| |
Die IT SECURITY ist heute eines des zentralen Themen der unternehmensweiten IT. Die Bedrohungsszenarien sind vielfältig und allgegenwärtig. Umso wichtiger ist es, auf Sie vorbereitet zu sein.
Erfahren Sie von unseren Referenten,
• wie Sie ein prozessorientiertes IT-Security
Managementsystem
einführen und welchen Nutzen
es für Ihr Unternehmen haben wird
• wie Sie Frühwarnsysteme konzipieren und mit Hilfe
von Tools
administrieren
• live, warum man auf die neuen Gefahren des
Hackings bei den Themen VPN
und VOIP vorbereitet
sein sollte und welche Folgen Hacker-Baukästen
haben können
• wie Computer-Forensik methodisch angegangen
wird und welche der
zahlreichen Tools dabei eine
Hilfe sind,
• praxisnah, welche Gefahren bei J2EE, Web Services
und Webanwendungen
auf Sie warten
• wie man service-orientierte Netzwerkarchitekturen
umsetzt, die nicht
nur das Netzwerk, sondern die
gesamte Prozesskette absichern
• wie man ITIL & IT-Security in IT-Prozesse integriert
• wie man Standardisierungen erfolgreich umsetzt
• auf welche Weise Angriffsszenarien in einem
integrierten Sicherheitsmodell dargestellt und
verknüpft werden
• und service-orientierte Architeturen über den
Enterprise Service Bus implementiert
• sowie die Schwachstelle SAP-Sicherheit erkennt und
mittels einer Roadmap beseitigt
|
|
• wie man ITIL & IT-Security in IT-Prozesse integriert
• wie man Standardisierungen erfolgreich umsetzt
• auf welche Weise Angriffsszenarien in einem
integrierten Sicherheitsmodell dargestellt und
verknüpft werden
• und service-orientierte Architeturen über den
Enterprise Service Bus implementiert
• sowie die Schwachstelle SAP-Sicherheit erkennt und
mittels einer Roadmap beseitigt
Wer sollte teilnehmen?
CSO, Leiter IT-Sicherheit, Leiter Netzwerke, Leiter Anwendungsentwicklung, Leiter E-Business, Leiter Datenschutz, Leiter Revision sowie Projektverantwortliche für Security-Projekte und selbstverständlich IT-Leiter
Diskutieren Sie in unseren Expertenforen unter der Moderation von Ulrich Parthier, Publisher IT SECURITY.
Sie sind herzlich eingeladen. Die Plätze sind begrenzt und werden in der Reihenfolge des Eingangs der Anmeldungen vergeben. Registrieren Sie sich daher noch heute.
Konferenzbroschüre zum Download (PDF)
Zur Agenda
|
| |
Enterprise Security Management – from Real-time to Forensic
Der Bereich Security hat sich in den letzten Jahren stark verändert. Die Security ist genauso komplex
wie alle anderen IT-Prozesse, wenn nicht sogar komplexer. Ein alleiniges Management von
Security reicht nicht mehr aus. Das Ziel von Enterprise Security Management ist es,
Organisationen und Unternehmen Tools zur Verfügung zu stellen, die wirkliche Bedrohungen ihrer
Services in Echtzeit aufzeigt, den Ursprung solcher Attacken und wie die einzelnen
Geschäftsbereiche davon betroffen sind, vollumfängliche Integration in die existierenden ITProzesse
etwa ITIL, die Möglichkeit des Reportings für die Befolgung von Vorgaben (intern und
extern) sowie als Unterstützung während gerichtlichen Untersuchungen. Wir zeigen die Prozesse,
Technologien und mögliche Lösungen auf, die aus unserer Sicht für das Enterprise Security
Management notwendig sind.
Computer Forensik
Dieses Teilgebiet der IT-Security beschäftigt sich mit dem Nachweis und der Aufklärung von
strafbaren Handlungen etwa durch Analyse von digitalen Spuren. Die Ziele einer forensischen
Analyse (etwa nach internen Attacken, Datenlöschungen, Sabotage, Datendiebstahl, anderen
Sicherheitsvorfällen sind in der Regel die Identifikation des/r Angreifer/Täter, das Erkennen der
Methode oder der Schwachstelle, die zum Vorfall oder der Straftat geführt haben, die Ermittlung
des Schadens und die Sicherung der Beweise für weitere juristische Aktionen. Hilfreich sind
dazu in einem zweiten Schritt Tools, deren es viele auch aus dem Open Source-Bereich gibt. Wir
zeigen exemplarisch auf, welchen Tools Sie vertrauen können.
