Der nächste Talk ist ein Hands-on, wenn ich das richtig verstanden habe, über ein Capture-the-Flag.
Hubert hat vor 20 Jahren das erste Mal einen Vortrag gehalten und er hat im Grundschulalter bereits angefangen zu programmieren, damals noch auf einem C64 mit Basic, ist dann irgendwann ein bisschen älter in diesen Security-Bereich gewechselt.
Und was ihn packt an seinem Job, an seinem Hobby auch, ist der Funke.
Von der Technik zum Menschen zu bringen, Software blinkt nicht schön, ist aber sehr relevant für unsere alle Sicherheit.
Vielen Dank. Viel Spaß mit dem Talk. Dankeschön.
Ja, einen wunderschönen guten Tag von meiner Seite. Technik geht? Okay, alles klar. Gut.
Hallo, mein Name ist Hubert Feider. Ich würde heute gerne was über Capture-the-Flag erzählen.
Wir hatten ein bisschen Technikprobleme, aus dem Grund sehe ich hier nur einen schwarzen Monitor. Ich habe hinten keine Augen.
Also nehmt es mir nicht übel, wenn ich mich jetzt ein bisschen an meinen Folien orientiere.
Und vielleicht mal, wer bin ich? Wenn es die Folie zulässt. Ja, wunderbar.
Einführung hat es gerade schon gesagt, ich habe vor 20 Jahren...
...einen ersten, glaube ich, Vortrag hier am Kongress gehalten, habe den Leuten damals die GPL vorgelesen.
Das Thema ist heute mehr als je relevant, wenn man offene, quelloffene Software einsetzen will.
Habe damals auch viel im Bereich NetBSD-Betriebssysteme gemacht, Package-Source-Paketsysteme.
Heute ist Linux gesetzt als das Open-Source-Betriebssystem, aber es gibt Alternativen.
Dann mehr beruflich auch in Security.
Ich bin in den Security-Bereich gekommen und parallel privat eher heraus an die frische Luft zum Geocachen.
Gab es auch am Easter Egg einen spannenden Vortrag und ja, das ist nicht so unterschiedlich.
Man beiden hat man Probleme, die man irgendwie nicht versteht, aber dann mit Analyse lösen will.
Und in genau in die Richtung werden wir heute auch gehen. Da ist mein Background.
Beruflich setze ich mich seit vielen Jahren mit IT-Sicherheit.
Informationssicherheit auseinander in den letzten Jahren verstärkt auf Produkte,
die dann auch im Bereich kritische Infrastruktur am Ende zum Einsatz kommen.
Und wo es dann natürlich auch darum geht, wie ist das denn dort mit den Schwachstellen, auf die wir hier zusteuern könnten.
Wer mich kontaktieren will, die Informationen, die Folien selber gibt's, nutzt die gerne.
Ich werde nicht jedes Wort vorlesen. Mir ist wichtig, ihr mal den Einschnitt zu machen.
Bevor wir einsteigen, vielleicht mal die Frage anzeigen, bitte.
Wer hat denn schon mal ein CTF gespielt, dass ich mal ein Gefühl kriege? Ah ja, doch so einige.
Gut. Meine Idee war, hier zu zeigen.
Ich habe jetzt ein Jahr lang auch mit ein paar spannenden Kollegen mich einmal die Woche hingeseitzt, jetzt bleiben wir mal strukturiert dran.
Gehen wir Capture the Flag an, gehen technische Herausforderungen an und dann ist man aufgegangen.
Ja, das ist ja doch ein breites Thema.
Also A breit, B tief, wo sich auch viele Leute damit auseinandersetzen, aber ich habe die letzten Jahre am Kongress nicht so die Präsenz gesehen und das war die Motivation, hier den Talk zu machen, zu sagen, was ist denn CTF?
Und danke all denen, die jetzt die Hand eben nicht hochgekommen haben.
Ihr seid mein primäres Zielpublikum, aber vielleicht auch die, die sich gemeldet haben, können vielleicht nochmal ein bisschen mehr mitnehmen.
Es ist ein Einsteiger-Talk. Es soll motivieren.
Es soll motivieren, zu starten, um zu zeigen, ja, da gibt es auch einen spannenden Weg hier.
Ich würde gerne anfangen mit ein bisschen Theorie, eine Einführung, was ist denn überhaupt Sicherheit?
Jeder spricht darüber, aber was ist denn das?
Wir werden dann mal kurz zum Thema, ja, wenn ich Sicherheit habe, muss ich mich verteidigen.
Das sieht man ja nicht nur mit Waffengewalt, auch im digitalen Bereich.
Wir wollen hier aber nicht den Verteidigungsfall üben, sondern den, Klammer auf, digitalen Angriffsfall.
Wie gehe ich strukturiert ran an eine Schwachstellenanalyse hier, um CTF, dessen Herausforderung ich ja am Anfang gar nicht kenne, anzugehen hier?
Ja, wo fange ich an?
Ich zeige zwei Plattformen, wo ich denke, dass es ein guter Einstieg ist hier.
Erzähle auch ein bisschen über die Arten. Was gibt es denn so für Spielarten?
