Einige Notizen und Anmerkungen zur IT-SecX am 09.11.12 an der FH in St. Pölten
Es ist mir positiv aufgefallen, dass bei jedem Vortrag jemand von der FH dabei war, der die Einhaltung der Vortragszeiten überwachte. Dadurch war der Wechsel zwischen den einzelnen Vortragsräumen deutlich entspannter.
Verwirrend war, dass Johann Haag erst nach dem Keynote-Speaker seine Begrüßungsrede gehalten hat, da dieser leider schon zu einem anderen Termin musste. Dadurch wurde ihm von der Menge nur mehr wenig Aufmerksamkeit geschenkt.
Mit 520 registrierten Teilnehmern die bisher größte IT-SecX.
Neu im Angebot war auch das etwas größere Buffet. Dieses Jahr mit Club-Mate im Angebot.
"Cyberdefence – eine militärische Herausforderung"
von OberstdG Mag. Walter Unger
Der Mann weiß, wovon er spricht. Hat aber zu wenig Zeit auf die interessanten Details einzugehen.
"Cyber threats for grown ups" Dishing the dirt about mailware-detection as experienced by the Austrian milCERT
von Mag. DI(FH) Ulrich Pöschl
Eine Erklärung, wie einfach sich durch einen leicht abgeänderten Datei-Header, Trojaner an Virenscannern vorbeischleusen lassen.
Wurde von der Lösung im milCERT eine verdächtige Datei gefunden, dauert es 6-7 Tage, bis die Virenhersteller Signaturen dafür bereitstellen!
Social Engineering – There is no patch against human stupidity
von DI Gerald Kortschak, BSc, CMC
Link: Maltego http://paterva.com/web6/products/maltego.php
Advanced Security – Wieso aktuelle Security-Lösungen nicht mehr ausreichen
von Helmut Wahrmann
Die Vorstellung der Traffic Monitoring Appliance von RSA.
Interessante Tatsache: In manchen Firmen besteht der Traffic aus 50 – 60 % Youtube-Videos.
Der komplette Traffic wird durch die Appliance getunnelt. Verschlüsselter Traffic muss zur Überwachung über die Appliance als Man-in-the-middle abgefangen werden.
Nach Datenschutzgesetz ist das laut dem Vortragenden kein Problem – aber der Betriebsrat muss eingebunden werden.
Der QR-Code auf den Pfefferminz-Bonbons von RSA/EMC² liefert eine "Invalid URL"…
Data Loss Prevention in der Realität
von Rene Pfeiffer
Das Problem bei bestehenden Lösungen ist, dass man für neue Daten Hashes erfassen müsste.
Man kann bei Daten in der Cloud nicht sicher sein, wer alles die Möglichkeit zum Zugriff hat:
National Security Letters
http://www.youtube.com/watch?v=C25EkdWLU1k
http://en.wikipedia.org/wiki/National_security_letter
Fazit: Man kann sich bestenfalls gegen das versehentliche Hinausgeben von Daten schützen. Dafür lohnt sich der hohe Aufwand nicht.
Hash collisions, rouge CA's und Fake SSL Zertifikate
von Franz Lehner
Es gibt ca. 600 verschiedene CA's – bei irgendwem passieren Fehler, die zum komprimitieren benutzt werden können.
Fazit: Ein SSL Zertifikat sagt aus, dass ein mir völlig unbekannter Geld an einen anderen mir völlig unbekannten bezahlt hat!
Anatomie eines Webserver-Hacks
von Rene Freingruber und Alexander Inführ
Die beiden recht jung wirkenden Vortragenden dürften noch nicht über sehr viel Präsentationserfahrung verfügen. Sie haben sich zu viel Inhalt für die Vortragsdauer vorgenommen. Trotzdem war der Vortrag das Highlight des Abends.
Nach der Informationsbeschaffung mittels Cross-Site-Scripting und SQL-Injection wurde zuerst eine simple PHP Shell hochgeladen. Nach einer recht detaillierten Erklärung des Exploits wird die Shell schließlich mit Root-Rechten ausgestattet. Tosender Applaus, trotz fortgeschrittener Stunde folgte!
Schreibe einen Kommentar