Vorwort

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: translation-feedback@oreilly.com

In den letzten zehn Jahren ist die Verbreitung von Technologien weltweit explodiert und die Unternehmen hatten Mühe, damit Schritt zu halten. Benutzerfreundlichkeit und Umsatzsteigerung waren die wichtigsten Motivationsfaktoren, wobei die für eine langfristige Stabilität erforderliche proaktive Gestaltung und Sicherheit oft außer Acht gelassen wurde. Angesichts der zunehmenden Zahl von Hacks, rekordverdächtigen Datenlecks und Ransomware-Angriffen ist es unsere Aufgabe, nicht nur mit Standardinstallationen auszukommen, sondern auch unsere Daten und Werte so gut wie möglich zu schützen. Es wird immer Fälle geben, in denen du in eine Umgebung kommst, die ein metaphorisches Zugwrack mit so vielen Bränden ist, dass du gar nicht weißt, wo du anfangen sollst. In diesem Buch erfährst du, was du brauchst, um ein solides und sicheres Design für die meisten Situationen zu entwickeln, die dir begegnen können.

Moderne Angriffe können aus vielen verschiedenen Motiven erfolgen und werden von Menschen verübt, die von organisierten kriminellen Gruppen, die mit den Angriffen Geld verdienen wollen, bis hin zu Hacktivisten reichen, die Vergeltung an Organisationen üben wollen, die sie für unmoralisch oder gegen das öffentliche Interesse halten. Unabhängig von der Motivation und der Person des Angreifers wird eine große Anzahl von Angriffen von qualifizierten Personen organisiert und durchgeführt, die oft über finanzielle Mittel verfügen.

Diese Veränderung der Landschaft hat dazu geführt, dass viele Unternehmen eine Aufholjagd in Sachen Informationssicherheit gestartet haben und oft feststellen mussten, dass ihr Informationssicherheitsprogramm entweder nicht die nötige Unterstützung durch die Geschäftsleitung erhalten hat oder einfach nie existierte. Diese Unternehmen versuchen, dies zu korrigieren und beginnen, ihre Bemühungen um die Informationssicherheit zu initiieren oder auszubauen. Dabei gibt es jedoch ein Problem.

Die Informationssicherheitsbranche erlebt derzeit eine Phase negativer Arbeitslosigkeit, d.h. es gibt mehr offene Stellen als Bewerber, die diese Stellen besetzen können. Es ist schwierig, Leute einzustellen, und gute Leute einzustellen ist noch schwieriger. Für Arbeit ssuchende kann dies ein Vorteil sein; für Arbeitgeber, die jemanden für eine Stelle in der Informationssicherheit einstellen wollen, ist dies jedoch ein hohes Risiko, da sie einem neuen Mitarbeiter ein gewisses Maß an Vertrauen entgegenbringen und ihm möglicherweise hohe Summen anvertrauen.

Aus diesem Grund haben viele Unternehmen, die erst jetzt mit ihrem Informationssicherheitsprogramm beginnen, den Weg gewählt, jemanden aus einer anderen Funktion, z. B. als Systemadministrator oder Architekt, in die Rolle eines Informationssicherheitsexperten zu befördern. Eine andere gängige Praxis ist die Einstellung einer jüngeren Fachkraft für Informationssicherheit in einer Rolle, als es normalerweise der Fall wäre, und die Erwartung, dass der neu ernannte Mitarbeiter "on the job" lernt. Genau auf diese Situation zielt dieses Buch ab.

Viele Probleme, mit denen Unternehmen mit einem unausgereiften Informationssicherheitsprogramm konfrontiert sind, können mit einer grundlegenden Sicherheitshygiene behoben oder zumindest erheblich reduziert werden. Die erste Reaktion auf die Übernahme einer neuen und unausgereiften Sicherheitsabteilung kann darin bestehen, so viele Geräte mit hübschen blinkenden LEDs wie möglich zu kaufen, in der Hoffnung, dass sie die Probleme beheben werden. Manche Leute würden lieber ein anderes Unternehmen bezahlen, um einen Outsourcing-Vertrag abzuschließen, mit dem sie die Abteilung unterstützen können. Beide Optionen erfordern Geld. Viele Unternehmen, die neu im Bereich der Informationssicherheit sind, haben nicht das Budget, um eine dieser Lösungen für das Problem in Angriff zu nehmen - die Nutzung der Werkzeuge, die bereits in der Umgebung vorhanden sind, ist vielleicht alles, was du hast.

