SBA Live Academy - "BIG BANG!" Highlights & key takeaways of 24 security talks

1
Willkommen
zur SBA Live Academy
#bleibdaheim #remotelearning
Heute: Finale!
by Stefan Jakoubi & Thomas Konrad
This talk will be recorded!

2
Die Idee
SBA Research, © 2020
Wir stecken z‘Haus fest
Wir wollen lernen
Wir wollen Impulse setzen
Wir wollen Erfahrungsaustausch
Ein Format, das sich „zwischendurch ausgeht“
Let‘s do it ☺

3
Die Zahlen
• 25 SBA Live Academy Talks innerhalb 9 Wochen
• Talks & Slides verfügbar
• ~ 800 Minuten Security Content
• ~ 900 TeilnehmerInnen
https://www.sba-research.org/sba-live-academy/

4
Behind the Scenes

5
Das edle Menü für das Gala Dinner
Remote Security
Windows Domain
Security
Supply Chain Risk
Certificates
Cloud Security
Software Security
Incident Response
Passwords
Datenschutz
Software Security
Cyber Resilience
Web Security
Lex externe
MitarbeiterInnen
(I)Iot Security
KRITIS
Linux Kernel Sec
COVID19
Simulationen
OWASP SAMM
Lex Crypto
Linux Containers
Secure Computing

6
1 Talk – 1 Minute

7
SBA Live Academy Thema 1+2/25
Remote Access – Top Security Challenges – Teil 1&2
Günther Roat, Philipp Reisinger (SBA)
SBA Research gGmbH, 2020

8
Take-Aways
• Top Remote Security Challenges – Teil 1
o Mangelhafte (Umsetzung der) Regelwerke
o Security vs. Usability
o Fehlende Schulungen
o Erhöhte Gefahr von Social Engineering
o Mangelhafte Information (Data) Governance
o Sync von Daten auf mangelhaften Endgeräten

9
Take-Aways
• Top Security Challenges – Teil 2
o Mangelhafte 2FA Durchdringung
o Mangelhafte Netzwerksegmentierung
o Admin-Interfaces aus Internet erreichbar
o Nutzung alter (unsicherer) Protokolle
o Mangelnde 3rd Party Security (Dienstleister)
o Mangelhafte (Remote-) Notfallpläne

10
Take-Aways
• Herausforderungen
o Sichtbarkeit (breite Datenlage fehlt oftmals)
o Risiko vs. Wirtschaftlichkeit („ZDF“)
o Security vs. Usability
(v.a. wenn‘s schnell gehen muss)

11
Take-Aways

12
SBA Live Academy Thema 3/25
Angriffe auf Windows-Domains und Delegation
Reinhard Kugler (SBA)

13
Take-Aways
• Active-Directory-Forest ist äußerst komplex
• Viele alte Attacken funktionieren oft nicht mehr
• Neue Ansätze
o Kerberos-Tickets
o Delegation
o Forest Trust

15
Take-Aways
• Constrained Delegation ignoriert
den Service-Typ!
• BloodHound ist ein Tool zur
automatischen Analyse solcher AD-
Angriffsvektoren

16
Take-Aways
• Was kann ich tun?
o Vertrauensbeziehungen ansehen!
o Delegation-Attribute prüfen!
o Admins in die „Protected Users Security Group“!
o Least Privilege!

17
Und, wir geht‘s Ihrer Supply-Chain heute so?
Stefan Jakoubi (SBA)

18
Mein Risiko?
Ist “Supply-Chain-Cyber-Risiko” Teil meiner Risikoanalyse?
??? %

19
Take-Aways
• Unterbeleuchtete Thematik
• Ökosystem des Unternehmens verstehen
• Business Impact verstehen zur Priorisierung
• Datenfluss „heikler“ Informationen folgen

20
CRLite – Revocation for X.509 certificates in the browser – this time
for real?
Mathias Tausig (SBA)

21
Take-Aways
• Revocation in der Web-PKI ist kaputt
o Zählt zu den kompliziertesten Prozessen einer CA
o Aktuell großteils nicht funktionsfähig und verwendet
o Großer Aufwand für vergleichsweise kleinen Nutzen
• Versuche
o CRLs
o OCSP
o OCSP Stapling
o OCSP Must-staple

22
Take-Aways
• CRLite
o Liste aller Revocations
o Speicherung: Cascading Bloom Filter
o Probabilistisch (a.k.a. „Objekt nicht im
Filter“ oder „Objekt wahrscheinlich im
Filter“)
o Aktiviert in Firefox Nightly
o Akt. Filtergröße: 1.3 MB für 700k Zerts
• Diesmal wirklich? Vielleicht!

