Dieses Wochenende war ich in Hinblick Sicherheit fleissig. Gleichzeitig habe ich mit Hardenize1 und DNSViz2 zwei schöne Tools zum Prüfen gefunden und meinen Micro-Blog Beitrag “Website-Qualität messen” ergänzt. Auf meinem Mailserver habe ich MTA-STA nach RFC 84613 inkl. Reporting implemetiert. Dieser Standard ist relativ neu (2018) und eignet sich gerade für jene Server ohne DANE4. Doch auch ohne DANE denke ich, dass ich den am besten und nach Standards vollständigsten Server (DKIM, SPF, DMARC, MTA-SRA, TLS-RPT, TLS1. Weiterlesen

Dieses Wochenende prüfe ich aktuell den Apache-Exporter1 und wie sinnvoll dieser sich in meinem Prometheus2 Monitoring integrieren lässt. Die ständigen Server-Status Abfragen führen zwangsläufig zu mehr “Hintergrundrauschen” in den Logdateien. Im Screenshot wird das im less im oberen Abschnitt gut sichtbar: Die Aufrufe lassen sich nicht verhindern, wohl aber was ein Apache in seine Logs schreibt. Conditional Logging nennt sich das Ganze und ermöglicht einer Ressource mit SetEnvIf3 eine Variable anhand eines passenden Regex setzen zu können. Weiterlesen

Ich muß gestehen: Ich liebe es, Audits zu schreiben. Es hat etwas von wissenschaftlicher Ausarbeitung Aussagen zu falsifizieren. So wurde mir unlängst nachfolgendes Zitat eines IT-Verantwortlichen entgegen gebracht: Es geht uns nicht um Sicherheit, sondern um Haftungsausschluss. Wenn Microsoft Sicherheit zusagt, dann reicht uns das. Nun ich kam leider nicht in den Genuß einer juristischen Ausbildung aber wenn ich mir so die Microsoft EULA1 in Hinblick auf Risiken und Haftung durchlese, bewerte ich die Gesamtsituation doch ein wenig differenzierter: Weiterlesen

Im Rahmen eines “digitalen Frühstücks” referiere ich für das DigiNet Südwestfalen am 03.11.2020, 8:30 Uhr auf meinem Konferenzserver Thema: “Sicherheit von Konferenzsoftware” und gebe Stakeholder und Entscheidern Orienterungshilfe zur Risikobewertung. Das ist eine geschlossene Veranstaltung, Anmeldungen bitte über Sonja Pfaff auf der Website des DiginetSWF. Über das DigiNet Südwestfalen: Anfang 2019 hat der Transferverbund Südwestfalen im Rahmen des Förderprojektes NRW.Innovationspartner damit begonnen, Dienstleister und Netzwerke, die im Bereich der Digitalisierung in Südwestfalen aktiv sind, aufzuspüren und diese zu einem offenen Netzwerk zu verbinden. Weiterlesen

40.000 Unternehmen allein in Deutschland betroffen Das BSI warnt mit der zweithöchsten Stufe “orange” (= Die IT-Bedrohungslage ist geschäftskritisch. Massive Beeinträchtigung des Regelbetriebs) öffentlich in den Medien1. Etwa 40.000 Unternehmen allein in Deutschland sind von mehreren kritischen Schwachstellen betoffen da Sicherheitsupdates bislang nicht installiert wurden2. Heise spricht gar vom Russisch-Roulette-Spielen3. Nicht ohne Grund warne ich seit mehreren Jahren vor einer zu engen Verzahnung von Microsoft AD und Internet-Funktionen. Dort wo Microsoft-Lösungen durch freie Standards und Systeme ersetzt werden können, sollte das umgehend geschehen. Weiterlesen