this post was submitted on 27 Oct 2024
13 points (100.0% liked)

EDV-Sicherheit

83 readers
6 users here now

IT Security auf Deutsch.

Wikipedia: "Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung, -speicherung und -lagerung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. "

Verwandte Communities:

Netiquette wird vorausgesetzt. Gepflegt wird ein respektvoller Umgang - ohne Hass, Hetze, Diskriminierung.

Bitte beachtet die Regeln von Feddit.org.

Attribution

  • Das Banner zeigt ein von marv99 mit Image Creator erzeugtes Bild zum Prompt "How could a security issue look like as a picture?"

  • Das Icon zeigt einen bearbeiteten Ausschnitt des Banners.


founded 1 month ago
MODERATORS
 

Mit einer verdeckten Aktion testet die IT-Sicherheit des Bundestags, wie Abgeordnete auf Phishing-Mails reagieren.

you are viewing a single comment's thread
view the rest of the comments
[–] [email protected] 8 points 1 week ago (3 children)

Haben wir in der Arbeit auch gemacht, wir waren sehr erfolgreich.

[–] [email protected] 6 points 1 week ago (2 children)

Bei uns gibt es sehr regelmäßige Testmails. Die sind allerdings ziemlich offensichtlich ("Herr xyz, bitte prüfen Sie die angehängte Gehaltskorrektur/Liefervertrag/whatever", Anwaltsschreiben o. Ä.), dass ich mich jedes Mal Frage ob/wer darauf hereinfällt.

Ich stelle es mir eigentlich relativ einfach vor mit minimaler Personalisierung quasi jeden dazu zu bringen auf Links zu klicken, Attachments zu öffnen (PDFs zumindest), oder sich anzumelden. Mich eingeschlossen.

[–] [email protected] 2 points 1 week ago (3 children)

Sind PDFs denn ein potentieller Angriffsvektor? Office Dokumente Dank macros natürlich, aber ich hätte gedacht, PDFs wären relativ sicher. Solange es halt wirklich PDFs sind

[–] [email protected] 3 points 1 week ago (2 children)

Ja, sind sie. Der Angriffsvektor sind Schwachstellen im PDF Client. PDFs enthalten nicht nur Text, sondern auch viele andere Dinge - Links, Bilder, Audio, Video, interaktive Objekte, usw. Und überall wo diese Dinge interpretiert werden kann es potentiell zu Schadcode Injection kommen. Dann nämlich wenn der Code nicht oder nur unzureichend interpretiert wird, und stattdessen direkt ausgeführt wird.

Zum Vergleich: Einfache Textdokumente werden nur angezeigt. Da findet keine interpretation in irgendeiner Weise statt.

[–] NessD 2 points 1 week ago

Naja, auch, wenn das technisch korrekt ist, sind PDFs nicht sicher. Bestes Beispiel ist der Hack, den LTT letztens hatte. Ist auch über eine PDF passiert.

[–] [email protected] 2 points 1 week ago

Einmal ist es sehr unwarscheinlich das ein angreifer einen pdf client 0day gegen dich benutzt, ausser natürlich du bist eine sehr wichtige / interessante person. Ein adobe reader rce exploit kit sind so um die 25k minimum und du musst erstmal jemand finden der eins hat denn solche exploits sind single use weil sie üblicherweise schnell identifiziert werden sobald sie benutzt werden.

Und das einfache textdatein nicht interpretiert werden müssen ist auch nicht richtig, es muss immer code ausgeführt werden der die bytes der datei ließt und verarbeitet. Notepad.exe zum beispiel muss die bytes erstmal dekodieren, das involviert das encoding herauszufinden (bom dann sniffing dann der default) dann müssen die dekodierten buchstaben angezeigt werden mit der entsprechenden font und bei diesem rendering können natürlich auch fehler entstehen.

Tatsächlich hat jemand schoneinmal in notepad.exe einen rce bug gefunden. Aber es ist natürlich richtig das das extrem unwarscheinlich ist durch die geringe angriffsfläche von notepad.

[–] [email protected] 3 points 1 week ago

Alles ist ein potentieller angriffsvektor, es kommt immer auf dein budget an ;)

Ich würde sagen pdf sind noch ziemlich gut dabei (also eher auf der sicheren seite) aber es kommt natürlich immer auf den pdf reader an!

[–] [email protected] 2 points 1 week ago

Man kann irgendwie Javascript in PDFs packen wenn ich mich richtig erinnere.

[–] [email protected] 1 points 1 week ago

Ha, lächerlich. Bei uns stand wenigstens drin, der CEO würde iPhones verlosen und wir hätten gewonnen.

[–] [email protected] 1 points 1 week ago (1 children)

Erfolgreich im Sinne von "Keiner ist drauf hereingefallen", oder im Sinne von "Alle haben sich reinlegen lassen"?

[–] [email protected] 5 points 1 week ago (2 children)

Ich glaub, die ersten Ergebnisse waren so im Bereich von 20-30% Klickrate und ~10% Passworteingaben, darunter auch Führungskräfte.

IMO eines der besten Argumente für verpflichtendes MFA.

[–] [email protected] 2 points 1 week ago (3 children)
[–] [email protected] 7 points 1 week ago

Medizinisches Fachangestellty. Das braucht man, wenn die IT am Endnutzy percussive maintenance ausführt um das Bewusstsein für Phishing einzustellen und dabei über das Ziel hinausschießt.

Oder das, was in den anderen Kommentaren schon steht.

[–] [email protected] 4 points 1 week ago

Multi Factor Authentication, also z.B. einen Einmalcode als zweiten Faktor.

[–] [email protected] 2 points 1 week ago

Es ist die Multi-Faktor-Authentifizierung gemeint

[–] [email protected] 2 points 1 week ago

Und ein gutes Argument für unangekündigte Tests :)

[–] [email protected] 1 points 1 week ago (1 children)

Ich schätze mal wir ist die IT? :)

[–] [email protected] 3 points 1 week ago

Ja genau, ich bin in der IT Security und wir bieten das unseren Kunden als Dienstleistung an.