Von Hackern lernen: Pentesting-Grundlagen und OSINT für proaktive IT-Sicherheit

• Du lernst die Denkweise von Angreifern kennen und verstehst, wie diese bei der Informationsbeschaffung vorgehen, um Schwachstellen aufzuspüren.

• Du erfährst, wie du mithilfe derselben Techniken und Werkzeuge die eigene Angriffsfläche analysierst, bewertest und verkleinerst.

• Du bist in der Lage, öffentlich verfügbare Informationen zu nutzen, um die eigene Angriffsfläche zu ermitteln und proaktiv Maßnahmen zu ergreifen, um Angriffe zu erschweren.

Inhalt

Diese Session versetzt dich in die Lage eines Hackers. Du lernst, wie Angreifer bei der Informationsbeschaffung vorgehen und welche öffentlich zugänglichen Quellen sie nutzen, um Schwachstellen aufzuspüren. Gleichzeitig erfährst du, wie Verteidiger mithilfe derselben Techniken und Werkzeuge die eigene Angriffsfläche analysieren, bewerten und verkleinern.

Du lernst die Denkweise von Hackern kennen und verstehst, was Schwachstellenscan, Penetration Test, Red Teaming und Bug Bounty bedeuten und wie du sie einsetzt. Außerdem erfährst du, welche böswilligen Angriffstypen auf dich warten und begreifst dabei die Phasen eines echten Angriffs und eines beauftragten technischen Sicherheitsaudits.

Eine ausgiebige Informationsbeschaffung geht einem Angriff jedoch immer voraus und ist damit auch wesentlicher Bestandteil späterer Angriffsschritte. Öffentlich zugängliche Datenbanken, kostenfreie Werkzeuge und schlaues Googeln erleichtern es Angreifern, Informationen über ihre Ziele und deren Schwachstellen zu sammeln. Verteidiger können dieselben Mittel nutzen, um die eigene Angriffsfläche einzuschätzen und Angriffswege proaktiv zu versperren. Anhand praktischer Beispiele demonstriert unser Experte Frank Ully, wie dir Open Source Intelligence (OSINT) Informationen über potenzielle Angriffsziele liefert.

Zielgruppe

Der Classroom richtet sich an Admins und IT-Sicherheitsverantwortliche, die ihre Systeme proaktiv schützen möchten. Nach Abschluss aller Sessions bist du in der Lage, potenzielle Schwachstellen durch Penetrationstests zu identifizieren und die Sicherheit deiner IT-Systeme nachhaltig zu verbessern.

Voraussetzungen

Wissen auf dem Level eines Junior-System- oder Netzwerk-Admins wird vorausgesetzt.

Agenda

• Unterschied zwischen Security und Compliance, Phasen von echten Angriffen und technischen Sicherheitsaudits, Angreifertypen, unterschiedliche technische Audittypen von Schwachstellenscan bis Red Teaming

• Suche nach Angriffspunkten in öffentlich verfügbaren Quellen

• Informationen über die eigene Organisation finden und die dadurch offenbarte Angriffsfläche ermitteln, einschätzen und verringern

• Internet-of-Things-Suchmaschinen Shodan und Censys

• Automatisierung von OSINT mit Werkzeugen von Project Discovery, beispielsweise subfinder

• Zugangsdaten in unterschiedlichen Quellen wie Repositorys und Docker-Images automatisiert aufspüren mit TruffleHog