| 1111111111222222 | 11111111112222222222333333333344444444445555
11111111112222222222333333333344444444445555 |
|||||||||
PreConference Workshops, 26. April 2010 |
||||||||||
Intensiv-Workshop A |
||||||||||
10:00 - 13:00 |
Informationssicherheits-/IT-Risikomanagement und Möglichkeiten von IT-GRC-Werkzeugen Steffen Gundel, Berater, cirosec GmbH ( zum Abstract ) |
|||||||||
| 14:00 - 17:00 | Live-Hacking 2010: Wie brechen Angreifer heute in Ihre Systeme ein? Steffen Tröscher, Berater, cirosec GmbH ( zum Abstract ) |
|||||||||
| Intensiv-Workshop B | ||||||||||
10:00 - 17:00 |
Seven Layers of Insecurity (deutschsprachiger Workshop) René Pfeiffer und Michael Kafka, DeepSec GmbH ( zum Abstract ) |
|||||||||
Agenda, 27. April 2010 (1. Tag) |
||||||||||
| 08:30 - 09:00 | Registrierung und Second Breakfast | |||||||||
| 09:00 - 09:05 | Begrüßung und Einleitung Ulrich Parthier, Program Director it security 2010, it verlag GmbH |
|||||||||
| 09:05 - 09:50 | Netzwerk Security Management Andreas Heidötting, Thomson Reuters Deutschland GmbH |
|||||||||
| 09:50 - 10:35 | Sicherheit bei Datentransfers Detlev Riecke, Stonebranch GmbH |
|||||||||
| 10:35 - 11:00 | Kommunikationspause | |||||||||
| 11:00 - 11:45 | Praxisbeispiel Enno Rey, Geschäftsführer, ERNW GmbH ( zum Abstract ) |
|||||||||
| 11:45 - 12:30 | Die richtige Schutzlösung finden Martin Siemens, Security-Berater ( zum Abstract ) |
|||||||||
| 12:30 - 14:00 | Business Lunch | |||||||||
| 14:00 - 14:45 | Weltweites IT-Sicherheitsmanagement bei der Knorr-Bremse AG Dr. Markus Michels, Corporate Information Security Officer, Knorr-Bremse AG ( zum Abstract ) |
|||||||||
| 14:45 - 15:30 | Netzwerksegmentierung – Fluch oder Segen? Christoph Schröter, ICT Security Officer, Unique (Flughafen Zürich AG), ( zum Abstract ) |
|||||||||
| 15:30 - 16:00 | Kommunikationspause | |||||||||
| 16:00 - 17:30 | 16:00 – 17.30 Breakout Sessions – Parallele Workshops zur Auswahl |
|||||||||
Raum A |
Raum B | Raum C | ||||||||
Attacking Web Applications 2.0 (oder „Moderne Angriffe gegen Web-Applikationen") Michael Thumann, Berater, ERNW GmbH ( zum Abstract ) |
Der Windchill Faktor René Pfeiffer und Michael Kafka, DeepSec GmbH |
Quantitative und qualitative Risikosystematiken |
||||||||
| ab 19:00 | Mediterranes Abendessen im Gourmet-Restaurant Oggi (Casual Dress) |
|||||||||
| Agenda, 28. April 2010 (2. Tag) | ||||||||||
| 09:00 - 09:05 | Begrüßung zum 2. Tag der Konferenz |
|||||||||
| 09:05 - 09:50 | IDS und IPS waren gestern: Innovative Ansätze |
|||||||||
| 09:50 - 10:35 | DLP und Endgeräte-Sicherheit: Was braucht man - wie geht es? Nino Niechziol, Security Services, Landesbank Baden-Württemberg, und Ramon Mörl, Geschäftsführer, itWatch GmbH |
|||||||||
| 10:35 - 11:00 | Kommunikationspause | |||||||||
| 11:00 - 11:45 | Web Application Firewalls: Dr. Bruce Sams, Geschäftsführer, Optima bit GmbH |
|||||||||
