• Save
Proaktive Sicherheit durch Threat Modeling
Upcoming SlideShare
Loading in...5
×
 

Proaktive Sicherheit durch Threat Modeling

on

  • 1,029 views

Eine Einführung ins Threat Modeling

Eine Einführung ins Threat Modeling

Statistics

Views

Total Views
1,029
Views on SlideShare
1,029
Embed Views
0

Actions

Likes
0
Downloads
0
Comments
0

0 Embeds 0

No embeds

Accessibility

Categories

Upload Details

Uploaded via as Microsoft PowerPoint

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment
  • OK

Proaktive Sicherheit durch Threat Modeling Proaktive Sicherheit durch Threat Modeling Presentation Transcript

  • Proaktive Sicherheit durch Threat Modeling TÜV Rheinland Secure iT GmbH Philippe A. R. Schaeffer Chief Security Analyst
  • Wegbegleiter TÜV Rheinland Secure iT Tochtergesellschaft der TÜV Rheinland Group
      • TÜV Rheinland Group: in 68 Ländern an 350 Standorten präsent, 12.500 Mitarbeiter und 1 Mrd. Umsatz in 2007
      • Der unabhängige, neutrale Partner für IT-Security , IT-Prozesse und IT-Qualität im deutschen Markt
      • An 6 Standorten deutschlandweit mit ca. 100 IT-Experten
      • Wir versetzen unsere Kunden in die Lage, die Chancen der IT optimal zu nutzen und dabei Risiken in Bezug auf Sicherheit und Qualität zu identifizieren und zu vermeiden.
      • Durch neutrale Analysen, Tests und Konzepte unterstützen wir Unternehmen, ihre informationstechno- logische Infrastruktur, Prozesse und Produkte zu optimieren.
      • Dabei nutzen und entwickeln wir Standards .
    Hamburg Hannover Berlin Köln Saarbrücken Stuttgart Standorte TÜV Secure iT GmbH Standorte TÜV Rheinland Group
  • Das Technik-Team.
    • 10 hauptberufliche Hacker aus verschiedenen Bereichen
        • ISO 27001 Auditoren
        • ITIL Foundation Manager
      • Sicherheitsanalysen von Anlagen, Systemen, Netzwerken und Software
      • Erstellung und Prüfung von IT-Security-Strategien und Konzepten.
      • Externe und Interne Penetrationstests.
      • Gutachten im Bereich Netzwerke, Hochverfügbarkeit, IT-Security.
      • Beratung und Schulung im IT-Security-Umfeld.
      • Quelltextanalysen (Code Review)
      • Binäranalysen (Reverse Engineering)
      • Proof-of-Concept-Erstellung
      • etc …
  • Wozu IT-Sicherheit?
    • Informationen sind Unternehmenswerte
    • Zunehmende Komplexität
    • Immer stärkere Vernetzung und Interaktion
      • Stetig wachsende Abhängigkeit von der IT
    • Gesetzliche Anforderungen (PCI DSS, Geheimschutz, ...)
      • IT-Sicherheit schafft Arbeitsplätze
      • bzw. erhält meinen
  • Traditioneller Ansatz Sicherheit Schaffen
    • Sicherheit ist ein Netzwerkthema => „Border Security“
        • Firewall
        • Web Application Firewall
        • Intrusion Detection/Prevention System
    • Schutz gegen Protokoll-Anomalien
    • Nutzlos gegen Sicherheitslücken auf Architekturebene
  • Traditioneller Ansatz Sicherheit Prüfen
    • Penetrationstest & Code Review
          • Findet nach der Implementierung statt - reaktiv
        • Zeitintensiv
        • Betrachtet Designfehler nur bedingt
          • Vernachlässigt die Interaktion von Applikationen
          • Geltungsbereich für Code Review schwierig zu spezifizieren
  • Traditioneller Ansatz - Beispiel Firewall IDS DMZ IPS Markthalle $$$$
  • Philosophie
    • Wenn du den Feind und dich selbst kennst, brauchst du den Ausgang von hundert Schlachten nicht zu fürchten …
