vorfall/19.08.20262 min
Beweise sichern, bevor man aufräumt
Aufräumen vernichtet genau das, womit man später belegen müsste, was passiert ist.
hoch#Notfall#Erkennung
$grep -rl "Erkennung" beitraege/
#Erkennung
14 Beiträge mit diesem Schlagwort.
haerten/19.08.20262 min
SPF, DKIM, DMARC: die Domain, die jeder fälschen kann
Man muss keinen Mailserver betreiben, um eine Mail-Richtlinie zu brauchen. Es reicht, eine Domain zu haben.
hoch#Härtung#Netzwerk
advisories/19.08.20263 min
Automatisierte Angriffe: der Lärm, mit dem jeder Server lebt
Ein neuer Server bekommt die ersten Anmeldeversuche, bevor er einen DNS-Eintrag hat.
mittel#Bewertung#Erkennung
monitoring/19.08.20262 min
Was überwacht gehört und was nur Rauschen erzeugt
Wer alles misst, sieht nichts. Sieben Prüfungen reichen für einen Server und sie müssen von außen kommen.
mittel#Monitoring#Betrieb
haerten/19.08.20262 min
Die Webanwendung härten, ohne den Quelltext zu kennen
Man muss eine Anwendung nicht geschrieben haben, um zu verhindern, dass sie zum Einfallstor wird.
mittel#Härtung#Zugriff
monitoring/19.08.20262 min
Protokolle lesen, ohne darin zu ertrinken
Wer Protokolle nur im Ernstfall öffnet, sieht dort zum ersten Mal, wie „normal“ aussieht. Das ist der schlechteste Zeitpunkt.
niedrig#Monitoring#Erkennung
vorfall/18.08.20263 min
Die erste Stunde: was man tut, bevor man etwas kaputtmacht
Der teuerste Fehler nach einem Einbruch ist der schnelle Neustart. Er löscht genau das, was man später braucht.
kritisch#Notfall#Erkennung
vorfall/18.08.20262 min
Abuse-Meldung vom Anbieter: was jetzt zu tun ist
Eine Abuse-Mail ist keine Drohung, sondern eine Frist. Wer sie ignoriert, verliert den Server, nicht die Diskussion.
mittel#Notfall#Meldepflicht
monitoring/18.08.20263 min
Alarme, die nachts ankommen und der Wächter, der selbst tot war
Der schlimmste Zustand ist nicht der Alarm um drei Uhr. Es ist der Alarm, der nie kam, weil der Melder mit ausgefallen ist.
mittel#Monitoring#Erkennung
monitoring/18.08.20263 min
Angriffsfläche von außen messen: vierteljährlich, in einer halben Stunde
Die Innensicht sagt, was laufen soll. Nur die Außensicht sagt, was erreichbar ist.
mittel#Monitoring#Erkennung
firewall/03.08.20263 min
Ausgehend begrenzen: die Richtung, an der ein Einbruch auffällt
Spam, Nachladen von Schadcode und der Kontakt zum Steuerungsserver sind alle drei ausgehende Verbindungen.
hoch#Firewall#Netzwerk
monitoring/26.07.20263 min
Einen Einbruch erkennen, bevor der Anbieter anruft
Ein übernommener Server zeigt keine Warnmeldung. Er läuft weiter, nur zusätzlich für jemand anderen.
hoch#Erkennung#Betrieb
monitoring/21.07.20263 min
Protokolle, die den Angreifer überleben
Wer root hat, kann Protokolle ändern. Deshalb ist der einzige Ort, an dem sie zählen, ein anderer Rechner.
mittel#Monitoring#Erkennung
ssh/18.06.20262 min
Fail2ban: Lärmschutz, kein Schutzwall
Nützlich für ruhige Protokolle. Der eigentliche Schutz ist eine Zeile weiter oben passiert.
niedrig#SSH#Betrieb