CISSP

Der abnehmende Grenznutzen von Sicherheitszertifizierungen

Leave a Comment

Wie viele Zertifizierungen als IT-Sicherheitsexperte braucht man? Am Anfang dachte ich einmal, viel hilft viel und zu viele Zertifikate kann man nicht haben. Mittlerweile bin ich anderer Meinung: Im Prinzip reicht eine oder auch gar keine Zertifizierung. Das liegt an mehreren Gründen:

  • Die meisten Inhalte der Zertifikatsprüfungen sind ähnlich. Hat man eine, kann man auch die meisten anderen erreichen. Von ein paar Nischen-Pentest-Zertifikaten o.ä. einmal abgesehen.
  • Wer lässt sich wirklich von Zertifikaten beeindrucken? Primär Personaler, Projektvermittler und Headhunter. Warum? Weil sie in der Regel fachfremd sind und eine Suche nach Schlagwörtern wie „CISSP OR TISP“ viel einfacher ist als sich im Detail mit Profilen auseinander zu setzen.
  • Es gibt zu viele Zertifikate und nachdem neben älteren Organisationen wie (ISC)² und ISACA zahlreiche private Unternehmen sowie TÜV und IHKs auf den Zug aufgesprungen sind, gibt es eine absolut unübersichtliche Zahl von Zertifizierungsprogrammen.
  • Sorry, aber jeder Depp hat eins. Der CISSP ist nicht mehr elitär und jede „Schnarchnase“ ist zertifizierter irgendetwas. Ist auch nicht verwunderlich, wenn Anbieter auf dem Markt sind bei deren Prüfungen man praktisch nicht durchfallen kann.
  • Die meisten Zertifikate sind reine Geldmacherei. Die wenigsten sind unabhängig. Die wenigsten kennen die Details.
  • Es gibt eine Menge Bootcamps, die einen auf diverse Zertifikatsprüfungen zielgerichtet vorbereiten und den ganzen Sinn ad absurdum führen.

Wenn man unbedingt ein Zertifikat vorweisen möchte, nehmt den CISSP vom (ISC)². Der (ISC)² ist unabhängig. Man kann die Prüfung ohne zwingenden Lehrgang absolvieren. Man kann tatsächlich durchfallen (habe ich gehört). Er ist international anerkannt. Man muss sich nicht dafür entschuldigen, dass es zu mehr nicht gereicht hat. Nicht, dass der CISSP das Nonplusultra ist, aber er ist das beste was man international in diesem Bereich haben kann. Und nach dem CISSP? Keines mehr. Lohnt sich nicht.

Aber was ist mit dem T.I.S.P. – sozusagen der CISSP made in Germany? Wenn man die Zwangsschulung gerne besuchen möchte und einem der Nachweis von 5 Jahren Berufserfahrung vom CISSP zu viel ist, dann gerne. Was man nach dem TISP machen könnte? Den CISSP..

 

Aussagekraft und Grenzen von Penetrationstests

Leave a Comment

Vor kurzem wurde mir in einem Beratungsgespräch die Frage gestellt, ob man nach einem Penetrationstest eine Garantie bekommt, dass eine geprüfte Anwendung absolut sicher ist. Die Frage ist natürlich aus der Sicht eines Kunden verständlich. Wer je nach Aufwand vielleicht mehrere Tausend Euro für eine Sicherheitsanalyse ausgibt, erwartet zumindest unterschwellig, dass alle möglichen Schwachstellen identifiziert wurden und eine geprüfte Anwendung 100% sicher ist. Die unbequeme Wahrheit ist leider, dass das nicht der Fall sein kann.

