Ich habe eben meine beiden Vorträge zum Thema „Live-Hacking von Oracle-Datenbanken“ und „Überprüfung von Oracle-Datenbanken nach dem BSI Grundschutz-Standard“ hochgeladen.
Archive for the ‘Security’ Category
Cebit 2012 Vorträge
Freitag, März 9th, 2012Sentrigo stellt den neuen Security Scanner Repscan 3.0 vor
Montag, März 1st, 2010Erweiterung um wichtige Funktionalitäten zur Datenerkennung und um Microsoft SQL-Server Support .
SANTA CLARA, Calif.01. März 2010 Sentrigo, Inc., Vorreiter bei innovativen Lösungen zur Datenbanksicherheit, bringt die neue RepscanTM Version 3.0 auf den Markt. Dieses Release ermöglicht dem User, viel bequemer zu navigieren und Schwachstellen im System zu erkennen und zu interpretieren. Zudem beinhaltet die Software jetzt den Microsoft SQL-Server Support.
Mit über 3000 Sicherheitsprüfungen an Oracle und Microsoft Datenbanken und Applikationen bietet RepscanTM die umfangreichste Schwachstellenprüfung, die derzeit verfügbar ist.
Zu den Neuerungen gehören unter anderem eine komplett überarbeitete graphische Benutzeroberfläche zur einfacheren Bedienung, damit sich auch weniger erfahrene Datenbankexperten schnell zurechtfinden. Zusätzlich können sie realitätsnahe Hackerangriffe simulieren und mit Hilfe von Drill Down Funktionalitäten im Datenbank Browser eine interaktive Überprüfung unternehmenskritischer Datenbankinformationen vornehmen.
Datenbanken müssen unbedingt professionell verwaltet und gesichert werden. Da die Bedrohungen aber permanent zunehmen und wir uns einer wachsenden Flut von Sicherheitsvorschriften gegenübersehen, sind die meisten Administratoren auf den Assessment Support für die speziellen Sicherheitsvorschriften angewiesen meint Adrian Lane, Sicherheitsstratege und Analyst bei Securosis. Assessment Tools haben sich zu vollwertigen Unternehmensprodukten entwickelt, die nicht nur das eigentliche Schwachstellen- und Patch Management ansprechen sondern das gesamte Spektrum an Sicherheits-, Compliance- und Funktionsaufgaben.
Entwickelt wurde die neue Repscan-Version von Alexander Kornbrust, Experte für Datenbanksicherheit von Red Database Security. Ihm war wichtig, dass Unternehmen mit Repscan in der Lage sind, Datenbanken in einem Netzwerk zuverlässig zu erkennen und zu identifizieren. Denn das ist der erste Schritt zum Scannen der Daten und zu deren Schutz. Wichtig ist natürlich auch noch, dass solche Datenbanken erkannt werden, die für die Einhaltung der Compliance-Vorgaben zuständig sind.
Meist ist der schwierigste Job bei der Einhaltung von neuen Standards oder Datenbankschutz herauszufinden, wo genau sich die sensiblen Daten befinden, die geschützt werden müssen erklärt Dan Sarel, Sentrigos Vice President of Products. Deshalb bedeutet das neue Repscan Release für die Kunden einen enormen Fortschritt, können sie doch damit alle Datenspeicher, die Kreditkartendaten, Sozialversicherungsnummern, Gehalts- und andere Finanzdaten enthalten, identifizieren. Repscan kann somit als die umfangreichste Assessment Lösung zur Schwachstellenerkennung gewertet werden, die es derzeit auf dem Markt gibt.
Repscan ist eingebunden in die Hedgehog Familie von Sentrigo, die führend ist beim Monitoring aller Datenbankaktivitäten und bei der Absicherung von Datenbanken sowohl gegen Insider als auch gegen bösartige Hackerangriffe von außen.
Wenn Repscan neue Schwachstellen ausfindig macht, kann Hedgehog automatisch entsprechende Schutzregeln generieren, die verhindern, dass die entdeckte Sicherheitslücke in irgendeiner Weise ausgenutzt werden kann.
Weitere Produkt Highlights, warum Anwender Repscan einsetzen:
Bestandsverzeichnis aller Datenbank-Versionen und Patchlevels
Aufspüren leerer, schwacher oder Standardpasswörter von Datenbankbenutzern
Entdecken von Sicherheitslücken wie hart kodierten Passwörtern, veralteten Funktionen, Schwachstellen bei SQL-Injection etc.
Identifizieren unsicheren PLSQL-Codes
Auffinden modifizierter Datenbank-Objekte einschließlich Root-Kits und geänderter Daten
Forensische Spurenverfolgung bei gebräuchlichen Sicherheits- und Hacker-Tools
Alexander Kornbrust, Geschäftsführer bei Red-Database-Security GmbH, gibt gerne Auskunft zu Repscan 3.0: Email: ak@red-database-security.com,
Tel-Nr.:+49-6821-95 17 63.
Weitere Informationen kann man auch nachlesen unter www.sentrigo.com/repscan
Über Sentrigo
Sentrigo, Inc. ist ein anerkannter Spezialist für Datenbanksicherheit. Sentrigos Sicherheitslösung Hedgehog bietet ein weit reichendes Monitoring aller Datenbankaktivitäten und die Absicherung der Datenbanken in Real-Time. Die Software-basierte Lösung ist weltweit bei 2000 Firmen im Einsatz, um unternehmenskritische Daten gegen Missbrauch durch Insider aber auch gegen Angriffe von außen zu schützen. Unternehmen aus allen Industriesegmenten nutzen Hedgehog zur schnelleren Unterstützung und Umsetzung bei der Einführung und Überwachung von Regularien wie PCI DSS, Sarbanes-Oxley und HIPAA. Sentrigo wurde für die technologische Innovation von verschiedenen Publikationen, wie Network World und SC Magazine ausgezeichnet. Nähere Informationen zu Hedgehog finden Sie unter www.sentrigo.com.
