Da jedes IT-System individuell aufgebaut und kontinuierlichen Veränderungen unterlegen ist, verfehlen konventionelle Sicherheitslösungen oft die Wirkung. Gerade in dynamisch wachsenden Unternehmen ist die Situation nach jedem IT-Systemupdate anders – ständig entstehen neue Angriffspunkte. Hier ist die kontinuierliche und agile Bug-Bounty-Methode zielführender. YesWeHack [1] bringt Unternehmen, die Sicherheitslücken in ihrer digitalen Infrastruktur schließen wollen, mit mehr als 10.000 ethischen Hackern aus 120 Ländern zusammen.
Die sogenannten "Hunter" sind Sicherheitsexperten, die Schwachstellen in IT-Systemen zum Wohle eines Unternehmens aufdecken – im Gegensatz zu Black Hats, die IT-Systeme für böswillige Zwecke hacken. Unternehmen haben die Wahl zwischen einem privaten Programm, bei dem sie ausgewählte Hunter gezielt ansprechen, oder sie schreiben einen Auftrag für die gesamte Community öffentlich aus. Hunter nehmen entweder direkt über die Website Kontakt auf oder treten einem Programm über öffentliche Schnittstellen bei, zum Beispiel bei Jira, Jenkins, Github oder Gitlab.
Die Suche nach Sicherheitsdefiziten sowie der Datenaustausch zwischen YesWeHack und seinen Kunden erfolgt über End-to-End-Verschlüsselung, die den Anforderungen aller gängigen Sicherheitsprotokolle genügt. Dabei greift YesWeHack zu keiner Zeit selbst auf die Schwachstellenberichte zu. Die Plattform wird auf einer Cloud gehostet, die die strengsten Sicherheitsanforderungen erfüllt: Sie ist zertifiziert nach ISO 27001, CSA STAR, SOC I / II Typ 2 sowie PCI DSS und ist DSGVO-konform. Zudem wird die YesWeHack-Plattform selbst permanent über ein Bug-Bounty-Programm geprüft und soll daher höchstmögliche Sicherheit und Transparenz für ihre Kunden bieten.
Meldung
Hilfreiche Hacker
Die europäische Bug-Bounty-Plattform YesWeHack ist nun auch in Deutschland sowie Österreich und der Schweiz tätig. Nach dem Einstand auf der Nürnberger Security-Messe it-sa baut YesWeHack aktuell ein deutschsprachiges Team auf, um Kunden vor Ort besser betreuen zu können. Der 1995 von Netscape geprägte Begriff "Bug Bounty" steht für einen neuen Ansatz, die Cybersicherheitslage von Unternehmen durch ständige und gezielte Überprüfung zu gewährleisten.
Weitere Infos:
Tipps & Tools
Sicherheitslücke in GRUB2 entdeckt [4.08.2020]
Eclypsium-Forscher haben eine Schwachstelle namens "BootHole" im GRUB2-Bootloader entdeckt. Durch die Sicherheitslücke könne ein Angreifer den UEFI Secure Boot umgehen und eigenen Code ausführen, um Kontrolle über ein Gerät zu erhalten. Fast alle signierten Versionen von GRUB2 seien anfällig, was bedeutet, dass praktisch jede Linux-Distribution betroffen ist. [mehr]
Privacy Shield nicht zulässig [21.07.2020]
Der Europäische Gerichtshof hat die "Privacy Shield"-Vereinbarung zwischen der EU und USA für ungültig erklärt. Damit ist für Unternehmen die Datenübertragung persönlicher Daten ihrer Kunden über den Atlantik in vielen Fällen nicht erlaubt. Dennoch genehmigt das Gericht die Übertragung von Daten auf Grundlage sogenannter Standardvertragsklauseln. [mehr]
Zugangskontrolle über mehrere Standorte hinweg [16.07.2020]
Privatsphäre selbst in die Hand nehmen [11.07.2020]
Fachartikel
Führungskräfte für IT-Sicherheit sensibilisieren (2) [10.08.2020]
Zuletzt gaben 29 Prozent der Unternehmen an, in den letzten zwei Jahren Opfer von Angriffen auf ihre IT gewesen zu sein. Zwar reagieren Unternehmen zunehmend mit Firewalls und Co. auf die Bedrohungslage, insgesamt steht es mit der Abwehrbereitschaft aber noch immer nicht zum Besten. Einer der Gründe dafür ist die mangelnde Sensibilität auf C-Level-Ebene. Schließlich nützt es nur wenig, wenn die IT-Abteilung zwar eine realistische Einschätzung der tatsächlichen Bedrohungslage hat, die Führungsebene aber nicht die erforderlichen Ressourcen bereitstellt, um diesen Problemen zu begegnen. Die Artikelserie beschreibt daher Methoden zur Sensibilisierung von Führungskräften. In der zweiten Folge geht es darum, wie Sie WLAN-Schwachstellen aufspüren und demonstrieren. [mehr]