Unser Ziel

Unser Ziel ist es nicht nur, einen Standard zu schaffen, der auf die meisten Unternehmensnetzwerke angewendet werden kann, sondern auch ein wenig unterhaltsam zu sein, wenn man ihn liest. Es gibt bereits tiefgreifende Standards von verschiedenen staatlichen und privaten Organisationen, die sich immer wieder über die Gültigkeit der einen oder anderen Sicherheitsmaßnahme auslassen. Wir wollen, dass dies ein informativer Dialog wird, der sich auf reale Erfahrungen in der Branche stützt. Es wird eine Mischung aus guten Richtlinien, bewährten Methoden, Codeschnipseln, Screenshots, Lösungsansätzen und Sticheleien geben. Wir wollen die breite Masse ansprechen - Netzadministratoren, die keine Genehmigung für die Einstellung von Mitarbeitern bekommen; Direktoren, die wissen wollen, dass sie nicht die Einzigen sind, die tagtäglich kämpfen; und die Leute, die sich die Hände in den Schützengräben schmutzig machen und noch nicht einmal annähernd bereit sind, den Weg des Lesens von Whitepapers und RFCs zu gehen.

Für wen dieses Buch ist

Dieses Buch ist als Sicherheitshandbuch 101 konzipiert, das auf möglichst viele Umgebungen anwendbar ist, um mit minimalem finanziellem Aufwand eine maximale Verbesserung deiner Sicherheitslage zu erreichen. Zu den Positionen, die von diesem Buch profitieren können, gehören Chief Information Officers (CIOs) auf höherer Ebene, Direktoren, Sicherheitsanalysten, Systemadministratoren und andere technische Funktionen.

Navigieren im Buch

Wir haben das Buch bewusst so geschrieben, dass du keinen Alles-oder-Nichts-Ansatz wählen musst. Jedes der Kapitel kann als eigenständiger Wissensfundus für ein bestimmtes Interessengebiet dienen, d.h. du kannst dir aussuchen, welche Themen für dich und dein Unternehmen relevant sind, und alle ignorieren, die du für nicht zutreffend hältst. Das Ziel ist nicht, die Einhaltung eines bestimmten Rahmens oder einer bestimmten Regelung zu erreichen, sondern die aktuelle Situation in sinnvollen, pragmatischen und überschaubaren Teilen zu verbessern.

Wir haben dieses Buch bewusst so angeordnet, dass es mit den Grundlagen für den Start oder die Neugestaltung eines Informationssicherheitsprogramms beginnt. Es nimmt dich von den ersten Schritten der Programmerstellung mit auf eine wilde Achterbahnfahrt in die Tiefen der technischen Themen. Vielen Menschen fehlt die Einsicht, dass ein großer Teil der Arbeit und der Umsetzung in einem Unternehmen erledigt werden kann, bevor ein großes Kapital ausgegeben wird. Ein häufiges Problem im Bereich der Informationssicherheit ist, dass es nicht gelingt, die Zustimmung der Führungsebene zu bekommen. Ein Schritt in die richtige Richtung, um ein Sicherheitsbudget zu erhalten, wäre der Nachweis, dass du deine Arbeit mit der nötigen Sorgfalt durchgeführt hast. Ein großer Teil dieses Buches enthält Schritte, Werkzeuge, Prozesse und Ideen, um eine Umgebung mit wenig oder gar keinem Kapital zu sichern.

Nach den grundlegenden Schritten der Planung des neuen und glänzenden Sicherheitsprogramms gehen wir dazu über, einen Grundstock an Richtlinien, Standards und Verfahren zu erstellen. Wenn du dies in einer frühen Phase deines Sicherheitsprogramms tust, hast du eine gute Ausgangsbasis für Wachstum und Reifung. Mit Hilfe von Richtlinien als Mittel zur Kommunikation von Erwartungen kannst du die Mitarbeiter/innen in deinem Unternehmen darauf einstellen, was von ihnen und ihrer Rolle erwartet wird.