23
Cloud Security Zertifizierungen und Gütesiegel
Günther Roat (SBA)

24
Take-Aways
• Shared Responsibility
• Verantwortungsgrenzen kennen
• Auslagerung in eine (zertifizierte) Cloud
transferiert nicht die
Risikoverantwortung
Verantwortung SaaS PaaS IaaS
Information & Data
Accounts & Identities
Directories & Authentication
Applikationen
Operating System
Netzwerksicherheit
Physische Hosts & Datacenter
KundeKunde CSPCSP

25
Take-Aways
• Strukturiert die Verantwortungsgrenzen
herausarbeiten und klarstellen, bspw. via ISO
• ISO27017 als Ergänzung zu ISO27001
o Type1 Control: getrennt für Service Provider & Customer.
o Type 2 Control: gilt für beide Rollen gleichermaßen.
CSP and Customer should agree upon the procedure to respond to
digital evidence requests etc. (SLA-Thema)
• ISO27018 als Ergänzung zu ISO27001/17 für PII

26
SBA Live Academy-Thema 7/22
The Future of Software Security –
Towards a Mature Lifecycle and DevSecOps
Thomas Konrad

27
Take-Aways
D.h. du willst mehr Kohle?
Nein. Ich will die limitierten Ressourcen
effizienter nutzen.

28
Take-Aways
• Steps towards DevSecOps
o #1: Start with simplification.
o #2: Push existing pockets of success.
o #3: Offer self-service security tools.
o #4: Work with both empowerment and accountability.
o #5: Create and promote a culture of continuous learning.

29
I know what they did last Summer…
Andreas Tomek (KPMG)

30
Take-Aways
• Planung ist alles
o In der Stress-Situation ist vieles zu spät
o Wird vor allem teurer (Durchlaufzeit, Tagsätze,…)
• Interne Kommunikation ist essentiell
o Teure IR sind eingekauft worden, obwohl auf der anderen
Seite der Welt nur ein Pentest war
• Bei einem (großen) Incident ist Truppenstärke wichtig
• Planspiele auch in „Stress-Situationen“ durchführen
o Nicht nur wenn es ruhig ist >> Fehleinschätzungen

31
Take-Aways
Quelle: Cyber Security in Österreich (KPMG, 2020)

32
Passwords: Policy and Storage with NIST SP800-63b
Jim Manico
(Founder of Manicode Security & former board member for the OWASP
foundation)

33
Take-Aways
• Thema betrifft alle!
• Wie eine gute Passwort-Policy aussieht, hat sich
stark verändert: NIST SP 800-63b
• Passwortspeicherung nicht immer optimal

34
Take-Aways
• Moderne Passwortrichtlinie
o Keine künstliche Beschränkung der Passwortstärke
(abgesehen von einer großen Maximallänge)!
o Kein Passwort-Ablauf mehr!
o Mindestlänge!
o Liste häufiger Passwörter prüfen!
o Multi-Faktor-Authentifizierung!
o Verwendung von Passwortmanagern empfehlen!
o ...

35
Take-Aways
• Passwortspeicherung
o Wichtige Faktoren
– Eindeutiger Salt
– Work-Faktor
o bcrypt, scrypt oder Argon2i

36
A Primer in Single Page Application Security (Angular, React, Vue.js)
Thomas Konrad (SBA)

37
The DOM Is A Mess: XSS Sinks
Imagesource:https://www.youtube.com/watch?v=vYA81UAExKA
https://github.com/wisec/domxsswiki/wiki

Classification: Public 38
SPAs, innerHTML and XSS

Angular sanitizes this!

Makes you fear!

Makes you feel safe!
const html = '<img src=x onerror=alert(1)/>';const html = '<img src=x onerror=alert(1)/>';Input:
<img src=x />

39
Wozu Datenschutzgesetze?
Gerald Sendera (SBA)

40
Take-Aways
• Durch 300.000 Personen wurde die Erstellung von
Profilen von 87.000.000 Personen ermöglicht!

41
Take-Aways

42
Take-Aways

43
Take-Aways

44
Cyber Resilience – Failure is not an option
Simon Tjoa (FH St. Pölten)

45
Take-Aways

46
Take-Aways
• Cyber Security vs. Cyber Resilience
o Change in Mindset: „we assume breaches“
o Be prepared for the unexpected

47
Take-Aways

48
Take-Aways
• Resilience vs(?) Artificial Intelligence

49
Using HTTPS by Default: How Web Servers Can Make the Web More
Secure
Matthew Holt (Full-time open source developer, project lead of the Caddy
web server)

50
Take-Aways
• Transportverschlüsselung wird überall erwartet
• Eine gute TLS-Konfiguration ist schwierig
• Webserver sind oft in systemnahen Sprachen
geschrieben (Performance vs. Sicherheit)

51
Take-Aways
• Der Caddy-Webserver
o braucht minimal nur einen Domänennamen,
o hat eine Top-Standardkonfig inkl. OCSP Stapling,
o installiert in Dev-Umgebungen vollautomatisch
ein Pro-Host-CA-Zertifikat im Betriebssystem,
o und ist in einer memory-safe Programmiersprache
geschrieben.

