IT-Trends Sicherheit - Bochum

Präsentation zum Thema: "IT-Trends Sicherheit - Bochum"—  Präsentation transkript:

1 IT-Trends Sicherheit - Bochum
Auf der sicheren Seite – Mittelstandsgerechte Lösungen zum Webseitenschutz Michael Weirich, eco e.V IT-Trends Sicherheit - Bochum

2 HTTP vs HTTPS vs IT-Trends Sicherheit 2

3 Keine Verschlüsselung
HTTP vs HTTPS vs Keine Verschlüsselung Mit Verschlüsselung IT-Trends Sicherheit 3

4 Wie gut ist Verschlüsselung?
Rechenbeispiel AES: 128 bit Schlüssel 128 bit? → Angreifer muss mit einer Bruteforce Attacke bis zu 2¹²⁸ Schlüssel raten Ist das viel? IT-Trends Sicherheit 4

5 AES brechen Heimcomputer kann ~1 Milliarde Schlüssel/s raten →~2³⁰/s
Ein Tag hat 60*60*24 Sekunden → 86400s * 2³⁰/s = ~2⁴⁶ Wie lange würde es dauern 2¹²⁸ zu Schlüssel zu probieren? 2¹²⁸ / 2⁴⁶ = ~ Tage = ~ Jahre = ~ mal das Alter des Universums IT-Trends Sicherheit 5

6 AES brechen mit mehr Power
Spezialcomputer kann 2⁵⁶ Schlüssel/Tag raten Kostet ~10.000€ das Stück IT-Trends Sicherheit 6

7 Spezialcomputer Rechnung
Wie lange würde es dauern 2¹²⁸ zu Schlüssel zu probieren? → 2¹²⁸ / 2⁵⁶ = ~ Tage = ~ Jahre = ~ Alter des Universums → Wir brauchen mehr Rechenpower! IT-Trends Sicherheit 7

8 Spezialcomputer Rechnung
Große Fabrikhalle voller Spezialcomputer: → Stück Jahre / → ~ Jahre Alter des Universums / → ~1026 mal Alter des Universums IT-Trends Sicherheit 8

9 Kryptographie gebrochen!
IT-Trends Sicherheit 9

10 Viele Fehlerquellen Implementierungsfehler Konfigurationsfehler
Designfehler Veraltete Algorithmen Ohne Verschlüsselung braucht ein Angreifer 0 Sekunden! IT-Trends Sicherheit 10

11 Angriffe auf KMU KMUs beliebtes Ziel, weil oft Wissen und Ressourcen zur Schutz vor Cyber-Angriffen fehlen Insbesondere bei IT-fernen Branchen fehlt oft das Bewusstsein für Cyberkriminalität Haupt-Angriffs-Vektor bei KMUs sind Sicherheitslücken bei Webanwendungen und Webservern KMUs beliebtes Ziel, weil oft Wissen und Ressourcen zur Schutz vor Cyber-Angriffen fehlen Insbesondere bei IT-fernen Branchen fehlt oft das Bewusstsein für Cyberkriminalität Haupt-Angriffs-Vektor bei KMUs sind Sicherheitslücken bei Webanwendungen und Webservern IT-Trends Sicherheit 11

12 SIWECOS hilft Projektpartner Unterstützt durch Projekt im Rahmen der Initiative "IT-Sicherheit in der Wirtschaft" des BMWi (Sep 2016 – Nov 2018) Initiative „IT-Sicherheit in der Wirtschaft"  Die Initiative „lT-Sicherheit in der Wirtschaft" des Bundesministeriums für Wirtschaft und Energie will vor allem kleine und mittelständische Unternehmen beim sicheren Einsatz von IKT-Systemen unterstützen. Gemeinsam mit IT- Sicherheitsexperten aus Wissenschaft, Wirtschaft und Verwaltung soll eine Grundlage dafür geschaffen werden, um die Bewusstseinsbildung in der digitalen Wirtschaft beim Thema lT-Sicherheit im Mittelstand zu stärken. Unternehmen sollen durch konkrete Unterstützungsmaßnahmen dazu befähigt werden, ihre lT-Sicherheit zu verbessern. Weitere Informationen zur Initiative und ihren Angeboten sind unter:  IT-Trends Sicherheit 15

13 SIWECOS steht für Sichere Webseiten und Content Management Systeme und hilft Unternehmen Sicherheitsprobleme auf Webseiten rasch zu erkennen und zu beheben. IT-Trends Sicherheit 16

