Archiv für den Monat: Dezember 2016

17 12, 2016

Ergebnis Lehrveranstaltungsevaluation Penetration Testing (WS16/17) HDA

von |17. Dezember 2016|HDA, Vorlesung|0 Kommentare|

Im Wintersemester 2016/17 hatten wir die Lehrveranstaltung Penetration Testing als WPF an der HDA (Hochschule Darmstadt) gehalten. „Wir“ sind primär Dominik Sauer mit eher beratender Unterstützung von mir. Jetzt wurden uns die Ergebnisse der Lehrveranstaltungsevaluation für unsere Vorlesung übermittelt. Ich persönlich denke, das Ergebnis kann sich sehen lassen. Die Bewertung der Studenten auf den Punkt gebracht:

Note zum Gesamteindruck: 1,2

Ein Auszug aus den ergänzenden schriftlichen Bemerkungen der Studenten:

Die Veranstaltung bitte wieder anbieten. P.S. ein -Tag vom EvaSys mit class=“charlimit maxchars_200″ ist nicht geeignet um die Zeichen auf 200 zu begrenzen :D asdfasdfasndfasdfasdf asdfasdfaisdfasdf und weitere Zeichen asdfasdfabsdfasdfasdf asdfaesdfasdfasdsfasdfs ;)

Ich würde ja schlussfolgern, jemand hat den Inhalt der Veranstaltung verinnerlicht.

Im gesamten Studium bislang die beste Veranstaltung

Hört man als Dozent sehr gerne.

Super Veranstaltung und sehr praktisch orientiert, was durchaus sinnvoll ist.

Wir waren noch nie Fans vom klassischer Frontalunterricht… jetzt noch mein persönliches Lieblingskommentar:

Den Kurs muss man einfach erlebt haben! Wenn man einen Titel finden müsste, wäre „Phantastische Professoren und wo sie zu finden sind“ sicherlich treffend UntermStrichdiebesteVeranstaltungdesBachelors

Nein, wir haben für diese Bewertung nicht bezahlt..

Manche Studenten haben sich eine längere eigentliche Vorlesung gewünscht, andere fanden die Vorlesungsdauer perfekt. Unsere Aufgabenstellungen wären ohne Hilfe zu schwer (stimmt, deswegen gab es Hilfe). Tatsächlich fand jemand noch, ich persönlich wäre kaum anwesend gewesen – stimmt auch. Das war nicht meine Aufgabe ;-).

Wer die eigentlichen Bewertungen im sehr umfangreichen Detail lesen möchte, ist herzlich willkommen:

PDF Download 1/2: Aauswertungsbericht-Lehrveranstaltungsevaluation-WS16_17-Penetration_Testing_fbi_ws16_17_30-2572_p_sauerd.pdf

PDF Download 2/2: Auswertungsbericht-Lehrveranstaltungsevaluation-WS16_17-Penetration_Testing_fbi_ws16_17_30-2572_p_sauerp.pdf

 

15 12, 2016

Strategien gegen Ransomware – Schutz vor Verschlüsselungstrojanern

von |15. Dezember 2016|IT-Sicherheit|1 Kommentar|

Ransomware bzw. Verschlüsselungstrojaner – wer hat noch nicht, wer will nochmal? Ich habe im Laufe der Zeit einige Unternehmen gesehen, die Opfer einer Ransomware geworden sind. Diese Art von Schadsoftware verschlüsselt oftmals in aller Ruhe Dateien um danach frech Bitcoins als Lösegeld zu erpressen – entweder man zahlt, oder sieht seine Daten nie wieder. Das Geschäftsmodell funktioniert, das muss man den Angreifern schon lassen.

Aber wie kann man sich als Unternehmen dagegen wappnen? Ein ganzheitliches Sicherheitskonzept wäre eine gute Idee, aber grundsätzlich finde ich die folgenden Maßnahmen am wichtigsten:

  1. Regelmäßige und funktionierende (d.h. überprüfte) Backups. Die Häufigkeit von „regelmäßig“ kann von alle paar Tage bis hin zu alle paar Stunden reichen. Das hängt vom Einzelfall ab. Aber wichtig ist: Backups erstellen und grundsätzlich verifizieren, dass man Dateien auch wieder erfolgreich wiederherstellen kann. Es macht natürlich auch keinen Sinn, Backups auf dem selben Datenträger vorzuhalten. Fassen wir den ersten Punkt zusammen zu: „vernünftiges Backupkonzept“.
  2. Vernünftige Berechtigungskonzepte. Einfach ausgedrückt: Nicht jeder Mitarbeiter muss Zugriff auf alle Shares und Ordner haben. Berechtigungen auf Need-to-know bzw. Need-to-work-Basis – so viel Rechte wie man zum Arbeiten benötigt, aber nicht mehr.
  3. Virenscanner mit stets aktuellen Signaturdatenbanken. Wenn man Glück hat, erkennt ein Virenscanner die Ransomware bereits und der Angriff wird erfolgreich abgewehrt. Wenn man Pech hat, gibt es noch keine Signatur für eine neue Schädlingsvariante und der Virenscanner hilft nichts. Sex mit Kondom ist auch keine 100%ige Schutzmaßnahme.
  4. Mitarbeiter-Schulung bzw. Security Awareness: Nicht auf jeden Anhang muss man klicken. Leicht gehässig ausgedrückt: Big Boobs muss man nicht im Büro ansehen und normale Menschen möchte einem nicht ein paar Tausend Dollar oder Euro schenken. Ist schwerer gesagt als getan, ich weiß. Aber einmal ernsthaft ausgedrückt: Es ist absolut notwendig Mitarbeiter in dem richtigen Umgang mit Outlook & co. zu schulen und auch ein Bewusstsein dafür zu schaffen, dass ihr richtiges Handeln im optimalen Fall wirklich wichtig für ihr Unternehmen sein kann.