Grundsätzlich gilt, dass nahezu alle durchgeführten Penetrationstests ein Kompromiss aus Testaufwand und Aussagekraft sind. Bei professionellen Pentest-Dienstleistern beinhaltet ein Test mindestens,

  • die Prüfung nach einer standardisierten Vorgehensweise, die sich an den Best Practices orientiert
  • die Verwendung eines Tool-Sets, um automatisiert auf typische Schwachstellen prüfen zu können
  • zusätzlich umfangreiche manuelle Prüfungen
  • den Einsatz von zertifizierten Penetrationstestern (eher OSCP & OSCE weniger CISSP / CEH & Co)
  • die Durchführung einer Qualitätssicherung
  • die Abgabe eines detaillierten Berichts

Sind die genannten Kriterien bei einem Test erfüllt, werden mit ziemlicher Sicherheit:

  • alle einfach zu entdeckenden Schwachstellen (low hanging fruits) gefunden
  • mindestens allen Angreifern auf dem Niveau Script Kiddy keine Chance mehr gelassen
  • mindestens alle unspezifischen automatisierten Angriffe die Grundlage entzogen
  • den Aufwand für einen Angreifer auf mindestens den Aufwand erhöht, den der Penetrationstester investiert hat
  • eine absolut aussagekräftige Richtung gezeigt, ob ein Zielsystem bzw. eine Zielanwendung grundsätzlich auf professionellem Security-Niveau aufgesetzt bzw. entwickelt wurde

Das ehrliche Zugeständnis, dass unter Umständen ein Angreifer mit einem deutlich höheren Aufwand dennoch eine Schwachstelle finden könnte, ist leider nicht verkaufsfördernd.

Ein höheres Prüfungsniveau, wie z.B. die Entwicklung oder gar den Aufkauf von Zero Day Exploits ist in den allermeisten Fällen leider nicht realistisch. Die Durchführung eines APTs (advanced persistent threat) auf NSA & Co Niveau ist sehr, sehr aufwendig und würde die Kosten eines Penetrationstests in extreme Höhe treiben. Für einen Kunden wäre das ein enorm schlechtes Preis-/Leistungsverhältnis und die finanziellen Ressourcen ließen sich mit Sicherheit sinnvoller in die eigene Sicherheit investieren.

Aber nehmen wir einmal ein, als Pentest-Dienstleister würde man eine 100%-Sicherheitsgarantie geben: Was würde passieren, wenn ein System dennoch kompromittiert werden würde? Wie soll nachgewiesen werden, dass der Penetrationstester etwas übersehen hat? Wie soll nachgewiesen werden, dass der Kunde das System seitdem nicht verändert hat? Wie soll nachgewiesen werden, dass der Kunde eventuell nicht ein Sicherheitsupdate übersehen hat? Wie wird mit dem Problem von Sicherheitslücken in eingesetzten Frameworks oder Bibliotheken umgegangen? Ein einziger Penetrationstest mit einer 100%-Sicherheitsgarantie und man hat als Dienstleister für alle Ewigkeiten unkalkulierbare Rechtsrisiken. Selbst wenn man das Risiko grob abschätzt und im Durchschnitt auf alle Kunden umlegt, würde es die Kosten eines Penetrationstests unverhältnismäßig in die Höhe treiben. Kein Kunde würde das bezahlen wollen.  Eine 100%-Sicherheitsgarantie ist leider unrealistisch.

Nichtsdestotrotz werden in den meisten Penetrationstests Sicherheitslücken oder -schwachstellen identifiziert, die das Sicherheitsniveau transparenter machen und Potential zur Verbesserung aufzeigen. In der Praxis sind Pentestberichte mit exakt 0 Findings sehr selten und deuten auf ein extrem hohes Sicherheitsniveau hin. Letztendlich ist für den Kunden wichtig, die genannten Grenzen, aber auch die aufgezeigten Vorteile eines Penetrationsteste zu kennen um die für ihn richtige Entscheidung treffen zu können: Pentest ja oder nein?