Live Hacking
In diesem Vortrag zeigen wir, wie einfach es ist, vermeintlich sichere Technologien zu knacken.
Anhand des „VPN-Hijacking“ stellen wir dar, wie schnell und einfach Sitzungen im Virtual
Private Network (VPN) als Königsweg der sicheren Verbindung zu entführen sind. In dem
Kapitel „VoIP - Mithören leicht gemacht“ schneiden wir ein Telefonat via Voice over IP (VoIP)
mit. Ferner stellen wir den Hacker-Baukasten Metasploit dar und sensibilisieren auch damit die
Sinne für Attacken gegen das eigene Netz oder Systeme. Dabei gehen wir immer auf mögliche
Gegenmaßnahmen und Vorrausetzungen ein.
Identity Management
Ein Werkzeugkasten für das Intentity Management (IdM) ist wünschenswert. Gibt es den? Die
Liste der Wünsche für den Einsatz eines IdM-Systems sind lang: Redundante Benutzerdaten eliminieren;
Legacy-Applikationen einfach integrieren; Benutzer, Kunden, Services, Maschinen etc.
managen; einfach administrieren; Access Management übernehmen; Globales SSO realisieren;
Security Policies automatisch umsetzen; User Help Desk entlasten, alte Accounts automatisch
mappen; Passwörter und Profile synchronisieren und und und... Am Beginn aber stehen immer
die Prozessarbeiten!
ITIL & IT-Security
Sicherheit muss in IT-Prozesse integriert werden. Dazu gehört es, die Aufgaben, Rollen und Key
Performance Indicators zu kennen, die implementiert werden müssen, um ein erfolgreiches IT-Security
Management aufzubauen. Durch ITIL-Konformität wird der Bezug zu den weiteren IT-Prozessen
hergestellt, so dass die Sicherheit nicht nur theoretisch besteht.
Sicherheit für Enterprise J2EE-Applikationen
Dieser Vortrag gibt einen Überblick auf Angriffsstrategien und Verteidigungsmöglichkeiten für
J2EE-Applikationen (JSP, Servlets, EJBs, JMS und JDBC). Wichtige Themen wie Single-Sign-On,
Datenbanken, Integration mit PKI-Systemen und andere werden behandelt. Der Vortrag wird praxisnah
und mit Beispielen gestaltet.
Service-orientierte Netzwerkarchitekturen
Mit der wachsenden Bedeutung von Basel II, SOX oder anderen Regularien rückt das
Riskmanagement und letztlich die IT-Sicherheit für Unternehmen noch mehr in den Fokus.
Während die Geschäftsprozessoptimierung zur Einführung von SOA führt, stellt sich gleichzeitig
die Frage, wie kann man die Prozesse absichern ohne zusätzlich die Komplexität zu erhöhen. Die
Antwort hierauf ist die konsequente Anwendung des SOA-Gedankens und die Abbildung der
Konzepte auf der Netzwerkebene. So wird ein holistischer Ansatz möglich, der nicht nur das
Netzwerk als solches, sondern die gesamte Prozesskette absichert.
|
|
Monitoring Enterprise Security
Um Attacken auf die IT-Infrastruktur zu entdecken und richtig darauf zu reagieren, muss ein
Security Management und Monitoring System implementiert sein, welches genau auf die
Sicherheitsbedürfnisse der Unternehmung abgestimmt ist. Zusätzlich ist das Compliance
Reporting, das nachweisbare Einhalten der gesetzlichen und regulatorischen Rahmenbedingungen,
ein wichtiger Indikator für das IT Security Risk Management.
Prozessorientiertes IT-Security Managementsystem
Um den Status der IT-Sicherheit im Unternehmen ermitteln zu können, sind Kennziffern unerlässlich.
Zunächst ist der Aufbau eines umfassenden und vollständigen IT-Sicherheitsprozesses zwingend,
dann geht es im zweiten Step um die Erweiterung und/oder Optimierung bestehender
Prozesse. Wir stellen ein IT-Security Prozessmodell auf Basis des internationalen Standards ISO 27001vor sowie ein Security Process Framework (SPF). Dabei handelt es sich um ein umfassendes
IT-Security Rahmenwerk, bestehend aus definierten und bewährten Methoden, Verfahren und
Best Practices.