Sentrigo, Sentrigo Hedgehog, Hedgehog Identifier, Hedgehog vPatch und das Sentrigo Logo sind geschützte Handelsmarken von Sentrigo, Inc. Alle anderen Markenzeichen sind Eigentum der jeweiligen Inhaber.
Pressekontakt USA:
Rachel Kaseroff – MarComm PR – +1 (415) 824-1110
Email: Rachel@marcommpr.com
Pressekontakt in Deutschland:
Beatrice Brenner -MBS Marketingberatung
Ostring 27 – 63820 Elsenfeld
Email: bb@mbs-brenner.com
Tel : +49 60 22 / 64 91 87, Fax: +49 60 22 / 64 91 83,
mobil +49 175 5230 788
Datenklau bei Berliner Landesbank
Sonntag, Dezember 14th, 2008Wie die Frankfurter Rundschau am Donnerstag berichtete, wurde Ihr in einem Päckchen Microfilme und (separate) Unterlagen mit Kreditkarten-PINs der Berliner Landesbank (LBB) zugesendet. Wieder mal ein Fall, wie schnell Daten verschwinden können. Mich hat allerdings überrascht, dass heutzutage noch Microfilme verwendet werden und diese per Kurier durch die Lande geschickt werden.
Laut einer Erklärung der LBB besteht allerdings „keine Gefahr für das Vermögen der Kunden“. Wer die Erklärung genauer liest, erkennt die feine Formulierung „Die Landesbank Berlin legt Wert auf die Feststellung, dass anders als berichtet in dieser Datensendung keine Geheimnummern enthalten sind, die den Zugriff auf Kundenkonten ermöglichen“. Damit wird NICHT ausgeschlossen, dass in dem Paket Geheimnummern enthalten waren, sondern nur, dass die Microfilme keine Geheimnummern enthalten.
Für die Kunden (z.B. der Amazon/ADAC/Xbox-Live/AOL/Air Berlin/Simyo-Kreditkarte), deren Konto leergeräumt werden, ist dies jedoch keine große Hilfe.
Interessant war an diesem Fall noch der Umgang mit dem Datenleck. Die besorgten Kunden legten die Kunden-Hotline lahm, sozusagen ein Kunden Denial-of-Server (K-D.o.S.).
Studie: 88% der IT Professionals würden bei Ihrer Entlassung Daten stehlen
Freitag, September 5th, 2008Laut einer Studie der Firma Cyber-Ark, würden 88% der IT Profis Daten mitnehmen, falls Sie entlassen werden würden. Diese Studie wurde auf der Infosecurity 2008 durchgeführt.
Interessant, auch wenn ich persönlich die Zahl als recht hoch ansehe…
Oracle CPU January 2007 Pre-Release Announcement
Freitag, Januar 11th, 2008Etwas verspätet hat Oracle gestern das Pre-Release Announcement für den Oracle Critical Patch Update veröffentlicht, der nächste Woche Dienstag (15. Januar 2008) veröffentlicht wird.
Insgesamt sollen 27 Fehler in Oracle Produkten korrigiert werden. Es sind die großen Oracle Produkte betroffen (Datenbank, Application Server, Collaboration Suite, E-Business-Suite). Erstmals werden auch Fehlerkorrekturen für Oracle 11g veröffentlicht.
In der Oracle Datenbank werden diesmal „nur“ 8 Fehler korrigiert , von denen keiner remote ausnutzbar ist. Der höchste CVSS Wert in der Datenbank ist diesmal 6.5. Korrigiert werden die Komponente Advanced Queuing, Core RDBMS, Oracle Agent, Oracle Spatial und XML DB.
Wegen des Fehlers in der Core RDBMS und Advanced Queuing sind alle Datenbanken (sofern die Version betroffen ist).
Mehr zu dem Oracle CPU gibt es nächste Woche bzw. über den Oracle CPU-Review, eine detaillierte Fehleranalyse des Oracle CPUs, den Red-Database-Security zusammen mit Opitz Consulting erstellt.
Oracle Jinitiator ActiveX control enthält mehrere Stack Buffer Overflows
Donnerstag, August 30th, 2007Wie das US Cert im folgenden Advisory berichtet, enthält das ActiveX Control des Jinitiator 1.1.18.16 und früher mehrere Buffer Overflows, die Remote Code Execution erlaubt. Da dieses Control bei der Neuinstallation nicht entfernt wird, sind viele Systems davon betroffen. Da es keine Patches dafür gibt, empfiehlt das Cert ActiveX komplett zu deaktivieren (was meistens keine Alternative ist) oder aber das entsprechende Killbit zu setzen.
Die folgende Datei sollte als Textdatei abgespeichert und ausgeführt werden. Weitere Details zu Killbits und ActiveX findet man bei Microsoft in der Support-Note 240797.
———–killbit.reg—————
- Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{9b935470-ad4a-11d5-b63e-00c04faedb18}]
"Compatibility Flags"=dword:00000400
Exklusive Partnerschaft zwischen Red-Database-Security GmbH und Pete Finnigan Ltd.
Dienstag, August 21st, 2007Red-Database-Security GmbH und Pete Finnigan Ltd arbeiten ab sofort in einer exklusiven Partnerschaft zusammen:
Eine der ersten gemeinsamen Aktivitaeten ist ein gemeinsames Oracle Anti-Hacker-Training in London, UK vom 29. Oktober bis zum 2. November.
Weiterhin wird Pete Finnigan auf der DOAG mit Alexander Kornbrust den Vortrag: „Best of Oracle Security 2007“ halten.