Wer sichere Anwendungen bauen und betreiben will, muss
verstehen, welche Sicherheitsrisiken und Angriffs
Sektoren es gibt. Neben Listen wie den over the
Top Ten sind Capture the Flag Events eine großartige
Möglichkeit, sich mit dem Thema auseinanderzusetzen, um zu
verstehen, wie Hacker denken und arbeiten und nebenbei viel Spaß
haben. In dieser Folge sprechen wir
über diese Art von Cyber Security Training und was man
dabei für die eigene Arbeit als Developer lernen kann.
Und da zieht er seine Kapuze wieder ab.
Der alte Hacker malte ich Grüße dich und ich Grüße auch euch
alle da draußen, die ihr zuhört zu einer neuen Folge vom Tokas,
dem Developer Podcast mit. Dem einzig wahren Hacker malte
Latin und mir Robin Manuel Thiel.
Weil wie gehts dir? Du lebst ja nicht in München,
deswegen muss ich dich fragen, ob du die Wiesen, die erste
Oktoberfest Woche gut überstanden hast.
Aber du bist die. Super.
Und ich bin tatsächlich dementsprechend irgendwie nicht
in dauerhafter Versuchung. Irgendwie.
Einen über den Durst zu trinken, von daher alles super, aber ich
habe das schöne Wetter genossen in den letzten Tagen und auch
hier bei uns ist viel los. Also von daher mir geht es gut
und ich hoffe du verträgst die wissen bisher auch gut.
Ja, ich halte mich vornehm zurück.
Ich war jetzt am Wochenende einmal da, aber ich bin.
Auch keiner, der da jetzt irgendwie alle 2 Tage hin rennen
muss. Aber wenn man in München wohnt,
dann kommt man nicht drum. Das stimmt, das stimmt ja.
Aber um auf das Thema zurückzukommen, ja, die letzten
Abende waren bisschen länger, reden wir aber gleich mehr
darüber. Dann gehen wir von Wiesen, Bier
zu Kaffee und bedanken uns ganz herzlich bei Clemens.
Der hat uns nämlich 5 Kaffee spendiert, ganz, ganz ganz, ganz
lieben Dank dafür. Dem Clemens muss die letzte
Folge besonders gut gefallen haben, ganz herzlichen Dank.
Apropos letzte Folge, Da ging es umdie.net und C Shop Welt und n
bisschen da gerade Source Bereich los ist und in dem
Rahmen hat eine Abstimmung gestartet wo wir euch gerade
gefragt haben, ob ihr mit C Sharp oder dot net arbeitet und
das würden wir gerne einmal kurz auswerten, da haben insgesamt 74
von euch abgestimmt. Und ja, es ist fast Fifty Fifty
beziehungsweise 6040 60%, also 44.
Von euch arbeiten tatsächlich mit Sharp oder Dot.
Net. Aber auch 40% nicht.
Und das finden wir eigentlich ganz gut, dass wir da n große
Diversität auch bei unseren Zuhörerinnen und Zuhörern im
Podcast haben. Und hier nicht zu einem See
Share Podcast verkommen. Gleichzeitig haben wir
Kommentare von euch bekommen. Wollen wir gar nicht alle
durchgehen. Es gab auch unter einem unserer
Top Videos ne längere Diskussion, ob also über die
ganze i Thematik und die ganze Thematik, ob ob unter welcher
Plattform, welche Programmiersprache denn sinnvoll
ist können wir gerne mal reinschauen, fanden den
Kommentar von Christopher Spannend, der hat geschrieben
ich finde es nachvollziehbar, dass Visual Studio für Mac
eingestellt wird und vermutet, dass irgendwann die gesamte
Entwicklung eingestellt wird, da wir s Code einfach moderner und
beliebter ist. Bezieht sich wahrscheinlich auf
das große Visual Studio für Windows.
Schauen wir mal. Finde ich eigentlich auch ne
spannende Ortung, also geht der Trend wieder weg von der IDI zum
Editor nicht mehr freigestalten kann oder ist das jetzt die IDS
wie sie baut wieder glänzen? Es gibt ja auch von Jet Brains
selber so n so n Hybrid Modell haben auch so den sich irgendwie
editieren und dann merkt zum Beispiel wenn ne.net Solution
auf hat, dass es sich dort handelt und die entsprechenden
Plugins und Extensions rein lädt, The Fleet heißt das.
Auch ziemlich spannend. Dann hast du noch ein Update
mitgebracht zu unserer Folge zur Lizenz Änderung bei Terra Form
und es gibt jetzt Open Tofu als wahre Open Source Alternative zu
terra Form frag ich mich natürlich ist das jetzt endlich
legit, weil wir haben natürlich im Nachgang der letzten oder der
Folge zu dem Thema N bisschen die Community verfolgt und haben
natürlich einige das ganze Thema Open TF so n bisschen zerrissen
haben wir wirklich im Detail geguckt wer sind die Supporter,
was sind das für Firmen die dahinter stecken?
Und vor allen Dingen gemerkt, dass es gar keine großen Firmen
sind, dass sich das zwar so anhört, als würden viele Firmen
hinter stehen, aber das sind eigentlich nur relativ wenige
gewesen. Und gerade Firmen, die auch von
diesen bisherigen dezenz Modell sehr profitiert haben, weil sie
ihr eigenes Geschäftsmodell darauf aufgebaut haben, wie
sieht es jetzt aus, was ist o Tofu?
Ja, oben Tofu ist auch ne Terra Form Alternative eine wahre Open
Source Terra Form. Alternative wäre noch mal
nachhören warum und was es damit auf sich hat, haben wir vor 2
folgende Folge 70 darüber gesprochen, dass eine Lizenz
Änderung mit Herrn war. Das ist jetzt aber von der Linux
Foundation gegründet und es basiert zumindest auf dem, was
damals so Open TF ins Leben gerufen hat.
Ist aber jetzt quasi wirklich gebackt von ja unter anderem wie
gesagt der Linux Foundation. Heißt auch nicht mehr TF,
sondern Open Tofu. Und ist aber zumindest soweit
gepackt, dass es bereits 18 Full Time Entwickler und
Entwicklerinnen gibt, die daran committed für die nächsten 5
Jahre arbeiten. Und der CIO der Allianz wird
auch zitiert, in dem in der Ankündigung ist noch ganz frisch
alles, aber wird zumindest dahingehend zitiert, dass sie
bei der Allianz schon gerade ihre in ihren infrastructures
Code umbauen auf das was Open Tofu ist.
Also es soll auch abwärtskompatibel sein.