Wir haben die Benutzerschulung schon früh in das Buch aufgenommen, da es nie zu früh ist, den Mitarbeitern beizubringen, worauf sie achten müssen (und sie als Schlüsselrolle bei der Aufdeckung einzusetzen). Je nachdem, wie stark deine Abwehrkräfte derzeit sind, sollte dies jedoch kein Hauptaugenmerk sein, bis eine solide Grundlage geschaffen wurde. Angreifer werden sich nicht um menschliche Interaktion bemühen, wenn sie sich einfach aus der Ferne verbinden können.

Das Buch befasst sich dann mit der Planung und dem Umgang mit Sicherheitsverletzungen, Katastrophen, der Einhaltung von Vorschriften und der physischen Sicherheit, die alle die Management- und Organisationsseite der Informationssicherheit mit den physischen Werkzeugen und der Infrastruktur verbinden, die für die Umsetzung benötigt werden. Auf jede Art von physischem oder technischem Notfall vorbereitet zu sein, kann den Unterschied zwischen einer reibungslosen und stetigen Wiederherstellung oder einem kompletten Unternehmensausfall bedeuten - und allem, was dazwischen liegt.

Ein guter, solider Grundentwurf ist nur der Anfang. Nachdem wir nun einen Teil des Designs des Gesamtprogramms behandelt haben, beginnen wir mit den technischen Kategorien und der Sicherheitsarchitektur, angefangen bei den beiden Hauptkategorien der Betriebssysteme. Sowohl Microsoft als auch Unix haben ihre Vor- und Nachteile, aber in Bezug auf Microsoft werden wir unter anderem die Installation des Enhanced Mitigation Experience Toolkit (EMET), bewährte Methoden für Gruppenrichtlinien und die Sicherheit von Microsoft SQL behandeln. Bei Unix werden wir uns mit Updates von Drittanbietern und der Härtung von Servern und Betriebssystemen befassen, einschließlich der Deaktivierung von Diensten, Dateiberechtigungen, hostbasierten Firewalls, Festplattenpartitionen und anderen Zugriffskontrollen. Auch die Verwaltung von Endgeräten fällt in diese Kategorie. Ein häufiges Problem, mit dem wir in Unternehmen konfrontiert werden, sind Bring Your Own Device (BYOD)-Praktiken und Mobile Device Management (MDM). Wir werden auch auf die Verwaltung und Implementierung der Endgeräteverschlüsselung eingehen.

Zwei weitere wichtige Bereiche, die oft ignoriert werden (oder denen nicht so viel Aufmerksamkeit geschenkt wird, wie sie sollten), sind die Netzwerkinfrastruktur und die Passwortverwaltung. Bei der Netzwerkinfrastruktur geht es um Portsicherheit, die Deaktivierung unsicherer Technologien, Gerätefirmware, Egress-Filterung und mehr. Wir befassen uns mit der Segmentierung, einschließlich der Implementierung virtueller lokaler Netzwerke (VLANs) mit Zugriffskontrolllisten (ACLs), um sicherzustellen, dass das Netzwerk nicht flach ist, mit der Delegation von Berechtigungen und mit der Netzwerkzugriffskontrolle. Anschließend werden wir uns mit dem Scannen von Schwachstellen und deren Behebung befassen. Die meisten Schwachstellen-Scanner für Unternehmen sind zwar nicht kostenlos, aber wir sprechen in diesem Kapitel über sie, um ihren Wert zu beweisen, indem wir sie für eine kostenlose Testphase nutzen (um auf den Kauf des gesamten Produkts hinzuarbeiten) oder das Beste aus einer bereits im Unternehmen vorhandenen Vollversion herausholen.

Viele Unternehmen haben ein eigenes Entwicklungsteam, aber die traditionelle Ausbildung für Entwickler konzentriert sich in der Regel auf Leistungsoptimierung, Skalierbarkeit und Interoperabilität. Sichere Kodierungspraktiken wurden erst in den letzten Jahren in die Softwareentwicklungsschulung aufgenommen. Wir erörtern Techniken, die zur Verbesserung der aktuellen Situation und zur Verringerung des Risikos eingesetzt werden können, das oft mit der internen Entwicklung verbunden ist.