| 11:45 - 12:30 | Sicherheit um jeden Preis? Autonome IP-Netze vs. Internet Martin Klimmasch, ITENOS GmbH |
|||||||||
| 12:30 - 14:00 | Business Lunch | |||||||||
| 14:00 - 14:45 | Security Assessment von Cisco Enterprise WLAN-Technologien Oliver Roeschke, Berater, ERNW GmbH |
|||||||||
| 14:45 -15:15 | Kommunikationspause | |||||||||
| 15:15 - 16:00 | Sicherheit und Cloud Computing -- Ein Widerspruch? |
|||||||||
| 16:00 - 16:30 | Podiumsdiskussion: Prioritätensetzung der IT-Sicherheit im Unternehmen |
|||||||||
| 16:30 - 16:45 | Closing Note |
|||||||||
|
PreConference Workshops 26. April 2010 |
«1. Tag » | |||||||||
| 14:00 - 17:00 | Intensiv-Workshops | |||||||||
Intensiv-Workshop A 10:00 - 13:00 |
Informationssicherheits-/IT-Risikomanagement und Möglichkeiten von IT-GRC-Werkzeugen Steffen Gundel, Berater, cirosec GmbH
Teil 1: Grundlagen ISMS und IT-Risikomanagement
Teil 2: Werkzeuge zur Unterstützung des Informationssicherheits- und Risikomanagements
Teil 3: Hinweise zur Einführung eines Werkzeugs
Teil 4: Vorführung eines ausgewählten Werkzeugs Teil 5: Q+A |
|||||||||
Intensiv-Workshop A 14:00 - 17:00 |
Live-Hacking 2010: Wie brechen Angreifer heute in Ihre Systeme ein?
Zunächst zeigt der Referent Angriffstechniken auf Endgeräte, Manipulationen mit mobilen Datenträgern sowie Angriffe auf Terminalserver-Umgebungen abseits des Mainstreams.Des Weiteren sehen die Teilnehmer die neuesten Angriffstechniken auf Web-Applikationen. Durch neue Technologien wie AJAX und die zunehmende Interaktion der Web-Anwendungen mit Benutzern wird auch die Angriffsfläche von Web-Applikationen immer größer. So zeigt der Referent in einer Live-Hacking-Demonstration aktuelle Angriffstechniken auf AJAX-basierte Webseiten und Techniken wie Cross-Site Request Forgery oder XPath-Injection. Beispiele behandelter Themenbereiche: Angriff auf Clientsysteme:
Angriffe auf Web-Applikationen
Weitere Aspekte
|
|||||||||
Intensiv-Workshop B 10:00 - 17:00 |
Seven Layers of Insecurity (deutschsprachiger Workshop) René Pfeiffer und Michael Kafka, DeepSec GmbH Dieser Workshop geht in einer Übersicht auf alle sieben Schichten des Kommunikationsmodells ein und zeigt Angriffsvektoren, Schwachstellen sowie typische Implementationsfehler, die zu Sicherheitsrisiken führen können. Einige Methoden werden live vorgeführt, um zu zeigen, dass die Schwachstellen nicht nur theoretisch existitieren, sondern in der Praxis leicht umgesetzt werden können. Die Vortragenden geben zu allen vorgestellten Sicherheitslücken eine Einschätzung bezüglich der Gefahrenpotentials und zeigen Mechanismen zur Abwehr bzw. Abschwächung des Risikos. René "Lynx" Pfeiffer und Michael "MiKa" Kafka (beide Geschäftsführer der DeepSec GmbH) Haben zusammen über 30 Jahre Erfahrung mit Schulungen, Consulting und praktischer Umsetzung von ITK-Sicherheit. Als Veranstalter einer Sicherheitskonferenz sind sie in ein weltweites Netzwerk von Sicherheitsexperten, IT-Anwendern und in der Hackerszene eingebunden.
