage, …
Vertrauliche Daten
stehlen
DDOS, cryptominer, …
Die Ressourcen
umleiten
Ideologie, technische
Herausforderung, …
Dienstleistungen stören
Was wollen die Hacker?
Ransomware, Diebstahl
von Bankdaten, …

11. Was sind die
Ursachen für diese
Sicherheitsprobleme?

12. Client-Angriffe Netzwerk-Angriffe Server-Angriffe
- Passwort-Angriffe
- Updates werden nicht
vorgenommen
- Phishing
- Malwares
- Token- und Cookie Diebstahl
- XSS, CSRF exploits
- Social Engineering
- …
- Schwach Verschlüsselung
- MITM
- DNS exploit
- …
- SQL injection
- File inclusion
- Template injection
- Command injection
- LDAP exploit
- SSRF
- Veraltete Libraries
- DDOS
- …

13. Was können wir
im GI machen?

14. Client-Angriffe Netzwerk-Angriffe Server-Angriffe
- Passwort-Angriffe
- Updates werden nicht
vorgenommen
- Phishing
- Malwares
- Token- und Cookie-Diebstahl
- XSS, CSRF exploits
- Social Engineering
- …
- Schwach Verschlüsselung
- MITM
- DNS exploit
- …
- SQL injection
- File inclusion
- Template injection
- Command injection
- LDAP exploit
- SSRF
- Veraltete Libraries
- DDOS
- …
Wir können helfen, Risiken zu verringern Es ist unsere Verantwortung
2FA,
Password-Policy
Authentication
Konfiguration
Anwendungscode
überprüfen
HTTPS/SSL richtig
konfigurieren
Anwendungscode
überprüfen
Authentication
Konfiguration
Updates machen
Bereitstellung von
Lösungen im Falle einer
Dienstunterbrechung
Regelmässiger
testen
Technologieüberwachung
Logs
analysieren

15. Die
DevSecOps-Vision

16. « Bei DevSecOps wird Sicherheit in eine Continuous-
Integration-, Continuous-Delivery- und Continuous-
Deployment-Pipeline integriert. »
https://www.atlassian.com/de/devop
s/devops-tools/devsecops-tools

17. « Ähnlich wie DevOps ist DevSecOps eine organisatorische
und technische Methode, die Projektmanagement-
Workflows mit automatisierten IT-Tools kombiniert. »
https://www.atlassian.com/de/devop
s/devops-tools/devsecops-tools

19. « DevSecOps integriert aktive Sicherheitsprüfungen und -
tests in agile Entwicklungs- und DevOps-Workflows, sodass
Sicherheit in das Produkt integriert und nicht erst später
auf ein fertiges Produkt aufgepfropft wird. »
https://www.atlassian.com/de/devop
s/devops-tools/devsecops-tools

20. Erste Etappe:
Static Analysis

21. Static Analysis :
Bewertung einer Anwendung
durch Prüfung des Codes

22. Code Quality, Unmanaged
Cases, Software Composition
Analysis, Technical Debt, Code
Smells, Code Reviews, Known
CVEs, Hardcoded Passwords,
…

23. Zweite Etappe:
Dynamic Analysis

24. Dynamic Analysis :
Bewertung einer Anwendung
Während der Laufzeit

25. Fuzzing, Scanning,
Debugging, Process
Monitoring, Resource
consumption, Pentesting,
Red & Blue Team, …

26. DEMO

27. Fragen?
Danke!