Security Schulungen

[Skysnake]

Hi, ich würde mal gern wissen ob ihr schon Schulungen zum Thema Security gemacht habt, die ihr für sinnvoll haltet.

Aktuell habe ich mit die Schulungen zum BSI Grundschutz Praktiker und Berater angeschaut. Klingt an sich alles durchaus interessant und eben mit hoher Priorität bezüglich BSI Grundschutz eben.

Mir ist allerdings nicht wirklich klar, ob dabei auch vermittelt wird wie man unter Linux die Security realisiert. Dahingehend habe ich aber auch nicht wirklich was gefunden.

Und was haltet ihr von Firebrand? Oder gibt es andere Anbieter aus dem Bereich Security (Linux) die man empfehlen kann?

 

[whats4]

eine heisse kartoffel.
weil hacking & seine instrumente illegal sind.
aber security und seine instrumente legal.

blöd nur, daß die schnittmenge gegen deckungsgleich tendiert.
so ist das halt bei regeln, die von völlig ahnungslosen, in dem gebiet, juristen geschrieben & formuliert werden.
ein dilemma.
tut ein admin, der sein eigenes netzwerk, einem penetrationsangriif unterzieht, was legales, oder was illegales?
sind die programme, die er verwendet, legal oder illegal?
ist alles, was man für einen angriff verwendet, zunmindest bedenklich?
gilt das auch für ping?

spass beiseite. von allem, was ich weiss, wird das theme eben als heisse und sehr fette kartoffel gehandhabt.
nun, wen wunderts?

 

[Skysnake]

Was hat das jetzt mit dem Thema zu tun???

Es geht rein um die bessere Absicherung der eigenen Systeme.

 

[abulafia]

@whats4 Ja, was soll das? Toller Beitrag. Geht das auch in qualifiziert und sinnvoll?


Interessant ist das ja alles, richtet sich doch aber eher an Unternehmen und Behörden. Eigentlich wird man ja vom Arbeitgeber zu so einer Schulung geschickt. Von daher mal die Frage, für wen du an so einer Schulung teilnehmen willst oder ob du dich nur "privat" weiterbilden willst.

Auf den ersten Blick geht es beim IT GS viel um Normen, Strukturen und Organisation. Eher weniger darum welche Software man unter Windows/Linux einsetzen kann um Ziel x zu erreichen. Es wirkt teilweise sehr abstrakt, ist aber damit auch nicht abhängig vom eingesetzten OS. Von daher sehe ich da auch keine Praxisanleitung, wie man Linux xy gegen Bedrohung z absichert. Denke das ist nicht die Zielsetzung. Berichtigt mich bitte.

Bin gespannt auf Erfahrungsberichte, ich hatte damit bisher nichts zu tun, bin aber sehr interessiert mich in dem Bereich professionell fortzubilden.

Und was hat es mit dem IT GS Einsteiger Online Kurs auf sich? Hast den gemacht?
https://www.bsi.bund.de/DE/Themen/U...ndschutz/online-kurs-it-grundschutz_node.html
Denke da bekommt man einen Ausblick auf das, was in den beiden weiterführenden Kursen kommt.

 

[tomgit]

Und für ein Hobby magst du 2k für eine Schulung hinblättern?

Allgemein ist doch die Frage, was du unter Security verstehst. Ich nehme mal an, du meinst jetzt Netzwerksicherheit, kann aber auch Gerätesicherheit, Datensicherheit, Informationssicherheit, etc. bedeuten. Und selbst darin kann es sich wieder unterscheiden und überschneiden, ein Datenschützer muss sich nicht zwangsläufig mit Netzwerksicherheit befassen, sollte es aber meiner Meinung nach.

Wenn es dir nur um Netzwerksicherheit geht, würde ich eher eine Systemadmin-Schulung durchführen, da gibt es von Red Hat, Linux Professional Institute, etc. welche, für den Tiefgang gibt es dann noch weitere Security Schulungen. Weiß aber nicht, ob dir Cryptographie direkt weiter hilft

Wenn dir ein Zertifikat nicht sonderlich wichtig ist, kannst du dich auch mal durch das Angebot von Microsoft wühlen: https://docs.microsoft.com/de-de/learn/certifications/roles/security-engineer
Oder mal bei Coursera rumschauen.