Die Verbreitung von Sicherheitszertifizierungen wie CISSP, CISM, CISA, CEH, OSCP & Co

9 Comments

Mich hatte die Verbreitung der unterschiedlichen Sicherheitszertifizierungen interessiert. Ich habe dazu eine kleine Statistik mit der erweiterten Suche in Xing aufgestellt. Als Suchbegriff habe ich die Abkürzung vom Zertifikat (z.B. CISSP) und das Schlagwort „Security“ verwendet. Bei OSCP/OSCE hingegen das Schlagwort „Offensive“.

Die Suche in Xing war nicht auf Deutschland begrenzt, die absoluten Zahlen sind sicherlich ungenau und nicht jeder zertifizierte Security-Spezialist ist in Xing angemeldet und hat auch seine Zertifikate eingetragen.

Ich denke aber, dass die relativen Verhältnisse der Verbreitung der Sicherheitszertifizierungen zueinander einigermaßen gut wiedergegeben werden. Das Ergebnis:

2.135 Certified Information Systems Security Professional (CISSP)
1.484 Certified Information Systems Auditor (CISA)
890 Certified Information Security Manager (CISM)
477 Certified Ethical Hacker (CEH)
255 TeleTrusT Information Security Professional (T.I.S.P.)
74 Offensive Security Certified Professional (OSCP)
35 Certified Secure Software Lifecycle Professional (CSSLP)
28 ISSECO Certified Professional for Secure Software Engineering (CPSSE)
23 Offensive Security Certified Expert (OSCE)

Der CISSP vom Isc² ist die verbreitetste Zertifizierung, danach folgen die Certs von ISACA. Der deutsche TISP ist weit abgeschlagen im Vergleich zum CISSP. Zertifikate im Bereich sicherer Softwareentwicklung sind wenig verbreitet (CSSLP / CPSSE). Es gibt wesentlich mehr „Certified Ethical Hacker“ als OSCP/OSCE.

Ansonsten sind 488 CISSP auch CISA, 354 auch CISM, 204 auch CISM und CISA. Auch gibt es nur etwa 8 in Xing, die OSCP und CEH sind. 153 CISSP sind auch CEH, aber nur 12 CISSP auch OSCP.

Beim inhaltlich sehr krassen Unterschied zwischen OSCP und CISM sind es nur noch 6 mit dieser Kombination. OSCP und CISA sind 7. OSCE + CISM sind nur noch 2 und OSCE + CISA nur noch 1. Es scheint nur sehr wenige zu geben, die Security Management oder Audit mit Penetration Testing / Hacking verbinden.

Der Vergleich: CISSP vs. CISM

8 Comments

Der CISSP (Certified Information Systems Security Professional) vom Isc² und der CISM (Certified Information Security Manager) von der ISACA gehören zu den weltweit verbreitetsten und anerkanntesten Personenzertifizierungen für Security Professionals. Im Gegensatz zum deutschen T.I.S.P. (TeleTrusT Information Security Professional), entsprechen CISSP und CISM den internationalen Vorgaben für Personenzertifizierungen (ISO/IEC Standard 17024).

CISSP und CISM setzten beide 5 Jahre nachweisbare Berufserfahrung in für die Zertifizierung relevanten Bereichen voraus. Das Nachweisverfahren dafür ist etwas unterschiedlich. Beim CISM prüft die ISACA die einzureichenden Unterlagen, während das Isc² für den CISSP auf ein Endorsement-Verfahren setzt. In diesem muss ein anderer CISSP die Aufrichtigkeit, Erfahrung und Kompetenz des Prüflings bescheinigen und dafür bürgen. Zusätzlich kann es einem passieren, dass man zufällig für einen genaueren Review ausgewählt wird.

