Modern infosec person before committing to work.

#infosec

Guten Morgen,

Backups sind wichtig, um dich vor Datenverlust zu schützen. Egal ob Unachtsamkeit, Hardwarefehler oder Verschlüsselungstrojaner. Sind die Originaldaten futsch, hilft nur ein Backup.
Bestimmt machst du schon Backups nach der 3-2-1 Regel ;) Doch hast du schon einmal getestet, ob sich deine Backups auch wiederherstellen lassen? Hast du z.B. bei einem Komplettausfall deines Systems die nötigen Programme, um deine Backups auf einem neu aufgesetzten System wiederherzustellen? Hast du noch die Passwörter für die Verschlüsselung der Backups? Backups die du nicht wiederherstellen kannst sind keine Backups.
Nimm den heutigen Tag als Anlass und teste deine Backups.

Habt einen guten Tag!

#infosec #itsecurity #goodmorning #shakeupitsecurity #wisdomoftheday

Guten Morgen liebe*r Fediversebwohner*in,

Gerade bei mobilen IT-Geräten wie Laptops, Smartphones oder Tablets werden viele persönliche Daten durch die Gegend getragen. Um diese zu schützen, solltest du die Geräte verschlüsseln. Zum Glück musst du dafür heute nicht mehr manuell mit kryptografischen Befehlen hantieren. Android und iOS verschlüsseln Smartphones und Tablets automatisch. Selbst Laptops sind inzwischen meistens mit Windows BitLocker oder Apples FileVault verschlüsselt. Falls deine Version von Windows kein BitLocker unterstützt oder du ein externes Laufwerk so verschlüsseln möchtest, dass du es auch unter MacOS oder Linux entschlüsseln kannst, kannst du VeraCrypt einsetzen. VeraCrypt ist ein OpenSource Tool, dass sich auf die Verschlüsselung von Partitionen konzentriert.
Nimm den heutigen Tag als Anlass und verschlüssele deine Daten.

Habt einen wundervollen Tag

#infosec #itsecurity #goodmorning #shakeupitsecurity #wisdomoftheday

Guten Morgen liebe*r Leser*in,

Viele Geräte werden mit einem Default Passwort ausgeliefert. Diese sind oft sehr kurz und sollen eigentlich nur genutzt werden, bis du ein eigenes eingerichtet hast. Doch bei vielen Installationsassistenten wird das Ändern des Passwortes nicht erzwungen und so bleiben die Passwörter aktiv und werden vergessen.
Das ist häufig ein Sicherheitsproblem. Denn die Defaultpasswörter stehen bei den Herstellern in den Anleitungen und werden in Datenbanken gesammelt. Hat ein*e Angreifer*in Zugang zum Gerät oder Anwendung kann sie sie diese einfach ausprobieren und bekommt vollen Zugriff. Gerade bei Routern, über die der ganze Netzwerkverkehr läuft, kann der Verkehr umgeleitet oder manipuliert werden, um z.B. Trojaner zu verteilen oder den Router in ein Botnetz zu integrieren. Er greift dann z.B. andere Router an oder nimmt an Distributed Denial of Service Angriffen teil.
Auch aufgedruckte scheinbar zufällige Passwörter können unsicher sein. Wenn diese z.B. von der Seriennummer abgeleitet werden oder vom Produktionsdatum, könnte ein*e Angreifer*in die möglichen Passwörter mit Glück bereits so weit einschränken, dass sie dieses erraten kann.
Du solltest daher die Standardzugangsdaten immer ändern.
Nimm den heutigen Tag als Anlass und setze bei deinem Router ein sicheres Passwort für die Verwaltungsoberfläche.

Habt einen guten Tag!