Michael Kafka, geboren 1965, ist seit über 20 Jahren in der Kommunikationstechnik tätig und seit 1993 mit IT Security beschäftigt. Seit 1998 hält er als Schwerpunkt Kurse und Seminare über Netzwerksicherheit und bietet Consulting und Troubleshooting im Netzwerk- und Sicherheitsbereich.
|
|||||||||
|
Agenda, 27. April 2010 (1. Tag) |
||||||||||
| 08:30 - 09:00 | Registrierung und Second Breakfast | |||||||||
| 09:00 - 09:05 |
Begrüßung und Einleitung Ulrich Parthier, Program Director it security 2010, it verlag GmbH |
|||||||||
| 09:05 - 09:50 | Netzwerk Security Management Andreas Heidötting, Thomson Reuters Deutschland GmbH Der fortwährende Erhalt der IT-Sicherheit in einer internationalen
Organisation ist kein einfaches Unterfangen. Thomson Reuters hat ein weit
verzweigtes Netzwerk, sich ständig ändernde Anforderungen bei eng
begrenzten personellen Ressourcen. Um die besonders im Finanzgeschäft
wichtige gute Reputation gegenüber den Kunden aufrecht erhalten zu können,
stehen IT-Sicherheit und Verfügbarkeit an oberster Stelle. Thomson Reuters
zeigt, wie bei minimalem administrativen Aufwand das gesamte Netzwerk in
einem ganzheitlichen Ansatz zentral überwacht werden kann. |
|||||||||
| 09:50 - 10:35 | Sicherheit bei Datentransfers Detlev Riecke, Stonebranch GmbH
|
|||||||||
| 10:35 - 11:00 | Kommunikationspause | |||||||||
| 11:00 - 11:45 | Praxisbeispiel Enno Rey, Geschäftsführer, ERNW GmbH
|
|||||||||
| 11:45 - 12:30 | Die richtige Schutzlösung finden Martin Siemens, Security-Berater
Heutzutage benötigt jeder, der mit einem PC ins Internet geht, eine aktuelle Schutzsoftware. Auf dem Markt gibt es dazu zahllose Antiviren- und Sicherheitslösungen mit unterschiedlichen Schwerpunkten und Zielgruppen. Wie soll man bei der Vielfalt die passenden Software für das Unternehmen auswählen? Es bietet sich an, die ebenso zahllosen Vergleichstests von Schutzsoftware als Entscheidungshilfe zu nutzen. Nur helfen die Vergleichstests auch wirklich die passende Schutzsoftware zu finden? Was steckt eigentlich hinter diesen Tests. Wer macht sie? Warum? Dieser Vortrag will Licht in das Mysterium der Tests geben und mögliche Entscheidungshilfen zur richtigen Auswahl einer AV-Lösung aufzeigen. |
|||||||||
| 12:30 - 14:00 | Business Lunch | |||||||||
| 14:00 - 14:45 | Weltweites IT-Sicherheitsmanagement bei der Knorr-Bremse AG Dr. Markus Michels, Corporate Information Security Officer, Knorr-Bremse AG
|
|||||||||
| 14:45 - 15:30 | Netzwerksegmentierung – Fluch oder Segen? Christoph Schröter, ICT Security Officer, Unique (Flughafen Zürich AG)
|
|||||||||
| 15:30 - 16:00 | Kommunikationspause | |||||||||
| 16:00 - 17:30 | 16:00 – 17.30 Breakout Sessions – Parallele Workshops zur Auswahl |
|||||||||
| Raum A | Attacking Web Applications 2.0 (oder „Moderne Angriffe gegen Web-Applikationen") Michael Thumann, Berater, ERNW GmbH
|
|||||||||
| Raum B |
René Pfeiffer und Michael Kafka, DeepSec GmbH Ähnlich wie in der Meteorologie gibt es in der heutigen ICT-Landschaft einen Effekt, den wir nur als "Gefühlte Sicherheit" bezeichnen können. Abhängig von subjektiver Wahrnehmung der Wetterlage werden in der Informations- und Kommunikationstechnik Sicherheitsrisiken unter- oder überschätzt was oft zu einer unagepassten Sicherheitsstragie führt. Dieser Vortrag zeigt anhand von Praxisbeispielen, Anekdoten und publik gewordenen Fällen, welche Umstände zu einer Fehleinschätzung führen und welche Auswirkungen daraus entstehen. |
