Der Wunsch nach umfangreicher Sicherheit eigener IT-Infrastrukturen wächst bei Organisationen und Unternehmen. Eine Zertifizierung nach ISO 27001 Grundschutz hilft dabei, die erforderlichen Maßnahmen umzusetzen und Vertrauen bei den Kunden zu stärken. Dieser Artikel gibt einen Einstieg in die komplexe Materie.
Die Sicherheitsanforderungen an informationsverarbeitenden IT-Systemen sind in den letzten Jahren extrem angestiegen. Nicht zuletzt durch raffinierte und hochkomplexe Cyberangriffe müssen Organisationen und Unternehmen ihre Computersysteme, die immer mehr mit dem Internet verbunden sind, dagegen absichern. Da auch der Trend sehr stark zu cloudbasierten Anwendungen geht, geraten die Geschäftswerte (alles, was für die Geschäftstätigkeit relevant ist) und Prozesse, die in den informationsverarbeitenden IT-Systemen verarbeitet werden, in den Fokus von professionellen Hackern.
Ganzen Fachartikel von Thomas Burgard lesen:
https://www.zwp-online.info/publikationen/publikationen-eingestellt/digital-dentistry/dd0117
Donnerstag, 19. Dezember 2019
Dienstag, 3. Dezember 2019
Ist meine Email-Adresse bei Diensten registriert, die bereits gehackt wurden.
Email-Adresse prüfen
Hier könnt ihr prüfen , ob eure E-Mail-Adresse bei Diensten registriert ist, die bereits erfolgreich von Kriminellen angegriffen wurden.
IT-Sicherheit: 7 wichtige Regeln
Ransomware, Phishing, Viren: Ein unbedachter Klick im Browser kann ausreichen und schon landet Schadsoftware auf dem Computer. Mit etwas Strategie und Verstand surft man aber stets sicher im Netz.
Den vollständigen Artikel können Sie unter folgender Adresse lesen:
https://www.internetworld.de/technik/internet/7-goldene-regeln-it-sicherheit-2138291.html
Die goldenen Regeln vom BSI-IT-Grundschutz
Die goldenen Regeln vom BSI-IT-Grundschutz können als PDF-Datei hier heruntergeladen werden.
Der richtige Umgang mit Passwörtern
Passwörter - die Qualitätsanforderungen
Welchen Qualitätsanforderungen sollte ein Passwort genügen? Der BSI gibt hierzu eine umfangreiche Auskunft und kann hier ausführlich gelesen werden.
Ganz wichtig
Entscheidender als die Komplexität ist die Länge. Selbst aktuelle schnelle Computer brauchen teilweise Jahre, um ein Kennwort mit 20 oder mehr Zeichen zu knacken. Passwörter sollten aus mindestens acht Zeichen bestehen. Diese Zahl ist das absolute Minimum, zwölf Zeichen erhöhen die Sicherheit um ein Vielfaches, 16 sind natürlich noch besser.
Wie geht man richtig mit Passwörtern um? Dazu schreibt der BSI:
Passwörter sollten niemals unverschlüsselt auf dem PC abgelegt werden oder auf dem berühmten Notizzettel am Bildschirm kleben. Wer sich Passwörter notieren will, sollte sie stattdessen gut unter Verschluss halten bzw. auf dem Rechner in einer verschlüsselten Datei ablegen.
Mehr Informationen dazu können Sie hier lesen.
Passwort-Manager
Kostenfreier Open Source Passwort-Manager (sicheres Verwalten von Passwörtern) zum Download: https://keepass.info/
- Starke Passwörter. Sicherheit beginnt beim Passwort
- Zwei-Faktor-Authentifizierung
- Updates sofort aufspielen
- Antivirus-Software einsetzen
- Software nur von bekannten Quellen installieren
- Mails und Anhänge genau prüfen
- Back-Up erstellen
Den vollständigen Artikel können Sie unter folgender Adresse lesen:
https://www.internetworld.de/technik/internet/7-goldene-regeln-it-sicherheit-2138291.html
Die goldenen Regeln vom BSI-IT-Grundschutz
Die goldenen Regeln vom BSI-IT-Grundschutz können als PDF-Datei hier heruntergeladen werden.
Der richtige Umgang mit Passwörtern
Passwörter - die Qualitätsanforderungen
Welchen Qualitätsanforderungen sollte ein Passwort genügen? Der BSI gibt hierzu eine umfangreiche Auskunft und kann hier ausführlich gelesen werden.
