Hacking & Security 2014 - SySS GmbH

Trainings zu mehr Sicherheit
Hacking & Security
2014
Mit neuer Schulung:
Angriffe gegen
VoIP-Infrastrukturen

Trainings zu mehr Sicherheit
Hacking & Security 2014
| 3
In unseren Schulungen vermitteln erfahrene IT-Security Consultants
ihr Wissen um IT-Sicherheit. Das Themenspektrum reicht
dabei von der Planung und Durchführung von Sicherheitstests bis
hin zu speziellen Aspekten der IT-Sicherheit.
Das Ziel all unserer Schulung ist, IT-Verantwortliche mit dem
nötigen Rüstzeug auszustatten, um eine starke IT-Infrastruktur
zu bauen. Wir wollen durch die spezielle Weiterbildung in der IT-
Sicherheit erreichen, dass Ihr Unternehmen wirksam geschützt
ist gegen Angriffe gegen Ihr System und die Entwendung oder
Manipulation von Daten.
Sie können unsere Schulungen nicht nur bei uns in Tübingen besuchen,
sondern auch exklusiv für Ihre Mitarbeiter in Ihrem Unternehmen
buchen.
Auch die Sprache, ob deutsch oder englisch, bestimmen Sie selbst.
Sebastian Schreiber
Diplom-Informatiker
Geschäftsführer

4 | | 5
Inhaltsverzeichnis
Vorwort ................................................................................. 3
Inhaltsverzeichnis ................................................................... 5
Praktische IT-Security:
Hackertechniken beherrschen – Workshop 1 ........................... 6
Praktische IT-Security:
Hackertechniken beherrschen – Workshop 2 ........................... 7
Forensik bei Computern und Smartphones .............................. 8
Incident Response bei Hacking-Vorfällen .................................. 9
Angriffe auf Windows-basierte Netzwerke ............................. 10
Angriffe gegen VoIP-Infrastrukturen ....................................... 11
Exploit Development ............................................................. 12
Mobile Device Hacking .......................................................... 13
Sicherheit bei Webapplikationen ............................................ 14
WLAN-Hacking und WLAN-Security ...................................... 15
IPv6-Security ........................................................................ 16
IT-Recht und Datenschutz für IT-Verantwortliche .................... 17
Planung und Durchführung von Penetrationstests ................... 18
Anmeldung ........................................................................... 20

6 | | 7
Praktische IT-Security:
Hacker techniken beherrschen Teil 1 & 2
Referent: Rainer Boie
Computermissbrauch und Cyber-Kriminalität bedrohen IT-Netze
tagtäglich. Meist geschehen sie sehr unauffällig und werden erst
bemerkt, wenn der Schadensfall schon eingetreten ist. Somit
sind sie eine ernstzunehmende Bedrohung. Damit Unternehmen
ihre IT-Umgebung vor Gefahren dieser Art wappnen und besser
schützen können, haben wir diese Workshops entwickelt. In ihnen
betrachten wir das Thema IT-Sicherheit aus der Perspektive eines
Täters bzw. „Hackers“.
Beide Teile können unabhängig voneinander besucht werden, jedoch
baut Workshop 2 auf Workshop 1 auf.
Workshop 1 (2 Tage)
Workshop 2 (2 Tage)
Themen:
• Informationsquellen
Wie verraten sich angreifbare oder verwundbare Systeme?
• Standard-Sicherheitswerkzeuge und ihr Einsatz
(Portscanner, Sniffer)
• Man-in-the-Middle-Angriffe
Vor allem in lokalen Netzen können MitM-Angriffe verwendet
werden, um verschlüsselten Verkehr oder auch VoIP-Telefonate
mitzulesen bzw. zu hören. Durchführung von Angriffsszenarien,
Besprechung von Schutzmechanismen.
• Passwortsicherheit unter Linux, Windows und in Windows-
Netzen
Anhand von verschiedenen Cracking-Techniken schätzen wir die
Sicherheit ein, welche eine Passwort-Richtlinie bietet.
• Sicherheitslücken im Netz
Ausnutzung, Eskalierung von Rechten – dies bietet Aufschluss
über die Wirksamkeit von Schutzmechanismen.