Welche Tools gibt es? Und wo geht das Ganze denn dann auch hin?
Wenn man sagt, ja, spannendes Thema, aber es ist vielleicht nicht mehr nur für das stille Kämmerlein am Sonntagnachmittag.
Auch das Thema Karriere könnte vielleicht eine Option hier sein. Damit.
Der Begriff selber mag vielleicht aus dem Kinderspiel herauskommen, wo es darum geht,
zwei oder mehr Lager versuchen sich gegenseitig ihr Zeichen für ihr Hauptquartier zu klauen.
A, verteidigen. B, klagen. Gleichzeitig Angriff.
Bei uns hier eher spannend, wir wollen das Ganze im digitalen Bereich machen.
Also, wir können das an der Tastatur machen, wir müssen nicht raus an die frische Luft.
Es gibt aber auch ganz spannende CTFs, die hybride sind.
Wer dieses Jahr in Regensburg beim Easter Hack war, wird ein tolles CTF kennengelernt haben,
wo man auch an die frische Luft musste, aber auch am Gerät ausmachen. Auch das kann passieren.
Viele dieser CTFs in dem Umfeld hier sind eher rein. An der Tastatur.
Die Grafik liegt mir seit vielen Jahren nicht unbedingt am Herzen, sondern eher ein Stück weit tiefer im Magen.
Ich sehe sehr viele Leute, die im beruflichen Umfeld sagen, ja, Cyber Security, spannendes Thema, da gibt es Geld, wollen wir machen.
Das ist genauso, wie sie früher alle gesagt haben, Computer wollen wir machen, weil da gibt es Geld.
Aber nur das Wollen allein reicht nicht.
Und gerade wenn man in sehr technisch das Thema einsteigt, wie Cyber Security hilft,
und Grundlagen hat, im Security-Bereich, im Betriebssystem-Bereich, im Netzwerk-Bereich,
und die wird man zwangsweise am Weg, nicht nebenbei, aber als Hilfsmittel bei einem CTF lernen werden, wenn man erfolgreich sein will.
Auch immer wieder neue Themen, die man letzte Woche noch nicht mal gewusst hat, dass es das Thema gibt.
Aber das ist eines der Spannenden, dass man auch die eigenen Werkzeuge scharf hält und dran bleibt.
Also das Bild ist mir relativ...
Das ist mir relativ wichtig hier, auch die Grundlagen sind wichtig.
Vielleicht noch mal ein bisschen Theorie, Sicherheit ist ein abstrakter Begriff.
Was im Kern steht, ist etwas, das für mich persönlich von Wert ist.
Das kann einen monetären Wert haben, emotionalen Wert, wie auch immer.
Und wenn ich schön auf der Heidenwiese lebe, ist das schön, aber meistens gibt es irgendeinen bösen Angreifer,
der sagt, ich will diesen Wert irgendwie klauen, duplizieren.
Also personenbezogene Daten veröffentlichen, irgendwas. Und was mache ich dagegen?
Selbstverständlich, ich habe irgendeine Schutzmaßnahme.
Hier eine Tür, mache ich mein Haus zu, kommt der nicht rein.
Ja, Türen, jetzt haben wir schon gesprochen, im physischen Bereich gibt es mehr.
Und wenn ich dann eben über das Thema Schutz spreche, dann muss man im Endeffekt in zwei Dimensionen hier gucken.
Das eine ist in die Breite.
Ich habe nicht nur die Technik, aber ich muss auch mein Haus zusperren, meinen Serverraum absperren,
vielleicht noch einen Zone-Ausruf machen, muss eine Access-Control machen,
was als solches eben mehr das Umfeld ist, desto spannender ist es.
Und am Ende ist es, ich sage immer, die Kette reißt am schwächsten dieb.
Man muss aber alle Ketten wieder anschauen, wenn ich was zu schützen und zu verteidigen habe.
Umgekehrt, der Angreifer, der muss nur an einer Stelle reinkommen. Das macht es.
Für den wieder ein bisschen einfacher, der wird sich halt das schwächste Glied suchen.
Also die Breite ist nicht unwichtig, komme ich ja gleich nochmal drauf.
Das zweite ist das Thema in der Tiefe.
Ich kann ein oder mehrere Schutzmechanismen kombinieren oder auch verschiedene starke Schutzmechanismen.
Hier die offene Tür, die nicht wirklich wirkt oder halt die verschlossene Stahltür, die sehr gut wirkt.
Da gibt es Abstufungen dazwischen, die man eben auch kontrollieren kann. Am Ende des Tages.
Dann ist es so, dass man, um eine gute Sicherheit zu haben, beides und alles kombinieren muss.
Das ist so ein bisschen der Grundgedanke, den ich euch gerne mitgeben würde, um die Treppe hier ein bisschen abzudecken.
Ja, jetzt habe ich gesagt Verteidigung.
Da gibt es viele Themen und zwar, ich habe jetzt einfach mal nur ein paar Passwörter hergeschrieben.
Ich werde euch die nicht alle vorlesen.