14 SIWECOS bietet einen Webseitencheck, der Sicherheitslücken in Content Management Systemen aufdeckt. individuelle Benachrichtigungen und Handlungsempfehlungen zu Sicherheitsproblemen auf Ihrer Webseite. kompetente Ansprechpartner mit jahrelanger Erfahrung im Bereich IT-Sicherheit. und das alles völlig kostenlos IT-Trends Sicherheit 17

15 Schwachstellenscanner
HTTP-Security-Header-Scanner TLS-Scanner XSS-Scanner Information-Leakage-Scanner Schadprogramm-Scanner Ergebnisse zielgruppengerecht aufbereitet IT-Trends Sicherheit 18

16 SIWECOS – auf der sicheren Seite
Einfache Erklärungen und Beschreibungen – auch für „nicht-Techniker“ Signal-Anzeige für die unterschiedlichen Schwachstellen Zielgruppengerechte Handreichungen und Sicherheitsempfehlungen Umfangreiches SIWECOS WIKI Einfache Registrierung, Implementierung und Nutzung IT-Trends Sicherheit 19

17 SIWECOS CMS-Plugin SIWECOS Nutzung und Anmeldung auch über CMS-Plugins möglich – ohne die Webseite Einfache Implementierung und Nutzung als Add-On der CMS-Installation Aktuelle stehen SIWECOS Plugins für WordPress, Joomla und Contao bereit – weitere folgen. IT-Trends Sicherheit 20

18 Der SIWECOS Hoster-Service
Direkte Schnittstelle zu beteiligten Webhostern in Deutschland Aktive Kommunikation von Filter-Regeln zur Abwehr von Angriffen (ModSecurity) Serverseitiger Schutz von Angriffen auf die beim Webhoster installierte Webseiten – bevor die Webseiten-Betreiber infiziert werden können. Ermöglicht den proaktiven Schutz von Millionen installierten CMS-Systemen, ohne dass der Webseiten-Betreiber selbst und sofort aktiv werden muss. Weitere Informationen und Kontakt: Partner und Unterstützer IT-Trends Sicherheit 21

19 Der SIWECOS Hoster-Service
Use Case Joomla Incident im Oktober 2016: Abwehr von Attacken im Zeitraum 0-6 Uhr (= Attacken am Tag) Die Bereinigung eines solchen Angriffs kostet etwa 150€ (2,5 Stunden á 60€), Wenn nur 1% der Angriffe erfolgreich gewesen wäre ergeben sich hier Einsparungen von € für die betroffenen KMUs Das pro Tag bei diesem einen Hoster! Partner und Unterstützer IT-Trends Sicherheit 22

20 Sicherheitsgewinn durch SIWECOS
Steigerung des Sicherheitsniveaus bei KMU Nutzer- und Zielgruppenübergreifende Zusammenarbeit Security by Design IT-Trends Sicherheit 23

21 Kontakt Michael Weirich, eco – Verband der Internetwirtschaft e.V.
Lichtstraße 43h 50825 Köln Fon +49 (0) 221 – Fax +49 (0) 221 – IT-Trends Sicherheit 24

22 TLS-Scanner Der TLS-Scanner überprüft den Server ihrer Website auf schwache TLS Konfigurationen: Zertifikats-Probleme Alte Protokollversionen Schwache Verschlüsselungsalgorithmen Der TLS-Scanner schützt Ihren Server von Lauschangriffen IT-Trends Sicherheit 25

23 DOMXSS-Scanner Automatisierte Schwachstellenerkennung im Falle von DOM Cross-Site Scripting (DOMXSS) Sind potentielle Verwundbarkeiten vorhanden Sollte eine Untersuchung von einem Fachexperten durchgeführt werden? Schadcodeausführung auch ohne eine Interaktion des Servers Schutzmechanismen wie Web Application Firewalls (WAF) sind oft wirkungslos IT-Trends Sicherheit 26

24 HTTP-Security-Header-Scanner
Prüft Ihren HTTP Header auf unsichere Konfigurationen Prüft Ihre Privatsphäre-Einstellungen Prüft Ihren Clickjacking-Schutz Prüft den Cross-Site-Scripting Schutz im HTTP-Header Der HTTP-Security Header Scanner mildert u. a. Spoofing-Angriffe IT-Trends Sicherheit 27

25 Information-Leakage-Scanner
Prüft die Privatsphäre-Einstellungen des Content Management Systems Prüft Ihre Webseite auf maschinell auslesbare -Adressen Prüft Ihre Webseite maschinell auslesbare Versions-Angaben oder installierte Plugins Verhindert eine unbewusste Preisgabe Ihrer Daten im Internet an Dritte IT-Trends Sicherheit 28