52
Rechtliche Risiken mit externen Mitarbeitern
Stefan Eder (Benn-Ibler)

53
Take-Aways
• Altes Thema – aktuell neue Dimension
• Gleiche Sicherheitsrisiken wie im Unternehmen,
aber in „unkontrollierter“ Umgebung
• Spezialfall Home-Office
o Private Infrastruktur, im Haushalt lebende
Personen, kein Shredder, physische Sicherheit,…
o Wer ist rechtlich wofür verantwortlich?

54
Take-Aways

55
Take-Aways
• Sehe Forschungsprojekt für CISOs >>
Aufbereitung regulative InfoSec-Anforderungen

56
Take-Aways

57
Physical Attacks against (I)IoT-Devices, Embedded Devices,
Microcontrollers and System on Chips (SoC)
Christian Kudera (SBA)

58
Take-Aways
• Thema ist mM Blind Spot in Unternehmen
o Security Audits?
• Side-Channel-Attacks über
Analyse des Stromverbrauchs
o Beispiel RSA >> über Stromverbrauch des Chips
konnte der Private-Key extrahiert werden

59
Take-Aways
• Problem des „Test-Security-Bypass“
• Unterschiede in Preis & Qualität bei Herstellern

60
Take-Aways
• Haben supercoole Instrumente ;-)

61
Threat Modeling 101 – eine kurze aber praxisnahe Einführung
Daniel Schwarz (condignum)

62
Take-Aways
• Kaum jemand hat einen guten Überblick über
technische Bedrohungen, die das eigene
Produkt betreffen
• Meistens ein Blindflug

63
Take-Aways
• Bei der Design-Phase ansetzen
• Liste mit folgenden Spalten
o Bedrohungsszenario / Schwächen / Angriffe
o Kritikalität
o Maßnahmen
• Die drei goldenen Regeln
o Just do it!
o Starte so früh wie möglich!
o Kommunikation ist der Schlüssel!

64
Angriffe gegen das Stromnetz – Wenn der Strom nicht mehr aus der
Steckdose kommt
Johanna Ullrich (SBA)

65
Take-Aways
• Stromnetz ausgelegt auf 50Hz synchronisiert <>
europaweites Ausgleichen von Schwankungen
• Simulationen/Lastprofile für Prognosen
• Laufende Messung der Frequenz
o außerhalb Bandbreite >>
ausgleichende Gegenmaßnahmen

66
Take-Aways
• Beispielhaftes Problem:
o Schnellste Gegenmaßnahme reagiert in
Sekunden (Hochfahren 15 Minuten)
o Basieren teilweise auf Rotationsmassen
>> Problem bei zB Photovoltarik
• Angriff: Massive schnelle
Laständerungen im Millisekunden-Bereich
zB (I)IoT Botnetz

67
Take-Aways
• Forschungssimulation
o Bitcoin-Mining-Ausfall in Europa könnte zukünftig
europaweiten „Stromangriff“ erzeugen
• Wunder Punkt komplette Abschaltung (Blackout)
o Wiederanlauf herausfordernd
>> brauchen zB auch Strom, um wieder zu starten

68
Take-Aways

69
After the overflow: self-defense techniques of the Linux Kernel
Reinhard Kugler (SBA)

70
Take-Aways
• Wir müssen Angriffe erwarten!
• Annahme: RCE passiert
• Wie können wir den Angriff bremsen?

71
Take-Aways
• Prozesse haben Capabilities
• Diese kann man einschränken
o systemd-Konfiguration
o # setcap
o AppArmor
o SELinux
o seccomp (systemd, Docker)

72
Die COVID-19 Krise und Simulationsmodelle. Was kann man sagen?
Und was nicht?
Niki Popper (dwh)

73
Take-Aways
• 10+ Jahre an Forschung, um heute „schnell“ Modell ergänzen und
tunen zu können
• Simulationen zeigen auch mögliche Effekte
o Wirksamkeit von Maßnahmen, Ressourcenplanung (Betten),…
• Unterschiedliche Methoden
o Kausale: Versuch Kausalitäten zu verstehen (modellierbar zu machen), um
auch Prognosen zu treffen trotz mangelhafter Datenlage
o Herausforderung: Kalibrieren
– ~9 Mio Menschen <> Kausalitäten <> Scoping
– Bspw. Personen sind 2 Wochen ansteckend >> in Wahrheit aber nicht wirklich,
weil sie ja dann zu Hause bleiben oder im Krankenhaus sind >> muss in
Modellierung berücksichtigt werden

74
Take-Aways
• Sofort der Gedanke gekommen, Forschungsprojekt
anzugehen:
Angriffs-Auswirkungen & Maßnahmen-Effekte

75
Take-Aways

76
OWASP SAMM 2.0: Your Dynamic Software Security Journey
Sebastien Deleersnyder (OWASP SAMM co leader, Toreon)

77
Take-Aways
Softwaresicherheit wird immer noch als das
Einbauen von Sicherheitsfeatures
gesehen, und nicht als das
Einbauen von Sicherheit in die Art und Weise,
wie wir Software bauen.