Bis zum gewissen Grad kompatibel mit dem bisherigen Terror sein,
aber die Lizenzierung von Terror Attack quasi so ein Warnschuss
gegeben. Wie gesagt, die ganzen Details
gibt es aber noch mal in Folge 70 ist vielleicht ein bisschen
mehr legit wie du es gesagt hast, weil eben die Linux
Foundation hinter steht. Absolut ja.
Kommen wir zum Thema Malte, du kannst deine Kapuze wieder
aufziehen. Du warst auf einem Capture The
Flag Event, wenn ich das richtig verstanden habe.
Erzähl mal, was das ist, wo es ist, was es damit auf sich hat
und warum so geheimnisvoll gesprochen hast.
Intro. Nee, also es läuft seit einigen
Tagen bei uns in der Firma. Ja, ihr wisst wahrscheinlich,
arbeite bei github und da haben wir seit einigen Tagen für alle
in der Firma ein gemeinsames Capture The Flag Event, bei dem
wir die Möglichkeit haben, uns in die Rolle von Hackern zu
versetzen und viele der Security Rabies in Anwendungen
auszunutzen, zu entdecken und auch mit den Tools
auseinanderzusetzen. Die man dann verwenden kann, um
solche Verwundbarkeiten dann auch auszunutzen.
Das heißt, man nimmt wirklich dieses Hacker Mindset ein und
versucht aus der Perspektive mal zu schauen, was sind so die
Dinge, die einfach schiefgehen können aus der Security Sicht.
Das Ganze läuft unter dem Label Capture the Flag, weil das noch
nicht kennt, das ist ein beliebtes Spiel was irgendwann
mal auf einer Hacker Konferenz bekannt geworden ist.
Der DEFCON und dort. Können Leute, die an IT Security
interessiert sind, Software Security interessiert sind, in
verschiedenen Modi Aufgaben lösen und sogenannte Flex
sammeln. Das sind dann in dem Kontext
irgendwelche. Text, Bausteine, irgendwelche
Strings, die irgendwie in Applikationen versteckt sind und
die man durch die Ausnutzung von Sicherheitslücken in diesen
Applikationen oder Infrastruktur finden kann und diese dann gegen
Punkte einlösen kann. So das ganze High Level und das
findet gerade jetzt bei uns in der Firma für alle, die daran
interessiert sind statt. Das Ganze läuft über eine ganze
Woche und man kann seine Zeit so ein bisschen einteilen, deswegen
hatte ich vorhin gesagt, die letzten Abende waren langweilig.
Tatsächlich, auch wenn ich das im Kontext der Arbeit mache,
macht einfach so viel Spaß und fordert einen heraus, dass man
wirklich dann am Wochenende sich irgendwie abends noch mal
hinsetzt und einfach diese eine Aufgabe noch versucht zu
knacken, die man irgendwie die letzten 5 Stunden schon nicht
geschafft hat, weil man da vielleicht ne völlig falsche
Richtung abgedriftet ist. Also es macht extrem viel Spaß,
wir können auch gleich über die verschiedenen Modi sprechen und
für mich ist es jetzt der zweite Capture The Flag Event in dieser
Form. Ich hatte auch in meiner
früheren Rolle bei Microsoft. Die Möglichkeit durch die
Microsoft Engineering Teams gehostet an einem Capture The
Flag Event in ähnlicher Form teilzunehmen, der war rein auf
das Thema Web Security orientiert und der jetzige, an
dem ich teilnehmen breiter. Wir gehen gleich mal ein
bisschen darauf ein, welche Themenbereiche man da ein sich
anschaut und vielleicht einfach mal ganz kurz zum Einstieg hast
du da mit schon Berührungspunkte gehabt?
Nee, leider nicht. Aber ich erinnere mich, also
auch diejenigen, die schon länger als wenn du hast, das
auch vor ein paar Jahren schon mal erwähnt und ich hatte mir
damals schon aufgeschrieben, dass ich gerne teilnehmen würde.
Erkläre das mal. Also ihr hackt ein
Computersystem und könnt also und könnt dann quasi also diese
du sagst dieses heißt die Ziele ist wie wahrscheinlich jeder
Hacker angriff, was jetzt nicht im Leben will sondern
Informationen extrahieren die eigentlich auch nicht zugänglich
sein sollten. Und ihr kriegt dann beigebracht,
wie Hacker arbeiten und mit welchen Tools.
Oder also hackt ihr dann github in dem Fall oder ist das quasi
eine eine eine Center, eine Demo Umgebung die aufgesetzt wurde?
Und ihr müsst quasi lernen, wie ein Hacker oder eine Hackerin zu
denken und diese Schwachstellen aufzudecken.
Und dann diese Text Bausteine zu abstrahieren.
Kannst du das noch mal klären? Ist Capture the Flag Event ist
eine simulierte Umgebung, das heißt, alle, die dort
teilnehmen, entweder einzelne Teilnehmende oder Teams.
Bei uns steht allen offen, entweder als Teams teilzunehmen
oder alleine werden quasi auf die gleichen Umgebungen
losgelassen in den letzten letzten Capture The Flag den ich
gemacht hatte, war es eine Applikation.
Die extrem viele Verwundbarkeit hatte und damit quasi schon
unrealistisch war, weil so viele Fehler macht in der Regel
niemand in einer Applikation. Und jetzt ist es tatsächlich so,
dass verschiedene Applikationen sind sind alles simulierte
Szenarien, das heißt, es ist jetzt nicht ein Cyber Security
Test im Sinne von Penetration Test auf die eigenen Anwendungen
im Unternehmen, das ist eine völlig andere Kategorie, können
wir vielleicht noch ein bisschen, wie man das auch so n
bisschen spielerisch gestalten kann, findet natürlich auch in
vielen Firmen statt bei Capture, vielleicht geht es tatsächlich
darum, dass man was Neues lernt und an simulierten Szenarien,
fiktiven Anwendungen. Die extra für diesen Capture The
Flag Event gebaut wurden, bestimmte Verwundbarkeiten
ausnutzt. Da gibt es 2 grobe Varianten, in
denen diese Capture The Flag Events stattfinden.
Es gibt sogenannte Jeopardy Events, da hat man verschiedene
Aufgaben und so wie bei Jappy dreht man quasi eine Karte um,
kriegt ne Aufgabe und muss dann diese Aufgabe lösen und das Ziel
ist es am Ende dann in online System das Flag einzutragen und
dafür Punkte zu bekommen und alle die an der Veranstaltung
teilnehmen haben dann Leader Board.