Ganz wichtig
Entscheidender als die Komplexität ist die Länge. Selbst aktuelle schnelle Computer brauchen teilweise Jahre, um ein Kennwort mit 20 oder mehr Zeichen zu knacken. Passwörter sollten aus mindestens acht Zeichen bestehen. Diese Zahl ist das absolute Minimum, zwölf Zeichen erhöhen die Sicherheit um ein Vielfaches, 16 sind natürlich noch besser.
Wie geht man richtig mit Passwörtern um? Dazu schreibt der BSI:
Passwörter sollten niemals unverschlüsselt auf dem PC abgelegt werden oder auf dem berühmten Notizzettel am Bildschirm kleben. Wer sich Passwörter notieren will, sollte sie stattdessen gut unter Verschluss halten bzw. auf dem Rechner in einer verschlüsselten Datei ablegen.
Mehr Informationen dazu können Sie hier lesen.
Passwort-Manager
Kostenfreier Open Source Passwort-Manager (sicheres Verwalten von Passwörtern) zum Download: https://keepass.info/
Dienstag, 29. Oktober 2019
Wichtige Begriffe in der IT-Sicherheit
Die folgenden Begriffe spielen in der IT-Sicherheit eine entscheidende Rolle und sollten auf jeden
Fall bekannt und verstanden sein:
1. Authentizität (engl.: authenticity)
Echtheit und Glaubwürdigkeit eines Objekts bzw. Subjekts, die anhand eindeutiger Identität und charakteristischen Eigenschaften prüfbar sind.
2. Datenintegrität (engl.: integrity)
Die Datenintegrität ist dann sichergestellt, wenn es Subjekten nicht möglich ist, die zu schützenden Daten unautorisiert und unbemerkt zu manipulieren.
3. Informationsvertraulichkeit (engl.: confidentiality)
Ein System gewährleistet Informationsvertraulichkeit, wenn es keine unautorisierte Informationsgewinnung ermöglicht.
4. Verfügbarkeit (engl.: availability)
Ein System gewährleistet Verfügbarkeit, wenn authentifizierte und autorisierte Subjekte in der Wahrnehmung ihrer Berechtigungen nicht unautorisiert beeinträchtigt werden können.
5. Verbindlichkeit (engl.: non repudiation)
Ein System gewährleistet Verbindlichkeit einer Menge von Aktionen, wenn es nicht möglich ist, dass ein Subjekt im Nachhinein die Durchführung einer solchen Aktion abstreiten kann.
6. Schwachstelle (engl.: weakness)
Eine Schwachstelle ist eine Schwäche eines IT-Systems, an dem das System verwundbar werden kann.
7. Bedrohung (engl.: threat)
Eine Bedrohung ist die potentielle Gefahr, die durch eine Schwachstelle ausgelöst wird.
8. Risiko (einer Bedrohung) (engl.: risk)
Ist die Wahrscheinlichkeit des Eintritts eines Schadensereignisses und die Höhe des potentiellen Schadens, der dadurch hervorgerufen werden kann.
Fall bekannt und verstanden sein:
1. Authentizität (engl.: authenticity)
Echtheit und Glaubwürdigkeit eines Objekts bzw. Subjekts, die anhand eindeutiger Identität und charakteristischen Eigenschaften prüfbar sind.
2. Datenintegrität (engl.: integrity)
Die Datenintegrität ist dann sichergestellt, wenn es Subjekten nicht möglich ist, die zu schützenden Daten unautorisiert und unbemerkt zu manipulieren.
3. Informationsvertraulichkeit (engl.: confidentiality)
Ein System gewährleistet Informationsvertraulichkeit, wenn es keine unautorisierte Informationsgewinnung ermöglicht.
4. Verfügbarkeit (engl.: availability)
Ein System gewährleistet Verfügbarkeit, wenn authentifizierte und autorisierte Subjekte in der Wahrnehmung ihrer Berechtigungen nicht unautorisiert beeinträchtigt werden können.
5. Verbindlichkeit (engl.: non repudiation)
Ein System gewährleistet Verbindlichkeit einer Menge von Aktionen, wenn es nicht möglich ist, dass ein Subjekt im Nachhinein die Durchführung einer solchen Aktion abstreiten kann.
6. Schwachstelle (engl.: weakness)
Eine Schwachstelle ist eine Schwäche eines IT-Systems, an dem das System verwundbar werden kann.
7. Bedrohung (engl.: threat)
Eine Bedrohung ist die potentielle Gefahr, die durch eine Schwachstelle ausgelöst wird.
