SlideShare ist ein Scribd-Unternehmen logo
Proaktive Sicherheit durch Threat Modeling TÜV Rheinland Secure iT GmbH Philippe A. R. Schaeffer Chief Security Analyst
Wegbegleiter TÜV Rheinland Secure iT Tochtergesellschaft der TÜV Rheinland Group ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Hamburg Hannover Berlin Köln Saarbrücken Stuttgart Standorte TÜV Secure iT GmbH Standorte TÜV Rheinland Group
Das Technik-Team. ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Wozu IT-Sicherheit? ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Traditioneller Ansatz Sicherheit Schaffen ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Traditioneller Ansatz Sicherheit Prüfen ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Traditioneller Ansatz - Beispiel Firewall IDS DMZ IPS Markthalle $$$$
Philosophie ,[object Object],[object Object],[object Object]
Traditioneller Application Life Cycle
Proaktive Sicherheit durch Threat Modeling Secure Software Development Lifecycle (SSDL) ,[object Object],[object Object],[object Object],[object Object],[object Object]
Beteiligung am Threat Modeling ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Vorgehensweise ,[object Object],[object Object],[object Object],[object Object]
Analyse von Software und IT-Infrastruktur  Datenfluss – Ebene 1
Analyse von Software und IT-Infrastruktur  Datenfluss – Ebene 2
Identifikation möglicher Angriffsziele  Entry Points ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Identifikation möglicher Angriffsziele  STRIDE ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],= Vortäuschen einer falschen Identität  = Manipulation von Daten  = Abstreitbarkeit  = Preisgabe von Daten  = Störung der Verfügbarkeit  = Ausweiten von Berechtigungen
Identifikation möglicher Angriffsziele  Exemplarische Bedrohungen ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Angriffsbaum
Bewertung und Priorisierung der Schwachstellen  Bedrohungen priorisieren mit DREAD ,[object Object],[object Object],[object Object],[object Object],[object Object],. . . . . . etc. 30 2 9 8 3 8 Privilege escalation 20 8 1 5 5 1 Fehlermeldungen 35 8 5 4 10 8 Sniffen FTP 50 10 10 10 10 10 SQL-Injection Summe D A E R D Bedrohung
Ableitung von Maßnahmen
Beispiel einer Bedrohungsanalyse nach Threat Modeling Ansatz
Vorteile ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Wie können wir Sie unterstützen? ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
Philippe A. R. Schaeffer TÜV Rheinland Secure iT GmbH Chief Security Analyst Tel. +49 221 806 2485 Email [email_address] Vielen Dank für Ihre Aufmerksamkeit! Haben Sie Fragen?

Weitere ähnliche Inhalte

Andere mochten auch

Central Rock Presentacion
Central Rock PresentacionCentral Rock Presentacion
Central Rock Presentacionguest357147d
 
Nicole Burnham SóLo Queda Un Soltero Novela Romantica Sip
Nicole Burnham   SóLo Queda Un Soltero   Novela Romantica  SipNicole Burnham   SóLo Queda Un Soltero   Novela Romantica  Sip
Nicole Burnham SóLo Queda Un Soltero Novela Romantica Sip
Novelera
 
Historias Del Chimbilax (O La Estatua Del Angel)
Historias Del Chimbilax (O La Estatua Del Angel)Historias Del Chimbilax (O La Estatua Del Angel)
Historias Del Chimbilax (O La Estatua Del Angel)
LAINSOPORTABLE
 
Analisis Comparativo My Sql Vs Oracle
Analisis Comparativo My Sql Vs OracleAnalisis Comparativo My Sql Vs Oracle
Analisis Comparativo My Sql Vs Oracle
guestdb275b
 
2º bac tutores 11_12
2º bac tutores 11_122º bac tutores 11_12
Einführungsvortrag zur Europäischen Datenschutzverordnung
Einführungsvortrag zur Europäischen DatenschutzverordnungEinführungsvortrag zur Europäischen Datenschutzverordnung
Einführungsvortrag zur Europäischen Datenschutzverordnung
Colab Chemnitz
 
Ofimatica Web
Ofimatica WebOfimatica Web
Yadi Power Point
Yadi Power PointYadi Power Point
Yadi Power Point
Yadira Figueroa de Delgado
 
SAS 1
SAS 1SAS 1
Ray Ban Advertising Campaign
Ray Ban Advertising CampaignRay Ban Advertising Campaign
Ray Ban Advertising Campaign
goners64
 
