-
Container- und Kubernetes-Sicherheit: Image, Steuerungsebene, Laufzeit
Container- und Kubernetes-Sicherheit für Blue Teams: die drei Säulen aus Image-Sicherheit vor dem Start (Scannen, Signaturen, keine Geheimnisse im Image), Absicherung der Steuerungsebene (die Kubernetes-API als neues Kronjuwel,…
-
PowerShell für Verteidiger: vom Angriffswerkzeug zur Erkennungsquelle
PowerShell für Verteidiger: wie aus dem Lieblingswerkzeug der Angreifer eine der besten Erkennungsquellen wird. Die drei Protokollierungsarten (Script Block Logging 4104, Module Logging, Transcription), die zwei wichtigsten Härtungen…
-
Windows Event Forwarding (WEF): Ereignisse agentenlos zentral sammeln
Windows Event Forwarding (WEF) einrichten: die agentenlose Art, Windows-Ereignisse zentral zu sammeln. Wie WEF mit Sammler, Quellen und Abonnement funktioniert, der Unterschied zwischen Push und Pull, wie man…
-
Prompt Injection für Verteidiger: die zwei Formen und ihre Abwehr
Prompt Injection für Verteidiger: warum die Schwachstelle strukturell ist und nicht patchbar, die zwei Formen (direkt und indirekt) mit ihrer je eigenen Verteidigung, die Abgrenzung zum Jailbreaking, warum…
-
DNS-Sicherheit: die ergiebigste Erkennungsquelle und der Kontrollpunkt
DNS-Sicherheit über das Tunneling hinaus: warum DNS eine der wertvollsten Erkennungsquellen ist (fast jede Schadsoftware braucht Namensauflösung), wie man über DNS filtert und mit Sinkholing die kompromittierten Systeme…
-
Insider-Bedrohungen: den Angreifer mit legitimem Zugang erkennen
Insider-Bedrohungen erkennen: die drei Typen (böswillig, fahrlässig, kompromittiert) und warum sie in den Logs gleich aussehen, warum die Erkennung auf Verhaltensanalyse (UEBA) setzt, die typischen verdächtigen Muster, die…
-
SOAR und Automatisierung: die Routine abgeben, das Urteil behalten
SOAR und Automatisierung: was SOAR ist und was ein Playbook, wo die Automatisierung den größten Nutzen bringt (Anreicherung, Triage der einfachen Fälle, erste Reaktionsschritte), warum der Mensch bei…
-
Adversary Emulation: den realen Angreifer nachstellen
Adversary Emulation als Disziplin: einen konkreten realen Angreifer systematisch nachstellen, statt einzelne Techniken zu testen. Der Unterschied zum Einzeltest (die vollständige Angriffskette), woher die Vorlagen kommen (ATT&CK-Gruppenprofile, Threat…
-
Honeypots und Deception: Köder, die nur ein Angreifer anfasst
Honeypots und Deception: Köder auslegen, die im Normalbetrieb niemand berührt, sodass jede Berührung ein fast sicheres Angriffssignal ist. Die Bausteine von Honeypots über Honeytokens bis zu Canary-Konten, warum…
-
Linux-Sicherheitsmonitoring: auditd, journald und Sysmon for Linux
Linux-Sicherheitsmonitoring: die drei zentralen Logquellen auditd (sicherheitsrelevante Kernel-Ereignisse), journald (System- und Dienstprotokolle) und Sysmon for Linux (ATT&CK-orientierte Telemetrie mit Sigma-Auswertung), wie man sie konfiguriert und zentralisiert, warum die…