 

[chr1zZo]

Hi, ich würde mal gern wissen ob ihr schon Schulungen zum Thema Security gemacht habt, die ihr für sinnvoll haltet.

Aktuell habe ich mit die Schulungen zum BSI Grundschutz Praktiker und Berater angeschaut. Klingt an sich alles durchaus interessant und eben mit hoher Priorität bezüglich BSI Grundschutz eben.

Mir ist allerdings nicht wirklich klar, ob dabei auch vermittelt wird wie man unter Linux die Security realisiert. Dahingehend habe ich aber auch nicht wirklich was gefunden.

Und was haltet ihr von Firebrand? Oder gibt es andere Anbieter aus dem Bereich Security (Linux) die man empfehlen kann?

Jedes OS hat ZD Lücken und unbekannte Sicherheitslücken. (Inkl. deren Hardware) Grundsätzlich würde ich immer nach dem Internetanschluss beginnen, wenn es um Sicherheit geht! Daher kleine Firewalls wie pfSense, PiHoles, Sophos Home, OPNsense und viele mehr ^^ Sowas ist die halbe Miete. Da brauch man am OS garnicht viel rum schrauben!

 

[Skysnake]

Ich zahle das schon nicht selbst . Mein AG würde gern wissen, wie Sie mich supporten können für meine Arbeit und da sehe ich das Thema Security als Themenkomplex bei dem ich noch am meisten lernen kann.

Klar ich kenne iptables, auditd, selinux, sshd, ssl/als (cypher suites) usw. Aber mit fehlt auf der einen Seite die fundierte Ausbildung und eben die Übersicht über regulatorische Anforderungen.

Aktuell bekomme ich mit das auf Grundlage von Kundenanforderungen Dinge umgesetzt werden, machen tun das aber die Admins und nicht die Software developer wie mich. Da die Software Systeme from scratch deployed wäre es natürlich Netz, wenn die den Kollegen schon Arbeit abnehmen würde. Kunden würden sich über "zu viel" Security auch eher nicht beschweren. Teils darf aber die Performance nicht leiden. Auf anderen Bereichen ist Peformance eher egal da eh zu 90% im Idle

 

[tomgit]

hüstel ich weiß nicht, wie erfreut deine Sysadmin-Kollegen sind, wenn du zu ihnen sagst "Leute, ihr habt weniger Arbeit dank mir!"
Weil weniger Arbeit bedeutet auch weniger notwendige Arbeitszeit Was da praktischer wäre, wäre vielleicht Prozesse/Schnittstellen/APIs zu modernisieren

 

[Skysnake]

Grundsätzlich würde ich immer nach dem Internetanschluss beginnen, wenn es um Sicherheit geht! Daher kleine Firewalls wie pfSense, PiHoles, Sophos Home, OPNsense und viele mehr ^^ Sowas ist die halbe Miete. Da brauch man am OS garnicht viel rum schrauben!

Durchaus richtig, aber im Allgemeinen Aufgabe des Kunden, da potenziell Leute aus aller Welt zu jeder Tages und Nachtzeit auf die Systeme zugreifen.

IDS bzw IPS Systeme sind zwar teils durchaus ein Thema und für die Zukunft sicherlich etwas was ich mir genauer anschauen sollte, aber aktuell würde ich mir eher Dinge anschauen wollen die direkt für meine Arbeit bereits jetzt relevant sind.

Ergänzung (19. März 2022)

hüstel ich weiß nicht, wie erfreut deine Sysadmin-Kollegen sind, wenn du zu ihnen sagst "Leute, ihr habt weniger Arbeit dank mir!"

Die wären ganz froh darüber weniger 0815 Task zu erledigen. Dann hätte man mehr Zeit sich mit neuen Dingen zu beschäftigen und auch weniger Streas. Wobei im Zweifel gibt es dann halt was anderes zu tun. Arbeiten gibt es immer mehr als genug....