Man kann wirklich nicht verfolgen, teilweise ist das
Ganze mit den Punkten auch dynamisierten, umso mehr Teams
eine bestimmte Aufgabe erledigen, umso weniger Punkte
gibt es dafür, um natürlich die Leute zu motivieren, auch an
schwierigeren Aufgaben zu arbeiten oder je nachdem wie
schwierig die Aufgabe ist, gibt es da unterschiedlich viele
Punkte für die andere Variante ist Attack Defence ist ein
bisschen ähnlich wie das was man unter Capture The Flag aus dem
Bereich der. Ego Shooter Video Games kennt,
wo ich tatsächlich 2 Teams habe. Die treten gegeneinander an und
in der Regel hat man dann pro Team eine virtuelle Maschine,
Computersystem oder halt ein komplettes Netzwerk von
Computersystemen und man muss dieses gegen das angreifende
Team verteidigen und gleichzeitig in das an in das
System des anderen Teams eindringen und dann dort durch
die Veranstalter platzierte Flax in diesem System finden oder in
diesem Netzwerk. Finden und diese dann wiederum
gegen Punkte einlösen. Das heißt, da versucht man
gegeneinander zu arbeiten. Die einen werden ab versuchen
das System abzusichern und die anderen greifen an, wo S bei
diesem letzten Endes nur darauf darum geht, in verschiedenen
Kategorien sich Fähigkeiten anzueignen und diese dann
einzusetzen um die Flags zu finden in diesen
unterschiedlichen Systemen und tatsächlich ist ganz
unterschiedlich, da gibt es Open Source, aber auch ganz viele
kommerzielle Veranstalter, die das für Konferenzen, aber auch
für Unternehmen als Trainings anbieten.
Und was ist ein besseres Training als etwas sozusagen
spielerisch machen kann, wo es einen wirklich auch dann
motiviert, wenn man viel lernt und je nach Unternehmen das
anbietet oder je nach Plattform, die man da nutzt, hat man
teilweise n bisschen e Learning dabei, das heißt man kriegt so n
bisschen skilling zu der Aufgabe direkt dazugereicht oder man
muss halt einfach arbeiten wie jemand der wirklich in den
Bereich Cybersecurity 1 einsteigen möchte.
Man muss sich das Wissen aneignen, muss lesen, man muss
online suchen, Google verwenden, mittlerweile natürlich mit
irgendwie. CT oder Bing ganz andere
Möglichkeiten wo man auch Fragen stellen kann.
Hier folgendes IT System, wie soll ich denn da ran gehen, da
kommt man dann auch manchmal in die in die Filter rein wo dann
diese Chatbots sagen ja nee das hört sich jetzt ein bisschen
nach. Sag ich dir nicht wie?
Das Angriffs Hinweis war genau das möchte ich nicht verraten,
aber da kriegt man natürlich auch viel raus, gerade wenn man
das wirklich aus dem der Perspektive so wie kann ich mein
System absichern betrachtet und dann auch die Angriffs Vektoren
beleuchtet und das heißt ich recherchiere online zu einer
Aufgabe, finde dann verschiedene Ansätze.
Und versucht dann einfach mal, mich da durch zu arbeiten.
Und je nachdem in welchem Unternehmen man arbeitet, wenn
man das im beruflichen Kontext hat, darf man dann auch mehr
oder weniger professionelle Security Tools verwenden.
Ich glaube ganz viele kennen sowas wie Kali Linux vielleicht
auch einfach aus so Serien wie Mister Robot, wo dann auch mit
solchen speziellen Linux Distributionen gearbeitet wird,
so ganz viele Security Tools bereits enthalten sind und in
manchen Unternehmen ist es dann immer so Red Flag.
Bloß nicht, dass nicht nicht mal in einer virtuellen Maschine
installieren oder virtuelle Maschinen in der Cloud nutzen.
Wo das installiert ist. Und da ist man dann vielleicht
eher auf die Dinge angewiesen, die man vielleicht mit den
Browser developer Tools machen kann oder die man so Tools die
Post machen kann, wenn es darum geht irgendwelche Dinge
auszunutzen. Aber mit solchen professionellen
Security Tools kann man natürlich ganz viel machen,
gerade wenn es dann in Richtung irgendwie Brut Force oder solche
Trend error verfahren geht, wo man versucht einfach möglichst
viele Kombinationen auszuprobieren.
Macht also extrem viel Freude, auch einfach neue Dinge zu
lernen oder einfach zu sehen, wie arbeiten wirklich auch
Leute, die dann am Ende des Tages auch die Systeme
angreifen, die ich selber bauen, es ist.
Kann die Software sein, das kann irgendwie IT-System sein, was
ich selber betreibe und die Leute, die mich da potenziell
angreifen, die gehen natürlich auch nicht hin und ändern
irgendwie in der Browser adress Zeile händisch irgendwelche
Parameter, sondern die nehmen auch diese professionellen Tools
und das ist natürlich extrem wichtig, da auch ein Verständnis
für ihn zu entwickeln. Und dann auch einfach besser zu
werden, indem wie man die eigene Software absichert.
Ja, gerade was die Kalilinux ist ja auch.
Gerade sehr dafür bekannt, dass es nicht nur die ganzen Hacker
Tools installiert, sondern dass natürlich auch sehr den eigenen
die eigenen Fuß Spuren verwischt und ganz ganz viel anonymisiert.
Also ich glaube ich total spannend in diesem Defense Team
zu sein es vorhin gesagt, es gibt auch die Variante Attack
Defense wirklich verteidigendes Team gibt dann wirklich zu
erleben wie ist das denn oder wie sehen denn meine Logs aus
wenn ich einen sag ich mal angriff bekomme und gar nicht
und da die Spur wirklich verwischt sind und gar nicht
genau sehen kann wo das herkommt vielleicht oder das von ganz
verschiedenen IP Adressen aus gleichzeitig passiert.
Weiß ich gar nicht wie IP Adresse blocking machen kann.
Finde ich finde ich spannend am Ende.
Dieses Jahr also von beiden Seiten.
Stell ich mir das total sensibilisierend vor für die
eigene Anwendung ne? Also wenn ich so Demo Anwendung
hacke indem ich vielleicht dadurch, dass ich durch einen
Capture The Flag Event geleitet werde, mal auf die Idee komme,
weiß ich nicht. Ob ich das Passwort vielleicht
fordern kann? Dann mache ich mir selber
unterwegs Gedanken. Hey, die Anwendung, die ich
zuletzt gemacht habe. Kann man da nicht Passwort
vergessen? Also das finde ich irgendwie
ganz, wenn das so gewählt und wenn es dann nicht nur eine
Sache ist oder man nicht nur eine Liste durchgeht wie du hast
es schon die Top ten, da haben wir auch mal Podcast Folge
zugemacht, könnt ihr auch gerne nachhören, da haben wir drüber
gesprochen, das ist Top ten Liste der gängigsten Security
Schwachstellen. Sondern dass man diese nicht nur
Durcharbeitet aus der. Verteidigenden Perspektive,
sondern auch aus der angreifenden Perspektive.