Themen:
• Verwendung von Rootkits
• Metasploit Framework
Einführung und Umgang mit unterschiedlichen Modulen
• Sicherheit in Windows-Netzen
··
Eskalation von Benutzerrechten zum Domain-Administrator
··
Umgang mit Windows-Tokens
• Security-Scanner
Funktionsweise, Konfiguration und Umgang mit einem
Security-Scanner
• Tunneling
Verwendung harmloser Protokolle zur verdeckten Übertragung
von Daten oder Remote-Zugriff von außen
• Exkurs: Sicherheit von Webapplikationen
Das am besten gesicherte Betriebssystem kann nicht helfen,
wenn eine Anwendung unsicher betrieben wird.
Behandelt werden die häufigsten Sicherheitslücken wie XSS,
Command- und SQL-Injection.
Techn. Voraussetzungen:
Grundkenntnisse über Betriebssysteme,
Netzwerke, Linux, Windows, TCP/IP
Techn. Voraussetzungen:
Grundkenntnisse über Betriebssysteme,
Netzwerke, Linux, Windows, TCP/IP
Termine: 17.-18.03.14 22.-23.09.14 24.-25.11.14
12.-13.05.14 20.-21.10.14
Termine: 19.-20.03.14 24.-25.09.14 26.-27.11.14
14.-15.05.14 22.-23.10.14

8 | | 9
Forensik bei Computern
und Smartphones (3 Tage)
Incident Response
bei Hacking-Vorfällen (3 Tage)
Immer wieder sind Firmennetze Ziele für Hackerangriffe und Unternehmen
Opfer von Eindringlingen, die sensible Daten ausspähen
und diese illegal weiterverwenden.
Um in solchen Fällen Klarheit zu bekommen, wird der Angriff forensisch
untersucht. Dies bedeutet, dass Spuren identifiziert und
(gerichtsverwertbar) gesichert werden. Die Ergebnisse werden
ausgewertet und als Beweismittel aufbereitet. In der Schulung
werden grundlegende Fragestellungen der IT-Forensik und angewandte
Standardtechniken analysiert und erörtert.
Da auf Smartphones sowohl private als auch dienstliche Daten in
großer Zahl abgelegt werden, haben sich diese Geräte als ergiebige
Quellen forensischer Untersuchungen erwiesen. Zugriff auf
Daten ist meist nur eingeschränkt möglich, sodass spezielle Tools
zum Einsatz kommen.
Themen:
Referent: Dr. Markus a Campo
• Definition der Begriffe Forensik und IT-Forensik
• Auftreten von Spuren
Festplatte, Hauptspeicher (Prozesse, Netzwerkverbindungen,
offene Dateien, etc.), Smartphone, SIM-Karte, versteckte
Spuren (z.B. Steganografie)
• Sicherung von Spuren, lokal und über das Netzwerk
• Sicherstellung der Authentizität von Spuren,
Gerichtsverwertbarkeit
• Forensik-Tools und Toolkits auf Boot-CDs
• Analyse der erhobenen Daten
··
Werkzeuge unter Windows und Linux
··
Ursachenforschung
··
Rückschlussmöglichkeiten auf Ziele und Kenntnisstand
des Täters
• Smartphone-Forensik
··
Grundsätzliche Fragestellungen
··
Forensik bei iOS, Android, BlackBerry, Windows Phone
··
Spezielle Werkzeuge für die Smartphone-Forensik
• Verfassen von gerichtskonformen Berichten
• Projektmanagement: IT-Forensik
Zusammenarbeit mit Strafverfolgungsbehörden, rechtliche
Situation, Behandlung von Sicherheitsvorfällen konform zu den
BSI-Grundschutzkatalogen
Techn. Voraussetzungen:
Grundkenntnisse über Netzwerke,
in Windows, Linux oder Unix
Allgegenwärtig ist der Datenklau. Werden Hacker-Angriffe bemerkt,
ist es wichtig, überlegt handeln zu können. Aus diesem
Grund bieten wir einen Workshop an, der eine Handlungsgrundlage
bieten soll, auf Hacking-Vorfälle reagieren zu können.