Weil weniger Arbeit bedeutet auch weniger notwendige Arbeitszeit Was da praktischer wäre, wäre vielleicht Prozesse/Schnittstellen/APIs zu modernisieren

Das eine schließt das andere ja nicht aus.

 

[nosti]

Du kannst dir den CompTIA Security+ und anschließend Pentest+ anschauen.
grüße

 

[Skysnake]

CompTIA Security+

Den hatte ich mir bei firebrand sogar schon angeschaut, aber da war wiedermal von Windows die Rede und ansonsten recht dünn in der Beschreibung. Windows Systeme interessieren mich echt Null Komma Null.

Der Linux+ hört sich teils auch ganz nett an, aber der Umfang ist halt wieder so ne Sache. Ist ja nicht so als hätte ich mit dem Thema nichts zu tun...

Der PenTest+ klingt irgendwie seltsam. An sich interessant, aber kann man danach wirklich ein vernünftiges pen testing machen????

Ich erinnere mich da gern an einen Kollegen bei meinem vorherigen Arbeitgeber, der hatte ein System von einem Konkurrenten über ein Jahr im Single User betrieben gehalten, weil er noch jedem Fix binnen 24h wieder root war... da fasstman sich schon an den Kopf wie der das gemacht hat. Vor allem das war nen großer internationaler Konzern der das System hingestellt hat....

Vor solchen Leuten habe ich ganz ehrlich gesagt schiss, was ich nicht gut finde. Daher auch mein Bedürfnis mich in dem Bereich weiter zu bilden. Mir ist klar das man immer eine Schwachstelle übersehen kann, aber die größten Scheunentor sollten halt zu sein.

Zudem wäre in meinem Umfeld auch schon extrem viel gewonnen wenn man Angriffe wenigstens bemerken würde. Auditive Trail etc sind da z.b. so Themen, aber das muss halt am Ende auch alles stemmbar sein.

Die Nutzer von u deren Kunden komponieren z.b. ständig irgendwelche Software und treten die Systeme. Die ganzen Standardsachen wie oh da ist viel Load etc für funktionieren da nicht. An sich sollen die Nutzer Filesystem, CPU und RAM treten so gut es geht...

Ergänzung (19. März 2022)

Ps hast du die Kurse schon selbst besucht? Das wäre halt echt am aufschlussreichsten.

 

[nosti]

Für den Überblick würde ich kein Betriebssystem ausschließen. Als Security Engineer kannst du dir dein Zielsystem ja nicht wirklich aussuchen. Dein Fokus kann ja trotzdem auf Linux liegen.

schau dir gern mal den Kanal von DaVid Bombal an. Die haben auch immer wieder Live Hacking Tipps.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

hacking lernst du in keinem Kurs, auch wenn das viele Versprechen. Du lernst nur den Rahmen und die Tools kennen. Das genaue Vorgehen kann man nicht lernen, da jeder Fall individuell ist. Das hat auch viel mit Erfahrung zu tun.

Wichtig ist auch ein strukturiertes Vorgehen, damit man Lücken systematisch finden, gezielt angreifen , dokumentieren und dann beseitigen kann. Viele Frameworks und Tools zeigen dir auch allemöglichen bekannten Lücken an. Vielleicht hat dein ehemaliger Kollege auch einfach immer nur CVEs gefunden und entsprechend ausgenutzt.
GVM ist ganz nett und vor allem Managementtauglich in der Auswertung.
Für einen ganz schnellen Einstieg kannst du auch mal einen nmap Service Discovery Scan machen und einfach mal prüfen ob es bestehende CVEs für den Zielserver gibt. So kannst du sofort einen Beitrag zur Erhöhung der Sicherheit leisten.

Der CompTIA Pfad steht bei mir auf dem Plan für dieses Jahr.

Grüße

Edit: von der ganz harten Schiene, ala Verschlüsselungen auf Kollisionen prüfen und Verbesserungen implementieren reden wir lieber gar nicht. Das ist ein ganz anderes Niveau und bedarf neben tiefgreifenden technischen Verständnis auch noch ganz wilde Mathetheorie 🤗

 

[Skysnake]

Na ich will nicht wirklich etwas hacken können, sondern durch Anforderungen wie BSI Grundschutz etc unbeschadet durchkommen. Am Ende soll mir halt keiner ans Bein pinkelt können wenn es zu einem Hack kommt.

