Security Incident Prevention and Detection

Bedrohung und Operational Security

Einführung und Bedrohungslage:

• Bedrohungen durch Cybercrime und staatlich geführte Cyberangriffe
• Überlegungen zur Ethik
• Schutz der eigenen Identität, Umgang mit Social Networks
• Schutz der eigenen Arbeitsmittel (Anonymisierung, verschlüsselte Kanäle) und der Mitarbeitenden

Typisierung der Bedrohungen:

• Malware-Techniken
• Akteure und ihre Werkzeuge

Typisierung von Malware:

• Trojaner
• Würmer
• Backdoors
• Rootkits

Prävention

Vulnerability und Patch Management:

• Klassifizierung von Schwachstellen, Anwendung Common Vulnerability Scoring System (CVSS)
• Informationsquellen zu Schwachstellen
• Issue- und Vulnerability-Tracking
• Patch Cycles, Testing und zeitliche Aspekte
• Grenzen des Vulnerability- und Patch-Management

Malware und Spam Protection:

• Übersicht über die verschiedenen Möglichkeiten, sich vor Malware und Spam zu schützen
• Malwareschutz: Strategien und Konzepte
• Kenntnis über die Grenzen des Schutzes
• Vom klassischen, signaturbasierten Scanner zu einem verteilten Ansatz mit verschiedenen Schutzelementen
• Malware- und Virenscanner
• Detektionsmöglichkeiten

Linux System Hardening:

• Generelles zu Unix-Konzepten und -Infrastrukturen
• Unix Hardening Guides
• Partitionierung und Diskchiffrierung
• Härtung von Kernel und Netzwerkstack
• Authentisierung und Autorisierung
• Reduktion der Angriffsfläche durch Einschränken von Diensten
• Mandatory Access Control am Beispiel von AppArmor
• Integritätsprüfung
• Sichere Remote-Administration mit SSH
• Life Cycle Management
• Logging

Härtungsmassnahmen für Windows-Systeme:

• Generelles zu Microsoft-Konzepten und -Infrastrukturen
• Windows Hardening Guides
• Benutzerverwaltung und Authentisierung
• Reduktion der Angriffsfläche durch Einschränken von Diensten
• Microsoft Active Directory, Security Templates und GPOs
• Tools zur Absicherung eines Windows Systems
• Microsoft AppLocker
• MS Best Practice Analyzer / Microsoft Baseline Security Analyzer
• Lokale Firewall und Virenscanner
• Microsoft BitLocker
• Sichere Remote-Administration (RDP, etc.)
• Logging

Cloud-spezifische Härtungsmassnahmen (Fokus auf M365-Umgebungen):

• Ausschalten von Legacy-Protokollen
• Multifaktor-Authentisierung (Pro/Contra von verschiedenen Faktoren)
• Schutz von hochprivilegierten Accounts
• Deaktivieren vom Registrieren von Applikationen
• Kennenlernen von Conditional Access Policies
• Security Defaults
• Handling von externen Benutzer*innen

Penetration Testing:

• Einordnung der Tests anhand der OSI-Layer 2–7 und Übersicht über die Tools (Portscanner, Vulnerability Scanner, Web Application Scanner, unterstützende Hilfsmittel, Verwendung von AI für Pentests)
• Penetration Testing Standards (PTES, OSSTMM, OWASP, etc.)
• Vorbereitende Vorsichtsmassnahmen und Massnahmen für den Fall, dass etwas schief geht
• Portscanning (nmap, etc.)
• Vulnerability Scanning (OpenVAS, etc.)
• Einsatz von Penetration Testing Frameworks (Metasploit & Co.)
• Webapplication Scanning und manuelle Tests mittels Reverse Proxies.
• Reporting
• Grenzen des Penetration Testings
• OWASP Top Ten Sicherheitslücken finden und beheben (Workshop)

Detektion
 

Logfile-Analyse:

