Laufwerksverschlüsselung ist eine der grundlegendsten Maßnahmen für die physische Sicherheit von Endgeräten. Wenn man die IT-Security-Nachrichten ein bisschen verfolgt, kommt es einem aber vor, als würde alle paar Monate eine neue Schwachstelle in BitLocker veröffentlicht werden. In diesem Beitrag erkläre ich die Funktionsweise von BitLocker im Detail, welche Angriffe es gibt und wie man sich dagegen schützen kann.
„Was kostet ein Pentest?“ ist die Frage, die ich am häufigsten höre, und die ehrliche Antwort ist immer „das kommt drauf an“. Das ist keine Ausrede. Ein Pentest wird nach Aufwand abgerechnet, nicht als fertiges Produkt verkauft, also lautet die eigentliche Frage dahinter: Was entscheidet darüber, wie viel Aufwand ein konkretes Projekt tatsächlich braucht? Genau das erklärt dieser Beitrag.
Bei einem internen IT-Infrastruktur-Penetrationstest oder einem Penetrationstest für Webanwendungen muss ich Kunden regelmäßig Dinge schicken, die niemand gerne im Postfach liegen hat: den finalen Bericht, extrahierte Zugangsdaten, einen Dump als Nachweis für eine Schwachstelle. E-Mail und generische Filesharing-Tools eignen sich dafür schlecht. Deshalb habe ich VidraCrypt (öffnet in neuem Tab) gebaut, ein kleines Open-Source-Tool, das Dateien vollständig im Browser entschlüsselt, ohne dass der Server jemals Passphrase oder Klartext zu sehen bekommt.
Einen Penetrationstest-Anbieter zu wählen ist schwer, wenn du selbst kein Sicherheitsspezialist bist, und in dieser Lage sind die meisten KMU. Der Markt ist voll selbstbewusster Verkaufsversprechen, und der Unterschied zwischen einem wirklich nützlichen Test und einem teuren Compliance-Häkchen ist aus einer Broschüre nicht erkennbar. Diese Checkliste gibt dir die konkreten Fragen und sagt dir, wie gute Antworten klingen.
NIS2 hat tausende mittelständische Unternehmen in ein Compliance-Regime gezogen, über das sie nie nachdenken mussten. Wenn du die IT in einem Unternehmen mit 50 bis 500 Mitarbeitenden in der DACH-Region verantwortest, hat man dir wahrscheinlich gesagt, du müsstest “etwas wegen NIS2 tun”, und ein Penetrationstest gehöre dazu. Dieser Artikel erklärt schlicht, wie ein NIS2-tauglicher Pentest tatsächlich aussieht und was Auditoren sehen wollen.
Du brauchst einen Penetrationstest, und der Markt bietet drei sehr unterschiedliche Anbietertypen: die Boutique-Einzelperson, die große Sicherheitsfirma und die PTaaS-Plattform. Sie sind unterschiedlich bepreist, liefern unterschiedlich und sind nicht austauschbar. Dieser Ratgeber vergleicht sie anhand der Faktoren, die das Ergebnis wirklich beeinflussen.
Security Awareness Training ist wertvoll. Verdächtige E-Mails erkennen, unerwartete Login-Anfragen hinterfragen, wissen wie Phishing aussieht: all das macht Angriffe schwieriger.
Aber hier ist die ehrliche Wahrheit: Mit genug Aufwand kann jeder gephisht werden. Ich führe regelmäßig simulierte Phishing-Kampagnen für Kunden durch, im Rahmen von Simulationen von Cyberangriffen, und habe dabei noch nie weniger als einige wenige Nutzer erwischt, egal wie gut das Training war.
Du hast entschieden, dass du einen Penetrationstest brauchst. Gute Entscheidung. Aber bevor du einen Auftrag unterzeichnest, kann vieles schiefgehen: falscher Scope, falsche Methodik, falsche Erwartungen. Das Ergebnis ist ein Bericht, der in der Schublade verstaubt, und ein Budget, das verschwendet wurde.
Dieser Ratgeber richtet sich an die Menschen, die Pentests kaufen, nicht an jene, die sie durchführen. Er erklärt, was ein Pentest wirklich ist, wann man ihn durchführen sollte, was man erwarten kann und wie man die häufigsten und teuersten Fehler vermeidet.
BitLocker ist bei Windows-Client-Pentests immer ein Thema. Damit die Vollverschlüsselung nicht einfach umgangen werden kann, muss BitLocker sicher konfiguriert sein.
