haerten/23.08.20266 min
CAA und DNSSEC: zwei DNS-Einträge gegen fremde Zertifikate
Ein Zertifikat beweist Kontrolle über die Domain. Genau deshalb ist DNS der eigentliche Angriffspunkt.
mittel#Verschlüsselung#Härtung
$grep -rl "Netzwerk" beitraege/
#Netzwerk
14 Beiträge mit diesem Schlagwort.
firewall/19.08.20262 min
IPv6 filtern: die Hälfte, die fast alle vergessen
Der Portscan sagt „alles zu“. Er hat nur die falsche Adressfamilie geprüft.
hoch#Firewall#Netzwerk
haerten/19.08.20262 min
SPF, DKIM, DMARC: die Domain, die jeder fälschen kann
Man muss keinen Mailserver betreiben, um eine Mail-Richtlinie zu brauchen. Es reicht, eine Domain zu haben.
hoch#Härtung#Netzwerk
advisories/19.08.20263 min
Automatisierte Angriffe: der Lärm, mit dem jeder Server lebt
Ein neuer Server bekommt die ersten Anmeldeversuche, bevor er einen DNS-Eintrag hat.
mittel#Bewertung#Erkennung
firewall/18.08.20263 min
Die Datenbank gehört nicht ins Netz, auch nicht kurz
Es braucht keinen Angriff. Es braucht eine Standardkonfiguration, die auf allen Adressen hört.
kritisch#Firewall#Netzwerk
advisories/18.08.20263 min
Verwaltungsoberflächen im Internet: das offene Scheunentor
Nicht der Webserver wird übernommen, sondern das Panel daneben. Es hat mehr Rechte und weniger Aufmerksamkeit.
kritisch#Bewertung#Härtung
haerten/18.08.20263 min
Container ohne root und warum „im Container“ nicht „abgeschottet“ heißt
root im Container ist root auf dem Host, sobald eine Kleinigkeit schiefgeht. Der Unterschied ist eine Zeile.
hoch#Container#Härtung
firewall/18.08.20263 min
WireGuard statt offener Ports: was nicht erreichbar ist, wird nicht angegriffen
Ein Port, der nur auf ein Schlüsselpaar antwortet, taucht in keinem Scan auf. Das ist der ganze Trick.
hoch#Netzwerk#Zugriff
monitoring/18.08.20263 min
Angriffsfläche von außen messen: vierteljährlich, in einer halben Stunde
Die Innensicht sagt, was laufen soll. Nur die Außensicht sagt, was erreichbar ist.
mittel#Monitoring#Erkennung
firewall/18.08.20263 min
DDoS: was auf deiner Seite hilft und was nicht
Gegen 20 Gbit/s hilft keine Firewallregel. Gegen 200 Anfragen pro Sekunde auf die Suchfunktion schon.
mittel#Netzwerk#Firewall
firewall/07.08.20262 min
Eingehend dichtmachen: nur was hören muss, hört
Ein Dienst, der auf 127.0.0.1 hört, braucht keine Firewallregel. Er ist von außen nicht da.
hoch#Firewall#Netzwerk
firewall/03.08.20263 min
Ausgehend begrenzen: die Richtung, an der ein Einbruch auffällt
Spam, Nachladen von Schadcode und der Kontakt zum Steuerungsserver sind alle drei ausgehende Verbindungen.
hoch#Firewall#Netzwerk
firewall/30.07.20262 min
Docker umgeht deine Firewall und was dagegen hilft
Die Firewall sagt zu, der Portscan sagt offen. Beide haben recht, sie reden über verschiedene Ketten.
hoch#Firewall#Container
ssh/30.06.20262 min
Sprungserver: eine Tür statt zwanzig
Ab der fünften Maschine mit offenem SSH-Port lohnt sich die Frage, ob es nicht eine sein könnte.
mittel#SSH#Zugriff