Gerade im Bereich wichtiger technischer Einrichtungen, kritischer Infrastruktur, aber auch staatliche und Unternehmenssachen gibt es viel zu schützen,
wo man nicht will, dass die Vertraulichkeit oder die Integrität verletzt ist, sprich, dass da jemand was rauskopiert oder verändert.
Das hat auch der Gesetzgeber gemerkt und auf EU-Ebene gibt es da mittlerweile diverse Gesetze, die das versuchen zu ändern.
Die sind teilweise weit am Anfang. Aber das ist ein Weg, der... ...ist gestartet.
Das wird sich auch die nächsten Tage mit NIST 2, mit dem Cyber Resilience Act verstärken.
In dem Bereich Datenschutz kennen wir das schon alle.
Es gibt auch viele Best Practices, Normen, Standards, A national, B international, die wir hier sind.
Am Ende des Tages bestehen die alle aus vielen Einzelmaßnahmen, die man machen muss. Ja, toll.
Das ist aber irgendwie langweilig. Das hat nichts mit Technik zu tun.
An der Stelle muss man mit Menschen arbeiten. Das gehört aber auch dazu.
Es hilft nichts, wenn mein Rechner sicher ist und die anderen Tausende der Firma nicht.
Also da muss man sich irgendwas überlegen, wie kriege ich es in alle Köpfe rein.
Security Awareness. Organisatorische Themen. All das wollen wir jetzt hier nicht anschauen.
Das andere Thema Verteidigung hier. Auch da gibt es relativ spannende Ansätze.
Im Bereich Telemetrie, Telemetrieauswertung. Welche Logfiles habe ich hier?
Was kann ich daraus lesen?
Ich kann eine Auswertung machen, eine Analyse, was ist normales Verhalten, was sind Anomalien und warum ist es anormales?
Ist das bloß der Mitarbeiter, der eine Dienstreise nach Hamburg zum Kongress macht?
Oder ist es ein böser Angreifer?
Ein paar Schlagworte dazu, also Thema Cyber Threat Intelligence, Threat Intelligence, welche Bedrohung gibt es, wie wird angegriffen?
Finde ich die bei mir im Unternehmen oder in der Behörde? Was auch immer.
Oder in meinem Hackerspace, welche Anzeichen für eine Kompromittierung gibt es?
Also sogenannte Indicators of Compromise.
Wenn ich weiß, welche möglichen Angriffe es gibt, kann ich schauen, habe ich die in meiner Umgebung und kann ich ein Threat Hunting machen?
Und wenn ich was gefunden habe, Hopplader, gibt es ja wirklich irgendwelche Anzeichen, dann habe ich ein Security Incident Response machen.
Und dann natürlich bereinigen, schauen, was ist passiert, damit nicht der Nächste gleich wieder reinkommt.
Üblicherweise findet man das in sogenannten Security Operations.
Das ist ein Center, das eben die Telemetrie auswertet, dabei aber bitteschön auf Datenschutz achtet und das ist ein großes Thema, das sich jetzt ausklammert.
Wir wollen jetzt auf die andere Seite gehen. Wir wollen uns das mal von der anderen Seite ansehen.
Wir wollen nicht hacken, wir wollen keine personenbezogenen schützenswerten Daten hier aktiv angreifen.
Wir wollen ein bisschen was anderes machen, sondern das Ganze in einem eher künstlerischen.
Künstlerischen Szenario. Unser Angreifer rechts oben hat hier einen weißen Hut auf.
Das ist mir auch wichtig in dem Umfeld die Betonung zu machen. Wir machen hier nur legale Sachen.
Ich möchte hier nicht in das Fahrwasser kommen, dass wir hier, gerade beim Chaos Computer Club gibt es ja immer mal Gerüchte, dass wir was illegales machen.
Wir machen nichts illegales. Warum machen wir das Ganze?
Finden, Ausnutzen von Schwachstellen, also es geht eher um die technische Tiefe.
Ja, auch da steht das Wort Technik drin.
Da muss man sich mit der Maschine auseinandersetzen und die Treppenstufen ein bisschen erklimmen können.
Wozu machen wir das Ganze?
A, um im eigenen Umfeld mal zu schauen, habe ich den möglichen Angriff, erkenne ich den, um dann eine Abwehrmaßnahme zu machen.
Oder natürlich auch im nächsten Schritt generell meine Infrastruktur zu järten, um Angriffe generell abzublocken.
Und ich bin in den letzten Jahren relativ viel im Thema Produktsicherheit unterwegs.
Natürlich will ich, wenn ich Produkte an meine Kunden, die das vielleicht dann in irgendeinem für sie wichtigen Umfeld, schlagwort kritische Infrastruktur einsetzen, so einzusetzen, dass die Produkte auch safe und sauber sind und dort nicht irgendwie zu negativen Auswirkungen führen könnten.
Also Produktsicherheit ist mein persönlicher Aufhänger hier, dem vielleicht der eine oder andere mitnehmen kann.
Aber auch eben, das kann die IT-Nimm-Verwaltung.
In einem Krankenhaus, auch dort ist das Thema, denke ich, sehr gut aufgehängt.
