Am 22. Mai 2023 hielt Matthias Göhring, Head of usd HeroLab im Rahmen der Vorlesung „Netzwerke für den Zahlungsverkehr“ bei Dr. Hermann Sterzinger eine Gastvorlesung zum Thema technische Sicherheitsanalysen und Pentesting an der TUM. Dabei wurden die folgenden Themen behandelt:
- Der Blick auf die aktuelle IT-Sicherheitslage in Deutschland und der Welt zeigt, dass die Sicherheit von Systemen und Anwendungen immer wichtiger wird
- Mit Hilfe von technischen Sicherheitsanalysen können Risiken identifiziert und anschließend reduziert und beseitigt werden
- Es gibt verschiedene Arten von technischen Sicherheitsanalysen, bspw. Penetration Test, Red Teaming, Schwachstellenscans. Sie alle haben Vor- und Nachteile und beantworten unterschiedliche Fragestellungen. Welche Sicherheitsanalyse passend ist hängt also von der jeweiligen Situation und Fragestellung des Unternehmens ab
- In einem Pentest, kurz für Penetration Test, werden Systeme und Anwendungen strukturiert auf vorhandene Schwachstellen untersucht. Um den größtmöglichen Nutzen aus einem Pentest ziehen zu können, ist die Auswahl des Scopes, Prüfansatzes, Prüftiefe und weiterer Faktoren essentiell.
- Die Qualität eines Pentests zu beurteilen ist alles andere als trivial. Aus Sicht des Auftraggebers können True Negatives nicht ohne Weiteres von False Negatives unterschieden werden. Daher sollte man bei der Auswahl eines Pentest Dienstleisters darauf achten, dass auch die durchgeführten Tests dokumentiert werden, nicht nur die reinen Ergebnisse.
Abschließend wurde das Vorgehen bei einem Web Application Pentest beispielhaft demonstriert, indem eine SQL-Injection-Schwachstelle identifiziert und ausgenutzt wurde. Im Anschluss an den Vortrag wurden mit den Studierenden verschiedene Fragen beantwortet und diskutiert.
Die usd AG engagiert sich seit vielen Jahren im Rahmen von Vorträgen, Workshops und Vorlesungen an diversen Hochschulen, um Cyber Security praxisnah zu vermitteln.
„Für meine Kolleg*innen der usd und mich ist die IT-Sicherheit eine Leidenschaft, die wir zum Beruf gemacht haben. Dabei brauchen gute Security Analyst*innen neben dieser Leidenschaft ein gutes Verständnis für technische Zusammenhänge und spezifisches IT-Security Know-how. Wir freuen uns daher über jede Gelegenheit, unser Wissen mit Studierenden zu teilen und Perspektiven aufzuzeigen, IT-Security zum Beruf zu machen.“
Matthias Göhring