Sich, glaube ich. Du hast mich total neugierig
gemacht, aber ich sag mal, du hast die gesprochen um dazu
irgendwie zu sehen wie wie ein Hacker, wie eine Hackerin
arbeitet. Dann noch mal.
Also wir arbeiten darauf. Achten denn also, was sind denn
die, was sind die Tools, sind die Schwachstellen, die unter
die Lupe genommen werden? Ja, vielleicht fangen wir mit
dem an, was du vorhin erwähnt hattest.
Das ganze Thema, wie kann man auch forensisch arbeiten, wie
kann man auch basierend auf logs Informationen herausfinden, das
kann auch bei so einem Event teil der Aufgaben sein, das
heißt, ich bekomme einfach haufenweise Logs.
Ne, ich hab gestern in dem Zuge nach vielen Jahren mal wieder
installiert um dann logs einzulesen, dann tatsächlich
durch kilometerlange Logs durchzugehen und mich damit zu
beschäftigen, wie kann man die sinnvoll filtern, wie kann man
da auch. Die potentiellen Angriffe
finden, weil auch solche Szenarien kann es in so einem
Event geben oder wenn ich in einem Attack Defense bin, dann
muss ich auch das tatsächlich tun.
Ich muss solche Logs Monitoren zu sehen werde ich gerade
angegriffen um das dann auch entsprechend verhindern zu
können. Es gibt auch noch natürlich
andere Kategorien in denen man arbeite ich jetzt einfach mal
die Liste durch was Verweise in in so einem Event alles
vorkommt, dann können wir in einigen dieser Bereiche n
bisschen tiefer einsteigen und n bisschen.
Entsprechen. Welche Dinge sind vor allen
Dingen dann vielleicht auch für Developer interessant, dass man
sich da mal mit auseinandersetzt, weil manche
Sachen sind vielleicht eher klassisch IT sys Admin Aufgaben,
aber gerade jetzt in unserer Welt verschwimmen diese Dinge
natürlich auch und wenn ich jetzt meine eigene Microservices
in Containern Kubernetes Cluster hoste, dann bin ich vielleicht
auch für die Security meines Containers verantwortlich und
der Service ist da drin laufen, auch wenn ich vielleicht
klassisch aus der Developer Ecke komme.
Erstmal das Thema Kryptographie. Sich damit auseinanderzusetzen
ist natürlich super spannend und ich finde das kommt bei vielen
Leuten im Alltag zu kurz, bei mir auch und das merke ich jetzt
auch, dass ich mich mit diesen ganzen State of the Art
Encryption Algorithmen eigentlich kaum auskenne, ganz
natürlich, man hat ein Basiswissen von den Dingen, die
man tagtäglich braucht, aber in diesem ganzen Bereich
Kryptographie beschäftigt man sich damit, ne, wie kann man
vielleicht auch Kryptographie brechen, wie kann man halt
vielleicht durch bestimmte Attacken.
Bestimmte schwache Kryptographie Algorithmen, die aber in der
Praxis immer noch verwendet werden, aber mittlerweile
Schwachstellen aufweisen oder durch moderne Technik einfach
per Bluetooth geknackt werden können.
Wie kann man das entsprechend angreifen?
Dann das Thema Reverse Engineering, wie kann ich mir
auch Informationen über Anwendungen holen, die ich nicht
haben sollte, indem ich mir die Anwendung hole und dann und wie
Compile mache oder einfach versuche source Code zu lesen
Ich bin da gestern großartig an einer Challenge gescheitert, wo
man. Nicht nur Java Script, was
irgendwie mini fixiert war lesen sollte, sondern wo man dann
plötzlich eine Web Assembly Datei bekommen hatte und dann
viel Spaß damit. Ne und jetzt guck mal wie da die
Dinge implementiert sind und mit solchen Dingen sich einfach mal
auseinanderzusetzen und darüber nachzudenken zu schauen, OK
welche Möglichkeiten haben mittlerweile auch Leute die dort
Schwachstellen suchen um sich die Informationen auch
vielleicht aus meiner Anwendung rauszuholen, selbst wenn ich die
in komplizierte Art und Weise verbreite.
Dann das Thema Web Exploits ganz klassisch insbesondere Richtung
Overs potent passiert da natürlich relativ auch viel im
Bereich. Awareness und Schutz, da können
wir gleich aber auf ein paar Themen eingehen, die man auch in
so einem Capture The Flag. Regelmäßig macht.
Sowas wie SQL Injection oder so, weil ich das erste was mir in
den Kopf kommt. Genau sowas kommt dazu.
Dann geht das n bisschen auch über teilweise in den Bereich so
Binary Exploits, wenn man dann auch Exploits benutzt die Halt
den Web Server angreifen oder die Datenbank dahinter, weil
natürlich werden dort auch Schwachstellen bekannt und dann
hat man auch die Möglichkeit solche Dinge zu verwenden das
Thema. Intelligence zum Beispiel Open
Source Intelligence. Ich sammle mir Informationen
darüber, welche Anwendungen, welche Infrastruktur wird da
verwendet, welche Open Source Bibliotheken werden verwendet
und wo sind vielleicht in der Version, die dort verwendet
wird, bekannte Schwachstellen drin, wie kann ich diese
ausnutzen? Ganz allgemein so, dass der
Bereich so Aufklärung, das heißt, ich sammle Informationen
über Anwendungen sammeln, aber auch Informationen über die
Leute dahinter, über die Firma dahinter ne und geht das auch
über in diesem Bereich, Social Engineering und manche Capture
The Flag Event haben. Events haben tatsächlich so
dabei, wo man sich Informationen über die Developer holt, das
heißt, man muss sich Informationen darüber
beschaffen, wer sind die Leute, die in dieser Anwendung arbeiten
und schaut dann halt über in dem Fall eines Capture The Flag
Events. Fiktive aber schaut dann halt
auf linkedin profile, schaut dann auf Facebook Profile und
guckt ein bisschen was ist der Interessenbereich dieser Leute,
um dort vielleicht auch Hinweise zu bekommen, wie diese Leute
auch arbeiten oder wo die dann teilweise auch Informationen
liegen, weil das passiert natürlich auch immer wieder,
dass Mitarbeitende von Unternehmen vertrauliche
Informationen liegen, weil sie denken, damit kann eh niemand
was anfangen und plötzlich kriegt dann mal jemand irgendwie
Zugriff auf NIT System und dann wird so Informationen plötzlich
extrem wertvoll. Aber das finde ich ultra
spannend. Weil also ich hab ich hab.