Wie gehe ich an das Ganze ran?
Hier ist eine Dissertation verlinkt, meine, ich habe mich mal länger mit Lehr-Lern-Theorien auseinandergesetzt.
Damals in Bezug auf, wie lerne ich jemand richtige Systemadministration, was ist das überhaupt, wie geht das, wie kann ich dieses sehr komplexe Gebiet lernen?
Der Mensch lernt schnell und leicht auswendig.
Wenn ich eine Wörter-Vokabelliste habe, kann ich auswendig lernen.
Systemadministration, Security werde ich nicht auswendig lernen.
Vielleicht auch bestimmte Techniken und Themen, die kann ich nach Lehrbuch machen.
Aber je komplexer die Szenarien sind, desto mehr brauche ich auch ein Lernmodell, wo ich mein eigenes Verständnis für die Welt aufbaue, konstruiere.
Und eben in Form von einem Konzept.
Und in Form von konstruktivistischen Lernverfahren dann auch für mich mein Verständnis mache.
Deswegen ist das Thema auch so schwierig.
Man kann es nicht einfach wie bei Matrix downloaden, das Wissen.
Man muss es sich über lange Jahre erarbeiten oder über viele Zeit. Und mit Übung, mit Praxis.
Und genau da setzen wir jetzt an. Wie übe ich das?
Es gibt Schlagwort Cyber Range oder genauso vergleichbar eben Capture the Flag als digitale Übungsumgebung.
In der man so einen Angriff sucht. Und das kann man regulieren können.
Der bereitgestellt wurde, wo man auch weiß, da gibt es Schwachstellen.
Manchmal weiß man ungefähr grob, wie ist der Angriffsvektor.
Manchmal weiß man das aber nicht, sondern kriegt nur gesagt, hier ist eine IP-Nummer, viel Spaß damit.
Und dann muss man sich überlegen, wie geht es los, welche Methoden kenne ich, was ist gut, was ist vielleicht nicht gut.
Da muss man überlegen, lernen, lesen, Videos schauen, wie könnte ich angehen.
Und genau da wollte ich jetzt mit euch hin. Also, hoppla, CTF. Wo fange ich denn jetzt da an?
Ich habe zwei Internet-Plattformen mitgebracht, die ich persönlich gut finde zum Einstieg.
Das eine ist TryHackMe. Screenshot habe ich hier auf der linken Seite.
Die decken nicht nur dieses Hacker-Szenario ab, die decken auch ganz viel von den Grundlagen ab.
Die Grafik rechts zeigt es ein bisschen, da ist strukturierter Text, da kann ich viel lesen.
Kriege aber auch Verständnisfragen.
Kriege auch eine vorbereitete virtuelle Maschine, kann ich starten und sehen, okay, jetzt habe ich meine Umgebung.
Die kann ich konfigurieren. Kann ich im Wireshark irgendein Pentesting tun, eine Logfile-Analyse.
Vorbereitet ausprobieren. Da ist TryHackMe sehr schön.
Aber dann eben auch im Bereich CTFs vorbereitete virtuelle Maschinen starten.
Die laufen eine bestimmte Zeit. Kann ich verlängern. Und dann eben mein Glück probieren.
Um zu schauen, wie geht das. Wie sieht das aus der Nähe aus?
Ich glaube, ich habe ein paar Screenshots eingepackt. Ja.
Eins der CTFs hier, die mit dem Namen einfach herausstechen, ist das Stux CTF von TryHackMe.
Links die Aufgabenstellung, IP-Nummer und lies mal zwei Dateien von dem System aus.
Da muss man dann natürlich reingehen und sagen, okay, rechts auch schön.
Mit welcher Umgebung mache ich das? TryHackMe liefert eine virtualisierte Attackbox mit.
Ich muss erstmal gar nichts installieren. Ich kann das alles im Webbrowser machen.
Also auch der rechte Teil ist in einem Webbrowser möglich.
Man kann aber auch dann über OpenVPN die eigene Kiste verwenden. Also eher die als die.
Und dann halt seine Analysetätigkeiten hier anführen.
Es gibt oft auch Anleitungen, die man im Internet findet. Wie mache ich das?
Da kommt der Lerneffekt dann dazu. Ähm, hoppla. Ja, soviel zu TryHackMe. Guter Start.
Das andere, was ich ganz gerne zeigen würde, ist Over the Wire. Sogenannte Wargames.
Im Endeffekt ein definiertes Szenario.
Beziehungsweise hier links zu sehen einen ganzen Haufen an Szenarien.
Ich habe mal versucht in der weißen Box ein bisschen thematisch zu sortieren.
Also wirklich so die Leute, die mit Unix, Linux noch nicht so im Thema drin sind.
Können mit Bandit anfangen.
Wer Web sehr tief bis zu SQL, Blind SQL Injections ausprobieren will, wird bei Natas was finden.
Ansonsten Binary Reverse Engineering, Binary Exploits.
Da gibt es sehr viele definierte Umgebungen. Eins der spannenden Sachen.
Ich glaube, ich habe zwei Sachen dabei. Das erste ist die Bandit-Übung.
