03.11.2021 Online
INHALTE
Grundlagen des Schwachstellenmanagements
- Was ist eine „Schwachstelle“?
- Schwachstellen-Typen
- Wie bewertet man Schwachstellen?
- Informationsquellen zu Schwachstellen
- Gefahren bei Web-Anwendungen
Schwachstellenscanner – Technologie
- Wie Schwachstellenscanner funktionieren und welche Möglichkeiten sie bieten.
- Scanning auf Netzwerk-, Betriebssystem- und Anwendungsebene
- Produktbeispiele: Nessus, OpenVAS und andere Werkzeuge
- Automatisiertes Schwachstellenscanning
- Integration von Schwachstellenscannern in das interne Netz und in den DMZ-Bereich
- Risiken beim Schwachstellenscanning und Penetration Testing
Schwachstellenscanner – Betrieb
- Elemente eines Konzepts für Schwachstellenscanning, Security Testing und Penetration Testing
- Festlegung von Scan-Zielen und Vorgaben zu Scan-Methode, Testtiefe, Testfrequenz
- Auswertung von Scan- bzw. Testergebnissen und zugehörigem Berichtswesen
- Anforderungen aus Standards der Informationssicherheit
Web-Application-Scanner
- Herausforderung Web-Anwendungen
- Grundlagen von Web-Application-Scannern
- Produktbeispiele
Sonstige „Hacker“-Tools
- ScaPy – Netzwerkpakete in Python manipulieren
- NMAP – der Klassiker unter den Portscannern
- Metasploit – das umfassende Framework für Angriffe
- Ettercap und Yersinia – Netzwerkangriffe auf Netzwerk-Layer 2 und 3
Demonstration
- Schwachstellenscanner
- Web Application Scanner
- Sonstige Tools
MOTIVATION
Sicherheitsrelevante Schwachstellen in Software sind allgegenwärtig. Man hört immer wieder von Datenlecks, Hacks und Notfall-Patches. Das ist nicht weiter verwunderlich. Software wird immer komplexer und mit zunehmender Komplexität steigt das Risiko, dass Fehler auftreten.
Da sich Schwachstellen nicht vermeiden lassen, muss man damit sinnvoll umgehen. Der erste und wichtigste Schritt dabei ist, die Schwachstellen zu kennen. Hier können diverse Tools unterstützen, von kommerziellen und einfach zu benutzenden Appliances bis hin zu Bibliotheken für komplexe Eigenentwicklungen, die für Spezialfälle relevant sein können.
Dieses Seminar beschäftigt sich genau mit dieser Technologie auf verschiedenen Ebenen. Dazu werden zunächst die notwendigen Grundlagen vermittelt, beispielsweise die Einstufung von Schwachstellen nach dem „Common Vulnerability Scoring System“ (CVSS) sowie Arten von Schwachstellen und Informationsquellen wie die CVE-Datenbank.
Ausgehend davon werden technische sowie betriebliche Aspekte von Schwachstellenscannern erläutert. Diese umfassen die verschiedenen Betriebsmodi, Netzwerkaspekte sowie Vorteile, Nachteile, Möglichkeiten und Einschränkungen. Es werden ebenfalls die Herangehensweisen der verbreitetsten kommerziellen und freien Tools beschrieben.
Des Weiteren wird die Schwachstellenanalyse bei (individualisierten) Web-Anwendungen betrachtet. Diese verhalten sich anders als typische Services und erfordern spezielle Tools und weiteres Know-how. Die Auswirkungen dieses Verhaltens und die gängigen Tools werden näher untersucht.
Nicht nur klassische „Scanner“ können genutzt werden, um Schwachstellen aufzudecken. Ein Angreifer wird typischerweise auch weitere, teilweise selbst entwickelte oder spezialisierte Tools verwenden. Einige der gängigsten Tools und Frameworks in diesem Umfeld werden erläutert sowie Möglichkeiten für die „defensive“ Nutzung dargestellt.
Das Seminar wird abgerundet durch eine Demonstration einiger der dargestellten Tools.
IN DIESEM SEMINAR LERNEN SIE
- welche Grundlagen und Begriffe für den Einsatz von Schwachstellenscannern wichtig sind,
- wie Schwachstellenscanner und Web-Application-Scanner funktionieren,
- welche sonstigen Tools und Frameworks verbreitet sind und
- welche Herausforderungen beim Betrieb solcher Lösungen auftreten.
ZIELGRUPPE
- Administratoren
- Entscheider
- Projektleiter
Das Seminar wendet sich an Betreiber, Administratoren, Entscheider, und Projektleiter, die den Einsatz von Schwachstellenscannern planen oder sich im Vorfeld über diese Technologie informieren wollen.
Skill Level
- Einsteiger
- Fortgeschrittene
WEITERE INFORMATIONEN
Ablauf:
Beginn 9:30 Uhr
Ende 17:00 Uhr
Die Teilnahmegebühr umfasst die folgenden Leistungen:
- alle Vortragspräsentationen als PDF-Datei zum Download (Sollten Sie darüber hinaus die Seminarunterlagen in ausgedruckter Papierform im ComConsult-Ordner wünschen, berechnen wir einen Aufpreis. Eine Bestellung der ausgedruckten Unterlagen ist nur bis 14 Tage vor Veranstaltungsbeginn aus produktionstechnischen Gründen möglich)
- ein Teilnahmezertifikat
- ein gemeinsames Abendessen am ersten Veranstaltungstag (bei Präsenzveranstaltungen)
- Mittagsmenüs inkl. Getränke an allen Veranstaltungstagen (bei Präsenzveranstaltungen)
- Erfrischungsgetränke und Pausensnacks während der Veranstaltung (bei Präsenzveranstaltungen)
Übernachtungsmöglichkeiten:
Während unserer Veranstaltungen stehen Ihnen begrenzte Zimmerkontingente in der Regel bis vier Wochen vor Veranstaltungstermin zu unseren mit dem Hotel vereinbarten Sonderpreisen zur Verfügung (Keine Tiefstpreis-Garantie). Bitte beachten Sie, dass insbesondere bei kurzfristigen Buchungen diese Preise nicht immer gewährt werden können oder das Veranstaltungshotel sogar ausgebucht sein kann. Gerne informieren wir Sie über die aktuellen Konditionen.
Falls die Zimmerbuchung durch uns veranlasst werden soll, vermerken Sie Ihren Zimmerwunsch bitte bei Ihrer Anmeldung. Die Buchung erfolgt dann im Namen und auf Rechnung des jeweiligen Teilnehmers/Auftragsgebers.
Wir empfehlen Ihnen, eine Kreditkarte mit sich zu führen oder dem Hotel die Kostenübernahme durch Ihr Unternehmen im Vorfeld zu bestätigen.
DAS SAGEN UNSERE TEILNEHMER
- Sehr gut, ich werde wieder ein Seminar bei ComConsult buchen
Diese Veranstaltungen könnten Sie auch interessieren
SecOps: Operative Informationssicherheit
16.03.-18.03.2022 in Köln oder online
Netzsegmentierung: Aufbau und Management
31.05.-02.06.2022 in Berlin oder online
