Sich selbst hacken - Pentesting mit Open-Source-Werkzeugen

Datum 21. - 23.06.2023 13. - 15.09.2023 06. - 08.12.2023
Uhrzeit 09:00 - 17:00 Uhr
Preis 2.590,00 € *
Frühbucher 2.331,00 € *

max. 20 Teilnehmer
online

In diesem Workshop lernen Sie, wie Angreifer vorgehen und wie Sie dieselben frei verfügbaren Werkzeuge, Taktiken und Verfahren effizient einsetzen, um Schwachstellen in der eigen IT aufzuspüren.

Der Fokus liegt auf der Erkennung von Fehlkonfigurationen und anderen verwundbaren Stellen. Die erkannten Angriffsflächen lassen sich im nächsten Schritt dann beseitigen oder zumindest verringern.

Die Schulung beleuchtet insbesondere folgende Themen:

die Phasen eines Cyberangriffes – anhand realer Beispiele anschaulich erklärt
Verfahren und Open-Source-Werkzeuge zur passiven (OSINT – Open-source Intelligence) und aktiven Informationsgewinnung
Verfahren und Open-Source-Werkzeuge zur Erkennung von Schwachstellen in Netzen, Diensten und Applikationen
Einfache Möglichkeiten zur Überprüfung von OnPrem Active-Directory-Umgebungen auf Fehlkonfigurationen und Schwachstellen
Härtungsmaßnahmen und Best Practices zur Erhöhung des Sicherheitsniveaus der eigenen Infrastruktur

Zielgruppe

Dieser Online-Workshop richtet sich an Administrierende, IT-Leiterinnen und -Leiter sowie an IT-Sicherheitsverantwortliche, die sich intensiver mit Angriffen auf IT-Systeme und die Absicherung ihrer eigenen Infrastruktur beschäftigen wollen. Obwohl der Fokus stark auf der eigenen on-Premises IT liegt, machen Sie auch Ausflüge in die Cloud.

Voraussetzungen

Sie sollten bereits Berührung mit der Windows- und Linux-Kommandozeile gemacht haben und Begriffe wie Virtualisierung, Port und Subdomäne einordnen können.

Sie benötigen zudem einen Rechner mit Zugriff auf das Internet sowie einem installierten Hypervisor, bevorzugt VirtualBox; dazu genügend Festplattenplatz und Arbeitsspeicher, um eine Virtuelle Maschine mit 4 GByte RAM und einer etwa 50 GByte großen Festplatte zu starten.

Zur Workshop-Durchführung wird Zoom verwendet mittels eines DSGVO-konformen On-Premise-Connectors. Wir bitten Sie, ein Mikrofon oder Headset sowie einen aktuellen Browser zu nutzen.

Inhalte (für mehr Details auf die einzelnen Punkte klicken)

Der Referent erläutert in diesem Workshop die verschiedenen Phasen eines Cyberangriffs anhand realer Fallbeispiele und praktischer Übungen. Es zeigt Ihnen eine Vielzahl an Verfahren und Werkzeugen auf, die in unterschiedlichen Phasen zum Einsatz kommen und vermittelt Ihnen die Grundsätze zum sicheren Umgang mit solchen Open Source Tools.

Passive Informationsgewinnung (OSINT)

Techniken und Werkzeuge zum Sammeln und Auswerten von öffentlich verfügbaren Informationen über eine Organisation oder ein Unternehmen werden anhand praktischer Beispiele vorgestellt. Es wird gezeigt, wie ein Angreifer unter anderem Informationen über Mitarbeiter, bereits kompromittierte Passwörter, registrierte Domänen und Subdomänen, eingesetzte Produkte und Cloud-Dienste und weitere technische Details erhebt.
Aktive Informationsgewinnung (Scanning und Enumeration)

Techniken und Werkzeuge zur Gewinnung von Informationen über Netze, Systemverbünde und (Web-)Anwendungen durch Interaktion mit den Zielsystemen werden gezeigt und in praktischen Übungen angewendet. Weiterhin werden Verfahren und Open Source Tools vorgestellt, mit denen erkannte Zielsysteme auf mögliche Schwachstellen untersucht werden können. Dazu gehören zum Beispiel die für diesen Zweck entwickelte Linux-Distribution Kali Linux, wie auch (teil-)automatisierte Schwachstellenscanner und weitere öffentlich verfügbare Werkzeuge.
Initiale Kompromittierung (Initial Compromise)