Wie gesagt, eigentlich ein Linux-Standard. Wie gehe ich herein?
Das ist bei Over the Wire spannend, weil es wird eine Umgebung vorbereitet.
Links oben zu sehen SSH-Login.
Ich muss mich also erstmal per SSH einloggen, was manchmal schon ein Problem ist.
Und dann halt schauen, wo finde ich denn das jetzt, was ich brauche.
Man sieht links schon eine ganze Reihe Level, wo man dann so von einem zum nächsten hopsen kann.
Ich habe ein Beispiel mitgebracht. Jetzt hier für die, die es in Linux schon ein bisschen kennen.
Mit SSH-Pass, damit ich das eine Zeile in meine Doku, meine Notizen, auf die ich zurückgreifen will, einschreiben kann.
Hier am Ende logge ich mich ein mit einem Login auf irgendeinem Port und sage ls.
Aha, da sehe ich eine README-Datei. Dann weiß ich, mit einem CAT-Befehl kann ich die anschauen.
Und jetzt, wenn ich üblich habe, das Passwort, das da jetzt drin steht, ausgegraut.
Das müsst ihr euch selber verdienen.
Dann kann ich eben mit dem Passwort auch von Bandit 0 auf Bandit 1 dann in den nächsten Level gehen.
Und da wird man sich voranspielen hier. Und wer sich jetzt fragt, aha, Passwort, interessant.
Diese Passworte, die man da sucht, die sind eben auch als Flags bekannt.
Haben oft ein Format, dass irgendwo irgendein Identifizierer, ein Schlagwort und geschweifte Klammern, wo dann verschiedene Dinge drinstehen.
Passwort 1, Passwort 2, Passwort 3, um die verschiedenen Level auseinanderzuhalten.
Aber der Flag vorne ist immer das gleiche, der Schlagwort. Damit ich weiß, aha. Das ist eine Flag.
Wenn ich eine Binärdatei analysiere, ist das sehr hilfreich, um zu sehen, ah ja, in dem Binärhaufen, da ist was Spannendes drin.
Oder auch nicht. Hier per SSH einfach mal Unix, Linux.
Das ist, denke ich, ein sehr schöner, einfacher Einstieg. Geht aber gut auch in die Tiefe dann.
Das schon mal als Vorwarnung. Ich habe bis Level, also über 30 Level.
Bei Level 17 hat es bei mir das erste Mal gehakt. Und dann geht es auch langsam.
Aber dann setzt der Lernprozess ein. Also Empfehlung.
Eine zweite Empfehlung, die ich gerne noch geben würde, ist Natas. Das ist eine reine Webübung.
Man kriegt also kein SSH-Login, sondern eine URL mit Login und Passwort, wo dann auch so eine Passwortabfrage kommt.
Dann meldet man sich an und kriegt die Anzeige, ja, du findest das Passwort auf dieser Seite.
Na ja, toll. Man kommt dann relativ schnell auf die Idee. Schaut sich den Quellcode an.
Und merkt dann schon, da gibt es einen Kommentar. Wunderbar.
Das ist dann halt offensichtlich wieder die Flag gefunden hier.
Und dann kann ich in den nächsten Level Natas 1 gehen. Hier mit dem Passwort komme ich rein.
Und so spielt man sich voran. Auch das geht die ersten Level relativ gut und einfach.
Wird dann aber, wie gesagt, bis zu SQL Injections, Blind SQL Injections. Da ist durchaus was drin.
Auch Bereich Reverse Engineering, Binary Exploits. Da gibt es die Kritik an Over-the-Wire.
Das ist ja alles ohne den heutigen Standardschutzmechanismen wie ASLR, ohne DEP.
Ja, die Übungen sind 10, 15 Jahre alt. Aber es ist ein guter Einstieg.
Und den will ich euch zeigen hier. Die technische Perfektion hier, das ist ein weites Feld.
Aber wir wollen anfangen. Und ich denke mal, da kriegt man gut erste Erfolge hin.
Die würde ich euch gerne vermitteln. Und verdienen auch das Erfolgserlebnis.
Das ist das Schöne dabei. Gut. Aber was gibt es denn da alles? Wo kann ich das machen?
TryHackMe habe ich schon erwähnt. Ist am Ende eine kommerzielle Plattform.
Es gibt sehr viel kostenlos, frei. Ja, man braucht eine Account-Registrierung natürlich.
Es gibt Hack the Box. Ähnlich, ein bisschen technisch, ein bisschen höher levelig.
Das habe ich noch aufgeschrieben.
Beide bieten natürlich Premium-Content an, wo ich dann zahlen soll.
Ob ich das will, das muss man seinen eigenen Lernwert schätzen.
Es gibt ganz viele kommerzielle Cyber-Ranges. Da gibt es in den Unterlagen einen Link dazu.
Also es ist meistens auf Firmenniveau mit relativ viel Geld verbunden.
Auch Firmen oder Organisationen wie SANS, IST2, ISACA machen das Thema Security sehr umfänglich.
Oft viel organisatorisch, aber manche auch sehr technisch hier.