In meiner Laufbahn immer wieder mit Kollegen also
zusammengearbeitet. Wo dieser ganz typische Satz
fehlte? Ja, das Update wird das updaten
wir irgendwann mal. Also du weißt, da gibt es
irgendwie Update javascript Library was weiß ich und das hat
er jetzt einfach nicht Priorität das updaten dann ist einfach
kein automatisierter Prozess, rutscht beim Block immer weiter
runter. Wenn ich das jetzt Social
Engineering Perspektive betrachte, dann könnte ich ja
gezielt Software angreifen, wo ich weiß, dass diese Personen
vielleicht sogar Zusammenarbeit in der Vergangenheit
zusammengearbeitet habe, von denen ich weiß, dass sie da
keine große Relevanz den Ganzen zuordnen.
Oder ist nicht in der Prioritätsliste ist, sich
gezielt diese Software angreifen, weil die
Wahrscheinlichkeit sehr hoch sein könnte, dass die Library
verwenden, die noch nicht geupdatet ist und vielleicht
sogar eine bekannte Sicherheitslücke aufweist.
Das heißt ne? Also ich ganz oft geht es in IT
Sicherheit einfach darum, dass ich Ihnen die diese diese
Möglichkeiten, diesen Effekt einfach auch von der
angreifenden Seite minimiere, dass ich also klassisches
Beispiel, wenn ich dich mal kenne, ich nicht mehr alle
möglichen Passwort Kombinationen durchgehen, sondern kann einfach
Sachen Passwörter generieren, die irgendwas mit dir, deiner
Familie, deinen Wohnort, deinen Arbeitgeber zu tun haben, weil
einfach die Wahrscheinlichkeit, dass du irgendwas in deinem
Passwort eingebaut, wenn ich nicht generiert hast.
Und das Gleiche kann ich natürlich machen, wenn jemand
geschrieben hat, weil sich a weiß ich nicht.
Vielleicht hat dieser jemand noch nie mit der neuen Version
von Java Schlag mich tot gearbeitet.
Das wird auf jeden Fall die alte sein und die hatten bekannte
Sicherheitslücke und da kann ich wirklich ganz viel gezielter
angreifen oder nicht die Nadel im Heuhaufen suchen und Dunkeln
stochern. Ja, und genau das, was du gerade
sagtest mit dem mit dem Passwort war zum Beispiel ein Szenario,
in dem Capture The Flag, an dem ich vor 2 Jahren teilgenommen
habe, da war tatsächlich die Idee, man findet raus, wer is
Admin auf dem System ist und schaut dann was sind so die
Interessensgebiete und geht dann irgendwie über die privaten
Homepage, Social Media Profile und letztlich die Informationen
runter und packt die Halt in so eine Wortliste rein, die man
dann wiederum dann per Boot Forstern auf die Seite loslässt,
die dann kein Blut Force Protection hat und dann einem
erlaubt da. Innerhalb von wenigen Sekunden
Tausende Passwörter Durchzuprobieren, und das ist
natürlich extrem. Auch wachrütteln ne, dass man
wirklich denkt, wow ne, genau so arbeiten die Leute auch und
worauf muss ich vielleicht auch achten, dass ich sichere
Passwörter verwende, dass ich halt meine Anwendung
entsprechend ab absichere und dass ich auch nicht vielleicht
so freizügig über bestimmte Dinge meines Privatlebens
berichte, wenn man die letzten Endes mit solchen Dingen
Kombinationen bringen kann. Find ich super spannend ne
allgemein das Thema Faktor Mensch ist natürlich voll extrem
interessant, ne und da gab es ja vor vielen Jahren mal wirklich
dieses ganz berühmte Buch von Kevin Mitnik, wo es halt nur um
Social Engineering ging und das wirklich auch nochmal
rauszuholen und reinzuschauen und zu lesen und zu sagen, Wow,
der Faktor Mensch ist gerade im Thema IT Security ganz groß,
finde ich immer wieder spannend. Aber darum geht es nicht im
Kern. Im Kern geht es wirklich hier
bei diesen Capture The Flag Events doch um technische
Schwachstellen und bekannte wir bilitis, die man ausnutzt und
dann auch wirklich zu lernen, wo findet man diese Informationen
darüber, welche Tools verwenden die Leute und sich dann auch mit
solchen Dingen zu beschäftigen. Ja, finde ich ganz wichtig, weil
wie gesagt, dieser sensibilisierungs Aspekt kommt,
glaube ich, oft viel zu kurz und ich habe gerade das Beispiel,
echt irgendwann mal. Das ist schon nicht so wichtig,
da wird ja nicht morgen mich jemand mit dieser
Sicherheitslücke angreifen. Es gibt ganz offenbar ganze
Teams, die nichts anderes tun, als im Internet Systeme zu
suchen, die auf bestimmte Versionen gepatcht sind, die
Sicherheitslücken aufweisen und jetzt sagst du, es gibt sogar
schon Events dafür dazu, die man auf Konferenzen besuchen kann
oder vielleicht auch größere Unternehmen, unternehmen selber
veranstaltet werden. Das heißt ja wirklich, dass also
das einzig sinnvolle, was passiert ist, dass man diese
Informationen, wie ich ein System möglichst öffentlich,
möglichst zugänglich, möglichst breit aufgestellt macht.
Das ist kein Spezialwissen mehr ist so, dass.
Die Gefahr so groß wird? Oder war das, weil das so sehr
so Commodity wissen ist? Dass ich eigentlich jeder mit
diesem Thema auseinandersetzen muss, weil es einfach immer,
immer, immer, immer fahrlässiger wird, das nicht zu tun.
Und deswegen finde ich es sinnvoll, dass eine breitere
Masse diese ganzen Themen und diese Tools und so weiter zu
bringen, also ihr wahrscheinlich nicht irgendwie was super
geheimnisvoll aus dem Darknet heruntergeladen, das sind alles
öffentlich zugängliche Tools, nehme ich an, und auch das ist
ja augenöffnende. Ja, absolut.
Und tatsächlich, dass du gerade gesagt hast, ich glaube, wir
alle haben irgendwo in unserem Umfeld diese eine Applikation,
wo wir vielleicht. Die Infrastruktur oder die
Applikation oder das Framework nicht auf dem neuesten Stand
haben und sobald dort eine Verwundbarkeit gefunden wird,
kann man auch automatisiert einfach das Web scannen und
sehen. OK, welche Webserver liegen
dahinter, welche Framework Versionen liegen dahinter, das
kann man auch rausfinden, ein Szenario eine einer Challenge
die ich jetzt in der letzten Woche gemacht habe, da ging es
um eine Applikation Python Applikationen mit mit Flask und
Ninja als Templating Engine und dann ließ sich relativ schnell
herausfinden, dass eine verwundbare Version ist.
Und dann hatten die Developer halt beim Templating nicht den
User Input ordentlich frei von Python Statements gehalten und
dementsprechend konnte man, wenn man das richtige Feld gefunden
hatte, dann über Form Data Dinge in das Template Injection, die
es einem erlauben über bestimmte Klassen von Python quasi durch n
durch den durch die Klassen Hierarchie durchzugehen, bis man
dann am Ende irgendwo dann auf die Basis Klassen.