Ich gehe eigentlich davon aus, dass das früher oder später irgendwo passieren wird. Dafür sind die Systeme einfach mit zu vielen wechselnden Nutzern belegt. Mal ganz abgesehen von Innentätern.

Ich will halt in der Lage sein, keine wirklichen Schnitzer drin zu haben und im Optimalfall in der Lage zu sein Dinge wie SELinux, iptables, auditd usw richtig zu benutzen.

Windows kann ich btw ausschließen. Bei uns in der Branche ist dessen Verbreitung bei 0.0%.

Im Prinzip kann man sich ja alles ablesen mit genügend Zeit. In VXLAN hatte ich mich auch allein eingefuchst, aber man weiß dann nie ob man es wirklich verstanden hat oder den riesen Mega Fehler direkt vor der Nase übersieht.

Ich habe z.b. die Generierung von TLS Zertifikaten mit eigener rootCA automatisiert. Das tut soweit alles inklusive Revoken von Zertifikaten usw. Das es an sich auch Anforderungen für kurze Laufzeiten der Zertifikate gibt ist mir auch klar. Trotzdem wollen die Kunden am liebsten 6 Jahre als lifetime weil man es dann nicht austauschen muss...

Aber wie man jetzt richtig die Revokation list verteilt ist mir nicht wirklich klar geworden. Da verliert man sich dann auch irgendwann im Klein Klein, weil dieses ist nicht sicher und jenes nicht und bla Bla Bla....

Da wirst echt verrückt bei, vor allem wenn man dann der Einzelkämpfer ist der das umsetzen darf/muss

 

[nosti]

Der Grundschutz ist meiner Meinung nach zu allgemein. Da steht ganz viel Kram drin, aber nicht wie du es technisch konkret umsetzt. Die genauen Hintergründe erfährst du dann in den angehangenen Technischen Richtlinien und weiterführenden Dokumenten. Der Grundschutz beschreibt eher den Aufbau eines ISMS Managementsystems inklusive Risiko- Notfallmanagement und oben drauf einem kontinuierlichen Verbesserungsprozess. Von technischen Normen liest man da nur ganz wenig. Er bietet sozusagen nur ein Framework Mit definierten Bausteinen und Schritten.

Da steht dann sowas wie: angemessene Absicherung nach Stand der Technik……

Schau die z.B. mal die „BSI-Grundschutz Schulung für Praktiker“ an. Hinter dem griffigen Namen verbirgt sich nicht unbedingt was man erwarten würde.

https://www.bitkom-akademie.de/lehr...4QEORLQwcmiX5gLL3gDr3pMlSRK_eDbRoCnpkQAvD_BwE

Für spezielle Branchen reicht der Grundschutz auch nicht mehr aus, hier kommt dann zusätzlich die Kritis, bzw. der B3S-Branchenstandard hinzu.

Das wird bei uns jährlich geprüft und Auditiert, das ganze Konstrukt ist aber auch ziemlich gewöhnungsbedürftig. Die Auditoren interessieren sich vor allem für Papier und Doku, also Wo steht, wie welche Richtlinie erfüllt wird. Ich kann dir nächste Woche mal ein paar unverfängliche Sachen raussuchen.

Wenn es jetzt um den Grundschutz geht würde ich folgendermaßen vorgehen….

Durcharbeiten des Grundschutz Katalogs und gezieltes bearbeiten von einzelnen Themen um erstmal warm zu werden. Fang zum Beispiel mit der Physischen Sicherheit und Perimeterschutz an. Das kann man sich gut vorstellen und ist relativ einfach zu verstehen.

Dann eine Bestandsaufnahme der relevanten Punkte und alles mal durchgehen. Anschließend kannst du eine Art Gap-Analyse machen und neuralgische Punkte durchgehen. Die größten Probleme und Risiken zuerst. Hier müssen dann geeignete Maßnahmen abgeleitet werden, die zur Verringerung des Risikos beitragen.

Das hat auch viel mit Risikomanagement zu tun, was gar nicht deine Aufgabe ist. Wenn der Vorgesetzte beschließt ein Risiko zu akzeptieren, ist das eben so.