Aber hier sind oft Zielpublikum-Firmen mit entsprechenden vierstelligen Beträgen,
die man gerade für einen Einstieg nicht unbedingt leisten will.
Es gibt eigene CTF-Plattformen wie Pico CTF oder auch Pwn College,
die dann mehr den Wissensaufbau fördern. Kann ich empfehlen.
Was man vielleicht verwandt finden wird, sind sogenannte Bug-Bounty-Programme,
wo ich mich als Firma erinnere.
Man kann sich registrieren und sagen, ich habe einen Internet-Service. Ich glaube, der ist sicher.
Aber liebe Hacker, wenn ihr euch da vielleicht mal ein bisschen Geld verdienen wollt,
bevor ihr was kaputt macht.
Wenn ihr was gefunden habt, meldet euch bei uns, weil dann gibt es ein bisschen Geld.
Und da sind jetzt HackerOne und YesWeHack oder auch Integrity zu nennen.
Die bieten mittlerweile auch an, dass sie gezielt Pentests vermitteln.
Wenn man sich da dann sicher fühlt, kann man sich durchaus vermitteln lassen.
Sondern ich gebe mal ein Angebot ab und dann schaue ich mal, ob ich bei euch irgendwas finde.
Also da gibt es relativ viel. Ich gebe euch das mal mit zum Daheim-Nachlesen an.
Was es parallel gibt, CTF, ist auch gern in Veranstaltungen über ein Wochenende.
Hack.lu ist so ein Beispiel, das sehr technisch gut organisiert ist,
vor den Flugsfingers, die vielleicht heute hier sind, die definitiv am Kongress sind.
Es gibt von HPX, heißt es, einen Tippfehler.
CTF am 24, am 38 C3, also hier startet heute Abend um 21, 22 Uhr.
Geht 48 Stunden und wir werden sehen, was die Aufgaben sind. Ich kenne die selber noch nicht.
Wer da mal live reinschauen will, 48 Stunden, muss mal schauen, wie man mit dem Schlafen hinkommt.
Gern auch im Team mit Freunden zusammenschauen. Es gibt auch längere Veranstaltungen.
Ich habe ein paar aufgelistet hier, wo man dann über Wochenende mehrere Aufgaben hat,
mehr Zeit hat, aber auch durch die Fülle dann durchaus einiges zu sehen kriegt.
Was es an Metainformationen gibt, ist die Webseite ctftime.org,
die einfach zeigt, welche Teams gibt es denn,
was gab es in der Vergangenheit hier rechts oben zu sehen.
Und natürlich der spannendste Teil, welche Upcoming Events gibt es,
welche CTFs kann ich nächstes Wochenende spielen.
Die Community dort ist sehr umtriebig, aber auch teilweise sehr geschlossen.
Auch da wieder die Motivation von meiner Seite, sich das mal anzuschauen,
heranzugehen, keine Scheu zu haben und zu sagen,
hey, ich registriere mich mal und schau mal, was passiert.
Man wird was lernen und das ist der Punkt, den wir ja brauchen,
um auf der Cybertreppe auch noch umzukommen. Was gibt es da sonst zu? Arten.
Man unterscheidet prinzipiell zwischen zwei großen Arten.
Das ist Jeopardy, das kennen wir vielleicht vom Hacker Jeopardy.
Da gibt es verschiedene Kategorien und dann gibt es verschiedene Challenges
von einfach bis schwierig, entsprechend gibt es Punktesysteme.
Kategorien können dann sein, Web-Applikation hacken,
Open Source Intelligence, wo ist was versteckt. Ein Binary auseinandernehmen, Reverse Engineering,
oder dann eben bis zum Binary Exploit in irgendeiner Applikation,
so viel zielgerichtete Daten rein, dass man vielleicht einen Rechner übernehmen kann.
Das ist so das fortgeschrittene Level.
Alternativ dazu, sogenanntes Attack & Defense oder auch King of the Hill genannt.
Da gibt es zwei oder mehr Parteien, da kriegt jeder seinen Server
und dort herrscht Angriff und Verteidigung und zwar gleichzeitig.
Man muss also schauen, was kann davon ausgehen,
die gegnerischen Parteien haben den gleichen Rechner wie ich.
Ich kann meinen analysieren, ich kann deren analysieren,
ich kann bei denen Schwachstellen angreifen,
muss aber parallel dazu meine Schwachstellen auch fixen, damit ich nicht angegriffen werde.
Klar, easy, fährt man den Rechner runter, nice try,
aber meistens will man ja einen bestimmten Service auch, um Punkte zu behalten, am Leben erhalten.
Also Services dürfen nicht abgeschaltet werden. Das ist dann meistens ein bisschen hektisch,
auch wieder für Fortgeschrittene, aber wird man vielleicht sehen und kann durchaus sparen.
Man muss auch Spaß machen in einem kontrollierten Umfeld. Womit mache ich das?
Welche Tools setze ich ein, erfahrungsgemäß? Ich komme nicht aus der Windows-Ecke,
es gibt sicher Leute, die da zu Hause sind, ich mache das, ich komme aus der BSD-Ecke,
auch dort würde ich nicht unbedingt meine Heimat sehen,
sondern Kali Linux hat sehr viel Security-Software vorinstalliert.