8. Risiko (einer Bedrohung) (engl.: risk)
Ist die Wahrscheinlichkeit des Eintritts eines Schadensereignisses und die Höhe des potentiellen Schadens, der dadurch hervorgerufen werden kann.
Dienstag, 8. Oktober 2019
Kryptographische Algorithmen
Die Sicherheit eines Verschlüsselungsverfahrens darf nur von der Geheimhaltung des Schlüssels abhängen, nicht aber von der Geheimhaltung des mathematischen Algorithmus.
Durch die bereits frühe Offenlegung des mathematischen Algorithmus erhöht sich das kryptographische System enorm, denn nach der Offenlegung des Algorithmus muss sich dieser bewähren. Kann über langer Zeit keiner den Algorithmus knacken, gilt er im Allgemeinen als vertrauenswürdig und sicher.
Wann gilt ein Algorithmus als sicher?
Durch die bereits frühe Offenlegung des mathematischen Algorithmus erhöht sich das kryptographische System enorm, denn nach der Offenlegung des Algorithmus muss sich dieser bewähren. Kann über langer Zeit keiner den Algorithmus knacken, gilt er im Allgemeinen als vertrauenswürdig und sicher.
Wann gilt ein Algorithmus als sicher?
- Der Geldaufwand zum Knacken des Algorithmus ist deutlich höher als der Wert der verschlüsselten Daten
- Die nötige Zeit zum Knacken des Algorithmus ist höher als die Zeit, die die Daten geheim bleiben müssen
- Das mit einem Schlüssel verschlüsselte Datenvolumen ist kleiner als die zum Knacken benötigte Datenmenge
Mittwoch, 2. Oktober 2019
Zehn Maßnahmen zur Absicherung gegen Angriffe aus dem Internet
Viele Computer von Privatanwendern, die zum Internetsurfen verwendet werden, sind nicht ausreichend gegen die Risiken
der Online-Welt geschützt. Kriminelle nutzen dies, indem sie solche Rechner mit Schadprogrammen infizieren und für ihre
Zwecke missbrauchen. Dadurch können Ihnen erhebliche Schäden entstehen. Zum Beispiel können die Kriminellen Ihre Daten
löschen oder ausspionieren, in Online-Shops Waren in Ihrem Namen und auf Ihre Kosten bestellen, Transaktionen beim
Online-Banking manipulieren oder Ihnen den Zugang zu Ihrem Bankkonto sperren. Die Kriminellen können Ihren Rechner
außerdem zum Teil eines Botnetzes machen und ihn so für Cyber-Angriffe auf Unternehmen oder andere Institutionen sowie
zum Versand von Spam-E-Mails einsetzen.
Hier geht's zum vollständigen Artikel
Hier geht's zum vollständigen Artikel
Donnerstag, 26. September 2019
Wie funktionieren digitale Signaturen?
Prinzipiell dient eine digitale Signatur zur Überprüfung der Echtheit von digitalen Nachrichten und Dokumenten. Die Echtheit der Signatur kann ebenfalls elektronisch geprüft werden.
Die digitale Signatur ist eine schlüsselabhängige Prüfsumme, die von einer digitalen Nachricht oder Dokument in Kombination mit einem digitalen Schlüssel (asymmetrische Verschlüsselung mit einem öffentlichen und einen privaten Schlüssel) generiert wird. Die digitale Signatur wird der Nachricht oder Dokument hinzugefügt. Die Nachricht oder das Dokument ist dann digital unterzeichnet.
Eine digitale Signatur wird benötigt, da Nachrichten und Dokumente bei der Datenübertragung manipuliert bzw. gefälscht werden können. Ein Bösewicht könnte z.B. die Absender-Adresse einer Email fälschen (hier kann sich also jemand als eine andere Person ausgeben). Auch im realen Leben könnte jemand eine beliebige Absender-Adresse auf ein Papierdokument setzen. Eine Unterschrift am Ende des Dokumentes unterstreicht die Glaubwürdigkeit des Dokumentes. Eine digitale Signatur macht letztendlich das Gleiche.
Für eine digitale Signatur müssen folgende Anforderungen erfüllt sein:
Bei der asymmetrischen Verschlüsselung dient der öffentliche Schlüssel zum Verschlüsseln und der private Schlüssel zum Entschlüsseln. Bei der digitalen Signatur werden die Daten mit Kennzeichen versehen, die durch den privaten Schlüssel hinzugefügt werden.
