Technical Security Analyst CERT/TSA

Im Seminar werden allgemeine Vorgehensweisen bei der Planung, Durchführung und Dokumentation von Security Assessments, Audits und Penetrationstests behandelt. Als Grundlage dienen neben zahlreichen Referenz-Standards (z.B. ISO 2700x) die Penetrationstest-Studie des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und das international anerkannte Open Source Security Testing Methodology Manual (OSSTMM).

Am 1. Kurstag werden v.a. theoretische Aspekte wie z.B. Planung, Durchführung von vor Ort Assessments und Dokumentation behandelt.

Der Schwerpunkt am 2. Tag liegt v.a. in der Durchführung von technischen Assessments und Pentests unter Normalbedingungen. Hierbei werden eine Vielzahl von Angriffen praktisch ausgeführt, die aus dem Internet gegen Systeme gerichtet werden können. Der Fokus liegt dabei auf der Erkennung und Bewertung von Sicherheitslücken und weniger im konkreten Einbrechen.

Am 3. Tag liegt der Schwerpunkt auf der Auswertung der am Vortag gewonnen Ergebnisse. Erfahrungsgemäß ist die Bedienung der Scanner nach einer guten und fundierten Einführung weniger problematisch als die nachfolgende Interpretation der Ergebnisse. Da der Abschlussbericht auch das Endergebnis (also das Produkt) eines Penetrationstests, Audits oder Assessments ist, müssen hier prägnant und nachvollziehbar alle Schwächen aufgelistet und bewertet werden. Darüber hinaus müssen Handlungsanweisungen zur Behebung der Schwächen präsentiert werden.

Der 4. Tag des technischen Teils beschäftigt sich mit den Besonderheiten und Ausnahmen. Hier hat der Teilnehmer die Möglichkeit, tiefergehende Werkzeuge kennen zu lernen, die über das Maß des normalen Audits hinausgehen.

Der 5. Tag befasst sich mit den einschlägigen Strafrechtsnormen, welche bei der Durchführung eines Penetrationstests verletzt werden können. Im Bereich des Zivilrechts werden häufige Haftungsszenarien aufgezeigt und Lösungsmöglichkeiten besprochen. Anhand der Rechtslage wird mit den Teilnehmern erörtert, auf welche Besonderheiten bei dem Abschluss eines Vertrages zur Durchführung eines Penetrationstests geachtet werden muss.

www.it-informationssicherheit.de