|||||||||
| Raum C | Quantitative und qualitative Risikosystematiken Die methodische Integration von quantitativen und qualitativen Risikosystematiken in ein szenariobasiertes Risikomodell ermöglicht die kongruente und transparente Vereinheitlichung der Risikodarstellung für den Entscheider. Dieses Modell folgt der strategischen Ereignis- / Konsequenzdarstellung für das Management im Sinne einer notwendigen Risiko- / Erlös- Perspektive. Die Darlegung und Überwachung (im strengen Sinn eines Frühwarnsystems) von Risikoentwicklungen, damit verbundenen Handlungsoptionen und Ermessensspielräumen ermöglichen Risikomanagement als Instrumentarium der Unternehmensführung zur Zielerreichung zu begreifen, welches vorausschauend und zeitnah Kosteneffizienz, Gewinnsteigerung, günstigerer Kapitalbeschaffungskosten, besserer Finanzierungsoptionen und die Steigerung des Unternehmenswertes objektiv und damit nachweisbar sicherstellt. Eine aktive und effektivere Steuerung, Bewältigung und Kontrolle der betriebswirtschaftlichen Entscheidungen, die Steigerung ihrer Qualität ist hier von entscheidender Bedeutung. Somit trägt das integrale Risikomanagement zur Steigerung und zum langfristigen Schutz der Unternehmenswerte bei. Es erfüllt und unterstützt die Anforderungen an die moderne Art und Weise der Unternehmensführung (Corporate Governance). Eine entsprechende softwarebasierte Unterstützung des integralen Risikomanagements mit Frühwarnsystem und prognostischer Szenariotechnik zeigen wir live am Beispiel von enrisma. Dieses offene, auf SOA-Technologie basierende System bietet unterschiedliche Integrationsmöglichkeiten, um aus bestehenden IT-Infrastrukturen die notwendigen Risikoinformationen gezielt und bedarfsgerecht ermitteln und verarbeiten zu können.
|
|||||||||
| ab 19:00 | Mediterranes Abendessen im Gourmet-Restaurant Oggi (Casual Dress) |
|||||||||
| 09:00 - 09:05 | Begrüßung zum 2. Tag der Konferenz |
|||||||||
| 09:05 - 09:50 | IDS und IPS waren gestern: Innovative Ansätze
Zur Qualitätsverbesserung solcher Systeme wird meist eine Korrelation mit den Ergebnissen von Verwundbarkeits-Scans angestrebt, so dass IDS-/IPS-Projekte oft direkt mit SIEM- und Verwundbarkeits-Management-Projekten zu synchronisieren sind. Der Vortrag stellt die heute verfügbaren Techniken und ihre direkten Abhängigkeiten von Zusatzsystemen gegenüber, beschreibt ihre Vor- und Nachteile sowie die Probleme und Herausforderungen, die bei einer Implementierung und im späteren Betrieb zu erwarten sind. Er beschreibt des Weiteren, wie man sich dem Thema sinnvoll nähert und typische Fehler, Fehlinvestitionen und Enttäuschungen vermeidet. |
|||||||||
| 09:50 - 10:35 |
DLP und Endgeräte-Sicherheit: Was braucht man - wie geht es?
|
|||||||||
| 10:35 - 11:00 | Kommunikationspause | |||||||||
| 11:00 - 11:45 | Web Application Firewalls: Dr. Bruce Sams, Geschäftsführer, Optima bit GmbH
Dieser Vortrag soll Wissenslücken über WAFs schließen. Er liefert einen herstellerübergreifenden, unabhängigen Überblick über Web Application Firewalls, deren zu Grunde liegende Verfahren, sowie Grenzen und Möglichkeiten der Technologie. Er stellt Architekturkonzepte vor, diskutiert die Integration von WAFs in die Anwendungsarchitektur und deckt Defizite in den aktuell verfügbaren Lösungen auf. Den Abschluss bildet ein Überblick über verschiedene WAF-Systeme, in der die Auswirkungen der Systeme auf die Performanz der Gesamtanwendung verdeutlicht werden.