Mit dem öffentlichen Schlüssel kann man nun feststellen, ob die gesendeten Daten von demjenigen stammen, der mit seinem privaten Schlüssel signiert hat und ob die Daten unverändert sind.
Wie funktioniert nun genau das Signatur-Verfahren?
Für das zu versendende Dokument wird ein Hashwert ermittelt und mit dem privaten (geheimen) Schlüssel des Benutzers (Versender) verschlüsselt.
Dieses neu verschlüsselte Dokument wird mit dem Originaldokument an den Empfänger übertragen. Der Empfänger berechnet nun ebenfalls den Hashwert aus dem Originaldokument, entschlüsselt mit dem öffentlichen Schlüssel das verschlüsselte Dokument und vergleicht beide.
Das Signieren und die Überprüfung der Signatur kann sehr rechenintensiv sein. aus diesem Grund wird nicht die vollständige Nachricht signiert. Statt dessen wird aus der Nachricht zuerst eine Prüfsumme errechnet bzw. generiert, die viel kürzer sein kann als die vollständige Nachricht. Erst dann wird das Signatur-Verfahren auf diese Prüfsumme angewendet.
Die digitale Signatur ist eine schlüsselabhängige Prüfsumme, die von einer digitalen Nachricht oder Dokument in Kombination mit einem digitalen Schlüssel (asymmetrische Verschlüsselung mit einem öffentlichen und einen privaten Schlüssel) generiert wird. Die digitale Signatur wird der Nachricht oder Dokument hinzugefügt. Die Nachricht oder das Dokument ist dann digital unterzeichnet.
Eine digitale Signatur wird benötigt, da Nachrichten und Dokumente bei der Datenübertragung manipuliert bzw. gefälscht werden können. Ein Bösewicht könnte z.B. die Absender-Adresse einer Email fälschen (hier kann sich also jemand als eine andere Person ausgeben). Auch im realen Leben könnte jemand eine beliebige Absender-Adresse auf ein Papierdokument setzen. Eine Unterschrift am Ende des Dokumentes unterstreicht die Glaubwürdigkeit des Dokumentes. Eine digitale Signatur macht letztendlich das Gleiche.
Für eine digitale Signatur müssen folgende Anforderungen erfüllt sein:
- Die Echtheit einer digitalen Signatur muss überprüfbar sein.
Nur wenn die digitalen Signaturen in übertragenen Nachrichten und Dokumenten permanent geprüft werden, ist eine Infrastruktur mit digitalen Signaturen überhaupt sinnvoll. - Die digitale Signatur darf nicht von einem Dokument auf ein anderes übertragbar sein.
Eine digitale Signatur passt immer nur zu einer Nachricht oder Dokument. Es wird eine so genannte Prüfsumme zum Text der Nachricht oder Dokument generiert. Die Prüfsumme passt dann nur zu dem entsprechenden Text. - Das digital signierte Dokument darf nicht verändert werden können.
Muss ein signiertes Dokument doch geändert werden, dann muss es erneut digital signiert werden, da die alte Signatur nicht mehr zum geänderten Dokument passt. - Die digitale Signatur darf nicht fälschbar sein.
Bei der asymmetrischen Verschlüsselung dient der öffentliche Schlüssel zum Verschlüsseln und der private Schlüssel zum Entschlüsseln. Bei der digitalen Signatur werden die Daten mit Kennzeichen versehen, die durch den privaten Schlüssel hinzugefügt werden.
Mit dem öffentlichen Schlüssel kann man nun feststellen, ob die gesendeten Daten von demjenigen stammen, der mit seinem privaten Schlüssel signiert hat und ob die Daten unverändert sind.
Wie funktioniert nun genau das Signatur-Verfahren?
Für das zu versendende Dokument wird ein Hashwert ermittelt und mit dem privaten (geheimen) Schlüssel des Benutzers (Versender) verschlüsselt.
Dieses neu verschlüsselte Dokument wird mit dem Originaldokument an den Empfänger übertragen. Der Empfänger berechnet nun ebenfalls den Hashwert aus dem Originaldokument, entschlüsselt mit dem öffentlichen Schlüssel das verschlüsselte Dokument und vergleicht beide.
Das Signieren und die Überprüfung der Signatur kann sehr rechenintensiv sein. aus diesem Grund wird nicht die vollständige Nachricht signiert. Statt dessen wird aus der Nachricht zuerst eine Prüfsumme errechnet bzw. generiert, die viel kürzer sein kann als die vollständige Nachricht. Erst dann wird das Signatur-Verfahren auf diese Prüfsumme angewendet.
Abonnieren
Posts (Atom)