Purple Teaming, also die Kombination aus offensiver (rotes Team) und defensiver (blaues Team) Sicherheit, kann je nach Personalausstattung und Unternehmensrichtlinien schwierig umzusetzen sein. Es handelt sich um ein relativ neues Konzept, das in den letzten Jahren viel Aufmerksamkeit erregt hat. In Kapitel 18 werden einige grundlegende Konzepte für Penetrationstests sowie Social Engineering und Open Source Intelligence behandelt.

Schließlich werden einige der zeitintensivsten Sicherheitspraktiken und -geräte behandelt, wie das Intrusion Detection System (IDS), das Intrusion Prevention System (IPS), das Security Operations Center (SOC), die Protokollierung und die Überwachung. Wir haben die Erfahrung gemacht, dass viele Unternehmen glauben, dass diese Technologien nur einmal installiert oder eingerichtet werden müssen und man sich dann geschützt fühlen kann. Es lohnt sich, Zeit, Mühe und Investition in eine fortlaufende Konfiguration zu investieren, denn deine interne Umgebung verändert sich ständig, ebenso wie die Bedrohungen, die du im Auge behalten solltest. Wir werden keine spezifischen Herstellerempfehlungen geben, sondern allgemeine Lösungen und Konzepte diskutieren, die sich besser bewähren als eine spezifische Herstellerempfehlung für das aktuelle Toolset.

Oh, und die Extra-Meile(Kapitel 23) ... das ist die Schublade, in der du unsere kleinen Konfigurationsideen und Ratschläge findest, die nirgendwo anders Platz finden.

Jetzt, wo wir all das gesagt haben, lass uns sehen, was wir tun können, um einige Dinge zu verbessern.

In diesem Buch verwendete Konventionen

In diesem Buch werden die folgenden typografischen Konventionen verwendet:

Kursiv

Weist auf neue Begriffe, URLs, E-Mail-Adressen, Dateinamen und Dateierweiterungen hin.

Constant width

Wird für Programmlistings sowie innerhalb von Absätzen verwendet, um auf Programmelemente wie Variablen- oder Funktionsnamen, Datenbanken, Datentypen, Umgebungsvariablen, Anweisungen und Schlüsselwörter hinzuweisen.

Constant width bold

Zeigt Befehle oder anderen Text an, der vom Benutzer wortwörtlich eingetippt werden sollte.

Constant width italic

Zeigt Text an, der durch vom Benutzer eingegebene Werte oder durch kontextabhängige Werte ersetzt werden soll.

Hinweis

Dieses Element steht für einen allgemeinen Hinweis.

Warnung

Dieses Element weist auf eine Warnung oder einen Warnhinweis hin.

O'Reilly Online Learning

Hinweis

Seit mehr als 40 Jahren bietet O'Reilly Media Schulungen, Wissen und Einblicke in Technologie und Wirtschaft, um Unternehmen zum Erfolg zu verhelfen.

Unser einzigartiges Netzwerk von Experten und Innovatoren teilt sein Wissen und seine Erfahrung durch Bücher, Artikel und unsere Online-Lernplattform. Die Online-Lernplattform von O'Reilly bietet dir On-Demand-Zugang zu Live-Trainingskursen, ausführlichen Lernpfaden, interaktiven Programmierumgebungen und einer umfangreichen Text- und Videosammlung von O'Reilly und über 200 anderen Verlagen. Weitere Informationen erhältst du unter https://oreilly.com.

Wie du uns kontaktierst

Bitte richte Kommentare und Fragen zu diesem Buch an den Verlag:

Wir haben eine Webseite für dieses Buch, auf der wir Errata, Beispiele und zusätzliche Informationen auflisten. Du kannst diese Seite unter https://oreil.ly/DefSecHandbook2e aufrufen .

Neuigkeiten und Informationen über unsere Bücher und Kurse findest du unter https://oreilly.com.

Du findest uns auf LinkedIn: https://linkedin.com/company/oreilly-media.

Sieh uns auf YouTube: https://youtube.com/oreillymedia.

Danksagungen

Zunächst einmal möchten wir uns ganz herzlich bei unseren technischen Prüfern bedanken: Chris Dotson, Rajat Dubey und Swapnil Shevate.

Amanda

Ich habe so vielen Menschen zu danken. Der Vorteil, wenn man sein eigenes Buch schreibt, ist, dass man weitermachen kann und weitermachen und weitermachen und... du verstehst schon.