Die Prüfungen sind bei beiden vergleichbar: Jeweils eine dreistellige Anzahl von Multiple-Choice-Fragen und ein paar Stunden Zeit. Wer so etwas noch nie erlebt hat sei gewarnt, die Prüfungen sind schwer und Multiple-Choice kann wirklich knifflig sein. Ohne gute Vorbereitung, Wissen & Erfahrung und eine gute Konzentrationsfähigkeit, sind beide Prüfungen nicht zu meistern. Im Gegensatz zum CISM kann man den CISSP auch am Computer durchführen und ist nicht so abhängig von ein paar wenigen Prüfungsterminen im Jahr wie beim CISM. Der CISSP ist hier deutlich moderner, wobei die ISACA ihre zentralen Prüfungstermine mit Qualitätssicherung begründet. Man kann darüber unterschiedlicher Meinung sein, welcher Ansatz der bessere ist.

Der größte Unterschied von CISSP und CISM sind ihre Schwerpunkte. Der CISM behandelt die folgenden vier verschiedenen Kategorien:

  • Information Security Governance
  • Information Risk Management und Compliance
  • Information Security Program Development und Management
  • Information Security Incident Management

Man sieht auf den ersten Blick wobei es sich beim CISM dreht: Um das Management von Informationssicherheit. Für IT-Sicherheitsexperten ist es das falsche Zertifikat. Für reine Security Manager, die wenig oder gar kein nennenswerten Bezug zur eigentlich IT & IT-Sicherheit haben, ist es das richtige.

Der CISSP ist wesentlich breiter gefasst:

  • Access Control
  • Telecommunications und Network Security
  • Information Security Governance und Risk Management
  • Software Development Security
  • Cryptography
  • Security Architecture und Design
  • Operations Security
  • Business Continuity und Disaster Recovery Planning
  • Legal, Regulations, Investigations und Compliance
  • Physical (Environmental) Security

Der CISSP beinhaltet auch Inhalte zum Management für Informationssicherheit. Der Fokus liegt aber wesentlich stärker in der IT-Sicherheit. Ich bezweifle, dass man die CISSP-Prüfung ohne Erfahrung und damit ohne praktisches Wissen aus der IT-Sicherheit bestehen kann. Man darf das aber auch nicht falsch verstehen: Der CISSP ist weder eine Prüfung für Penetration Tester noch geht es hier um die Administration von Firewalls und ähnlichen Sicherheitsprodukten. Der CISSP ist eine Zertifizierung für IT-Sicherheitsexperten, Projektleitern im Bereich IT-Sicherheit und Sicherheitsmanagern, die aus der IT kommen. Beim CISSP geht es nicht darum, wie man die Informationssicherheit in einem großen Konzern steuert, sondern z.B. darum welche sicherheitsrelevanten Fragestellungen bei der Softwareentwicklung beachtet werden müssen, wie man Sicherheitssysteme aufsetzt, wie man mit Sicherheitsvorfällen umgeht, welche Vorkehrungen man dafür treffen muss, welche Verschlüsselungstechniken sicher sind, wie ein sicheres Netzwerk aufgebaut ist uvm.

Durch seine wesentlich größere Breite ist der CISSP schwieriger als der CISM. Wer beide anstrebt, sollte erst den CISSP machen. Der CISM ist etwas überspitzt ausgedrückt, dann nur noch eine Wiederholung von 4 Bereichen aus dem CISSP. Der CISM ist nicht schlecht, er ist nur eher für Personen geeignet, die aus dem Umfeld der Security Governance kommen.

Ich halte u.a. selbst beide Zertifikate. Der CISSP ist meine persönliche Number One. Sicherlich ist er nicht perfekt und man kann viele Punkte bei den Inhalten und den Prüfungen kritisieren. Er ist in seiner Qualität und Internationalität dennoch bisher meiner Meinung nach die beste Zertifizierung für diesen Bereich.

Wie wird man Spezialist bzw. Experte für IT-Sicherheit?

2 Comments

Wie wird man Spezialist bzw. Experte für IT-Sicherheit? Primär durch Erfahrung und Praxis! Es existiert in Deutschland kein spezieller Ausbildungsberuf, dafür mittlerweile ein paar Studiengänge, die sich diesem Thema angenommen haben.