Themen:
• Organisatorisches:
··
Betrachtung der Voraussetzungen, die gegeben sein müssen,
um Incident-Response-Maßnahmen umzusetzen
··
Analyse von Struktur und Aufbau des zu schützenden Netzes
• Erkennung eines Vorfalls
··
Arbeitsweise von Hackern
··
Möglichkeiten zur Erkennung von Angriffen bei unscheinbarem
Agieren des Täters
··
Angriffsanalyse
··
Umgang mit Warnungen, auch von Dritten (Personen und
Automatismen)
··
Bemerkbare „Fehler“ von Angreifern
• Datenanalyse
··
Logdateien und Protokolle
··
Sicherheitstests und Malware-Analyse
··
Forensische Untersuchungen und Experimente
··
Abwägung individueller Analysemethoden
··
Identifizierung des Angriffsvektors und weiterer Verbreitungswege
• Abwehrmaßnahmen
··
Die Wichtigkeit des Menschen beim Schutz von Systemen
··
Konzentration auf Bordmittel von Netzwerken, Infrastrukturkomponenten
und Anmeldeskripte
··
Einschätzung der Aufgaben von IPS und SIEM-Produkten
• Angriffsmuster
··
„Kenne Deinen Feind“
··
Klassische Internetkriminalität: Missbrauch von E-Mail-
Adressen, Zugangsdaten, Zahlungsinformationen aller Art
··
Ausforschung und gezielte Angriffe auf Unternehmen
··
Die Bedeutung Dritter
··
Proaktive Prävention von Angriffen und organisatorische
Maßnahmen
• Tools
Referent: Robert Haist
Techn. Voraussetzungen:
Grundlegende Netzwerk- und
Forensik- sowie Linux-Kenntnisse
Termine: 06.-08.05.14 18.-20.11.14
Termine: 20.-22.05.14 14.-16.10.14

10 | | 11
Angriffe auf Windows-basierte
Netzwerke (2 Tage)
Referent: Sven Wiebusch
Angriffe gegen
VoIP-Infrastrukturen (2 Tage)
Referent: Sven Freund
Neu
Zur technischen Organisation von Computern, Benutzern, Gruppen
und weiteren Objektklassen wird in Unternehmensnetzwerken
in der Regel auf einen Verzeichnisdienst zurückgegriffen. Weit
verbreitet sind in Windows-basierten Netzwerken die auf dem
Domänen-Vertrauensprinzip basierenden Active Directory Domain
Services. Gelingt es einem Angreifer, von außen ins interne Netzwerk
einzudringen, so kann er innerhalb des eingesetzten Verzeichnisdienstes
seine Rechte erfolgreich ausweiten. Hierdurch
ergeben sich automatisch erweiterte Zugriffsberechtigungen auf
vertrauliche Ressourcen.
Im Rahmen dieses zweitägigen Workshops soll ein tieferer Einblick
in die Vorgehensweise von Angreifern gewährt und Maßnahmen
gegen Angriffe aufgezeigt werden. Theoretische Konzepte werden
erläutert und erlernte Angriffsvektoren anhand von „Hands On“-
Übungen praktisch erprobt.
Themen:
• Windows-basierte Netzwerke:
··
Active Directory, Domain Controller
··
Berechtigungs- und Authentifizierungskonzepte
··
Hash-Typen in der Microsoft-Welt
··
Der Windows-Anmeldeprozess
• Angriffe auf Einzelsysteme
··
Ausnutzung von Schwachstellen
··
Angriffe gegen Authentisierungsmechanismen
··
Ausnutzung schwacher Dienstekonfigurationen
• Rechteausweitung
··
Mangelhafte Passwortrichtlinie
··
Ausnutzung von „Features“ und Spuren
··
Access Tokens und „gecashte“ Passwörter
··
Security Support Provider
··
Group Policy Preferences
• Einsatz geeigneter Tools
··
Metasploit Framework
··
Portscanner wie Nmap
··
Tools für spezielle Einsatzzwecke
··
Cracking-Tools
• „Best Practice“-Schutzmaßnahmen
··
Detektionsverfahren
··
IT-Security-Prinzipien
··
Konfigurationsempfehlungen
Techn. Voraussetzung:
Grundkenntnisse von Windowsbasierten
Systemen und Netzen
Das Protokoll VoIP ist in den letzten Jahren für Unternehmen
nicht zuletzt aufgrund langfristiger Kosteneinsparung oder einer
einheitlichen Infrastrukturnutzung immer mehr in den Vordergrund
gerückt. Mit der Einführung von VoIP beginnt oder erweitert sich
auch der Wunsch nach einer strikten Trennung bestimmter Daten
im Netzwerk. Diese Trennung wird in der Regel nicht physikalisch,
sondern auf logischer Ebene via VLANs erreicht. Gelingt es einem
Angreifer beispielsweise, im internen Netzwerk auf andere VLANs
zuzugreifen, so ist er eventuell in der Lage, vertrauliche Gesprächsverbindungen
mitzuschneiden oder die eigenen Zugriffsberechtigungen
zu erweitern.
