Der Trend der Schwachstellen
Hacking Day 2013 – Security Lifecycle
Zürich, 16. Mai 2013
17.05.2013 www.first-security.com 1
Vorstellung
17.05.2013 3
Pascal Mittner
Dipl. Ing. FH Telekom, MAS in BA
CEO und Gründer von First Security Technology AG
www.first-security.com
Die Beteiligten
17.05.2013 www.first-security.com 9
Die Ausnutzer: Cyberkriminelle, Spione/Armee, Script Kiddies
Die Entdecker: Hacker, Security Experten, Geheimdienste/Militär
Die Verantwortlichen: Hersteller (Hard-/Software Developer/Architekten), Administratoren, Integratoren etc.
Wen betrifft es?
Unternehmungen/Wirtschaft
Staaten/Politik
Einzel Personen/Private
Bewertung von Schwachstellen
17.05.2013 www.first-security.com 11
Common Vulnerability Scoring System V2.0
Grundmetriken
Zugriff und Auswirkungen auf Vertraulichkeit, Verfügbarkeit und Integrität
Zeitmetriken
Ausnutzbarkeit, Lösung, Status des Berichts
Umgebungsmetriken
Schadenspotential, Anforderungen an Vertraulichkeit, Verfügbarkeit und Integrität
Schwachstellen erkennen
17.05.2013 www.first-security.com 12
Security Scanner (Datenbank/Feed von bekannten Schwachstellen)
Fuzzing (Nicht bekannte Schwachstellen erkennen)
Traffic Analyzing
Log Analyzing
Code Review/Auditing
Die Zukunft
17.05.2013 www.first-security.com 14
Was kann den Trend von IT-Schwachstellen beeinflussen?
Soziale Struktur
Politische Situation
Komplexität, Vernetzung und Erweiterbarkeit
Die Zukunft
17.05.2013 www.first-security.com 15
Mobile Devices: In Zukunft gibt es ein Gerät, das alles kann
Internet der Dinge: Alles kommuniziert miteinander und besitzt eine gewisse Intelligenz. Z.B. SmartGrid, Health Tech, Kleidung etc.
Data Mining
Wird es lukrativ als Programmierer Schwachstellen einzubauen und diese als Zero-Day an Staaten oder Cyberkriminelle zu verkaufen?
Die Zukunft
17.05.2013 www.first-security.com 16
Neue Arten von Schwachstellen?
Verlagerung zu neuen Technologien (IPv6, HTML5, neue Betriebssysteme etc.
Wie ist die Vorgehensweisen für die Entdeckung und Ausnutzung von Schwachstellen?
Verbessertes Fuzzing
Intelligentere Scanner
Komplexere und kombinierte Angriffsszenarien
Ist dies besser oder schlechter?
First Security Technology AG Bahnhofstrasse 7 CH-7000 Chur
17.05.2013 17 www.first-security.com
Phone: +41 (0)81 250 44 44 Fax: +41 (0)81 250 43 48