Verschiedene Angriffsvektoren, die zu einer initialen Kompromittierung eines Systems führen können, werden erörtert. Dazu zählen beispielsweise Schwachstellen in Webanwendungen und zugehörigen Datenbanken, wie SQL Injections und Cross Site Scripting, aber auch bekannte Exploits, die Schwachstellen in serverseitigen Diensten ausnutzen. Funktionsweise und Schadenspotential wird anhand ausgewählter Fallbeispiele erörtert.
Eskalation von Rechten (Privilege Escalation)

Verfahren und Werkzeuge zur Überprüfung auf Schwachstellen, die eine Erhöhung von Benutzerrechten auf kompromittierten Systemen ermöglichen werden vorgestellt.
Seitliche Bewegung (Lateral Movement)

Anhand verschiedener Szenarien werden Verfahren zur Identifizierung und Kompromittierung weiterer Systeme innerhalb einer Zielumgebung vorgestellt. Dazu zählen beispielsweise das Port Forwarding und Tunneling.
Exkurs: OnPrem Active Directory

Einfache Möglichkeiten zur Überprüfung eines lokalen Active Directory – dem zentralen Verzeichnisdienst vieler Unternehmen – auf Fehlkonfigurationen und Schwachstellen werden vorgestellt. Dabei werden sowohl die Grundlagen der manuellen Enumeration des AD als auch die Verwendung von Audit-Tools wie PingCastle thematisiert. Das Schadenspotential einer erfolgreichen Kompromittierung der Domäne wird anhand realer Fallbeispiele verdeutlicht.
Härtungsmaßnahmen

Grundlegende Maßnahmen und Best Practices zur Erhöhung des Sicherheitsniveaus werden gemeinsam mit den Teilnehmenden erarbeitet. Dazu zählen sowohl Verfahren auf Netzwerkebene wie Zonierung und Firewalling, als auch Maßnahmen auf Betriebssystem- und Applikationsebene.

Hinweis: Aus Zeit- und Effizienzgründen führen Sie selbst nur ausgewählte Übungen hands-on durch. Der Referent gibt Empfehlungen, wie Sie im Nachgang selbstständig üben können und stellt dazu passende Unterlagen bereit.

Trainer

Tim Mittermeier

ist Head of Red Teaming & Penetration Testing bei der Oneconsult Deutschland AG. Zuvor war er als Sicherheitsforscher beim Forschungsinstitut Cyber Defence an der Universität der Bundeswehr München tätig. In diesen Funktionen beschäftigte er sich mit verschiedensten Domänen und Aspekten der IT-Sicherheit. Er betreute verschiedene Lehrveranstaltungen zu Netzwerk- und IT-Sicherheit und führt regelmäßig Weiterbildungen und Schulungen für die Oneconsult Deutschland AG durch.

Leistungen Ihres Workshoptickets

Workshopunterlagen
Teilnahmebescheinigung

Durchführung

Ist die Durchführung der Veranstaltung aufgrund höherer Gewalt, wegen Verhinderung eines Referenten, wegen Störungen am Veranstaltungsort oder aufgrund zu geringer Teilnehmerzahl (weniger als 50%) nicht möglich, werden die Teilnehmer spätestens 7 Tage vorher durch das heise Events-Team informiert.

Jetzt Tickets buchen

10% Frühbucherrabatt bis 4 Wochen vor Veranstaltungsbeginn

21. - 23.06.2023 13. - 15.09.2023 06. - 08.12.2023

Bitte nutzen Sie für den Ticketkauf eine E-Mail-Adresse, auf die Sie freien Zugriff haben.

* Preise beinhalten 19% Mehrwertsteuer.

Haben Sie Fragen zur Organisation oder der Veranstaltung? Gern beantworte ich Ihre Fragen per E-Mail.

Anna Ludwig

Projektmanagerin Workshops