Im Rahmen eines zweitägigen Workshops wird die Perspektive
eines Angreifers eingenommen. Es werden Verfahren gezeigt,
mit denen die oben genannten Ziele erreicht werden können.
Der Workshop soll tiefere Einblicke in die Vorgehensweise von
Angreifern aufzeigen, damit Teilnehmer in der Nachbereitung die
Risiken im eigenen Netzwerk minimieren können. Theoretische
Konzepte werden erläutert und erlernte Angriffsvektoren anhand
von „Hands On“-Übungen praktisch erprobt.
Themen:
• Technische Grundlagen
··
Einführung in die Techniken
··
VoIP-Terminologie und -Aufbau
··
Passive und aktive Traffic-Analyse
··
VLAN-Terminologie und -Aufbau
• VoIP-Angriffsverfahren
··
Netzbasierte Angriffe gegen VoIP-Phones und -Anlagen
··
Angriffe gegen Authentisierungsmechanismen
··
Angriffe gegen die Vertraulichkeit von Daten
··
Boot-Angriffe und weitere physische Angriffsmöglichkeiten
• VLAN-Angriffsverfahren
··
Trunking-Angriffe
··
Inter-VLAN-Routing
··
Angriffe gegen Authenisierungsmechanismen
• Capture the Flag
Techn. Voraussetzungen:
Grundkenntnisse in
Netzwerktechnik
Termine: 02.-03.04.14 27.-28.05.14 09.-10.12.14
Termine: 29.-30.04.14 16.-17.09.14

12 | | 13
Exploit
Development (2 Tage)
Mobile Device
Hacking (2 Tage)
Diese Schulung vermittelt die theoretischen und praktischen
Grundlagen für die Funktionsweise und die Entwicklung von Exploits.
Dabei soll vorrangig betrachtet werden, wie Zielplattformen
aufgebaut sind, welche Besonderheiten sie aufweisen, welche
verschiedenen Formen der Schwachstellenanalyse existieren,
welche Werkzeuge für die Exploit-Entwicklung wichtig sind (Debugger,
Disassembler, Exploit-Frameworks, etc.) und wie diverse
Schwachstellen-Typen ausgenutzt werden können. Ferner geht die
zweitägige Schulung noch auf die Frage ein, welche Möglichkeiten
existieren, sich gegen eine Ausnutzung der gezeigten Schwachstellen
durch Angreifer zu schützen und wie Hacker solche Schutzmaßnahmen
umgehen können.
Themen:
Referent: Matthias Deeg
• Besonderheiten verschiedener Zielplattformen
··
Prozessorarchitektur: x86, x86-64 (32- und 64 Bit)
··
Betriebssysteme: Windows, Unix/Linux, Mac OS
• Verschiedene Formen der Schwachstellenanalyse
··
Statische Codeanalyse
··
Quellcodeanalyse
··
Analyse von Binärprogrammen (Reverse Code Engineering)
··
Dynamische Codeanalyse (Laufzeitanalyse)
··
Verhaltensbasierte Sicherheitsanalyse
··
Fuzzing
• Tools of the Trade:
Wichtige Werkzeuge für die Exploit-Entwicklung
··
Debugger / Disassembler / Exploit-Framework /
Assembler (x86)
··
Programmiersprache der Wahl (z. B. C/C++, Python, Perl,
Ruby, etc.)
• Ausnutzen verschiedener Schwachstellentypen
··
Fehler in der Hard- und Softwarearchitektur
··
Fehler in der Anwendungslogik
··
Fehler in der Datenverarbeitung, z. B.