Matematicas Tics
Matematicas TicsMatematicas Tics
Mit Benchmarks Bankenkosten senken
Mit Benchmarks Bankenkosten senkenMit Benchmarks Bankenkosten senken
Mit Benchmarks Bankenkosten senken
Roland Kraus
 
Presentacionparaelcurso
PresentacionparaelcursoPresentacionparaelcurso
Presentacionparaelcurso
Instituto de Secundaria
 
JAX 2014 - Business Technology Days | Agile Experience Design
JAX 2014 - Business Technology Days | Agile Experience DesignJAX 2014 - Business Technology Days | Agile Experience Design
JAX 2014 - Business Technology Days | Agile Experience Design
Stephan Raimer
 
Kantar Wordpanel - Balance 2010 del sector Gran Consumo
Kantar Wordpanel - Balance 2010 del sector Gran ConsumoKantar Wordpanel - Balance 2010 del sector Gran Consumo
Kantar Wordpanel - Balance 2010 del sector Gran Consumo
tudespensa.com
 
dfsghfghfjgfjgjj
dfsghfghfjgfjgjjdfsghfghfjgfjgjj
dfsghfghfjgfjgjj
alzate0716
 
Criterios de corrección tarea 2 inglés
Criterios de corrección tarea 2 inglésCriterios de corrección tarea 2 inglés
Criterios de corrección tarea 2 inglés
Equipo de Orientación Colegio Marista Liceo Castilla
 
Repositorios cecar
Repositorios cecarRepositorios cecar
Repositorios cecar
Kaddy Hernandez
 
Der Alpenraum auf dem Weg zur innovativen eRegion in Europa
Der Alpenraum auf dem Weg zur innovativen eRegion in EuropaDer Alpenraum auf dem Weg zur innovativen eRegion in Europa
Der Alpenraum auf dem Weg zur innovativen eRegion in Europa
Hans-Dieter Zimmermann
 

Andere mochten auch (20)

Central Rock Presentacion
Central Rock PresentacionCentral Rock Presentacion
Central Rock Presentacion
 
Nicole Burnham SóLo Queda Un Soltero Novela Romantica Sip
Nicole Burnham   SóLo Queda Un Soltero   Novela Romantica  SipNicole Burnham   SóLo Queda Un Soltero   Novela Romantica  Sip
Nicole Burnham SóLo Queda Un Soltero Novela Romantica Sip
 
Historias Del Chimbilax (O La Estatua Del Angel)
Historias Del Chimbilax (O La Estatua Del Angel)Historias Del Chimbilax (O La Estatua Del Angel)
Historias Del Chimbilax (O La Estatua Del Angel)
 
Analisis Comparativo My Sql Vs Oracle
Analisis Comparativo My Sql Vs OracleAnalisis Comparativo My Sql Vs Oracle
Analisis Comparativo My Sql Vs Oracle
 
2º bac tutores 11_12
2º bac tutores 11_122º bac tutores 11_12
2º bac tutores 11_12
 
DOC.PDF
DOC.PDFDOC.PDF
DOC.PDF
 
Einführungsvortrag zur Europäischen Datenschutzverordnung
Einführungsvortrag zur Europäischen DatenschutzverordnungEinführungsvortrag zur Europäischen Datenschutzverordnung
Einführungsvortrag zur Europäischen Datenschutzverordnung
 
Ofimatica Web
Ofimatica WebOfimatica Web
Ofimatica Web
 
Yadi Power Point
Yadi Power PointYadi Power Point
Yadi Power Point
 
SAS 1
SAS 1SAS 1
SAS 1
 
Ray Ban Advertising Campaign
Ray Ban Advertising CampaignRay Ban Advertising Campaign
Ray Ban Advertising Campaign
 
Matematicas Tics
Matematicas TicsMatematicas Tics
Matematicas Tics
 
Mit Benchmarks Bankenkosten senken
Mit Benchmarks Bankenkosten senkenMit Benchmarks Bankenkosten senken
Mit Benchmarks Bankenkosten senken
 
Presentacionparaelcurso
PresentacionparaelcursoPresentacionparaelcurso
Presentacionparaelcurso
 
JAX 2014 - Business Technology Days | Agile Experience Design
JAX 2014 - Business Technology Days | Agile Experience DesignJAX 2014 - Business Technology Days | Agile Experience Design
JAX 2014 - Business Technology Days | Agile Experience Design
 