#infosec #itsecurity #goodmorning #shakeupitsecurity #wisdomoftheday

Guten Morgen liebe*r Leser*in,

Neben klassischem Phishing per Mail gibt es auch immer wieder Fake Anrufe von angeblichen Support Mitarbeiter*innen von Microsoft, deiner Bank oder Google. Sie wollen dich dazu bringen, dass du zum Beispiel ein Tool zur Fernwartung installierst, damit sie auf deinen Rechner und deine Daten zugreifen können. Dazu erzählen sie von einer Sicherheitslücke auf deinem PC, die sie schließen können. Oder du sollst eine Freigabe in deiner Bankingapp durchführen. Angeblich, um deine Daten zu bestätigen, damit dein Konto nicht gesperrt wird. Doch in Wirklichkeit haben sie eine Überweisung angestoßen, die du unvorsichtig bestätigst.
Gemeinsam haben die Versuche meistens, dass Druck auf dich aufgebaut wird. Etwas schlimmes würde passieren, wenn du nicht mitmachst. Z.B. eine Kontosperrung oder Schaden an deinem Rechner. Außerdem musst du sofort handeln. Später bei deiner Bank zurückrufen ginge nicht oder sei zu spät.
Bisher konnte man derartige Versuche mit etwas Training und einem kühlen Kopf erkennen. Lass dir nichts einreden und lege auf. Danach kannst du bei der offiziellen Telefonnummer von deiner Bank oder der vorgeblichen Behörde anrufen und nachfragen, ob der Anruf echt ist.
Am besten du gehst in Gedanken ein paar mal den Ablauf durch, wie du reagierst. Dann fällt es dir im Ernstfall leichter.
Nimm den heutigen Tag als Anlass und gehe im Kopf deine Reaktion durch.

Habt einen guten Tag!

#infosec #itsecurity #goodmorning #shakeupitsecurity #wisdomoftheday

Guten Morgen liebe*r Fediversebwohner*in,

Zugangsdaten auf Zetteln sind unter bestimmten Voraussetzungen in Ordnung. Nämlich dann, wenn der Zugriff auf die Zettel geschützt ist.
Zum Beispiel bekommst du oft nach der Einrichtung von Zwei-Faktor-Authentifizierung eine Liste von Codes. Diese Codes können deinen Account entsperren, wenn du deinen zweiten Faktor verlierst. Wenn du zum Beispiel dein Handy mit der Authenticator App verloren hast oder dich auf deinen FIDO Token gesetzt hast und er zerbrochen ist. Diese Wiederherstellungscodes sollten dann an einem sicheren Ort wie einem Schließfach, einem Tresor oder zumindest einer abschließbaren Schublade deines Schreibtisches gelagert werden.
Wo Passwörter und Wiederherstellungscodes nicht hingehören sind lose Zettel auf deinem Schreibtisch, unter der Tastatur oder an der Pinwand hinter dir. Es gab schon Fälle, in denen ein Fernsehinterview gegeben wurde und im Hintergrund lesbar Zugangsdaten an der Wand hingen. Auch Zugangsdaten zu einer Videokonferenz von internationalen Politiker*innen waren aus einem Foto einer Ministerin am Schreibtisch erkennbar. Zugangsdaten unter der Tastatur zu lagern, ist schon fahrlässig. Ein unbeobachteter Moment ergibt sich schnell oder kann einfach herbeigeführt werden. Ich war einmal mit anderen Zugreisenden nachts an einem Bahnhof gestrandet als es noch keine richtigen Smartphones gab, weil der Schienenersatzverkehr fünf Minuten bevor der Zug ankam gefahren ist. Am Infoschalter war nachts niemand mehr. Aber die Zugangsdaten lagen unter der Tastatur. So konnte man zumindest Youtube sehen. Man hätte sich aber auch im Bahnnetz entlang hangeln können.
Falls du Passwörter mit anderen teilen musst, was besser vermieden werden sollte, nutze einen Passwortmanager. Bei Passwortmanagern kann man in der Regel auch Passwörter auch teilen. Dabei liegen die Daten nur verschlüsselt vor und unbefugte können sie nicht einfach abgreifen.

Nimm den heutigen Tag als Anlass und räume deinen Schreibtisch auf.

Habt einen wundervollen Tag

#infosec #itsecurity #goodmorning #shakeupitsecurity #wisdomoftheday