··
Buffer Overflow-Schwachstellen (Stack, Heap, Off-By-One)
··
Format String-Schwachstellen
• Schutzmaßnahmen und Möglichkeiten, diese zu umgehen:
··
Stack Cookies
··
SafeSEH
··
Data Execution Prevention (DEP)
··
Address Space Layout Randomization (ASLR)
Mobile Devices sind aus dem Unternehmensumfeld nicht mehr
wegzudenken und übernehmen schon lange nicht mehr nur die
Aufgabe eines Telefons. Mittlerweile ist es gang und gäbe, dass
viele Arbeitnehmer auf ihren Smartphones und iOS-Geräten
E-Mails bearbeiten, ins Internet gehen und eine hohe Menge an
oftmals vertraulichen Unternehmensdaten bewegen. Diese Konzentration
an interessanten Daten machen Mobile Devices für
Angreifer sehr attraktiv.
Dieses Seminar richtet sich an Nutzer, die mobile Endgeräte mit
dem Fokus auf deren Sicherheit besser verstehen wollen, beispielsweise
für die Integration in die eigene Unternehmensinfrastruktur.
Neben der Verwaltung der Geräte werden die kritischen
Angriffspunkte beleuchtet. Ferner werden durch Hands-On-Übungen
verschiedene Schwachstellen analysiert und aufgezeigt, deren
theoretische Grundlagen zuvor erarbeitet wurden.
Themen:
Referent: Philipp Buchegger
• Allgemeine Informationen
··
Eigenschaften von Mobile Devices
··
Verwaltung mobiler Endgeräte im Unternehmen
• Angriffstechniken
··
Physischer Zugriff auf das Gerät
··
Hardware-Hacks
··
Mitschnitt des Datenverkehrs
··
Man-in-the-Middle-Attacken
• Apple iOS
··
Sicherheitskonzept von iOS-Geräten
··
Mobile Device Management-Lösungen
··
Jailbreak eines iOS-Gerätes
··
Forensik von A4-Geräten
··
Angriffe auf Apps mit einem Proxy
··
Reverse-Engineering von Apps per Debugger
• Google Android
··
Sicherheitskonzept von Android
··
Angriffe auf alte und aktuelle Android-Versionen
··
Emulation eines Android-Smartphones
··
Was Google über Android-User weiß
• Windows Phone, Blackberry, etc.
··
Ausnutzung aktueller Schwachstellen
··
Sicherheitskonzept und Schutzmechanismen
Techn. Voraussetzungen:
Grundkenntnisse über Betriebssysteme
und Rechnerarchitektur
Techn. Voraussetzungen:
Grundlagen in Linux sind von Vorteil
Termine: 09.-10.04.14 30.09.-01.10.14
Termine: 05.-06.03.14 24.-25.06.14 11.-12.11.14

14 | | 15
Sicherheit bei
Webapplikationen (2 Tage)
WLAN-Hacking und
WLAN-Security (2 Tage)
Für Hacker sind Webapplikationen heutzutage das Einfallstor Nummer
1. Oftmals finden sie Schwachstellen, die ihnen ermöglichen,
vertrauliche Daten zu entwenden und weiter in das System bis hin
zum Unternehmensnetzwerk vorzudringen.
Im Rahmen dieses zweitägigen Workshops lernen die Teilnehmer,
wie Hacker in Webapplikationen einbrechen und welchen Gefahren
Anwendungen ausgesetzt sein können.
Der Workshop stellt die gängigsten Angriffe zunächst in der Theorie
dar und geht anschließend mit Übungen darauf ein, wie sie in
der Praxis umgesetzt werden können. Ziel des Workshops ist es,
dass die Teilnehmer am Ende des zweiten Schulungstages selbst
Angriffe auf eine eigens für den Workshop erstellte Webapplikation
durchführen können.