Das ist so das Ding, wo ich sage, entweder gerne in der VM, die kann man zersägen, neu aufsetzen.
Und dann gibt es natürlich einen riesen Haufen Tools, die ich jetzt gar nicht tief bewerben werde,
da sitzen wir morgen noch da. Irgendwelche Windows-Linux-Bordmittel,
was macht denn mein Betriebssystem überhaupt? Da geht es schon mal los.
Kenne ich mein Betriebssystem bei Windows nicht? Was ist im Netzwerkbereich, im Webbereich?
Wie gehe ich an SQL-Injections ran? Welche Tools gibt es für ein Binary Reverse Engineering?
Wie gehe ich an irgendwelche Binary Exploits ran? Da gibt es überall spannende Tools,
die muss man sich dann halt mal anschauen und lernen.
Das ist effektiv ein sehr, sehr breites Feld, meiner Meinung nach uferlos.
Die Grafik hier rechts zeigt ein bisschen einen Versuch von jemandem,
der das versucht hat zu mappen, kann man ausklappen, also das Ding ist riesengroß.
Das ist einfach auch Wissen, das wir als Community auf dem Planeten schaffen
und das wir natürlich auch irgendwo einen Überblick behalten müssen.
Hier immer im Hinterkopf behalten, wir reden vom Angriff. Wo finde ich eine Ritze und komme rein?
Weil ich in meinem Job möchte diese Ritze wissen,
kennen und kitten, abschließen, damit keiner reinkommt.
Das ist ja das letztendliche Ziel, meine Motivation hier. Sicherheitsrücken finden, schließen.
Wie lerne ich? Ja nochmal, nutzt alles, was da ist, was ihr kennt.
YouTube-Bücher, ich habe mal ein Buch verlinkt hier, das relativ alt ist,
auch ein bisschen strukturierter an das Thema herangeht.
Ansonsten gibt es auch oft beim CTF ein sogenanntes Write-up hinterher,
wo jemand schreibt, wie habe ich die Challenge gelöst? Wie bin ich herangegangen?
Mit meinem Wissen, mit meinen Methoden, mit meinen Tools.
Da gibt es auf CTF-Time Write-ups sind oft verlinkt oder auf der Webseite medium.com.
Wenn man mit dem Schlagwort CTF sucht, ist man auch ganz gut bedient, Write-ups zu finden hier.
Also auch gerne, wenn man da nicht weiterkommt. Ich glaube, wenn dieses Stux CTF zeigt,
da finden sich sehr viele Write-ups, die dann auch gut helfen, mal einen Schubs zu geben,
nicht die Komplettlösung abzutippen, da lernt man nichts. Aber wenn man nicht weiter weiß,
man braucht einen Schubs, den kriegt man. Ja, was kommt danach?
Bevor wir zu dem Punkt kommen nochmal, man muss es üben. Das ist zeitintensiv, das ist aufwendig,
das ist auch frustrierend, aber nur, wenn man die Frustration überkommt, wird man lernen.
Und wenn man dann sagt, okay, jetzt habe ich das ein paarmal gemacht, ich denke,
dann wird auch ein gewisser Spaß entstehen, hoffentlich. Was kommt dann?
Ja, und wenn man da vielleicht auch mehr Zeit investieren will, muss man sich irgendwann fragen,
vor was lebe ich? Wer zahlt die Miete und das Essen? Kann ich das beruflich machen?
Kurze Antwort, ja. Es gibt momentan ja in dieser ganzen IT-Branche sehr viele Berufsbezeichnungen,
die hoch sprießen. Der Security-Bereich nochmal mehr.
Ich habe längst eine von vielen möglichen Sachen herausgegriffen,
wo ich sage, na, wie gehe ich denn los? Meistens habe ich eine IT-Lösung,
wo ich auch bezüglich Security sagen muss, wie mache ich es denn?
Ich brauche einen Security-Architekt. Dann brauche ich meistens jemanden, der das sauber umsetzt,
programmiert, ausfährt. Das wird eher ein Security-Ingenieur sein.
Für uns jetzt wird es sehr spannend, es ist immer gut, eine zweite Meinung zu haben,
einen unabhängigen dritten draufschauen zu lassen. Da kommt links unten das Thema Ethical Hacking,
Penetration Testing, Pentesting ins Spiel, wo wir natürlich sagen können,
ich will mir das mal anschauen, ich biete das als Dienstleistung an,
kann das aber auch Firmen intern auf meine Infrastruktur und auf Produkte machen.
Wo natürlich dann auch hoffentlich was gefunden wird,
um zu sagen, hey, jetzt ist es hinterher besser und sicherer. Wir erinnern uns, Sicherheit heißt,
Werte vor Angriffen von Bedrohungen, durch Schutzmaßnahmen schützen.
Und wenn ich zwar die Schwachstellen habe, aber dann Schutzmaßnahmen habe,
dann bin ich besser und sicherer geworden. Ja, das Thema Security-Architekt Engineering,
im Laufenbetrieb will ich natürlich schauen, wie geht es meiner Landschaft.