    • Wenn du weder den Feind noch dich selbst kennst, wirst du in jeder Schlacht unterliegen.
    • Sun Tzu, ca. 500 v.Chr.
  • Traditioneller Application Life Cycle
  • Proaktive Sicherheit durch Threat Modeling Secure Software Development Lifecycle (SSDL)
      • Methodischer Ansatz zum Erkennen von Sicherheitslücken
      • In den Entwicklungsprozess eingebettet
      • Risiken werden vor der Implementierung erkannt
      • Analyse komplexer Architekturen möglich
      • Grundlage für reaktive Untersuchungen
  • Beteiligung am Threat Modeling
    • Management oder Marketing
        • Management-Awareness
      • Leitende(r) Entwickler/Architekt
        • Entscheidungskompetenz und -befugnis
      • QA-Abteilung
        • Sicherheitslücken sind Fehler mit besonderer Wirkung
      • Security-Experte
        • Sicht des Angreifers
        • Vermeiden von Betriebsblindheit
  • Vorgehensweise
    • Analyse von Software und IT-Infrastruktur
    • Identifikation möglicher Angriffsziele
    • Bewertung und Priorisierung der Schwachstellen
    • Ableitung von Maßnahmen
  • Analyse von Software und IT-Infrastruktur Datenfluss – Ebene 1
  • Analyse von Software und IT-Infrastruktur Datenfluss – Ebene 2
  • Identifikation möglicher Angriffsziele Entry Points
    • CMS-Administrator
    • Redakteur
    • Dateitransfer
    • anonymer Benutzer
    • CMS-Administrator
    • Redakteur
    • Stored Procedure XY
    • anonymer Benutzer
    • Suchmaske
    • Redakteur
    • CMS-Administrator
    • Login-Seite
    • anonymer Benutzer
    • Redakteur
    • Portalseite
  • Identifikation möglicher Angriffsziele STRIDE
    • S poofing Identity
    • T ampering with data
    • R epudiation
    • I nformation disclosure
    • D enial of service
    • E levation of privilege
    = Vortäuschen einer falschen Identität = Manipulation von Daten = Abstreitbarkeit = Preisgabe von Daten = Störung der Verfügbarkeit = Ausweiten von Berechtigungen
  • Identifikation möglicher Angriffsziele Exemplarische Bedrohungen
    • SQL-Injection
    • Brute-Force auf Login-Seite
    • XSS
    • Fehlermeldungen
    • Privilege escalation
    • etc.
  • Angriffsbaum
  • Bewertung und Priorisierung der Schwachstellen Bedrohungen priorisieren mit DREAD
    • D amage Potential
    • R eproducibility
    • E xploitability
    • A ffected Users
    • D iscoverability
    . . . . . . etc. 30 2 9 8 3 8 Privilege escalation 20 8 1 5 5 1 Fehlermeldungen 35 8 5 4 10 8 Sniffen FTP 50 10 10 10 10 10 SQL-Injection Summe D A E R D Bedrohung
  • Ableitung von Maßnahmen
  • Beispiel einer Bedrohungsanalyse nach Threat Modeling Ansatz
  • Vorteile
    • Tiefes Verständnis der Applikation / des Systems
    • Erkennen von (Design)-Fehlern
    • Erkennen von Fehlern vor der Implementierung (Kostenfaktor)
    • Strukturierte und priorisierte Liste von Bedrohungen
    • Grundlage für reaktive Tests (Pentest, Code Review)
    • Sicherheit wird Bestandteil des Entwicklungsprozesses (SSDL)
  • Wie können wir Sie unterstützen?
    • Fundierte Kenntnisse und Erfahrungen im Bereich IT-Security
    • Prozess-/Service-orientierte Sicht der Angreifers
    • Moderation
    • Programmier-Workshops
    • Secure Software Development Lifecycle (SSDL)
    • Compliance (PCI DSS, Geheimschutz, …)
  • Philippe A. R. Schaeffer TÜV Rheinland Secure iT GmbH Chief Security Analyst Tel. +49 221 806 2485 Email [email_address] Vielen Dank für Ihre Aufmerksamkeit! Haben Sie Fragen?