Themen:
Referent: Marcel Mangold
• Cross-Site Scripting (XSS)
Angriffe auf Sitzungsinformationen, Phishing und Defacing
• Cross-Site Request Forgery (XSRF)
Wie Angreifer Applikationsnutzer dazu bringen, das zu tun, was
sie wollen
• (Blind) SQL-Injection
Unberechtigtes Auslesen von Daten aus einer Datenbank
• OS Command Injection
Einschleusen von eigenen Betriebsystem-Kommandos in eine
Webapplikation
• Local / Remote File Inclusion (LFI/RFI)
Wie Hacker eigenen Programmcode auf dem angegriffenen
Server ausführen können
• Session-Hijacking
Übernahme fremder Sitzungen mit Hilfe von Cross-Site
Scripting-Angriffen
• Cookies
Was bei der Generierung und Verwendung von
(Session-)Cookies zu beachten ist
• HTTP Parameter Pollution (HPP)
Mehrfachverwendung von Parametern zur Zugriffsumgehung
Wireless LAN ist eine äußerst attraktive Technologie. Sie ermöglicht
einer Vielzahl von Geräten die kabellose Nutzung des Internets
und einen schnellen, unkomplizierten Zugang zum Worldwide
Web. Im Zuge ihrer Verbreitung nehmen öffentliche HotSpots zu
und in gleicher Weise wächst auch die zur Verfügung stehende
Bandbreite stetig an. Doch wie sicher ist WLAN? Gehen die Entwicklung
von WLAN und von entsprechenden Schutzmaßnahmen
gegen Missbrauch Hand in Hand?
Themen:
Referent: Christian Rothländer
• Grundlagen der WLAN-Technologie
··
Standards
··
Begriffe
• Aufbau einer WLAN-Umgebung
··
Unter Linux (Adhoc, Infrastruktur)
• WLAN-Sniffing
··
Ausspähen ungesicherter Drahtlosnetzwerke
• Sicherheitsansätze des 802.11-Standards
··
Betrachtung von Schwächen
··
(SSID-/MAC-basierte Filter, WEP)
• Erweiterungen des 802.11-Standards
··
(WPA, WPA2, 802.11i)
• Authentifizierung in 802.11i
··
802.1x
··
EAP
• Schlüsselmanagement in 802.11i
··
Schlüsselhierarchien
··
Handshaking
• Funktionsweise der Verschlüsselungsmechanismen
··
WEP
··
TKIP
··
CCMP
• WLAN-Hacking
··
DoS-Angriffe
··
WEP-Cracking
··
Angriffe gegen WPA/WPA2-PSK
··
Session Hijacking & Man-in-the-Middle-Angriffe
• Angriffe gegen Captive Portals
• Das Smartphone: Ein handlicher Angreifer
Techn. Voraussetzungen:
Grundkenntnisse in HTML,
HTTP und SQL
Techn. Voraussetzungen:
Linux-Grundlagen
Termine: 03.-04.06.14 04.-05.11.14
Termine: 25.-26.03.14 02.-03.12.14

16 | | 17
IPv6-
Security (2 Tage)
IT-Recht und Datenschutz
für IT-Verantwortliche (1 Tag)
Die Tage des Internet Protokolls in der Version 4 (IPv4) sind bald
gezählt. Daher setzen viele Bereiche schon heute das Internet Protokoll
in der Version 6 (IPv6) ein. Aktuelle Betriebssysteme unterstützen
dieses Protokoll meist schon von sich aus, ohne dass eine
Interaktion des Benutzers notwendig wird. Dieser Umstand birgt die
Gefahr, dass hier Sicherheitslücken entstehen können, von denen
IT-Sicherheitsbeauftragte oft nichts wissen, da sie sich dessen nicht
bewusst sind. Dennoch sollte der IPv6-Datenverkehr in gleicher
Weise gesichert werden wie der IPv4-Datenverkehr.
Themen:
Referent: Marcel Mangold
• Kurze Einführung in IPv6
Einführung in die Adressschemata und Hilfsprotokolle
• Firewalls und IPv6
Unfreiwillige Löcher im Sicherheitssystem durch IPv6
• Schwächen im internen Netzwerk
··
Denial of Service-Angriffe
··
Man-in-the-Middle-Angriffe
··
Routing-Angriffe
• Schwächen in Sicherheitsmechanismen
Umgehung durch Fragmentierung
• (remote) Host Discovery
• Sicherheitsmaßnahmen
Secure Neighbour Discovery
Administratoren und IT-Sicherheitsverantwortliche müssen täglich
Entscheidungen treffen, ohne sich der rechtlichen Tragweite bewusst
zu sein. Oft stehen sie dabei „mit einem Bein im Gefängnis“,
was topaktuelle Themen wie BYOD oder Social Media aufzeigen.