• Zentralisierung von Logs mit Hilfe von Syslog
• Logfile-Analyse auf der Kommandozeile
• Pattern Matching
• Korrelationen
• Einsatz von Splunk zur Logfile-Analyse

Network Intrusion Detection Systeme (NIDS):

• NIDS-Typen
• Architektur eines NIDS
• Konfiguration von Suricata
• Verstehen von Suricata Rules
• Analyse von pcaps und Generieren von IDS Rules
• Praktische Übung
• Zusätzliche Elemente wie passiveDNS

Host Intrusion Detection Systeme (HIDS):

• Konzept der hostbasierten Intrusion Detection
• Elemente einer hostbasierten Intrusion Detection auf Server-Systemen
• Integrity Checking Systeme als einzige Möglichkeit, die Unversehrtheit eines Systems nachzuweisen
• Hostbasierte Analyse und Erkennung am Beispiel von OSSEC
• Verhaltensbasierte Intrusion Detection auf Endgeräten mit Hilfe eines HIPS (Host Intrusion Prevention System)

Cloud Monitoring:

• Kennenlernen vom AWS Cloud Trail Log und die wichtigsten Elemente daraus
• Ein grösserer Fokus wird auf das Monitoring und Erkennen von Kompromittierungen von M365-Umgebungen gelegt:
• Risky Sign-Ins
• Risk Detections
• Kennenlernen der verschiedenen Log-Files
• Gezieltes Hunting nach Kompromittierungen von EntraID Accounts

Dynamische Malware Analyse:

• Statische/dynamische Malwareanalyse mit verschiedenen Tools.
• OSINT Informationen sammeln und richtig anwenden.
• Malwareanalyse in verschiedenen Sandboxes (Public/Private) und Auswertung der Reports.
• Mit KI Tools Sandboxauswertungen analysieren.
• Infektionsketten von Anfang bis am Schluss verstehen. ClickFix/Malspam als initiale Vektoren führen oft zu MaaS Binaries.

Workshop
 

• Basiswissen Linux
• Basiswissen Windows
• Netzwerk-Sniffing
• Mail Clients und deren Artefakte
• Passwort Cracken
• Schwachstellen
• Untersuchungen von Binaries

Projektarbeit
 

Themen von Semesterarbeiten können beispielsweise sein:

• Erarbeiten der zusätzlich notwendigen Massnahmen nach einem sicherheitsrelevanten Vorfall im eigenen oder einem auftraggebenden Betrieb
• Untersuchung und Nachstellung neuer Angriffsmethoden
• Analyse vorhandener Infrastruktur und anhand der gewonnenen Informationen ein geeignetes Konzept zur Härtung der Systeme erarbeiten
• IoT-Security mit Vulnerability Assessment für Industrie-4.0-Anlagen
• Sicherheits-Vorfälle oder -Projekte der Dozierenden

Prof. Dr. Endre Bangerter, Co-Institutsleiter ICE (Institute for Cybersecurity & Engineering), BHF

Stephan Berger, Founder Malmium, Cybersecurity-Experte, Lehrbeauftragter BFH

Eduard Blenkers, BLS, Lehrbeauftragter BFH

Dominique Kolly, Identity & Infrastructure Security Engineer BLS, Lehrbeauftragter BFH

Stefan Egger, VBS, Lehrbeauftragter BFH

Marco Gfeller, SBB, Lehrbeauftragter BFH

Reto Inversini, Cyber Threat Analyst / Incident Responder Rail ISAC SBB, Dozent BFH

Heino Kronenberg, Bundesamt für Informatik und Telekommunikation, Lehrbeauftragter BFH

Dominik Kuhn, System Architect IAM, Bundesamt für Informatik und Telekommunikation, Lehrbeauftragter BFH

Adrian Leuenberger, Lehrbeauftragter BFH

Manuel Schilt, VBS, Lehrbeauftragter BFH

Mauro Vignati, ICRC, Lehrbeauftragter BFH