78
Take-Aways

79
Kryptographie auf rechtlichem Prüfstand
Lukas Feiler (Baker & McKenzie)

80
Take-Aways
• Verschlüsselt heißt nicht automatisch anonym
o Möglicherweise trotzdem von GDPR erfasst, weil
Begriff sehr weit gefasst ist!
(„wenn irgendwie die Möglichkeit besteht…“)
o Schlüssel wegwerfen oder „salted“ Hash ergibt
tatsächliche anonymisierte Daten
• Pflicht zu Verschlüsselung?
o Abgesehen von regulierten Bereichen >> es kommt
darauf an: Art. 32 „angemessene Maßnahmen“

81
Take-Aways
• Elektronische Signatur
o Es geht um Beweiskraft
o Ja, auch mit internem Zertifikat signiert ist hinreichend
o Via „qualifiziertem Vertrauensdienstleister“ ist „noch
qualifizierter“ und für klar definierte Anwendungsfälle
zwingend erforderlich
o Qualifizierte elektronische Signatur ist rechtlich
gleichwertig zu „analoger“ Unterschrift
o Unbeschränkte (!) Haftung von Certificate Authorities
(Beispiel DigiNotar)

82
Linux Containers
Mathias Tausig (SBA)

83
Take-Aways
• Containers have a long history
• Containers are more lightweight than VMs, but
have worse isolation
• System Container (LXC) vs. Aplication
Container (Docker)
• Privileged vs. Unprivileged Container

84
Take-Aways
• Linux Containers: LXC
o Userspace-Interface für Kernel-Containment-
Features (Namespaces, cgroups)
o LXD ist ein gut benutzbares LXC-Interface

85
Take-Aways
• LXC-Container für EntwicklerInnen
o Isoliertes Ausführen von Applikationen
o Entwicklungsumgebungen mit separaten
Dependencies
o Testumgebungen

86
Tools & Techniques from building a DevSecOps culture at Mozilla
Julien Vehent (Mozilla)

87
Take-Aways
To go beyond the security team,
get the security team closer to your organization

88
Take-Aways
Clear Expectations

Checklist

Self Assessment

Profit

93
What the heck is secure computing?
Matthias Gusenbauer (SBA)

94
Take-Aways
• Kontext: Berechnungen auf verschlüsselten
Daten durchführen
• Talk-Fokus: Multi-party Computation (MPC)

95
Take-Aways
• …

96
Take-Aways
• Use-Cases
o Machine Learning
o Berechnung des Kredit-Scores
o Statistische Analysen auf medizinischen Daten
• Key Take-Aways
o Secure Computation ist möglich (MPC)
o MPC ersetzt „Trusted third parties“
o MPC kann neue Geschäftsmodelle erschließen und
Sicherheit und Privatsphäre verbessern

97
SBA Live Academy Highlights
Stefan Jakoubi & Thomas Konrad (SBA)

99
Stefan Jakoubi
SBA Research gGmbH
Floragasse 7, 1040 Wien
+43 660 5 10 20 40
sjakoubi@sba-research.org
Thomas Konrad
SBA Research gGmbH
Floragasse 7, 1040 Wien
+43 664 889 272 17
tkonrad@sba-research.org

101
Weitermachen
mit dem Security Meetup by SBA Research
#keeplearning
https://www.meetup.com/Security-Meetup-by-SBA-Research/

102
#bleibdaheim #remotelearning
Coming up - Security Meetup by SBA
10.06.2020, 18.00 Uhr, live:
"Secure development on
Kubernetes” by Andreas Falk
(Novatec Consulting)
Language: English
Treten Sie unserer Meetup Gruppe bei!
https://www.meetup.com/Security-Meetup-by-SBA-
Research/

103
SBA Live Academy-Afterparty!SBA Live Academy-Afterparty!

SBA Live Academy - "BIG BANG!" Highlights & key takeaways of 24 security talks

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie SBA Live Academy - "BIG BANG!" Highlights & key takeaways of 24 security talks

Ähnlich wie SBA Live Academy - "BIG BANG!" Highlights & key takeaways of 24 security talks (20)

Mehr von SBA Research

Mehr von SBA Research (20)

SBA Live Academy - "BIG BANG!" Highlights & key takeaways of 24 security talks