Ein ausgereiftes Sicherheitskonzept besteht aus der erfolgreichen
Synchronisation von technischen und juristisch-organisatorischen
Komponenten.
Das Seminar klärt über die aktuelle Rechtslage im weiten Feld der
IT-Compliance, Informationssicherheit und Datenschutz auf, hilft
kritische Situationen richtig einzuschätzen und zeigt die Lösungswege
eines ganzheitlichen Sicherheitskonzeptes auf.
Der Referent, Rechtsanwalt Horst Speichert, ist Spezialist für IT-
Recht und Datenschutz, Lehrbeauftragter für Informationsrecht an
der Universität Stuttgart und Autor des Fachbuches „Praxis des
IT-Rechts“ (2. Auflage, Vieweg-Verlag).
Themen:
Referent: Horst Speichert
• Mobile Sicherheit und BYOD
Risiken bei Privatgeräten, MDM, rechtssichere Gestaltung,
Lizenzproblematik
• Datenschutz, Cloud, Auftrags-Datenverarbeitung
Datenschutzgesetze, Cloud-Computing, private Nutzung,
Mitarbeiter-Screening, Betriebsvereinbarung
• Haftung und Organisation im Umgang mit Social Media
Social Media Guidelines, Strafverfolgung, illegale Inhalte,
persönliche Haftung
• Hacking und Penetration
Rechtliche Einordnung, Hackerstrafrecht, § 202c StGB
• Archivierung und DMS
Archivierungspflichten, rechtssicheres DMS, Steuerprüfung,
Beweissicherheit
• Sicherheitssysteme und Content-Filter/Big Data – SIEM
AV, URL-Filter, SSL-Decryption, Data-Loss-Prevention,
Webanalyse-Tools, Deep-Packet-Inspection
• Risikomanagement, IT-Compliance, Audit
KonTraG, ISMS, Gestaltung von IT-Sicherheitsrichtlinien, Audits
Techn. Voraussetzungen:
Grundkenntnisse zu IPv6
Techn. Voraussetzungen:
Grundkenntnisse und gute
Allgemeinbildung im Bereich IT
Termine: 28.03.14 05.12.14
Termine: 27.06.14 14.11.14

18 | | 19
Eine unsichere IT-Landschaft kann den Betrieb oder sogar den Fortbestand
von Unternehmen erheblich gefährden. Meist reißen kleine,
unscheinbare Fehler gefährliche Löcher in IT-Netze. Voraussetzung
für die Behebung dieser Fehler ist, die Lücken zu identifizieren.
IT-Infrastrukturen und Applikationen können hochwertig und robust
konzipiert sein und dennoch Schwachstellen aufweisen. Um diesen
auf die Spur zu kommen, eignet sich der Penetrationstest hervorragend
als Kontrollinstrument. Denn nur auf diese Weise können
IT-Netze von außen und innen auf Sicherheitslücken hin effektiv
untersucht werden.
Themen:
Planung und Durchführung von
Penetrationstests (1 Tag)
• Warum Penetrationstests?
• Gegenstand der Prüfungen
(Perimeter, LAN, WLAN, Web-Applikationen, Web-Services,
Clients, iOS, Android, Spezialtests …)
• Gestaltungsmöglichkeiten:
··
Angekündigt / unangekündigt?
··
Einmalig oder als Prozess?
··
Blackbox- oder Whitebox-Test?
··
Durch einen externen Experten oder intern?
··
Aggressive oder vorsichtige Vorgehensweise?
• Kosten-/Nutzenverhältnis, Budgetoptimierung
• Vorgehensweise
• Interne und externe Kommunikation zu Tests
• Projektmanagement
• Metriken und Standards
• Rechtliche und ethische Aspekte
• Nachverfolgung von Schwachstellen
• Prüfpläne
Referent: Sebastian Schreiber
• Planung und Durchführung von Penetrationstests in
Konzernstrukturen
• 10 Tipps von Sebastian Schreiber
Termine: 06.06.14 19.09.14 07.11.14

20 | | 21
Anmeldung Trainings zu mehr Sicherheit
Hacking & Security 2014
Die Workshops finden in den Schulungsräumen unseres Bürogebäudes
in Tübingen statt. Einen Workshop-Tag bieten wir
zum Preis von € 720,00 zzgl. MwSt. an. Der Preis umfasst eine
ausführliche Schulung, einen professionellen Referenten, einen
komplett eingerichteten Arbeitsplatz und die Verpflegung.