SAP-Security
Die Anforderungen an die Sicherheit von SAP-Systemen steigen mit der Komplexität der eingesetzten
Funktionalitäten. Zahlreiche Unternehmen sind noch nicht genügend vor möglichen Bedrohungen
geschützt. Eine aktuelle Studie zum Status Quo ergibt eine Liste der wichtigsten Verbesserungen und
zeigt überraschende Ergebnisse. Bei den Verantwortlichen steigt die Erkenntnis, dass es Zeit zum
Handeln ist. Eine Roadmap gibt Hilfestellung bei der Umsetzung der wichtigsten Schritte.
SOA und Security
Die Einführung und die Absicherung service-orientierter Architekturen ist für viele Unternehmen eine
Herausforderung. Die Sicherheitsanforderungen sind deutlich höher als in herkömmlichen monolithischen
Strukturen. Dabei kann man vieles falsch machen. Ein Weg wäre die Implementierung für den
Enterprise Service Bus (ESB) und andere Service-orientierte Architekturen selbst konsequent als service-
orientierte Lösung zu implementieren.
Standardisierungen erfolgreich umsetzen
Immer wieder stehen Anwender vor dem Problem, neue Standards umzusetzen. Am Beispiel von
SSE-CMM als Basis zur Etablierung und Bewertung eines ISMS zeigen wir, wie dies funktioniert.
Hilfreich ist auch der Einsatz erfolgreiche Methoden. Ziel ist es die Risiken und
Sicherheitsbedürfnisse im Unternehmen zu erkennen und zu analysieren. Wir demonstrieren dies
am Beispiel der Octave-Methode, die an der Carnegie-Mellon-Universität entwickelt wurde und im
IT-Bereich zunehmend zur Anwendung kommt. Im Unterschied zu herkömmlichen Verfahren wird
hier die gesamte IT-Struktur mit ihren vielfältigen Verknüpfungen technischer und organisatorischer
Art als Gesamtsystem betrachtet.
Web Application Security
Angriffe auf Web-Anwendungen wie etwa das Phishing haben sich in den letzten Monaten zu einem
Kernthema im Bereich IT-Sicherheit entwickelt. Herkömmliche IT-Sicherheitslösungen wie
Firewalls oder IDS/IPS bieten keinen ausreichenden Schutz gegen derartige Angriffe. Das Web, speziell
das HTTP-Protokoll, wurde nicht für komplexe Anwendungen konzipiert, die heute aber im e-
Business aus wirtschaftlichen Gründen eine Notwendigkeit geworden sind. Die daraus resultierenden
Schwachstellen von Web-Anwendungen werden noch verstärkt durch die hohe Komplexität, verursacht
von der Vielzahl von Web-Scripts, Frameworks und Web-Technologien. Letztlich erfordert
deshalb jede Web-Anwendung ein eigenes, auf ihre jeweilige Logik zugeschnittenes Schutzprofil.
Sicherheit für Web Services und SOA
Die Sicherheit von SOA mit Web-Services wird ausführlich behandelt. Themen sind: Security
Design Pattern für SOA, die Benutzung von SAML, die Behandlung von Identitäten, konkrete
Maßnahmen für Authentication mit Web Services, Verschlüsselung von Messages und die
Integration mit PKI-Systemen. Außerdem werden einige Schwachstellen von Web Services anhand
von praxisnahen Beispielen aufgezeigt.
Vulnerability Management
Gute Lösungen sollten sich nicht nur durch die Informationen zu den identifizierten Schwachstellen
und relevanten Applikationen auszeichnen, sondern auch Router-Konfigurationen und Firewall-
Regeln in einem integrierten Sicherheitsmodell darstellen und verknüpfen. Zum Leistungumfang
sollten auch „Simulationsattacken“ gehörten, die in etwa 1 bis 2 % der vorhandenen IT-Schwachstellen
identifizieren. Auf Basis solcher Ergebnisse wird berechnet, welches Risiko die einzelnen
Schwachpunkte für Geschäftsapplikationen bedeuten und Schutzmaßnahmen vorgeschlagen.
|