Kantar Wordpanel - Balance 2010 del sector Gran Consumo
Kantar Wordpanel - Balance 2010 del sector Gran ConsumoKantar Wordpanel - Balance 2010 del sector Gran Consumo
Kantar Wordpanel - Balance 2010 del sector Gran Consumo
 
dfsghfghfjgfjgjj
dfsghfghfjgfjgjjdfsghfghfjgfjgjj
dfsghfghfjgfjgjj
 
Criterios de corrección tarea 2 inglés
Criterios de corrección tarea 2 inglésCriterios de corrección tarea 2 inglés
Criterios de corrección tarea 2 inglés
 
Repositorios cecar
Repositorios cecarRepositorios cecar
Repositorios cecar
 
Der Alpenraum auf dem Weg zur innovativen eRegion in Europa
Der Alpenraum auf dem Weg zur innovativen eRegion in EuropaDer Alpenraum auf dem Weg zur innovativen eRegion in Europa
Der Alpenraum auf dem Weg zur innovativen eRegion in Europa
 

Ähnlich wie Proaktive Sicherheit durch Threat Modeling

IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
Carsten Cordes
 
Sicherheitsprüfung für HP NonStop Systeme
Sicherheitsprüfung für HP NonStop SystemeSicherheitsprüfung für HP NonStop Systeme
Sicherheitsprüfung für HP NonStop Systeme
Peter Haase
 
Security Scanner Design am Beispiel von httprecon
Security Scanner Design am Beispiel von httpreconSecurity Scanner Design am Beispiel von httprecon
Security Scanner Design am Beispiel von httprecon
Marc Ruef
 
Microsoft security workshop kurz
Microsoft security workshop kurzMicrosoft security workshop kurz
Microsoft security workshop kurz
Allessandra Negri
 
DACHNUG50 presentation 15 June 2023.pdf
DACHNUG50 presentation 15 June 2023.pdfDACHNUG50 presentation 15 June 2023.pdf
DACHNUG50 presentation 15 June 2023.pdf
DNUG e.V.
 
Cyber Security aus Sicht der Wissenschaft
Cyber Security aus Sicht der WissenschaftCyber Security aus Sicht der Wissenschaft
Cyber Security aus Sicht der Wissenschaft
Fraunhofer AISEC
 
It strategie-security-first
It strategie-security-firstIt strategie-security-first
It strategie-security-first
Ralph Belfiore
 
Webinar: Online Security
Webinar: Online SecurityWebinar: Online Security
Webinar: Online Security
kuehlhaus AG
 
Hardening Oracle Databases (German)
Hardening Oracle Databases (German)Hardening Oracle Databases (German)
Hardening Oracle Databases (German)
Carsten Muetzlitz
 
Rahmenbedingungen mobile security
Rahmenbedingungen mobile securityRahmenbedingungen mobile security
Rahmenbedingungen mobile securityPeter Teufl
 
Magento Application Security [DE]
Magento Application Security [DE]Magento Application Security [DE]
Magento Application Security [DE]
Anna Völkl
 
Zukunftstrends von Informationstechnologie und Cyber-Sicherheit
Zukunftstrends von Informationstechnologie und Cyber-SicherheitZukunftstrends von Informationstechnologie und Cyber-Sicherheit
Zukunftstrends von Informationstechnologie und Cyber-Sicherheit
Fraunhofer Institute for Secure Information Technology
 
Sicherheit in Single-Page-Web-Anwendungen
Sicherheit in Single-Page-Web-AnwendungenSicherheit in Single-Page-Web-Anwendungen
Sicherheit in Single-Page-Web-Anwendungen
Philipp Burgmer
 
Microsoft security workshop komplett
Microsoft security workshop   komplettMicrosoft security workshop   komplett
Microsoft security workshop komplett
Allessandra Negri
 
Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...
Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...
Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...
Carsten Muetzlitz
 
Innovation braucht Sicherheit - Sicherheit braucht Forschung
Innovation braucht Sicherheit - Sicherheit braucht ForschungInnovation braucht Sicherheit - Sicherheit braucht Forschung
Innovation braucht Sicherheit - Sicherheit braucht Forschung
Fraunhofer AISEC
 
Internet of (Every)Thing
Internet of (Every)ThingInternet of (Every)Thing
Internet of (Every)Thing
Fraunhofer AISEC
 