Bei der Buchung von mindestens 5 Schulungstagen gewähren wir
einen Rabatt in Höhe von 10% (dieser ist nicht teilnehmerbezogen).
Bei Fragen hierzu stehen wir Ihnen jederzeit zur Verfügung.
Bitte senden Sie Ihre Anmeldung per Fax,
E-Mail oder Post an uns zurück:
SySS GmbH
Wohlboldstraße 8
72072 Tübingen
Fax: 07071 - 407856-19
E-Mail: info@syss.de
Zeitraum IT-Forensik IT-Recht Mobile Device
KW 10 - - 05. - 06.03.14 1,2
KW 19 06. - 08.05.14 - -
KW 26 - 27.06.14 24. - 25.06.14
KW 46 - 14.11.14 11. - 12.11.14
KW 47 18. - 20.11.14 - -
Name
Firma
Straße
Zeitraum IT-Security I IT-Security II Windows-Angriffe
KW 12 17. - 18.03.14 19. - 20.03.14 -
KW 14 - - 02. - 03.04.14 3
KW 20 12. - 13.05.14 14. - 15.05.14 -
KW 22 - - 27. - 28.05.14
KW 39 22. - 23.09.14 24. - 25.09.14 -
KW 43 20. - 21.10.14 9 22. - 23.10.14 9 -
KW 48 24. - 25.11.14 26. - 27.11.14 -
KW 50 - - 09. - 10.12.14
PLZ, Ort
Telefon
Fax
E-Mail
Zeitraum WLAN IPv6 Exploits
KW 13 25. - 26.03.14 28.03.14 -
KW 15 - - 09. - 10.04.14 3
KW 40 - - 30.09. - 01.10.14
KW 49 02. - 03.12.14 05.12.14 -
Neu
Zeitraum Web-App Penetrationstests VoIP
KW 18 - - 29. - 30.04.14 4,5
KW 23 03. - 04.06.14 6 06.06.14 7 -
KW 38 - 19.09.14 16. - 17.09.14
KW 45 04. - 05.11.14 10 07.11.14 10 -
Zeitraum Incident Response
KW 21 20. - 22.05.14
KW 42 14. - 16.10.14 8
Rechnungsadresse
(wenn abweichend)
Umsatzsteuernummer
(falls Firmensitz des Auftraggebers außerhalb Deutschlands)
Sonstiges
Ich benötige einen KFZ-Stellplatz während des Workshops:
Ich akzeptiere die Teilnahmebedingungen (siehe www.SySS.de)
ja
nein
1
Winterferien in Bayern, Saarland
2
Osterferien in Hamburg
3
Osterferien in Bremen, Niedersachsen
4
Osterferien in Schleswig-Holstein, Thüringen
5
Pfingstferien in Hamburg
6
Pfingstferien in Sachsen-Anhalt
8
Herbstferien in Hamburg, Nordrhein-Westfalen,
Schleswig-Holstein, Thüringen
9
Herbstferien in Berlin, Brandenburg, Hamburg,
Hessen, Mecklenburg-Vorpommern, Rheinland-
Pfalz, Saarland, Sachsen, Schleswig-Holstein
10
Herbstferien in Bremen, Niedersachsen
Datum
Unterschrift
7
Pfingstferien in Mecklenburg-Vorpommern,
Sachsen-Anhalt

22 |
Notizen

Wir, die SySS GmbH, sind ein Unternehmen für IT-Sicherheit,
spezialisiert auf Penetrationstests. Seit der Gründung 1998
durch unseren Geschäftsführer Sebastian Schreiber führen wir
mit mittlerweile 41 festangestellten Mitarbeitern hochwertige
Sicherheitstests durch. Bei unserer Arbeit verbinden wir einen
sehr hohen technischen Anspruch mit der von uns entwickelten
Ethik für Penetrationstester.
SySS GmbH
Wohlboldstraße 8
72072 Tübingen
Tel.: +49 - (0)7071 - 407856-0
Fax: +49 - (0)7071 - 407856-79
E-Mail: info@syss.de
www.syss.de