Wenn Sachen für einen Auditor nicht klar sind, oder er der Meinung ist, dass die Anforderung nicht erfüllt wird, gibt es auch erstmal Hinweise und bei gröberen Verstößen, Anmerkungen. So schnell fällt man nämlich gar nicht durch ein Audit durch.

Um vollends durch den Grundschutz durchzusteigen müsstest du dich zum Auditor ausbilden lassen und dann auch noch die Lust haben, den technischen Teil nicht nur auf dem Papier zu bearbeiten.

Grüße

Edit: ja der Kunde mit 10 Jahre SSL Zertifikat ist so ein Standard gefühlt. Aber da kann man ja ganz einfach auf das BSI verweisen, die geben nicht ohne Grund Empfehlungen für die Laufzeit und Schlüssellänge. Wichtig ist es dann eben auch ein System zur einfach Pflege und Verteilung der Zertifikate zu haben. Dann ist’s auch wurst wenn der Kunde jede Woche ein neues Zertifikat bekommen würde.

 

[wirelessy]

Der CISSP. Wieso? Weil Allgemein. Das wird dich auf dem Level von Linux nicht weiterbringen, oder nur begrenzt, aber dafür ganz viel allgemeine Methodik.
Ich hab meinen CISSP bei Firebrand gemacht, der Instructor kam von ISC2.
Systeme und Techstacks kommen und gehen. Methodiken bleiben!

Und hey es gibt nicht viele von uns

 

[h00bi]

Windows kann ich btw ausschließen. Bei uns in der Branche ist dessen Verbreitung bei 0.0%.

100% deiner User hocken vor Linux Clients?

 

[Skysnake]

Also die von mir zu betreuenden Systeme sind alles Server und tatsächlich zu 100% Linux. Und meines Wissens nach sind auch 100% der Systeme die nicht nur per SSH da Systeme nutzen Linux Systeme.

Aber selbst bei den Clients die nur über ssh kommen und nicht in meiner Verantwortung liegen müssten 50-80% Linuxsysteme sein.

Windows tut sich da eigentlich nur der an, der über Policies dazu gezwungen wird.

CISSP muss ich mir anschauen. Allgemein bzw Methodik ist das was ich suche. Die Tools von Hersteller XY sind für mich total uninteressant, da es im Allgemeinen Tools sein sollten die nichts kosten oder heute die und morgen ganz andere weil ein Kunde halt die Anforderungen hat und ein anderer komplett andere....

Wobei es natürlich besser ist, wenn man möglichst alles mit einem Tool erschlagen kann. Wenn der Preistag aber zu hoch dafür ist wegen einem speziellen Feature lässt sich darüber auch meist reden.

 

[HerrWausD]

Wenn ich es richtig verstehe, bist du quasi der "Admin", der hier absichern möchte. Hier würde ich den Grundschutz für dich vielleicht als eine Art groben Leitfaden sehen. Praktiker würde sich für dich nur lohnen, wenn du dich auch, wie schon geschrieben, für das große Ganze und vor allem Management interessierst. Berater (wäre die Stufe nach Praktiker) kannst du zwar die Schulung machen, aber die Prüfung wird beim BSI abgelegt und dort ist dann mehrjährige Erfahrung + Nachweisprojekte nötig. Da ist CISSP etc. schon deutlich passender für dich.

Du könntest dir aber bzgl. Grundschutz für deinen Bereich die passenden Bausteine raussuchen und schauen, ob du für die dort allgemein formulierten Anforderungen Beispiele hast, du die bereits umgesetzt hast oder nicht. So könntest du zumindest bevor es ins Detail geht alles etwas strukturieren. Bei den nicht umgesetzten Anforderungen könntest du dann im Spezialfall vertiefend schauen, wie das zu bewerkstelligen wäre.

 

[nosti]

Falls eure Firma Schulungsprogramme hat kannst du dich da auch mal umsehen.
Wir nutzen z.B. LinkedIn Learning und dort finde ich sehr viel Material. Vieles sind Examen Vorbereitungskurse, sodass man später auch mal eine Prüfung ablegen könnte.
Auch Udemy und selbst Youtube kann schon weiterhelfen.