Kommt und sich dann wiederum hoch hangeln kann auf irgendwie
irgendwelche IO Klassen, wo ich dann plötzlich Daten des Web
Servers auslesen kann und das war in dem Fall die Challenge,
dann eine Textdatei die irgendwo auf dem Web Server liegt
auszulesen und da war dann das Flag drin, aber genauso können
das dann auch andere vertrauliche Daten auf diesem
System sein, auf dem diese Applikationen läuft ne
irgendwelche Passwort listen, irgendwelche user listen ich
habe e System wo ich vielleicht am Ende wenn auch nicht das
Passwort aber schon extrem viel weiß welche User alle auf diesem
System angelegt sind. Und alle diese Informationen
kann ich natürlich dann, wenn ich.
Die Permissons nicht richtig gesetzt habe und hoffe, häufig
laufen solche Applikationen, die auf irgendwelchen Demos laufen
mit relativ hohen Privilegien, dann kann ich natürlich diese
Sicherheitslücken einfach ausnutzen, um mir die
Informationen zu holen und wirklich diese Dinge einfach mal
selber zu machen. Sind dann wirklich auch ja sehr
wach rückwind. Auch zu sehen, wie in
Anführungszeichen einfach das ist ne, also das jetzt keinen,
also dass man sich das Hacking natürlich nicht ist wie bei bei
Matrix, da irgendwie grüne Schrift.
Bildschirm erkennt mein Leben irgendwann irgendwie und auf
einmal kommt Laden und wollen poppen 15 Fenster hoch und die
werden A kopiert, dass eigentlich nichts anderes ist
als das. Handwerk, was man ja als
Entwickler, Entwicklerin ohnehin die ganze Zeit ne, also dass man
mit den gleichen Tools vielleicht, dass man vielleicht
noch irgendwie durch Verzeichnis Baum klickt oder tippt und dass
das jetzt nicht, also dass das ja quasi aus also die Augen
geöffnet ist, wahrscheinlich zugänglich.
Diese Tools, das sind wie wie dass man jetzt nicht unbedingt
in eine komplett neue Welt eintauchen muss, sondern die
Sicherheitslücken auch relativ. Ja, so relativ schnell und
relativ simpel relativ einfach ausnutzen kann, wenn man sie
dann einmal gefunden hat. Genau, und ich.
Tatsächlich geht es natürlich jetzt da nicht darum,
irgendwelche super geheimen Zero Days auszunutzen und das sind ja
die Dinge, die irgendwelche Geheimdienste tun, ne, darum
gehts jetzt hier nicht, es geht darum einfach wirklich die
Dinge, die schon bekannt sind teilweise seit vielen Jahren zu
sehen, wie diese sich ausnutzen lassen und wirklich, da sich
dessen bewusst zu werden, dass ganz viele Applikationen einfach
auf super alter Software teilweise laufen oder mit
veralteten sprach Bibliotheken arbeiten, die Halt
Schwachstellen vorweisen. Und einfach dieses Bewusstsein
zu entwickeln, dass man diese Dinge aktuell halten muss, dass
man Sicherheitslücken schließen muss, wenn sie bekannt werden,
und sich dann auch wirklich auch mit älteren Applikationen
regelmäßig auseinandersetzen muss.
Wir packen auch noch mal einen Link in die Show Notes gibt
diverse Seiten im Internet, aber auch manche, die sich speziell
auch an Leute, die an solchen Events teilnehmen, richten, die
dann sehr gut viele dieser Szenarien einfach zusammenfassen
und einem das Handwerkszeug dann relativ schnell zugänglich
machen und man muss jetzt hier nicht irgendwie erst ne Woche.
Solange IT oder Cybersecurity Schulungen machen, sondern wer
irgendwie mit einem Software Development background IT
background kommt, kann mithilfe öffentlich verfügbarer Quellen
im Bereich Cybersecurity genau sich das Handwerkszeug zusammen
sammeln, dass man braucht um solche Dinge zu machen.
Und wenn man das dann über so ein Event gelernt hat, kann man
ja dann im nächsten Schritt sich die eigenen Applikationen
anschauen und sagen OK. Wo sehe ich denn jetzt ähnliche
Szenarien? In meiner eigenen Applikation?
Und wo muss ich da vielleicht Lücken schließen oder wo muss
ich dann vielleicht auch mal? Dann können wir gleich nochmal
drüber sprechen, vielleicht auch die Anwendung, die bei uns im
Unternehmen sind, einfach mal auf Sicherheitslücken testen,
genauso wie ich das da mit diesen.
Ja, diesen Film in diesem fiktiven Szenario gemacht habe.
Ja, da gibt es ja in einigen Firmen, vor allem in größeren
Firmen, auch ganze Teams für ne. Also ich habe das jetzt
spielerisch in Form von Event gemacht, aber ich kann mir bei
einer Firma w auch gut vorstellen, dass es bei euch
ganze Security Teams gibt, die den ganzen Tag nichts anderes
machen. Also bei Microsoft weiß ich
auch, die sind da auch Recht, dokumentieren auch viel und
reden auch viel öffentlich darüber.
Es gibt s also, das heißt, das heißt dann üblicherweise Red
Team und Blue Team in so Firmen und die machen also deren
Hauptaufgabe ist es, die eigenen Systeme zu pennen, testen.
Beziehungsweise zu verteidigen. Also das Red Team ist
üblicherweise das Team, was dann versucht h Schwachstellen im
also im eigenen System zu finden, so friendly Hacker, wenn
man so möchte also ne ganze komplettes Team an Mitarbeitern
die dann versuchen das I die eigene Software, die eigene
Infrastruktur, den eigenen Server und so weiter zu zu
hacken und die quasi ganzen Tag nichts anderes machen als
Informationen über das Netzwerk zu sammeln, über die Sicherheit
dann über die Sicherheit zu sammeln die ganze Zeit versuchen
Daten von außen zu extrahieren und das ist teilweise total
spannend. Und also ich war, ich war
zumindest sehr überrascht, dass die geschildert haben, dass sie
einen Großteil ihrer Zeit. Zum Beispiel damit verbringen,
gar nicht die Attacke auszuführen, sondern die Attacke
zu planen. Also ganz, ganz viel Recherche
zu machen, das kann von, wie gesagt, Social Engineering bis
hinzu erstmal dem reinen Sammeln von Informationen gehen und dann
gibt es auf der anderen Seite das Blut Team, was im Prinzip
nichts anderes macht als 24 7 die eigene Infrastruktur zu
versuchen zu schützen und deren Aufgabe ist es dann natürlich
auch ja Policies zu setzen, das System zu Hartmann aber
natürlich auch sowas wie Monitoring zu betreiben.