Mein Koautor Lee war absolut fantastisch. Wir haben beide wahnsinnig viele Stunden gearbeitet, um die erste Ausgabe fertigzustellen. Die Arbeit des anderen zu überprüfen und sich gegenseitig mit Ideen zu versorgen, macht eine gute Freundschaft und Arbeitspartnerschaft aus. Ich hätte mir keinen besseren Partner wünschen können.

Mein zweiter Koautor Bill hat mir wirklich sehr geholfen, als wir ihn in die zweite Auflage aufgenommen haben. Bücher zu schreiben ist nicht immer einfach, vor allem, wenn man bedenkt, was im Leben so alles passiert. Bill hatte das Fachwissen und die Erfahrung, um Lee und mir zu helfen, die zweite Ausgabe über die Ziellinie zu bringen, und es war toll, mit ihm zu arbeiten.

Ich möchte meinen drei wunderbaren Jungs Michael, James und Wyatt besondere Anerkennung zollen. Sie haben begonnen, sich zu so eigenständigen und erstaunlichen Menschen zu entwickeln, und ohne ihre Unterstützung und ihr Verständnis für meine langen Arbeitszeiten in den letzten Jahren wäre ich heute nicht da, wo ich bin.

Meine Mutter für ihre ständige Unterstützung und Ermutigung und dafür, dass sie mein Haus putzt, wenn ich auf Reisen bin.

Matt dafür, dass er der beste Partner ist, den man sich nur wünschen kann. Die Teamarbeit, der gegenseitige Respekt und die Unterstützung und all die anderen Aspekte haben es so viel einfacher gemacht, eine zweite Ausgabe zu schreiben. <3

Ich möchte den Kolleginnen und Kollegen danken, die ich im Laufe der Jahre kennengelernt habe und die immer für mich da waren, auch wenn ich Fehler gemacht habe. Den Menschen, die ich als meine Mentoren betrachte; einige hatte ich während meiner gesamten Laufbahn, andere, seit ich den Weg der Informationssicherheit und der Führung eingeschlagen habe. Ein besonderer Dank geht an @_sn0ww für die Hilfe mit Inhalten zu physischer Sicherheit und Social Engineering sowie an Alan Burchill für sein Wissen und seine Inhalte zu Gruppenrichtlinien. Die Informationssicherheits-Community hat mir geholfen, mich täglich weiterzuentwickeln, obwohl ich täglich mit dem Impostersyndrom und Selbstzweifeln zu kämpfen hatte. Ihr wart immer für mich da, wenn ich euch brauchte, um mich anzulehnen, von euch zu lernen, euch zu lehren und euch zu entspannen. Es gibt zu viele von euch, um sie alle aufzuzählen, aber ich schätze unsere tiefgründigen Gespräche bei Drinks, bei Stammtischen, auf Facebook, Twitter, in Kellern und auf jeder anderen Plattform, die es gibt.

Zum Schluss möchte ich meinen Armen danken, dass sie immer an meiner Seite sind, meinen Beinen, dass sie mich stützen, meinen Hüften, dass sie nicht lügen, und meinen Fingern, dass ich immer auf sie zählen kann. Danke, dass du an mich glaubst.

Lee

Zuallererst möchte ich meiner Frau Kirsty und unseren Kindern Noah, Amy und Dylan dafür danken, dass sie mich bei allem, was ich tue, so sehr unterstützen, eine unglaubliche Geduld haben und mir die Zeit geben, daran zu arbeiten. Ich danke euch. Ich liebe euch, x x x.

Alle, die mit uns an der ersten Ausgabe gearbeitet haben und ohne die wir keine zweite Ausgabe herausbringen würden: Courtney Allen, die an uns geglaubt hat, sich unermüdlich für uns eingesetzt hat und dieses Projekt überhaupt erst ins Leben gerufen hat; unsere technischen Redakteure Chris Blow, Mark Boltz-Robinson, Alex Hamerstone und Steven Mask; und Virginia Wilson, die unsere Abschrift so oft gelesen hat.

Allen, die uns von O'Reilly auf dem Weg zu einer zweiten Auflage begleitet haben und ohne die wir dieses Buch nicht herausgeben würden: Clare Laylock und Shira Evans.