Es gibt tatsächlich eine Schwachstelle, über die sich BitLocker ohne Spezial-Hardware ausnutzen lässt, und die kann im Prinzip jeder anwenden. In diesem Beitrag geht es um den Angriff bitpixie, warum der Standardmodus von BitLocker anfällig ist und was du dagegen tun kannst.
In diesem Blogpost beschreibe ich, wie ich es in Windows 11 24H2 geschafft habe, Passwort-Hashes aus dem lsass.exe Prozessspeicher auszulesen. Da diese Version beim Schreiben dieses Posts noch sehr neu war, sind manche der Probleme auch der fehlenden Tool-Unterstützung geschuldet und sollten in Zukunft behoben sein. Dieser Post kann aber auch helfen, die Tools für spätere Windows-Versionen anzupassen.
Kerberos funktioniert ähnlich wie ein Reisepass: Eine Passbehörde stellt den Pass aus, nachdem sich die Person identifiziert hat. Mit diesem Pass kann man dann zur Grenze gehen und sich dort ausweisen.
In diesem Blogpost werde ich kurz auf 2 oft übersehene Schwachstellen und Fehlkonfigurationen im Active Directory Tiering Modell eingehen. Konkret werde ich auf die Fehlbehandlung von Terminalserver und Helpdesk Usergruppe eingehen.
Was sehen wir auf dem Foto? Die Einstellungen für User Account Control (UAC). Aber was ist das eigentlich und wie kann man es umgehen?
BloodHound ist ein Tool, das von Pentestern und Red Teamern entwickelt wurde, um Angriffswege im Active Directory besser zu finden und zu visualisieren. Das heißt aber nicht, dass es nicht auch von Admins oder dem Blue Team sinnvoll verwendet werden kann.
Diese Woche wurde eine Schwachstelle im CheckPoint VPN Gateway bekannt (CVE-2024-24919). Leider gibt CheckPoint uns nur wenige Informationen über die Auswirkungen der Schwachstelle. Das möchte ich ändern! Ich werde zeigen, wie die Schwachstelle ausgenutzt werden kann und welche Informationen ein Angreifer auslesen kann.
Eine gute Passwortrichtlinie für das Active Directory festzulegen, ist leider schwierig. Dies liegt auch daran, dass es mehrere Best Practices gibt, die sich teilweise widersprechen. In diesem Beitrag werde ich versuchen, auf die verschiedenen Best Practices einzugehen und meine eigene Empfehlung abzugeben.
Kernaussagen: NIST empfiehlt mindestens 8 Zeichen, keine Komplexitätsregeln und keine erzwungene Rotation; Microsofts AD-Empfehlung weicht davon ab. VidraSec-Empfehlung: Minimum 10 Zeichen, Komplexität aus, maximales Passwortalter auf „Unbegrenzt“, Passworthistorie aus; zusätzlich Blockliste schwacher Passwörter und wo möglich MFA (z. B. Windows Hello for Business).
Dies ist der erste Teil einer Serie zu unsicheren Standardeinstellungen in Active Directory. Dieser Teil behandelt die Pre-Windows 2000 Compatible Access-Gruppe. Was ist das? Welche Risiken gibt es? Und was kannst du dagegen tun?
Trotz der beeindruckenden Performance von Hyper-V kann sich die GUI im Vergleich zur direkten Interaktion auf dem Host träge anfühlen. Eine Lösung dafür zu finden war schwierig, da es kaum Ressourcen dazu gibt. Dieser Beitrag zeigt, wie man Hyper-V und Linux-VMs für eine reaktionsfreudigere UI konfiguriert und dabei eine Performance auf VMware-Workstation-Niveau erreicht.
Erstens: Was genau ist BitLocker? BitLocker ist die Vollfestplattenverschlüsselung von Microsoft. Es gibt zwar alternative Lösungen von anderen Unternehmen, aber meine Erfahrung zeigt, dass BitLocker für die meisten Unternehmen heute die bevorzugte Wahl ist. Die Gründe dafür sind einfach: Es ist gratis und lässt sich nahtlos in Active Directory und EntraID integrieren.
Dieser Artikel führt durch die Einrichtung von BitLocker und befasst sich auch mit einigen potenziellen Angriffen auf BitLocker und bietet Einblicke in seine Sicherheitsfunktionen.