Security Smoke Test - Eine bewußte Entscheidung für die IT Sicherheit
Security Smoke Test - Eine bewußte Entscheidung für die IT SicherheitSecurity Smoke Test - Eine bewußte Entscheidung für die IT Sicherheit
Security Smoke Test - Eine bewußte Entscheidung für die IT Sicherheit
Carsten Muetzlitz
 
Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse
Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse
Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse
QAware GmbH
 
Datensicherheit: Diebstahl und Prävention
Datensicherheit: Diebstahl und PräventionDatensicherheit: Diebstahl und Prävention
Datensicherheit: Diebstahl und PräventionAcertigo
 

Ähnlich wie Proaktive Sicherheit durch Threat Modeling (20)

IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
 
Sicherheitsprüfung für HP NonStop Systeme
Sicherheitsprüfung für HP NonStop SystemeSicherheitsprüfung für HP NonStop Systeme
Sicherheitsprüfung für HP NonStop Systeme
 
Security Scanner Design am Beispiel von httprecon
Security Scanner Design am Beispiel von httpreconSecurity Scanner Design am Beispiel von httprecon
Security Scanner Design am Beispiel von httprecon
 
Microsoft security workshop kurz
Microsoft security workshop kurzMicrosoft security workshop kurz
Microsoft security workshop kurz
 
DACHNUG50 presentation 15 June 2023.pdf
DACHNUG50 presentation 15 June 2023.pdfDACHNUG50 presentation 15 June 2023.pdf
DACHNUG50 presentation 15 June 2023.pdf
 
Cyber Security aus Sicht der Wissenschaft
Cyber Security aus Sicht der WissenschaftCyber Security aus Sicht der Wissenschaft
Cyber Security aus Sicht der Wissenschaft
 
It strategie-security-first
It strategie-security-firstIt strategie-security-first
It strategie-security-first
 
Webinar: Online Security
Webinar: Online SecurityWebinar: Online Security
Webinar: Online Security
 
Hardening Oracle Databases (German)
Hardening Oracle Databases (German)Hardening Oracle Databases (German)
Hardening Oracle Databases (German)
 
Rahmenbedingungen mobile security
Rahmenbedingungen mobile securityRahmenbedingungen mobile security
Rahmenbedingungen mobile security
 
Magento Application Security [DE]
Magento Application Security [DE]Magento Application Security [DE]
Magento Application Security [DE]
 
Zukunftstrends von Informationstechnologie und Cyber-Sicherheit
Zukunftstrends von Informationstechnologie und Cyber-SicherheitZukunftstrends von Informationstechnologie und Cyber-Sicherheit
Zukunftstrends von Informationstechnologie und Cyber-Sicherheit
 
Sicherheit in Single-Page-Web-Anwendungen
Sicherheit in Single-Page-Web-AnwendungenSicherheit in Single-Page-Web-Anwendungen
Sicherheit in Single-Page-Web-Anwendungen
 
Microsoft security workshop komplett
Microsoft security workshop   komplettMicrosoft security workshop   komplett
Microsoft security workshop komplett
 
Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...
Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...
Security by Design - von der Single Instanz über DWH, In-Memory, Big Data mit...
 
Innovation braucht Sicherheit - Sicherheit braucht Forschung
Innovation braucht Sicherheit - Sicherheit braucht ForschungInnovation braucht Sicherheit - Sicherheit braucht Forschung
Innovation braucht Sicherheit - Sicherheit braucht Forschung
 
Internet of (Every)Thing
Internet of (Every)ThingInternet of (Every)Thing
Internet of (Every)Thing
 
Security Smoke Test - Eine bewußte Entscheidung für die IT Sicherheit
Security Smoke Test - Eine bewußte Entscheidung für die IT SicherheitSecurity Smoke Test - Eine bewußte Entscheidung für die IT Sicherheit
Security Smoke Test - Eine bewußte Entscheidung für die IT Sicherheit
 
Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse
Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse
Observability: Der Schlüssel für Threat Detection, Mitigation und Analyse
 
Datensicherheit: Diebstahl und Prävention
Datensicherheit: Diebstahl und PräventionDatensicherheit: Diebstahl und Prävention
Datensicherheit: Diebstahl und Prävention
 

Proaktive Sicherheit durch Threat Modeling

Hinweis der Redaktion

  1. OK