Amanda für die harte Arbeit, die sie sowohl in die erste als auch in die zweite Ausgabe dieses Buches gesteckt hat, und William F. Reyor dafür, dass er uns bei dieser zweiten Ausgabe unterstützt.

O'Reilly Media für ihre Hilfe und Unterstützung.

Bea Hughes, für die "tadeln" vielleicht ein besseres Wort ist... Ich scherze... irgendwie :)

Es gibt noch eine Reihe anderer Menschen, die das aufregende Venn-Diagramm der InfoSec-Community bilden, Kollegen und Freunde, denen ich dafür danken möchte, dass sie mir bei diesem Projekt mit emotionaler Unterstützung, Mentoring, Ratschlägen, Koffein und Alkohol geholfen haben. Um einen InfoSec-Fauxpas bei der Namensgebung zu vermeiden, werde ich sie in alphabetischer Reihenfolge auflisten:

James Arlen, Frederic Dorré, Bill Gambardella, Nick Johnston, Alex Muentz, Brendan O'Connor, Allan Stojanovic, Wade W. Wilson, so ziemlich jeder in der Torontoer InfoSec-Community und die 487 anderen Leute, die ich zwangsläufig nicht erwähnt habe.

Bill

Ich stehe auf den Schultern von Riesen und ich wäre verloren, wenn nicht jeder der folgenden Menschen persönlich in mich investiert hätte. Erstens: Bree Skowera, die mir bei meinem allerersten IT-Job (ACS/HCS) beigebracht hat, wie man in komplexen Systemen denkt, um unglaublich komplexe Probleme zu lösen. Du bist eine zauberhafte Frau und hast mir geholfen, eine Grundlage zu schaffen, auf die ich mich bis heute bei der Lösung von Problemen verlasse.

Will, in jenen frühen Tagen, als du 2008 zum ersten Mal veröffentlicht wurdest und zeigen wolltest, dass du einen positiven Beitrag zur Gesellschaft leisten willst, haben wir viele Tage und Nächte damit verbracht, zusammenzuarbeiten und etwas aufzubauen, zuerst mit dem PC-Vertriebsprogramm von MySBK und später, als wir den NESIT Hackerspace und BSidesCT mitbegründet haben. In diesen Zeiten hast du mir auch deine Einsichten (und viele Beispiele) darüber vermittelt, wie die Denkweise von Hackern funktioniert und wo ich mit Schwankungen rechnen muss. Dich zu kennen und von dir zu lernen, hat mich besser gemacht als meine Kollegen, wenn es darum ging, schlecht zu sein, und ich bin dankbar dafür, dich zu kennen.

Nick Sorgio und Tyler Tom, ihr habt mir beigebracht, wie wahre Spitzenleistung in der Incident Response bei UTC/RTX aussieht, und ich bin euch unendlich dankbar für eure Weisheit.

An Andy Dennis, weil er mich immer dazu angetrieben hat, ein besserer Fachexperte zu werden, bessere Leistungen zu erbringen und bessere Beziehungen zu meinem Team, meinen Kollegen und den Kunden bei Modus Create aufzubauen. Durch Andy habe ich gelernt, wie gut funktionierende Entwicklungs- und DevOps-Teams aussehen. Und es überrascht niemanden, der ihn kennengelernt hat, dass er dies mit einem Optimismus und einer Positivität getan hat, wie ich sie noch nie zuvor erlebt habe.

Amanda Berlin und Lee Brotherston, vielen Dank für eure Freundschaft und die Einladung, als Koautoren an einem so großartigen Projekt mitzuarbeiten. An all die hervorragenden Leute, mit denen wir bei O'Reilly Media zusammengearbeitet haben, darunter Shira Evans und Clare Laylock, um dieses Projekt möglich zu machen: Danke, dass ihr an uns geglaubt habt.

Meinem Ehemann Patrick Tassos, du hast mich in den letzten 24 Jahren immer unterstützt und zu mir gehalten, egal was passiert ist. Du warst immer mein größter Fürsprecher und ich bin so froh, dass ich dich habe; 143.

Get Defensives Sicherheitshandbuch, 2. Auflage now with the O’Reilly learning platform.

O’Reilly members experience books, live events, courses curated by job role, and more from O’Reilly and nearly 200 top publishers.

Start your free trial