|
|||||||||
| 11:45 - 12:30 |
Autonome IP-Netze vs. Internet Martin Klimmasch, ITENOS GmbH
Ist wirkliche Sicherheit im Internet möglich? Wie gut sind die Sicherungsmechnismen? |
|||||||||
| 12:30 - 14:00 | Business Lunch | |||||||||
| 14:00 - 14:45 | Security Assessment von Cisco Enterprise WLAN-Technologien Oliver Roeschke, Berater, ERNW GmbH
|
|||||||||
| 14:45 -15:15 | Kommunikationspause | |||||||||
| 15:15 - 16:00 | Sicherheit und Cloud Computing -- Ein Widerspruch?
|
|||||||||
| 16:00 - 16:30 | Podiumsdiskussion: Prioritätensetzung der IT-Sicherheit im Unternehmen |
|||||||||
| 16:30 - 16:45 | Closing Note |
|||||||||
| gegen 16:45 | Ende der Konferenz | |||||||||
Änderungen an der Agenda sind den Veranstaltern vorbehalten. |
||||||||||
In dem Workshop geht es darum, den Alltag und auftauchende Probleme zu skizzieren und konkrete Vorschläge anhand von praktischen Beispielen zu zeigen. Ziel ist es nicht, hochkomplexe Produkte mit Monte Carlo-Simulationsmöglichkeiten im Enterprise Risk Management zu zeigen, sondern von IT-Sicherheits-verantwortlichen beherrschbare Werkzeuge. In der modernen Unternehmensführung sind solche Management-Systeme zur Entscheidungs-Unterstützung nicht mehr weg zu denken. Damit werden Entscheidungen im Governance-, Risiko- und Compliance Management unterstützt. 
In diesem Workshop werden aktuellen Angriffstechniken ausführlich mit vielen Demonstrationen vorgestellt.
René Pfeiffer, geboren 1972, studierte Physik an der Universität Gießen und Wien. Er arbeitet seit über 12 Jahren als Systemadministrator für verschiedene Kunden und Institutionen, die meiste Zeit davon selbständig.
Seit 2001 ist er als Dozent für Informatik am Technikum Wien tätig.
Fast jeder Anwender dürfte diesen Übertragungsweg schon oft in seinem IT-Leben gewählte haben. Es ist kostengünstig, sprich frei, aber alle Daten sind unverschlüsselt. Für die Übertragung von Informationen im Bereich des Intellectual Property (etwa Konstruktionszeichnungen, Verträge, Marktplanungen, Anwaltsschriftstücke, Patienteninformationen) also denkbar ungeeignet.Jetzt kommt eine neue Generation von Verschlüsselungssoftware, die dieser Sicherheitslücke den Kampf ansagt. Beispiel: Scribbos.
Effiziente Risiko-Analyse ist eines der wichtigsten Werkzeuge moderner Sicherheitsarbeit. Nicht umsonst fordert ISO 27001 ein funktionales Risk Assessment & Management Framework in Organisationen und die ISO 27000 Familie hält mit ISO 27005 ja auch einen eigenen Standard zum Thema bereit. Leider scheitert Risiko-Analyse als Prozess in vielen Umgebungen an überzogenen Erwartungen, schlechter organisatorischer Einbindung oder zu hoher Komplexität. Der Vortrag stellt ein für einen der weltgrößten Outsourcer entwickeltes Modell („Rapid Risk Assessment") vor. Dessen Ziel ist es, effiziente Risk Assessments in kurzer Zeit (etwa einem 1-2 Stunden Conference Call) durchzuführen, um Sicherheitsentscheidungen vorzubereiten. Wir diskutieren praktische Erfahrungen mit dem Ansatz und unserer Learning Curve, und stellen wichtige Bestandteile exemplarisch bereit.
Im diesem Anwendervortrag erfahren Sie, wie man unternehmensweit IT Security Audits einführt. Ziel war es, das IT-Sicherheitsniveau in allen Niederlassungen weltweit auf dem gleichen Niveau zu halten. Die IT-Sicherheitsrichtlinie wurde am ISO Standard 27002 sowie firmeninterne Schutzbedürfnissen ausgerichtet. Die daraus abgeleitete IT-Sicherheitscheckliste überwacht die Vorgaben. Zudem wurde das IT-Sicherheitsniveau (Reifegrad) eines Standortes beziehungsweise des zentralen IT-Dienstes durch eine Metrik bestimmt, die sich an einem Capability Maturity Model (CMM) orientiert. Sie ermöglicht die Klassifizierung und Gewichtung von Risiken. Als Business Value wird der Schutz von Vertraulichkeit von Top-Managementinformationen sowie des Intellectual Property hervorgehoben.
