Sich selbst hacken - Pentesting mit Open-Source-Werkzeugen

Nach dem Abschluss des dreitägigen Workshops können Sie:

• Verfahren und quelloffene Werkzeuge zur aktiven und passiven Informationsgewinnung sicher und effektiv einsetzen

• Schwachstellen in Netzen, Diensten und Applikationen mit Open-Source-Tools gezielt erkennen

• lokale Active-Directory-Umgebungen zielgerichtet auf Schwachstellen und Fehlkonfigurationen überprüfen

• das Sicherheitsniveau der eigenen Infrastruktur wirksam erhöhen und Härtungsmaßnahmen effektiv umsetzen

Inhalte

In diesem Workshop erhalten Sie anhand realer Fallbeispiele einen Überblick über die verschiedenen Phasen eines Cyberangriffs und lernen, wie Sie passiv und aktiv Informationen über Organisationen und potenzielle Angriffspunkte Ihrer Systeme sammeln können. Dazu lernen Sie zahlreiche Verfahren und freie Werkzeuge kennen und trainieren den sicheren Umgang in praktischen Übungen.

Ebenso bekommen Sie ein tiefes Verständnis der Vorgehensweisen von Angreifern. Neben den Möglichkeiten zur initialen Kompromittierung lernen Sie, wie sich Cyberkriminelle innerhalb des Netzwerks Ihres Unternehmens ausbreiten und an vertrauliche Daten gelangen können. Dazu erhalten Sie auch einen Einblick in Fehlkonfigurationen und Schwachstellen lokaler Active-Directory-Umgebungen.

Abschließend lernen Sie sinnvolle und effektive Prozesse und Maßnahmen kennen, mit denen Sie das Sicherheitsniveau in Ihrer Organisation auf Netzwerk-, System- und Anwendungsebene wirksam erhöhen können.

Themen in der Übersicht

• 1. passiv Informationen erlangen (OSINT)

  • öffentlich verfügbare Informationen über Organisationen und Unternehmen sammeln und auswerten

  • Angreifer verstehen: Mitarbeiterinformationen, kompromittierte Passwörter, registrierte Domänen und eingesetzte Produkte und Cloud-Dienste erheben

• 2. aktiv Informationen gewinnen (Scanning und Enumeration)

  • Informationen über Netze, Systemverbünde und (Web-)Anwendungen durch Interaktion mit den Zielsystemen gewinnen

  • Zielsysteme mit Open-Source-Tools auf potenzielle Schwachstellen untersuchen, z. B. mit Kali Linux, Schwachstellenscannern und weiteren Anwendungen

• 3. initiale Kompromittierung verstehen

  • Angriffsvektoren zur initialen Kompromittierung eines Systems erörtern

  • Schwachstellen in Webanwendungen und zugehörigen Datenbanken kennenlernen, etwa SQL Injections und Cross Site Scripting

  • Schwachstellen mit Exploits in serverseitigen Diensten ausnutzen

  • Fehlkonfigurationen identifizieren und ausnutzen

  • Phishing verstehen und simulieren

  • Funktionsweise und Schadenspotenziale verstehen

• 4. Eskalation von Rechten nachvollziehen

  • Verfahren und Werkzeuge kennenlernen, mit denen sich Schwachstellen erkennen lassen, die eine Erhöhung von Benutzerrechten erlauben

• 5. seitliche Bewegung verstehen

  • weitere Systeme in einer Zielumgebung identifizieren und kompromittieren

• 6. Exkurs: Lokale Active-Directory-Umgebung absichern

  • Einstellungen einer On-Premises-Umgebung von Active Directory überprüfen

  • Schwachstellen und Fehlkonfigurationen lokaler AD-Umgebungen kennenlernen

  • manuelle Enumeration des Active Directory verstehen

  • Audit-Tools wie PingCastle verwenden

  • Schadenspotenzial einer erfolgreichen Kompromittierung der Domäne nachvollziehen

• 7. Härtungsmaßnahmen durchführen

  • Maßnahmen zur Erhöhung des Sicherheitsniveaus erarbeiten

  • Verfahren auf Netzwerkebene anwenden, etwa Zoning oder Firewalling

  • Maßnahmen auf Betriebssystem- und Applikationsebene einsetzen

Zielgruppe

• Administratoren, welche die Vorgehensweisen von Angreifern nachvollziehen und replizieren wollen, um mit diesen Erkenntnissen die Infrastruktur ihres Unternehmens wirkungsvoll abzusichern

• IT-Führungskräfte und -Sicherheitsverantwortliche, welche die Möglichkeiten von Pentesting verstehen und fundiert bewerten wollen, um sie nachhaltig in die IT-Sicherheitsstrategie ihrer Organisation zu integrieren

Voraussetzungen

Vorkenntnisse

• grundlegende Kenntnisse im Umgang mit der Windows- und Linux-Kommandozeile

• erste Vorerfahrungen mit Virtualisierung, Ports und Subdomänen

Leistungen Ihres Workshoptickets

• Sie erhalten Ihre Schulungsunterlagen in digitaler Form. So können Sie selbst entscheiden, ob Sie diese elektronisch bearbeiten und archivieren oder lieber ausdrucken möchten.

• Mit der Teilnahmebescheinigung unterstreichen Sie Ihr Weiterbildungsengagement und verbessern Ihre Perspektiven für interne Karriereschritte oder neue berufliche Wege.

Durchführung

• Sie nehmen über Zoom am Workshop teil, wobei die Verbindung über einen lokal gehosteten, DSGVO-konformen On-Premises-Connector erfolgt.

• Um einen intensiven Austausch zwischen dem Trainer und den Teilnehmenden zu gewährleisten, erfolgt der Workshop in Gruppen von höchstens 20 Personen.

• Sollte die Durchführung der Veranstaltung aufgrund höherer Gewalt, der Verhinderung eines Referenten, von Störungen am Veranstaltungsort oder wegen zu geringer Teilnehmerzahl nicht möglich sein, werden die Teilnehmenden so früh wie möglich informiert.

• Bei den kommenden Terminen führt Sie Thomas Kudlacek durch die Inhalte des Workshops.