Das richtige Monitoring aufzusetzen, die richtigen Alert
sich einzurichten, richtig auf Schwachstellen zu reagieren,
richtig das eigene System zu dokumentieren, weil natürlich
auch wenn das 24 7 passiert, das auch andere Teams übergeben
müssen, diese Watch, diese Wache, die sie da halten.
Und da fand ich total spannend, was die aber sagten, dass nach
wie vor das größte Problem von diesem Blue Team, also diesen
verteidigenden Team ist, dass es, dass die meisten
Schwachstellen einfach über Social Engineering aus
ausgenutzt werden. Das heißt, die Aufgabe des Blue
Teams ist nicht nur technisch fit die Systeme zu sichern,
sondern vor allem auch die eigenen Mitarbeitenden zu
sensibilisieren und zu schulen, denen klar zu machen, wie sie
mit, wie sie mit Daten, auch mit Phishing, Attacken und so
weiter. Umgehen und was sie auch machen
müssen, ist ein gewisses Riskassessment.
Du kannst ja gar nicht, also gerade wenn du eine kleinere
Firma bist, dann kannst du ja gar nicht leisten, so 2 so große
Teams einzustellen, das heißt, du musst selber die ganze Zeit
gucken, was du musst. Zumindest bewusst sein, was
haben wir potenzielle Angriffs weg, Toren sind wir gegen D dos
geschützt ja nein und wenn nein, was würde das denn für unser
Business bedeuten, wenn wir einer solchen Attacke ausgesetzt
werden würden? Das heißt, diese ganzen Red und
Blue Teams, das ist natürlich ein ganz engem, ganz enger
Zusammenarbeit mit dem Management in quasi aufsetzen
und durchgehen, weil die am Ende natürlich die Entscheidungen
treffen müssen. Ja, wie kritisch ist welche,
welche ja Sicherheits Lücke möchte ich gar nicht sagen, wie
es Gregor und können wir uns, können wir diese Risiko
akzeptieren oder müssen wir irgendwas gegen tun?
Und selbst innerhalb dieser Red Team Dota Team.
Thematik gibt es ja auch verschiedene Ansätze.
Einmal den Ansatz, man agiert quasi wie ein Angreifer von
außen, das heißt ohne besondere Privilegien, aber man kann das
Ganze natürlich auch so machen, dass man wie ein Angreifer von
innen agiert mit entsprechenden Privilegien, ist nämlich schon
Teil des Unternehmens Netzwerks, man hat schon einen User Account
und dann wird es natürlich nochmal schwieriger dagegen zu
verteidigen, aber gerade in diesen ganz großen Firmen dort
gerade Beispiel Microsoft genannt, muss man davon
ausgehen, dass potenzielle Angreifer bestimmte Privilegien
haben, die können halt. Als fest Beschäftigte im
Unternehmen seien die können als Praktikantin Praktikanten im
Unternehmen sein. Das heißt, die Leute, die meine
Applikationen angreifen, können tatsächlich auch schon Teil
meiner Organisation sein, und da muss man vielleicht gar nicht so
umfangreich durch Social Engineering und man irgendwelche
Accounts übernehmen und dann irgendwie privilege Escalation
durchlaufen, sondern fängt irgendwie schon weiter oben an,
indem man jemanden in der Organisation hat oder jemanden
eingeschleust hat und genauso wie das halt auch in
Geheimdiensten funktioniert, ne. Du hast versucht, versuchst auch
Leute in anderen Organisationen in anderen Ländern zu platzieren
und genauso funktioniert das natürlich in großen Unternehmen
und das müssen natürlich auch diese Cyber Security Teams
simulieren und das finde ich natürlich nochmal
herausfordernder, wenn du das deine Anwendungen absichern
muss, der wirklich schon viele Privilegien hat und da kommt
natürlich sowas wie Zero Trust und ließ Privilege.
Es also. Was man wirklich sicherstellt,
ne die Leute bekommen nicht mehr recht als sie brauchen, nur das
Kernteam bekommt die Informationen und nur just in
Time und alles wird gelockt und solche.
Die Informationen sind dann natürlich extrem wichtig, um
zumindest wenn eine Attacke stattfindet, das zumindest zu
wissen und dann nicht, wie wir es auch bei ganz vielen großen
Unternehmen in den letzten Jahren gesehen haben, dann
vielleicht erst Monate oder Jahre später zu merken.
O Wir hatten da entsprechend ein kleineres Problem, haben das
mittlerweile behoben, aber man sollte das natürlich eigentlich
sofort herausfinden und dementsprechend.
Ist glaube ich das Thema Cybersecurity nicht nur etwas
für. Die Security Teams und unser CEO
bei github sagt immer bei allen Company Events.
Wer ist Teil des Security Teams und erwartet, dass alle Hände
hochgehen von jedem Engineer, von jedem Marketing Menschen,
von jedem Vertriebler, alle in der Firma haben einen Teil dazu
beizutragen wegen solcher Themen wie Social Engineering aber
natürlich auch gerade die Developer müssen natürlich
sicherstellen, dass die Anwendung so bauen, dass sie von
Anfang an sicher sind und dass Sicherheitslücken gar nicht erst
entstehen. Da kommen natürlich wir haben
eine Folge auch gemacht. Die ganzen Security Tools die es
so gibt im Bereich Code Analyse im Bereich Supply Chain Security
muss natürlich alles da sein, aber wirklich der Faktor Mensch
und wie ich Dinge halt wirklich auch bewusst adressiert ist
extrem wichtig und da sollte man sich nicht auf das Cyber
Security Team verlassen und sagen ich mache meinen Job und
am Ende lege ich dann dahin und irgendwie sind dann die Security
Kolleginnen und Kollegen dafür verantwortlich zu gucken ob das
denn alles sicher ist was ich da fabriziert hab.
Nein so sollte es nicht sein und von daher finde ich den Ansatz
ganz gut, dass man auch. So ein Capture the Flag event
allen zugänglich macht ne ich mein bei uns war es jetzt so,
dass wir egal welche Rolle an diesem Event teilnehmen konnten.
Natürlich sind am Ende größtenteils technische Leute
die da teilnehmen, weil sich dann vielleicht Leute, die
irgendwie aus einem Bereich kaum fallen, das Marketing, was auch
immer sich da nicht dran trauen, aber tatsächlich sind da auch
Challenges by kann ich mit 0 IT wissen, einfach nur per Internet
suche relativ schnell lösen, ne da sind da teilweise auch
wirklich triviale Dinge die teilweise in Unternehmen
schiefgehen und auch auf dem Niveau sich damit
auseinanderzusetzen. Find ich super toll und von
daher mein Aufruf. Wenn ihr irgendwo arbeitet, wo
ist das bisher noch nicht gibt, regt das Mal an.