Noch immer herrscht in der IT Sicherheit ein klassisches Schwarz-Weiss-Denken. Es wird meist nur die Unterscheidung zwischen internem und externem Netzwerk gemacht. Ist diese Unterteilung in der heutigen Zeit noch passend? Kann in der Zeit der vielen Anwendungsschwachstellen und der dadurch einfachen Ausführung von Angriffen auf interne Ressourcen diese klare Trennlinie noch gezogen werden?
Der Vortrag beschäftigt sich mit aktuellen Angriffstechniken gegen Webanwendungen. Im Zeitalter des „Webifyings" von Unternehmensapplikationen sind Web-Applikationen schon länger im Fokus der Hacker und neue Technologien wie Web 2.0 einerseits wie auch intensive Researcharbeit der Angreifer andererseits führen zu einer Vielzahl von neuen Angriffsmöglichkeiten. Die behandelten Angriffe umfassen Web Filter Bypassing, Session Hijacking, Advanced SQL Injection gegen moderne Datenbank Server und SSL Renegotiation Attacks. Live-Demonstrationen zeigen, wie aktuelle Angriffstechniken praktisch funktionieren. Eine ausführliche Diskussion effizienter und angemessener Schutzmaßnahmen rundet die Präsentation ab.
Unter dem Überbegriff Intrusion Detection und Prevention findet man unterschiedliche Techniken, die völlig verschiedene Schutzwirkungen in unterschiedlichen Bereichen und auf unterschiedlichen Ebenen erreichen. Auch die Anforderungen an den späteren Betrieb gehen je nach verwendeter Technik stark auseinander. Von klassischen netzwerkbasierten IDS-/IPS-Appliances, die vor allem Protokoll-Dekodierung und Mustervergleiche verwenden, über statistische Systeme, die Anomalien im Netzverkehr erkennen, indem Netflow-Daten ausgewertet werden, bis zu Systemen auf Basis von Honey-Tokens und Verhaltenserkennung oder Spezialisten für Web- und Datenbank-Angriffe geht die Bandbreite.
In vielen Softwareprojekten wird heute auf Web-Anwendungen gesetzt – auch in unternehmenskritischen Bereichen. Doch trotz des steigenden Einsatzes von Web Applications und folglich den vermehrten und heftigeren Angriffen auf Web-Anwendungen, sind viele Unternehmen bis heute nicht ausreichend geschützt.
Die Welt der „Enterprise WLAN-Lösungen" ist voller obskurer und nicht-standardisierter Technologien, die zu Sicherheitsproblemen führen können. Cisco bildet hier keine Ausnahme. Insbesondere die „Structured Wireless-Aware Network" (SWAN)-Architektur (die auf dem proprietären WLCCP-Protokoll basiert), aber auch moderne Wireless LAN Controller (WLC) basierte Umgebungen weisen in verschiedenen Szenarien Schwachstellen auf. In diesem Vortrag werden theoretische und praktische (!) Angriffsmöglichkeiten in solchen Netzen behandelt und demonstriert sowie die entstehenden Risiken bewertet. Ziel ist, sowohl die Investition wie auch die transportierten Daten abzusichern.
Verschiedene Studien haben in der Vergangenheit die Sicherheitsrisiken als einen der größten Hinderungsgründe für die Nutzung von Cloud Computing-Systemen und Diensten aus der Cloud hervorgehoben. Der Vortrag gibt einen Überblick über die Gefährdungen von Cloud-Computing-Systemen und stellt Maßnahmen vor, die die Sicherheit und das Vertrauen in Cloud-Systeme erhöhen können. Besonders wird dabei auf den ausgewählten Aspekte der Informationssicherheit eingegangen, wobei die Datensicherheit und sichere Identitäten im Vordergrund stehen.