TC Blog

Neues Jahr – neuer Grundschutz

Update 09.03.: Wir haben eine neue Version des GSK-Vergleichs bereitgestellt, dieser beinhaltet jetzt auch den Vergleich der Baustein-Übersichten.

Vor einigen Tagen hat das BSI die neuen Grundschutzkataloge veröffentlicht, also die Version 2009 (mit Bezug auf den Erstellungszeitraum). Wir freuen uns der Grundschutz-Community wie schon im letzten Jahr einen Vergleich aller Änderungen bereitstellen zu können.

Das Archiv befindet sich auf unserem Webserver und enthält aller Maßnahmen als PDF Dokumente, sortiert nach den üblichen Schichten des IT-Grundschutz. Alle Änderungen zur vorherigen Version 2008 sind mit Änderungsmarkierungen hervorgehoben.

Wir danken dem BSI für die Erlaubnis die Daten bereitstellen zu dürfen und wünschen allen Anwendern viel Spaß beim Lesen nach Änderungen.

/sf

2. OWASP Stammtisch Stuttgart – 01.02. in Stuttgart

Zum zweiten Mal findet der Stammtisch Stuttgart des German Chapters des Open Web Application Security Projects (OWASP) statt.

Hier treffen sich Menschen, die sich beruflich oder privat mit Webanwendungen und deren Sicherheit auseinandersetzen, egal ob Entwickler, Manager, Pentester oder Webmaster. Die Atmosphäre bei Veranstaltungen der OWASP ist sehr offen und locker. Es geht um Erfahrungsaustausch, der auch bei den regelmäßigen Treffen durch einen Vortrag unterstützt wird. Wer Produkte verkaufen will, ist hier falsch.

Wir treffen uns am 01.02.10 um 19 Uhr im Restaurant Wartburg Tol(l)eranz.

Programm:
19.00h Beginn
19.30h Vortrag Vorstellung OWASP Whitepaper: “Projektierung der
Sicherheitsprüfung von Webanwendungen”, Tobias Glemser im Anschluss Diskussion

Für die Planung bitte ich potentielle Interessenten mir bis 28.01. eine kurze Mail schicken bzw. hier auf Xing auf “nehme teil” zu klicken zwecks Reservierung. Wer das verschwitzt darf aber auch kommen..

Bei Fragen zum Stammtisch einfach kurz anschreiben oder mal auf die Webseite der OWASP klicken.

Alle Infos zum Event auch auf:
https://www.xing.com/events/2-owasp-stammtisch-stuttgart-01-02-stuttgart-455385
https://lists.owasp.org/pipermail/owasp-germany/2010-January/000126.html

Medienstrategie: Nortel

Irgendwie interessant, wenn ein Unternehmen (hier Nortel) in ein anderes eingegliedert wird. In der neuen digitalen Welt, kommen dann manchmal komische Dinge per Mail herangeflogen.

…irgendwer hat beim Aufräumen wohl auf den falschen Knopf gedrückt, oder so ähnlich. Sicher ist, da fehlt etwas.

/sf

Mogelpackung UMTS-Flatrate?

Neulich habe ich eine merkwürdige Meldung bekommen, als ich meinen Mauszeiger über Bilder einer Website geparkt habe:  “Shift + R verbessert die Qualität dieses Bildes, Shift + A verbessert die Qualität aller Bilder auf dieser Seite”. Na gut dachte ich zuerst, da hat der Website-Programmierer was vergessen. Komisch wurde es, als ich bei allen Bildern auf allen Seiten diese Meldung bekam. Erste Idee: der Browser ist Schuld, klar wer sonst? Aber nein, Firefox war umgehend rehabilitiert.  Mit IE war es genau das Selbe und irgendwie sahen die Bilder auch komisch aus, viel zu stark komprimiert und völlig unansehnlich. Also Google angeworfen und siehe da, es gab noch mehr Nutzer die Ihren Browser im Verdacht hatten. Das Opera-Info-Team sorgte dann für Klarheit. Es handelt sich um einen Proxy, den der Mobilfunk-Provider, in meinem Fall Vodafone, ungefragt in die Verbindung schaltet und den man auch nicht ohne weiteres deaktivieren kann.

Dies geschieht natürlich nur, weil sich der Provider Sorgen um die Performance der mobilen Verbindung macht und daher die Bilder besser komprimiert. Oder geschieht dies, da sich der Provider sorgen um das Datenvolumen seiner Nutzer macht und daher die Bilder bis zur Unansehnlichkeit komprimiert? In Werbefirmen und Grafikabteilungen wird dieses Vorgehen sicher nicht auf Begeisterung stoßen.

Was kann man tun? Immer fleißig “Shift + A” drücken. Denn sonst kanns teuer werden.

/fh

M 4.64 Verifizieren der zu übertragenden Daten vor Weitergabe / Beseitigung von Restinformationen

Ein Artikel auf Heise hat mir gestern die oben genannte Maßnahme ins Gedächtnis gerufen. Grund war die ungewollte Preisgabe von Informationen in PDF-Dokumenten. Aber nicht nur in PDF-Dokumenten stecken manchmal mehr oder weniger sensible Informationen, die im Falle einer Weitergabe eigentlich nicht für den Empfänger bestimmt sind – auch Dateien, die mit Office erstellt wurden, geben manchmal mehr Preis, als dem Verfasser lieb ist. Abhilfe könnte im hier wohl ein Office-Add-In schaffen. Aber die Maßnahme gibt noch mehr her…

Zurück zum Artikel auf heise. Neugierig habe ich das dort Beschriebene ausprobiert: mit dem IE eine Seite als PDF-Dokument drucken. Zuvor noch die Kopf- und Fußzeile angepasst, sodass die URL verschwindet (ja ich weis, das war nicht erwähnt) und siehe da: Entgegen der Behauptung des Autors ist der Pfad nicht im Dokument aufgetaucht (zum Einsatz kamen  IE 8 und FreePDF XP). Ich frage mich, wie der Autor darauf kam… Schuld daran könnte der von ihm verwendete PDF-Drucker gewesen sein, who knows

/sb