In welcher Reihenfolge empfehle ich diese Punkte? Erst das umgesetzte Backupkonzept, dann das Berechtigungskonzept, dann Virenscanner und danach erst die Mitarbeiter sensibilisieren. Warum? Menschen machen Fehler, Virenscanner hängen immer hinterher, bessere Berechtigungskonzepte verringern nur den Schaden und das einzige was im Zweifel helfen kann, ist die erfolgreiche Wiederherstellung der Daten.

10 12, 2016

Der didaktische Albtraum: Frontalvortrag + Folienschlacht mit PowerPoint!

von |10. Dezember 2016|Vorträge|0 Kommentare|

Die typische Konferenz, Hochschulvorlesung oder IT-Sicherheits-Schulung: Irgendjemand steht mit einer vorbereiteten PowerPoint-Präsentation vorne und hat nach 5 Minuten die Aufmerksamkeit seines Publikums verloren. Kennzeichen eines Frontalvortrags? Einer redet, der Rest schläft, sitzt am Laptop oder schaut besorgniserregend auf den bald leeren Handyakku.

Als Student wird man mit langweiligen Vorlesungen gequält, später auf Weiterbildungen mit 5-Tage Frontalvortrag am Stück und falls man freiwillig auf eine Konferenz geht, darf man sich zu 80% Referenten anhören, die besser hätten zu Hause bleiben sollen. Das Publikum bedankt sich aus professioneller Höflichkeit und denkt – warum sind wir hier? Was wollte er jetzt sagen? Ob der nächste besser ist?

Es gibt Ausnahmen. Manche haben mich begeistert, z.B.:

  • Dr. S. Paulus (Vorlesungen an der Technischen Hochschule Brandenburg)
  • C. Schäfer (Datenschutzvortrag TISP Community Meeting 2016)
  • A. Alsbih (OWASP Germany Day 2014)

Kennzeichen dieser Dozenten und ihrer Vorträge: Interaktion mit dem Publikum, Humor, Charisma und/oder didaktische Fähigkeiten. Aber vor allem: Kein langweiliger Frontalvortrag bzw. -unterricht.

Es ist ehrlich gesagt nicht einfach einen guten Vortrag oder Schulung zu halten. In einem Fachbuch über Didaktik hatte ich einmal die Aussage gelesen, dass in der ersten Entwicklungsphase eines Dozenten die Hauptangst vor dem Publikum der prägendste Bestandteil des Vortrags ist, sodass man sich in detailreiche Folien flüchtet. Sinngemäß wiedergegeben. Die Aussage hat einen wahren Kern.

Ich hatte meinen ersten Vortrag vor Publikum vor einigen Jahren in der gymnasialen Oberstufe. Ein Vortrag mit weiteren Schülern in der Aula im Rahmen eines Business-Projekts einer der Big4-WP-Gesellschaften. Die Folien waren für damalige Verhältnisse sehr gut, mein Vortragsstil miserabel – ich hatte meinen Text auswendig gelernt. Ein Reinfall, sobald man kurz hängen bleibt oder eine Zwischenfrage gestellt wird. Nie wieder habe ich mir auch nur im Ansatz vorher Textbausteine überlegt oder vorbereitet.

Seitdem hatte ich dennoch weiter Vorträge gehalten. Aus eigenen Fehlern gelernt, aus Fehlern anderer Referenten gelernt und gute Ideen anderer in meinen eigenen Stil integriert. Aktuell bin ich Lehrbeauftragter an Hochschulen, war Dozent in einem IHK-Lehrgang, halte Schulungen bzw. Trainings und gerne auch mal einen Vortrag auf einer Konferenz. Klingt alles gut und wichtig, aber selbst mit dieser Erfahrung gelingt nicht alles. Zu schnell zu sein ist wohl meine No1-Kritik. Ich versuche daran zu arbeiten.