Motiviert vielleicht mal euer Management, wenn ihr selber in
Verantwortung seid, guckt ob ihr das Budget zusammenkriegt mal
sowas als internes Training zu machen und wenn irgendwie
Freelancer seid oder wenn ihr die Möglichkeit nicht im eigenen
Unternehmen geht auf eine Konferenz wo ihr sowas machen
könnt, ne geht auf so IT Security Events wo man einfach.
An einem Wochenende mal so ein Capture the Flag machen kann.
Man lernt so viel und es macht macht echt viel Spaß, man kriegt
wenig Schlaf, aber es macht viel Spaß.
Ich weiß zumindest von diesen Teams bei Microsoft, dass man da
sowohl ab und zu die Möglichkeit Teil von zu sein, also vor allem
wenn ich jetzt kritisch Systeme und online setzt, er sich
einfach mal mit laufe mit dem Rad Team, mit dem Blue Team,
also auch dieser x Gedanke, dass alle für alles n bisschen
mitverantwortlich sind. Eine zweite Sache, die ich auch
vorher noch gar nicht erwähnt, habe.
Ich auf jeden Fall noch sagen wollte, hier zu machen ist, was
ich da total cool fand ist, dass es gibt dieses Team, das
angreifende Team. Es gibt das Blue Team, das
verteidigende Team und alle paar Wochen rotiert das durch, das
heißt, die Mitarbeitenden, die Red Team waren, werden jetzt das
Blue Team und das Blue Team wird zum Red Team.
Bedeutet a dass alle mal alle Positionen einnehmen wie du
vorhin gesagt hast, die Cleveland ich verteidigen und
angreifen kann. Und B heißt das aber, dass ich
auf einmal Leute angreifen, die sehr gute Kenntnisse über meine
eigene Infrastruktur haben, weil die vielleicht selber aufgesetzt
haben. Ne, das kann natürlich zum einen
das sagen, O vielleicht schaust du dann auch mit den Augen.
Natürlich ist total sicher und du kommst vielleicht auf die
Idee einen Angriff zu nehmen, sonst hättest du dich ja gegen
abgesichert. Aber dass du halt einfach ein
Angreifer hast, der sehr genau weiß, wie deine Infrastruktur
aussieht, natürlich gesammelt, aber du hast selber Teil des
Unternehmens ist, sagt ja auch keiner, dass Leute, also Leute
verlassen ja auch die Firma, ich kann ja sagen, ich vertraue
meinen eigenen Mitarbeitenden, aber es gibt ja auch Leute, die
Firma und Microsoft über hunderttausend Mitarbeiter, ne,
also wer sagt denn, dass keine schwarzen Schafe oder Schläfer
oder irgendwas dabei sind, von daher ultra spannend und du hast
mir jetzt noch mal mehr Lust gemacht und so Event
teilzunehmen. Hast du eine Idee?
Wo kann ich denn, so kann ich bei sowas teilnehmen, also
nehmen wir jetzt mal an, die eigene Firma bietet sowas nicht
an, du sagtest es immer wieder Events, dass bei der was hast du
bei der verdeckten ist entstanden.
Ja genau, ich meine, das ist eine der größten IT Security
Konferenzen und da findet sowas auch regelmäßig statt.
Wir packen auch mal einen Link in die in die Show Notes rein,
wo halt öffentliche Capture The Flag Events immer wieder
gepostet werden, die finden weltweit immer wieder statt,
teilweise remote, teilweise auf Konferenzen, könnte einfach mal
drauf. Schauen ansonsten haltet die
einfach die Augen offen. Ich habe auch im Rahmen der
Vorbereitung dieser Folge gesehen, es gibt auch an
Universitäten solche Capture The Flag Events, Ich habe einen
gesehen KIT in Karlsruhe, es gibt vom Fraunhofer im Bereich
It Security auch die Möglichkeit, dass sich als
Dienstleistung einzukaufen, dann kommen die und machen das mit
einem gemeinsamen Unternehmen, das heißt, das ist nicht etwas,
was irgendwie nur irgendwelche US amerikanischen Konferenzen
oder IT Unternehmen betrifft, sondern auch gerade wirklich
sehr deutsche Institutionen wie das Fraunhofer.
Institut bieten sowas an und um das gemeinsam zu machen und da
im Bereich It Security besser zu werden, einfach online gehen
nach suchen findet man auf jeden Fall was finden auch Dinge statt
im Rahmen der CCC, die machen natürlich auch solche Bereiche,
schaut einfach mal was auch vielleicht die lokalen Chaos
Computer Clubs bei euch in der Nähe machen, da sind auf jeden
Fall die Expertinnen und Experten zu dem Thema Cyber
Security und die können euch definitiv auch gute Hinweise
geben wo ihr da tiefer einsteigen könnt.
Und vielleicht machen wir sowas vielleicht irgendwann gemeinsam
mit der Community, wenn wir hier wachsen, groß werden, dann haben
wir, vielleicht gibt es ja immer die ich brauch zusammen, also
lass uns das gerne wissen, also wenn ihr es mir zusammen,
vielleicht finden wir ja genug Leute die Lust drauf haben und
veranstalten selber mal sowas also ich find das hätte auf
jeden Fall auf jeden Fall richtig gemacht und ich ärgere
mich, dass irgendwie mal eingeschlafen ist und.
Ich werde jetzt ein paar Jahre dran erinnern.
Ja, sag mal Bescheid, wenn du ihn siehst oder wenn wir mal
Konferenz beide wo irgendwie parallel dazu oder einen Tag
vorher, Tag später. So eine Veranstaltung gibt.
Hätte ich da Lust drauf? Cool, dann bleibt uns nur, die
Folge abzuschließen. Und wie immer, wenn euch die
Folge gefallen hat, lass uns gerne gute Bewertungen, da geht
auf Spotify geht auch einfach Podcast freuen uns immer sehr
und natürlich freuen wir uns auch, wenn ihr uns einen Kaffee
ausgibt, den Link findet in den Show Notes und wenn ihr euren
Kaffee aus einer to Developer Podcast Tasse trinken wollt,
findet ihr natürlich auch den Link zu unseren Shop unter
dieser Podcast Folge. Dann hören wir uns hoffentlich
in 2 Wochen wieder, denn der To do Developer Podcast erscheint
alle 2 Wochen musste allein nichts anderes zu sagen, als
euch eine gute Zeit zu wünschen. PN testet doch mal eure
Anwendungen, denkt doch mal wie ein Hacker und greift euch mal
selber an und vor allem schreibt ganz viel Code.
Bis dahin. Ciao.