0d052 – Warum funktioniert IT-Sicherheit nicht?

In über 50 Episoden dieses Podcasts wurde immer wieder von Datenverlusten größerer und kleinerer Firmen und Organisationen berichtet. Es herrscht kein Mangel an Nachrichten in dieser Kategorie. In dieser Folge sprechen wir darüber, warum es so schwer ist, seine Assets zu schützen und welchen Herausforderungen sich die Informationssicherheit in einer Organisation stellen muss.

Datenverluste 

News

Aufgenommen am: 13.11.2019
Veröffentlicht am: 14. 11.10.2019
Intro & Outro Chiptune  CC BY SA 4.0: Pumped by ROCCOW
Logo CC BY 2.0 Richard Patterson

Disclaimer

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

2 Gedanken zu „0d052 – Warum funktioniert IT-Sicherheit nicht?

  1. logpick

    Hi Leute,
    1. An einem Hörertreffen in der Nähe von Stuttgart hätte ich persönlich Interesse.
    2. Das Konzept des Dialoges gefällt mir persönlich sehr gut dadurch wird das Thema lebhafter und wirkt nicht wie eine Vorlesung.
    3. Ein großes Lob an Stefan für 3 Stunden auf seine Rechte zu verzichten.
    4. Zum eigentlichen Thema:
    Ihr habt sehr viele Punkte angesprochen und auch sehr ausführlich dargestellt. Vielen Dank hierfür erstmal. Was mir persönlich aber noch zu kurz gekommen ist sind die Themen Updates. In meinem Beruflichen Kontext bin ich leider oft mit ungepatchten Systemen oder auch Anwendungen konfrontiert. Oft werden aus Angst keine Patches eingespielt weil die Anwendung ja danach nicht mehr funktionieren könnte. Da das Testen eines Updates bei komplexen Anwendungen aber auch gerade bei Betriebssystemen nicht wirklich möglich ist oder nur mir großen Zeitaufwand machbar ist wird es meist vernachlässigt. Das führt dazu das Systeme meist nur einmal im Jahr gepatcht werden wenn sie überhaupt gepatcht werden.
    Somit muss ein möglicher Angreifer keine großen Kenntnisse haben um eine Schwabstelle zu finden und auszunutzen.
    Was ich leider auch oft sehe sind Anwendungen die nur auf Betriebssystemen laufen die bereits Ende of Life sind. Problem hierbei ist das das System über Jahre Daten gesammelt hat und der Umstieg auf eine andere Lösung nicht ohne weiteres möglich ist weil die Daten nicht einheitlich gespeichert sind. So wird sich häufig dafür entschieden die Anwendung weiter auf einem veralteten Betriebssystem zu betreiben. Das gleiche gilt natürlich auch für PHP Versionen, Datenbanken, Webserver usw. Ich denke das Problem werden wir nächstes Jahr wieder gehäuft sehen wenn Windows Server 2008 aus dem Support fällt und die ersten Exploits veröffentlicht sind.

    Obwohl ich mit eurer Meinung konform gehe das Admins Freunde und kein Futter sind sehe ich leider immer öfters genau an diesen Punkten Meinungen die weit auseinander gehen. Ähnlich wie Stefan schon berichtete „ach wer will den das System schon hacken“.

    Zum Schluss noch ein großes Lob an euch beide das ihr euch die Mühe macht die doch teilweise komplexen Themenbereiche auch für leihen verständlich aufzuarbeiten.

    Ich hoffe ich konnte den Punkt veraltete Systeme und Updates halbwegs gut darstellen ohne zu ausschweifend zu sein

    Antworten
  2. Deus Figendi

    Hallo,
    ich habe euren Podcast gerade entdeckt und wie ich das so mache habe ich erstmal ein paar alte Folgen gehört (erst die erste und dann ca. 2 pro Jahr) und so auch diese hier.

    Insgesamt gefällt mir euer Podcast sehr gut und ich denke ich werde euch weiter zuhören.
    In dieser Episode habt ihr an einer Stelle gesagt „rasPis gehören nicht in Unternehmen“ (oder so ähnlich) und ihr ward euch da auch relativ einig.
    Mir persönlich ist dieses Urteil zu pauschal und mich würde interessieren: Warum nicht? Also woher diese wehemente Ablehnung, das ist doch auch nur irgendein Computer (halt auf ARM-Architektur) und mir sind jetzt auch keine speziellen Sicherheits-Flaws bekannt, die ihn besonders ungeeinet machen fürs Unternehmens-Umfeld.
    Also dumme Rede kurze Frage: Warum haben rPis nichts in Unternehmen zu suchen?

    Antworten

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert