haerten/23.08.20266 min
CAA und DNSSEC: zwei DNS-Einträge gegen fremde Zertifikate
Ein Zertifikat beweist Kontrolle über die Domain. Genau deshalb ist DNS der eigentliche Angriffspunkt.
mittel#Verschlüsselung#Härtung
$ls -t beitraege/
Alle Beiträge
53 Anleitungen, neueste zuerst. Wer nach Dringlichkeit vorgehen will, nimmt die Reihenfolge auf der Startseite.
/
53 Beiträge
vorfall/19.08.20262 min
Beweise sichern, bevor man aufräumt
Aufräumen vernichtet genau das, womit man später belegen müsste, was passiert ist.
hoch#Notfall#Erkennung
firewall/19.08.20262 min
IPv6 filtern: die Hälfte, die fast alle vergessen
Der Portscan sagt „alles zu“. Er hat nur die falsche Adressfamilie geprüft.
hoch#Firewall#Netzwerk
haerten/19.08.20262 min
SPF, DKIM, DMARC: die Domain, die jeder fälschen kann
Man muss keinen Mailserver betreiben, um eine Mail-Richtlinie zu brauchen. Es reicht, eine Domain zu haben.
hoch#Härtung#Netzwerk
advisories/19.08.20263 min
Automatisierte Angriffe: der Lärm, mit dem jeder Server lebt
Ein neuer Server bekommt die ersten Anmeldeversuche, bevor er einen DNS-Eintrag hat.
mittel#Bewertung#Erkennung
pflichten/19.08.20263 min
Auftragsverarbeitung: was im Vertrag stehen muss, bevor du Server betreibst
Wer fremde Daten auf eigenen Servern verarbeitet, braucht den Vertrag vorher. Nicht, wenn der Kunde danach fragt.
mittel#Recht#Meldepflicht
vorfall/19.08.20263 min
Kunden informieren, ohne Panik zu erzeugen
Kunden verzeihen einen Vorfall. Sie verzeihen nicht, davon von jemand anderem zu erfahren.
mittel#Notfall#Meldepflicht
pflichten/19.08.20262 min
Protokolle aufbewahren: wie lange ist erlaubt, wie lange ist nötig?
Nach dem Vorfall will man 90 Tage Protokolle haben. Vorher will der Datenschutz wissen, warum.
mittel#Recht#Monitoring
monitoring/19.08.20262 min
Was überwacht gehört und was nur Rauschen erzeugt
Wer alles misst, sieht nichts. Sieben Prüfungen reichen für einen Server und sie müssen von außen kommen.
mittel#Monitoring#Betrieb
haerten/19.08.20262 min
Die Webanwendung härten, ohne den Quelltext zu kennen
Man muss eine Anwendung nicht geschrieben haben, um zu verhindern, dass sie zum Einfallstor wird.
mittel#Härtung#Zugriff
monitoring/19.08.20262 min
Protokolle lesen, ohne darin zu ertrinken
Wer Protokolle nur im Ernstfall öffnet, sieht dort zum ersten Mal, wie „normal“ aussieht. Das ist der schlechteste Zeitpunkt.
niedrig#Monitoring#Erkennung
firewall/18.08.20263 min
Die Datenbank gehört nicht ins Netz, auch nicht kurz
Es braucht keinen Angriff. Es braucht eine Standardkonfiguration, die auf allen Adressen hört.
kritisch#Firewall#Netzwerk
vorfall/18.08.20263 min
Die erste Stunde: was man tut, bevor man etwas kaputtmacht
Der teuerste Fehler nach einem Einbruch ist der schnelle Neustart. Er löscht genau das, was man später braucht.
kritisch#Notfall#Erkennung
vorfall/18.08.20262 min
Ransomware zielt zuerst auf die Sicherung
Die Frage ist nicht, ob eine Sicherung existiert. Die Frage ist, ob der Angreifer sie löschen konnte.
kritisch#Notfall#Wiederherstellung
haerten/18.08.20262 min
Geheimnisse gehören nicht ins Repo und was tun, wenn sie drin sind
Ein Token, das einmal öffentlich war, ist verbrannt. Auch wenn der Commit weg ist.
kritisch#Härtung#Zugriff
advisories/18.08.20263 min
Verwaltungsoberflächen im Internet: das offene Scheunentor
Nicht der Webserver wird übernommen, sondern das Panel daneben. Es hat mehr Rechte und weniger Aufmerksamkeit.
kritisch#Bewertung#Härtung
updates/18.08.20263 min
Container-Images altern still
Der Host ist aktuell. Das Image darin ist vom letzten Sommer und trägt seine eigene Distribution mit sich.
hoch#Container#Updates
haerten/18.08.20263 min
Container ohne root und warum „im Container“ nicht „abgeschottet“ heißt
root im Container ist root auf dem Host, sobald eine Kleinigkeit schiefgeht. Der Unterschied ist eine Zeile.
hoch#Container#Härtung
advisories/18.08.20263 min
Die Lieferkette: das Paket, das gestern noch sauber war
Du hast nichts geändert. Die Abhängigkeit deiner Abhängigkeit schon.
hoch#Lieferkette#Container
pflichten/18.08.20263 min
Meldefristen: 24 Stunden, 72 Stunden, ein Monat
Die Frist beginnt mit der Kenntnis, nicht mit dem Verständnis. Wer auf die vollständige Analyse wartet, meldet zu spät.
hoch#Recht#Meldepflicht
vorfall/18.08.20263 min
Neu aufsetzen statt säubern und wie das ohne Datenverlust geht
Man kann eine Maschine putzen. Man kann ihr danach nur nicht mehr glauben.
hoch#Notfall#Wiederherstellung
haerten/18.08.20262 min
Rechte, die nur so weit reichen wie nötig
Die Frage nach einem Einbruch ist nie „wie kam er rein“, sondern „wie weit kam er danach“.
hoch#Härtung#Zugriff
firewall/18.08.20263 min
WireGuard statt offener Ports: was nicht erreichbar ist, wird nicht angegriffen
Ein Port, der nur auf ein Schlüsselpaar antwortet, taucht in keinem Scan auf. Das ist der ganze Trick.
hoch#Netzwerk#Zugriff
haerten/18.08.20262 min
Zweiter Faktor, der wirklich trägt: Hardware-Schlüssel statt SMS
Ein Einmalcode lässt sich weiterreichen. Ein an die Domain gebundener Schlüssel nicht.
hoch#Zugriff#Härtung
vorfall/18.08.20262 min
Abuse-Meldung vom Anbieter: was jetzt zu tun ist
Eine Abuse-Mail ist keine Drohung, sondern eine Frist. Wer sie ignoriert, verliert den Server, nicht die Diskussion.
mittel#Notfall#Meldepflicht
monitoring/18.08.20263 min
Alarme, die nachts ankommen und der Wächter, der selbst tot war
Der schlimmste Zustand ist nicht der Alarm um drei Uhr. Es ist der Alarm, der nie kam, weil der Melder mit ausgefallen ist.
mittel#Monitoring#Erkennung
monitoring/18.08.20263 min
Angriffsfläche von außen messen: vierteljährlich, in einer halben Stunde
Die Innensicht sagt, was laufen soll. Nur die Außensicht sagt, was erreichbar ist.
mittel#Monitoring#Erkennung
advisories/18.08.20262 min
Ausgenutzt schlägt kritisch: die Reihenfolge, die wirklich zählt
Es gibt tausende kritische Lücken. Es gibt ein paar Dutzend, die heute jemand gegen dich verwendet.
mittel#CVE#Bewertung
advisories/18.08.20262 min
Bestandsliste statt Bauchgefühl: was läuft hier eigentlich?
Die erste Frage nach jeder Meldung lautet: Setzen wir das ein? Wer sie nicht in zwei Minuten beantwortet, beantwortet sie gar nicht.
mittel#Lieferkette#Bewertung
firewall/18.08.20263 min
DDoS: was auf deiner Seite hilft und was nicht
Gegen 20 Gbit/s hilft keine Firewallregel. Gegen 200 Anfragen pro Sekunde auf die Suchfunktion schon.
mittel#Netzwerk#Firewall
haerten/18.08.20263 min
Dienste einsperren: mit systemd, ohne Zusatzsoftware
Der Dienst braucht drei Verzeichnisse und einen Port. Standardmäßig sieht er das gesamte System.
mittel#Härtung#Betrieb
updates/18.08.20262 min
Eingespielt heißt nicht wirksam: der Neustart nach dem Update
Das Paket ist neu, der Prozess hält die alte Datei noch offen. Sichtbar wird das nur, wenn man nachsieht.
mittel#Updates#Wartung
pflichten/18.08.20263 min
NIS2: betrifft mich das, und wenn nein, warum trotzdem?
Die meisten kleinen Betriebe fallen nicht unter NIS2. Sie bekommen die Anforderungen über ihre Kunden.
mittel#Recht#Meldepflicht
ssh/18.08.20263 min
SSH-Zertifikate: Schlüssel, die von selbst ablaufen
authorized_keys auf zwanzig Maschinen ist keine Zugriffsverwaltung, sondern eine Kopieraufgabe.
mittel#SSH#Zugriff
pflichten/18.08.20262 min
Technische Maßnahmen belegen, ohne ein Zertifikat zu kaufen
„Regelmäßige Updates“ ist keine Maßnahme, sondern ein Vorsatz. Belegbar wird sie durch ein Protokoll mit Datum.
mittel#Recht#Betrieb
haerten/18.08.20262 min
TLS-Zertifikate: kürzere Laufzeiten kommen, Handarbeit hört auf
Ein Zertifikat, das jemand jährlich von Hand erneuert, ist ab 2027 ein monatlicher Termin. Das hält niemand durch.
mittel#Verschlüsselung#Betrieb
advisories/18.08.20262 min
Meldequellen ohne Rauschen: fünf Abos statt fünfzig Meldungen
Eine Quelle, die täglich fünfzig Meldungen liefert, wird nach drei Wochen nicht mehr gelesen. Das ist schlechter als kein Abo.
niedrig#Bewertung#Betrieb
ssh/18.08.20262 min
Post-Quantum bei SSH: heute mitgeschnitten, später entschlüsselt
Der Angriff läuft heute: aufzeichnen und aufheben. Entschlüsselt wird, wenn die Technik so weit ist.
niedrig#SSH#Verschlüsselung
pflichten/18.08.20263 min
Cyber Resilience Act: wer Software ausliefert, bekommt Pflichten
Erst trifft es die Hersteller. Dann steht es in deinem Einkauf: Supportzeitraum, Sicherheitsupdates, Stückliste.
info#Recht#Lieferkette
ssh/16.08.20263 min
Passwort-Login abschalten: der Schritt mit der größten Wirkung
Eine Zeile in der sshd_config beendet die häufigste Übernahmeart komplett. Der Weg dahin hat vier Schritte und einen Rettungsanker.
kritisch#SSH#Zugriff
updates/13.08.20263 min
Automatische Sicherheitsupdates einrichten
Fast jede übernommene Maschine fiel über eine Lücke, für die es seit Wochen einen Patch gab. Das Risikofenster schließt man automatisch, nicht durch Vorsätze.
kritisch#Updates#Härtung
ssh/10.08.20263 min
SSH-Schlüssel verwalten, wenn es mehr als einer wird
Der erste Schlüssel ist einfach. Der zwölfte, verteilt auf sechs Maschinen und drei Personen, ist das eigentliche Thema.
hoch#SSH#Zugriff
firewall/07.08.20262 min
Eingehend dichtmachen: nur was hören muss, hört
Ein Dienst, der auf 127.0.0.1 hört, braucht keine Firewallregel. Er ist von außen nicht da.
hoch#Firewall#Netzwerk
firewall/03.08.20263 min
Ausgehend begrenzen: die Richtung, an der ein Einbruch auffällt
Spam, Nachladen von Schadcode und der Kontakt zum Steuerungsserver sind alle drei ausgehende Verbindungen.
hoch#Firewall#Netzwerk
firewall/30.07.20262 min
Docker umgeht deine Firewall und was dagegen hilft
Die Firewall sagt zu, der Portscan sagt offen. Beide haben recht, sie reden über verschiedene Ketten.
hoch#Firewall#Container
monitoring/26.07.20263 min
Einen Einbruch erkennen, bevor der Anbieter anruft
Ein übernommener Server zeigt keine Warnmeldung. Er läuft weiter, nur zusätzlich für jemand anderen.
hoch#Erkennung#Betrieb
monitoring/21.07.20263 min
Protokolle, die den Angreifer überleben
Wer root hat, kann Protokolle ändern. Deshalb ist der einzige Ort, an dem sie zählen, ein anderer Rechner.
mittel#Monitoring#Erkennung
updates/16.07.20262 min
Wartungsfenster und der Weg zurück
Ein Update ohne Rückweg ist keine Wartung, sondern ein Versuch.
mittel#Updates#Betrieb
advisories/10.07.20264 min
CVSS richtig lesen: warum 9.8 nicht automatisch deine 9.8 ist
Der Basiswert kennt deine Umgebung nicht. Er ist der Anfang der Bewertung, nicht das Ergebnis.
info#CVE#Bewertung
advisories/06.07.20262 min
Betroffenheit prüfen: bin ich das überhaupt?
Die meisten Sicherheitsmeldungen betreffen dich nicht. Die Kunst ist, das in Minuten zu belegen statt in Stunden zu vermuten.
mittel#CVE#Bewertung
ssh/30.06.20262 min
Sprungserver: eine Tür statt zwanzig
Ab der fünften Maschine mit offenem SSH-Port lohnt sich die Frage, ob es nicht eine sein könnte.
mittel#SSH#Zugriff
updates/24.06.20263 min
Distribution aktualisieren, ohne den Dienst zu verlieren
Eine Distribution ohne Sicherheitsupdates ist kein alter Server. Sie ist ein Server, der keine Patches mehr bekommt.
mittel#Updates#Debian
ssh/18.06.20262 min
Fail2ban: Lärmschutz, kein Schutzwall
Nützlich für ruhige Protokolle. Der eigentliche Schutz ist eine Zeile weiter oben passiert.
niedrig#SSH#Betrieb