Hacken lernen in unserem ITSec Lab

ICO (International Certification Organization) ist die Zertifizierungsstelle für die Personenzertifizierung nach ITSec.

Leider nicht. Ob andere gleichwertige Zertifikate als Zugangsvoraussetzung anerkannt werden können, wird derzeit geklärt.

Nein. Sowohl die Theorie als auch die Praxis ähneln sich selbstverständlich. Dennoch sind es zwei getrennte Ausbildungen mit unterschiedlichen Übungen und schlussendlich auch unterschiedlichen Prüfungen. Natürlich haben Sie in der IT Forensic Investigator Ausbildung Vorteile, wenn Sie wissen, wie Attacken durchgeführt werden, um diese dann zu untersuchen. Wenn Sie also vorhaben, beide Zertifikate zu erwerben, sollten Sie zuerst den Penetration Tester und danach den Forensic Investigator Kurs besuchen.

Diese Frage lässt sich so nicht beantworten. Für Entwickler und für Tester im Bereich Change- und Release Management ist eher die Penetration Tester Ausbildung relevant.

Mitglieder eines CERT (Computer Emergency Response Team) sollten die ITSec Forensic Investigator Ausbildung bevorzugen. Generell gehen wir davon aus, dass die duale Zertifizierung Ihnen als IT Security Experte die größtmögliche Perspektive für interessante Aufgaben und Projekte bietet.

Entwickler sollten wissen, wie Angriffe verlaufen, um die Applikationen, die sie programmieren, schützen zu können. Entwicklern empfehlen wir daher die Ausbildung zum ITSec Penetration Tester, da diese gegenüber dem ITSec Forensic Investigator die Vermeidung von Sicherheitslücken in den Vordergrund stellt.

Nein, denn die in der Hacker-Schulung verwendete Software darf nur von autorisierten Personen auf vorgegebenen IT-Systemen verwendet werden. Dies ist klar durch den „Hacker-Paragraphen“ §202c im StGB geregelt.

Beim Ethical Hacking besteht das Ziel in der Identifikation von Sicherheitslücken. Dazu wird ein IT-Experte beauftragt, welcher mit den Mitteln eines Kriminellen und bekannten Angriffsmustern ein Objekt untersucht. Die mithilfe des Penetration Testing gefundenen Schwächen werden dem Kunden transparent offen gelegt. Dabei muss die Motivation zur Auftragserteilung immer die Aufdeckung einer Sicherheitslücke sein und nicht die Begehung einer Straftat.

Ein Penetrationstest ist ein Sicherheitstest eines Rechners, einer Applikation, eines Netzwerkes bzw. eines gesamten IT Systems oder eines IT Services. Bei einem Pentest werden die Grundsätze des Ethical Hackings eingehalten. Die gefundenen Sicherheitslücken werden in einem Bericht zusammengetragen und bewertet.

Die Ziele eines Penetrationstests ist die Identifikation von Schwachstellen und der sich daraus ergebenden Verbesserungsmaßnahmen hinsichtlich der technischen, organisatorischen und personellen Struktur. Außerdem wird dieser Test als Bestätigung der IT-Sicherheit durch einen unabhängigen Dritten durchgeführt.

Die Hackerethik ist nur bedingt einheitlich definiert. Es gibt eine ursprüngliche Version aus dem Buch „Hackers“ von Steven Levy. Unstrittig ist, dass die ursprüngliche Version aus dem MIT-Eisenbahnerclub (Tech Model Railroad Club) kommt und damit aus einer Zeit stammt, in der sich verhältnismäßig viele Leute wenige Computer teilen mussten und entsprechende Überlegungen zum Umgang miteinander und der Materie sinnvoll waren. Hier ein Auszug der aktuellen Version des Chaos Computer Clubs (CCC):

• Der Zugang zu Computern und allem, was einem zeigen kann, wie diese Welt funktioniert, sollte unbegrenzt und vollständig sein.
• Alle Informationen müssen frei sein.
• Mißtraue Autoritäten – fördere Dezentralisierung
• Beurteile einen Hacker nach dem, was er tut, und nicht nach üblichen Kriterien wie Aussehen, Alter, Rasse, Geschlecht oder gesellschaftlicher Stellung.
• Man kann mit einem Computer Kunst und Schönheit schaffen.
• Computer können dein Leben zum Besseren verändern.
• Mülle nicht in den Daten anderer Leute.
• Öffentliche Daten nützen, private Daten schützen.