Was sind die Erfolgsfaktoren eines guten Vortrags, Schulung oder Vorlesung? Meiner Meinung nach:

  • Humor und Witz schaden nicht. Sich selbst zu wichtig zu nehmen schon.
  • Zu viele Folien mit zu viel Text oder auch Stichwörtern ist der grundlegend falsche Ansatz. Bücher lesen können die Teilnehmer selbst.
  • Bilder sagen mehr als 1000-Worte. Es gibt günstige Bilddatenbanken.
  • Interaktion mit dem Publikum. Habe ich schon gesagt Interaktion mit dem Publikum? Ja oder? Interaktion mit dem Publikum!
  • Theorie lernt man durch? Praxis! Übungen, Rollenspiele.. echt, Rollenspiele? Ja!
  • Bulimielernen als Konzept ist kein Vorteil (schönen Gruß an CISSP-Vorbereitungskurse). Es ist Zeitverschwendung.
  • Die Vermittlung von Erfahrung schlägt das referieren von Theorie.
  • Was ist besser als Interaktion mit dem Publikum? Noch mehr Interaktion!

Anschließend noch ein Ratschlag: Macht Feedbackrunden – sofern möglich. Eine wahnsinnige Idee oder? Jemanden um kritische Rückmeldung bitten. Feedbackbogen sind nett.. ehrliches, hartes und direktes Feedback ist besser. Charakterstärke und Kritikfähigkeit vorausgesetzt.

6 12, 2016

Fazit Zertifikatslehrgang Informationssicherheitsbeauftragter (IHK) aus Dozentensicht

von |6. Dezember 2016|Zertifizierung|0 Kommentare|

Die IHK Gießen-Friedberg aus Hessen war die erste IHK, die den „Zertifikatslehrgang Informationssicherheitsbeauftragter (IHK)“ angeboten hatte. Der Lehrgang wurde erst im Juni 2016 durch die DIHK veröffentlicht. Die Module waren:

  • Modul 1: Grundlagen Informationssicherheit (16 LStd.)
  • Modul 2: Gesetzliche Vorgaben zur IT-Sicherheit und deren Bedeutung für Unternehmen (8 LStd.)
  • Modul 3: Schutzmaßnahmen zur Informationssicherheit (14 LStd.)
  • Modul 4: Entwicklung eines Informationssicherheitskonzeptes (42 LStd.)
  • Modul 5: Entwicklung eines Notfallmanagement-Konzeptes (8 LStd.)

Dozent für Modul 4 war ich selbst, sodass ich diesen Lehrgang aus der Sicht eines Dozenten beurteile. Von den Teilnehmern persönlich hatte ich auch Feedback zu meinem Modul, den anderen Dozenten und dem Lehrgang insgesamt erhalten.

Die positiven Punkte:

  • Für den angegeben Zeitrahmen (etwa 10 Tage), war der Preis mit ca. 2.000€ unschlagbar günstig.
  • Die Übernachtungskosten sind in Friedberg/Hessen günstig (you get what you pay for). Das Parkhaus in der Nähe des Seminargebäudes ist mit ca. 70cent preislich im Vergleich mit z.B. Frankfurt fast umsonst.
  • Es gibt genug Restaurants um Mittagessen gehen zu können.
  • Inhaltlich war der Lehrgang relativ umfassend.
  • Workshops, Gruppenarbeiten sowie Diskussionen sind sehr gut um Wissen bzw. Erfahrung zu vermitteln.

Die Punkte mit Verbesserungspotential:

  • Der rote Faden fehlt im Curriculum stellenweise.
  • Der Schwerpunkt auf BSI ist viel zu hoch.
  • Es werden zu viele Standards, aber dafür zu wenig grundsätzliche Vorgehensweisen im Sicherheitsmanagement behandelt.
  • Die Organisation – basierend auf der extrem kurzen Vorbereitungszeit – könnte in manchen Details besser sein.
  • Frontalunterricht und PowerPoint-Folienschlachten halte ich grundsätzlich für den falschen Ansatz.
  • Die Unterschiede zwischen den Dozenten waren zu hoch, Absprachen gab es kaum – zumindest mit mir keine.
  • Die Bezahlung der Dozenten ist nicht marktgerecht (z.B. liegt mein normaler Stundensatz um den Faktor 4-5 mal so hoch). Die Vorbereitung wird nicht bezahlt. Insgesamt ist das zumindest aus finanzieller Sicht unattraktiv.
  • Es war nicht möglich den Teilnehmern korrekt lizenzierte Versionen der Standards ISIS12, ISO2700x usw. zur Verfügung zu stellen.

Die IHK Gießen-Friedberg wird den Lehrgang im nächsten Jahr 2017 wieder anbieten. Ich bin zuversichtlich, dass bis dahin ein paar Verbesserungen vorgenommen wurden. Ob ich selbst auch das nächste mal wieder als Dozent zur Verfügung stehe, halte ich in Absprache mit der IHK offen. Vorgesehen ist es bisher, endgültig entschieden noch nicht.