Gab es früher nur weiterbildende Master-Studiengänge in diesem Bereich, starten nun auch Bachelor-Studiengänge. Ich halte spezielle Bachelor-Programme nicht für den richtigen Ansatz. Man kann das Thema IT-Sicherheit nicht ausreichend in 3 Jahren „studieren“, ohne viel zu viele Lücken in der eigentlichen IT oder Informatik vorzuweisen. Ich empfehle eher reine Informatikstudiengänge, bei denen man idealerweise IT-Sicherheit über Wahlpflichtfächer als einen Schwerpunkt im eigenen Studium setzen kann. Danach muss man trotzdem realistisch sagen, dass man nur Grundkenntnisse und meist nur vernachlässigbare Erfahrung in der IT-Sicherheit vorweisen kann. Es ist eine mögliche Grundlage für eine Karriere in der IT-Sicherheit, mehr aber auch nicht.

Einschlägigen Master-Studiengänge wir z.B. Security Management an der Fachhochschule Brandenburg, Digitale Forensik an der Hochschule Albstadt-Sigmaringen oder weiteren Master-Studiengängen an Universitäten/Hochschulen bin ich positiver gestimmt. Man sollte diese nicht ohne vorherige Praxiserfahrung beginnen. Das mag zwar möglich sein, aber auch die Praxis zu kennen ist ein nicht zu unterschätzender Vorteil. Idealerweise arbeitet man parallel zum Studium in einer einschlägigen Position oder Bereich und kann zeitgleich Praxis und Theorie sammeln. Meiner Ansicht nach ist das die ideale Herangehensweise für eine Karriere in der IT-Sicherheit.

Insgesamt ist aber ein Studium nicht zwingend notwendig. Es bedeutet immer Aufwand (Zeit & Geld) und muss sich für die jeweilige Person lohnen. Es gibt genug autodidaktisch veranlagte Sicherheitsspezialisten oder hochmotivierte Technik-Enthusiasten, die ihr Niveau auch ohne ein Studium erreicht haben. Zudem sind die Studiengänge in diesem Bereich noch relativ neu und es soll auch eine Zeit gegeben haben, da existierte noch nicht einmal der Ausbildungsberuf als Fachinformatiker. Insgesamt zeigt es aber, was neben der Erfahrung und der Praxis für ein IT-Sicherheitsspezialist als Grundlage unbedingt notwendig ist: Ein starkes Interesse. Eine hohe Begeisterung für diesen Bereich. Ansonsten wird man in der IT-Sicherheit arbeiten, aber nicht zu einem Experten werden können.

Wie sieht es mit den Lehrgängen aus – z.B. zum CISSP (Certified Information Systems Security Professional) oder zum T.I.S.P. (TeleTrusT Information Security Professional)? Eigentlich sind das Zertifizierungen für Professionals mit Berufserfahrung und kein Einstieg in diesen Beruf. Zudem muss man sich im Klaren darüber sein, dass man durch einen 5-Tage-Lehrgang zwar viel Wissen vermitteln bekommen mag, aber nicht zu einem Experten wird. Praxis und Erfahrung sammelt man damit auch nicht. Wer die finanzielle Investition tragen möchte, wird dennoch das eine oder andere aus solch einem Lehrgang mitnehmen. Ob man am Ende ohne Erfahrung die Prüfung besteht, bezweifle ich aber.

Mein Fazit: Man muss eine Begeisterung für IT bzw. IT-Sicherheit besitzen und in der Praxis Erfahrung sammeln. Als theoretische Grundlage kann man ein Master-Studium absolvieren und später noch eine Zertifizierung ablegen.

Berufszertifikate für IT-Security-Professionals: Welches ist empfehlenswert?