Hier gibt es zwei Definitionen:

1. Laut BSI ist IT-Forensik die streng methodisch vorgenommene Datenanalyse auf Datenträgern und in Computernetzen zur Aufklärung von Vorfällen unter Einbeziehung der Möglichkeiten der strategischen Vorbereitung insbesondere aus der Sicht des Anlagenbetreibers eines IT-Systems.
2. Laut Wikipedia sit die IT-Forensik bzw. Digitale Forensik ist ein Teilgebiet der Forensik. Sie behandelt die Untersuchung von verdächtigen Vorfällen im Zusammenhang mit IT-Systemen und der Feststellung des Tatbestandes und der Täter durch Erfassung, Analyse und Auswertung digitaler Spuren. Mittlerweile ist die Untersuchung von Computersystemen im Sinne einer inhaltlichen Auswertung der dort gespeicherten Informationen auch im Zusammenhang mit „herkömmlichen“ Straftaten, aber auch für Zwecke der Steuerfahndung etabliert.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde am 1. Januar 1991 gegründet und gehört zum Geschäftsbereich des Bundesministeriums des Innern. Das BSI ist eine unabhängige und neutrale Stelle für Fragen zur IT-Sicherheit in der Informationsgesellschaft. Als Behörde ist sie damit im Vergleich zu sonstigen europäischen Einrichtungen einzigartig. Derzeit sind dort ca. 600 Informatiker, Physiker, Mathematiker und andere Mitarbeiter für die Sicherheit in der Informationstechnik beschäftigt. Seinen Hauptsitz hat das BSI in Bonn.

OS Fingerprinting (Betriebssystem-Fingerabdruck) ist ein Methode zur Erkennung von Betriebssystemen durch die Beobachtung diverser Reaktionsweisen der Systeme im Netzwerk aus der Ferne. Zur Erkennung des Betriebssystems können aktive, als auch passive Methoden Verwendung finden.
Eine weitverbreitete  Methode ist die Erkennung via TCP/IP-Stack-Fingerprinting (englisch für „TCP/IP-Protokollstapel-Fingerabdruck“).

Ein Passwort (englisch password), ist eine zwischen zwei Parteien vereinbarte Zeichenfolge, die zur Authentifizierung benutzt wird. Weitere Synonyme sind Passphrase, Kennwort, Schlüsselwort, Schlüssel, Codewort (auch Kodewort), Losung, Losungswort oder Parole (von italienisch la parola ‚das Wort‘).

Eine Hashfunktion ist eine Funktion, die eine Zeichenfolge beliebiger Länge auf eine Zeichenfolge mit fester Länge abbildet.

Ein Sniffer ist ein Werkzeug (Tool) der Netzwerkanalyse. Es ermöglicht das Mitlesen und Analysieren des Datenverkehrs. Dabei wird zwischen dem sogenannten non-promiscuous Mode und dem promiscuous Mode unterschieden.

Social Engineering nennt man zwischenmenschliche Beeinflussungen („soziale Manipulation“) mit dem Ziel, bei Personen ein bestimmtes Verhalten hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.

Dient Social Engineering zur Informationsgewinnung um schlussendlich in ein System einzudringen, spricht man von „Social Hacking“.

Ein Sicherungssystem, das ein internes Netzwerk oder einen einzelnen Rechner vor unerwünschten Zugriffen über ein externes (als unsicher geltendes) Netzwerk schützt. Sie überwacht den Datenverkehr und entscheidet anhand festgelegter Regeln, ob dieser durchgelassen oder blockiert wird.

Spyware ist ein Schadprogramm, das Daten eines Benutzers ohne dessen Wissen oder Zustimmung an den Hersteller der Software (Call Home) oder an Dritte sendet.

Mit „Footprinting“ bezeichnet man in der IT-Sicherheit die erste Phase eines Hackingangriffs, die Informationsbeschaffung. Es wird zwischen aktivem und passivem Footprinting unterschieden.

Ein Cracker – auch Black Hat genannt – handelt mit krimineller Energie und beabsichtigt beispielsweise, das Zielsystem zu benutzen, zu beschädigen oder Daten zu stehlen.

Die Methode der Bedrohungsmodellierung (Threat modelling) ermöglicht es, diejenigen Bedrohungen systematisch zu identifizieren und zu bewerten, welche die größten potenziellen Auswirkungen auf die Sicherheit eines Systems haben. Eine solche Bedrohungsanalyse bildet eine wertvolle Grundlage für Risikoanalysen, Penetrationstests und andere Arten von Sicherheitsanalysen.

Ja, „M 5.150 Durchführung von Penetrationstests“ betont, „Penetrationstests sind erprobte und geeignete Vorgehen, um die aktuelle Sicherheit von IT-Systemen und IT-Anwendungen festzustellen.“ Mehr dazu beim Bundesamt für Sicherheit in der Informationstechnik (BSI)

Das BSI hat darüberhinaus den Praxis-Leitfaden „IS-Penetrationstests“ veröffentlicht. Er dient IS-Penetrationstestern dabei, Penetrationstests möglichst effizient und effektiv durchzuführen. Der Praxis-Leitfaden für IS-Penetrationstests ist kostenlos auf der Webseite des BSI unter https://www.bsi.bund.de/Penetrationstest abrufbar.