Da brauche ich vielleicht einen Security-Analyst, der im schlimmsten Fall was findet
oder im besten Fall. Dann brauche ich eine digitale Forensik, Incident Response, um zu schauen,
wie es trotzdem passiert. Und am Ende auch diese ganze Security-Posture,
sagt man, die ganze Landschaft im Überblick zu behalten
und wieder die Kette dann auch an allen Gliedern durchzudeklinieren,
ist üblicherweise Aufgabe von einem Chief Information Security Officer.
Gestern erst wieder gelernt, das ist auch die Gruppe in dem Bereich,
die dann am schnellsten ausbrennt, weil meistens sehr viel zu tun ist.
Zeigt aber so ein bisschen, wo die Jobaufgabe hingeht
und wie sich auch die Berufsbilder hier herauskristallisieren. Hier jetzt speziell links unten,
Ethical Hacking, Penetration Testing, Pen-Testing.
Vielleicht eine der spannenden Karriereoptionen hier. So, machen wir einen Time-Check.
Für uns nochmal. Was mache ich? Wie gehe ich es an? Machen.
Ich habe euch ein paar Webseiten gezeigt. Over the Wire mit der Linux-Sache.
Einfach Web von Binary Exploits wird es hart. TriHackMe habe ich gezeigt.
Ich habe mir überlegt, ob ich es umdrehe.
Kann man auch mit TriHackMe sehr gute erste Schritte machen. Machen. Üben. Erfahrungen sammeln.
Austauschen. Es gibt eine tolle Community hier. Nutzt die. Die gibt es auch.
Uns gibt es auch alle online. Und da kann ich nur empfehlen,
in dieses spannende Gebiet einzusteigen. Damit bin ich inhaltlich am Ende.
Noch mal kurz zusammengefasst. Was haben wir uns angeguckt? Einführung.
Wir wissen, was Sicherheit ist. Ich habe Schutz von wichtigen Sachen. Vor Bedrohungen.
Durch Schutzmaßnahmen. In der Breite. In der Tiefe. Wir haben ein bisschen reingetaucht.
Wie könnte ich in der Verteidigung machen?
Telemetrie habe ich jetzt am Anfang auch mit Security-Anlisten gezeigt. Mit digitaler Forensik.
Incident Response. Brauche ich sowas? Wir haben uns dann mehr auf die Angriffsseite konzentriert.
Was gibt es für Szenarien? Wie kann ich das üben? Welche Arten gibt es? Welche Tools gibt es?
Und am Ende Thema Anfang und Ausblick. Mögliche Karriereoptionen für dieses spannende Gebiet hier.
Damit bin ich von meiner Seite am Ende. Ich sage danke. Erst mal an euch fürs Zuhören.
Danke auch an meine Arbeitgeber, die Maschinenfabrik Rheinhausen in Regensburg,
die mir das ermöglicht, heute hier zu sein. Und auch danke an das Mad-Monday-CTF-Team,
mit denen ich in den letzten zwölf Monaten einiges an CTFs gespielt habe
und hoffentlich noch viele weitere auf dem Weg spielen werde. Wer Kontakt sucht,
Adressen sind da, findet man, denke ich, mit dem Namen im Internet auf jeden Fall.
Damit sage ich nochmal danke an euch fürs Zuhören. Bin jetzt inhaltlich fertig
und wäre dann auch bereit für Fragen. Wenn es welche gibt. Vielen Dank.
Wir haben zwei Mikrofone, um Fragen einzufangen. Wie gesagt, macht euch richtig gut bemerkbar,
damit wir euch das Mikrofon bringen können. Fragen, Hände hoch. Überfall. Hier ganz links hinten.
Jawohl. Ist es an? Ja, ist an. Meine Frage ist, du hattest kurz angesprochen,
dass wenn ich mich mit einem Team verbinden möchte, um in einer Gruppe zu spielen,
dass das mit Unterricht geschlossen ist und so. Einfach aus einer persönlichen Erfahrung,
wie regle ich das menschlich am besten? Also, vielleicht zwei Dimensionen dazu.
Ich muss ja erstmal ein Team finden, muss schauen im persönlichen Bekanntenkreis,
in seinem Hackerspace, in seiner auch professionellen Community, wo finde ich Leute,
die prinzipiell mal Interesse und dann Zeit haben. Erfahrungsgemäß ist es gut,
wenn man das irgendwie Timebox macht. Bei uns, das Team heißt nicht umsonst Mad Monday,
wir machen es immer Montagabend, weil da jeder irgendwie sich den Zeit und den Kopf registriert.
Dann sitzen wir zusammen, dann machen wir das und klar, jeder bringt andere Sachen,
Erfahrungen und Stärken und Schwächen mit und das wird sich an der Aufgabe dann finden.
Beantwortet das die Frage? Ja, danke. Gern. Weitere Fragen? Ja, ich denke dann,
soll ich nochmal danke? Wenn es keine weiteren Fragen gibt, dann danken wir dir ganz herzlich