Leave a Comment

Es sind einige Berufszertifikate für IT-Security-Professionals auf dem Markt, mit jeweils unterschiedlichen Schwerpunkten. Ich selbst halte zurzeit u.a. CISSP, CISM und T.I.S.P. und kann insbesondere den CISSP empfehlen. Er ist wesentlich breiter aufgestellt als der CISM und international wesentlich besser anerkannt als der TISP. Wer einen etwas größeren Fokus auf Deutschland besitzt, für den ist vielleicht der TISP empfehlenswerter. Hält man bereits einen CISSP oder TISP, sollte es kein Problem sein im Zweifel auch die andere Zertifizierung zu erlangen. Vom CISM würde ich etwas Abstand nehmen. Er richtet sich zwar explizit an Security Manager, aber man erwartet auch von einem Security Manager Kenntnisse zumindest der wichtigsten Grundlagen in IT-Security.

Der jährliche Preis von CISSP und CISM im Vergleich

Leave a Comment

Ich habe heute die jährlichen Gebühren für den CISSP von Isc² und für den CISM von ISACA beglichen. Zum Erhalt der Zertifizierung reicht dies natürlich nicht, da noch der Nachweis von jährlichen CPEs (Continuous Professional Education) zu erbringen ist. Unabhängig davon möchte der Isc² für den CISSP $85 Maintenance Fee. Das kann man nun als viel, wenig oder angemessen betrachten. Ist auch egal, die ISACA nimmt einem diese Entscheidung ab. Der jährliche Preis dort:

  • $135 für die ISACA-Mitgliedschaft
  • $50 für das German Chapter
  • $45 für den CISM

Jetzt einmal ernsthaft: Nur $230? Also nur das 2,7 fache als für den Erhalt des CISSP von Isc². Das Preis/Leistungsverhältnis halte ich für verbesserungswürdig. Dagegen ist der Erhalt des CISSP günstig.

Der CISSP ist keine Pentester-Zertifizierung

Leave a Comment

Nachdem ich letztens wieder eine Stellenanzeige für einen Penetration Tester gesehen habe, die eine CISSP-Zertifizierung fordert, möchte ich dazu ein paar Worte verlieren. Die Kurzform: Der CISSP hat nichts mit Penetration Testing oder Ethical Hacking zu tun. Absolut nichts.

Im Gegensatz zum CISM (Certified Information Security Manager) ist der CISSP (Certified Information Systems Security Professional) technischer ausgerichtet. Das ist soweit korrekt. Nichtsdestotrotz richtet sich der CISSP an Security-Spezialisten, die zwar ein klein wenig technischer orientiert sind als reine klassische Manager, aber deren primärer Fokus eben nicht Pentesting ist. Überhaupt nicht. Sicherlich gibt es Pentester, die eine CISSP-Zertifizierung nachweisen können. Aber man sollte vielleicht eher Pentester-Zertifizierungen wie OSCP, OSCE oder CEH in Stellenanzeigen oder Ausschreibungen fordern.

Tipps zur Vorbereitung auf die CISSP-Prüfung

5 Comments

Wer kein „CISSP-Bootcamp“ für mehrere Tausend Euro besuchen möchte, dem empfehle ich folgende Vorbereitung:

1. Kaufen, Lesen und Verstehen von den beiden Büchern:

  • CISSP All-in-One Exam Guide von Shon Harris
  • CISSP: Certified Information Systems Security Professional Study Guide von James M. Stewart

2. Zusätzlich finde ich die offiziellen Testfragen vom Isc² absolut lohnenswert: https://www.expresscertifications.com/ISC2/Catalog.aspx. Der Zugang zu allen Testfragen kostet zwar insgesamt $289, dafür sind sie aber auf demselben Niveau wie die Fragen in der Prüfung. Fragen aus Büchern sind meiner Meinung nach damit nicht vergleichbar.

Mein Tipp: Die Fragen ordern und durcharbeiten. Danach die beiden Bücher lesen und den Stoff bearbeiten. Abschließend die Fragen so oft durchgehen, bis man zumindest dort alle richtig beantworten kann.