Das Tooling ist erstmal nebensächlich. Es geht, wie du richtig sagst, um Methodik. Als erstes solltest du dir ein paar Grundfragen stellen:

• Was möchte ich schützen?
• Gegen Wen/Was muss ich mich schützen? IT-Security hat nicht nur mit Viren und Zero-Days zu tun, sondern auch mit dem Feuerlöscher im Serverraum.
• Was sind die beteiligten Bereiche/Abteilungen/Prozesse?
• Welche Ressourcen stehen zur Verfügung?

Und dafür gibts dann das ISMS. Das kannst du aber nicht allein einführen und bearbeiten.

Was du an sonstigen Tooling meinst, weiß ich nicht. Es gibt keine Lösung die dir "one button to fix it all" bietet.
Und nochmal der Hinweis, IT-Security hat nicht nur was mit Servern und Diensten zu tun. Da gehört genauso die Absicherung des Gebäudes oder Schulung der Mitarbeiter mit rein. All das wird auch im Grundschutz behandelt.

Hat dein Unternehmen irgendeine Art Zertifizierung nach ISO oder anderen Standards?
Sofern es bei euch bereits MitarbeiterInnen gibt die was mit Risikoanalyse zu tun haben, sollte man die auch zeitnah mit ins Boot holen.

Für den Einsteig schau dir das mal an:
https://www.bsi.bund.de/SharedDocs/...standard_200_3.pdf?__blob=publicationFile&v=2

Grüße

 

[Skysnake]

Meines Wissens nach nichts in dem Bereich Security.

Für physischen Schutz sind die Kunden selbst zuständig, das juckt mich im Normalfall nicht die Bohne. Auch Backups etc sind zu 99% in der Verantwortung des Kunden, wobei sich das eventuell langsam ändert.

Für mich ist also wirklich nur Software relevant. Teilweise können die Admins aber an der Art wie etwas gemacht wird nichts ändern. Z.b. wird so eine Sache wie Multifaktor Authentifizierung nicht mal eben von denen implementiert sondern das würde ich denen mal aufsetzen und Sie pflegen es bzw bauen es dann bei anderen Kunden ähnlich ein.

So Sachen wie VLANs einrichten, sshd oder iptables konfigurieren, Updates einspielen oder Passwörter setzen machen die Admins. Nen zentraler keystore um selfencrypted drives automatisch frei zu schalten wäre jetzt aber wieder was auf meinem Tisch.

Oder wenn so Sachen kommen würden wie: Erfüllen Sie für Komponente XY den BSI Schutz nach YZ.

Daher denke ich trotz der Anmerkungen, dass der BSI Grundschutz Praktiker sinnvoll wäre. Einfach nur um mal den Überblick über das Thema zu bekommen und zu wissen was es gibt und noch wichtiger was es NICHT gibt.

Der CISSP hört sich auch zu >50% relevant an von den Themen, aber das ist einfach unglaublich viel, was da gemacht und geprüft wird. Ich kann mir kaum vorstellen, dass das innerhalb von 6 Tagen so vermittelt werden kann das man das besteht. Ich kann als Physiker mir echt schnell irgendwas aneignen, aber die Menge an Information ist schon beeindruckend....

Gibt es da auch Kurse die einen hinführen? Bringt ja nichts sich da rein zu setzen und dann zu failen....

Bei security Anforderungen ist es ja wenn man ehrlich ist am Ende auch ein Cover your Ass für den Fall das doch mal etwas passiert...

Wie gesagt wenn jemand aber sinnvolle Zertifikate bzw Normen kennt immer her damit

Ergänzung (21. März 2022)

Eine Sache noch. Wenn ich mir das CISSP so anschaue, dann ist davon ja viel relevant, aber wenn man das wirklich umsetzen will brauchst du da ja ne ganze Mannschaft (5+) Leute die sich darum kümmern. Kann ich mir irgendwie bei uns kaum vorstellen. Also zumindest aktuell fehlt mir sie Phantasie für mehr als eine Stelle die sich um solche Themen kümmert