OWASP - User contributions [en]

OWASP Germany 2008 Conference

2008-10-20T14:43:20Z

Chris: /* Learning of Positive Security Models for Web-Applications */

Die OWASP Germany 2008 Konferenz wird am 25.11.08 mit einer Vorabendveranstalung am 24.11.08 in Frankfurt stattfinden.
(The OWASP Germany 2008 conference will be held on November 25, 2008 in Frankfurt.)

Veranstaltungsort: Steigenberger Airport Hotel (per Bahn und Flieger gleichermaßen gut zu erreichen)

Zurück zur [[Germany|OWASP Germany Homepage]].

== Agenda ==
{| style="width:80%" border="0" align="center"
! colspan="3" align="center" style="background:#4058A0; color:white" | Dienstag, 25.11.08
|-
| style="width:10%; background:#7B8ABD" | 09:00-09:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Registrierung und Kaffee
|-
| style="width:10%; background:#7B8ABD" | 09:30-09:45|| colspan="2" style="width:80%; background:#F2F2F2" align="left" | '''Begrüßung'''
|-
| style="width:10%; background:#7B8ABD" | 9:45-10:30|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#OWASP Overview (in Englisch) | '''OWASP Overview (in Englisch)''']]
''Sebastien Deleersnyder, OWASP Foundation Board Member''
|-
| style="width:10%; background:#7B8ABD" | 10:30-11:15|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen | '''Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen''']]
''Maximilian Dermann, IT-Security Architect''
|-
| style="width:10%; background:#7B8ABD" | 11:15-11:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Kaffeepause
|-
| style="width:10%; background:#7B8ABD" | 11:30-12:15|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Kickstart für sichere Webanwendungen |'''Kickstart für sichere Webanwendungen''']]
''Thomas Schreiber, SecureNet GmbH''
|-
| style="width:10%; background:#7B8ABD" | 12:15-13:00|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#SOA Sicherheitsarchitektur | '''SOA Sicherheitsarchitektur''']]
''Dr. Bruce Sams, OPTIMAbit GmbH''
|-
| style="width:10%; background:#7B8ABD" | 13:00-14:00 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Mittagspause
|-
| style="width:10%; background:#7B8ABD" | 14:00-14:45|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls | '''Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls''']]
''Alex Meisel, Art of Defence''
|-
| style="width:10%; background:#7B8ABD" |   || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Tracks: 30 Min Präsentation , 10 Min Diskussion + Raumsuche
|-
| style="width:10%; background:#7B8ABD" |   || style="width:40%; background:#FFDF80" align="left" | '''Track 1'''
| style="width:40%; background:#A0C0E0" align="left" | '''Track 2'''
|-
| style="width:10%; background:#7B8ABD" | 14:50-15:30 || style="width:40%; background:#FFDF80" align=left" | [[#Measuring the Security of Web Applications | '''Measuring the Security of Web Applications''']]
''Sebastian Schinzel, Virtual Forge''
| style="width:40%; background:#a0c0e0 " align=left" | [[#Server- und Browser-basierte XSS Erkennung | '''Server- und Browser-basierte XSS Erkennung''']]
''Martin Johns, Uni Passau, und Jeremias Reith, Uni Hamburg''
|-
| style="width:10%; background:#7B8ABD" | 15:30-16:10 || style="width:40%; background:#FFDF80" align=left" | [[#Security-by-Design durch Einsatz von MVC | '''Security-by-Design durch Einsatz von MVC''']]
''Mirko Richter, SecureNet GmbH''
| style="width:40%; background:#a0c0e0 " align=left" | [[#Cross-Site Scripting Filter Evasion | '''Cross-Site Scripting Filter Evasion''']]
''Alexios Fakos, n.runs AG''
|-
| style="width:10%; background:#7B8ABD" | 16:10-16:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Kaffeepause
|-
| style="width:10%; background:#7B8ABD" | 16:30-17:10 || style="width:40%; background:#FFDF80" align=left" | [[#Learning of Positive Security Models for Web-Applications | '''Learning of Positive Security Models for Web-Applications''']]
''Christian Bockermann''
| style="width:40%; background:#a0c0e0 " align=left" | [[#Sicherheit von Rich Internet Applications | '''Sicherheit von Rich Internet Applications''']]
''fukami, SektionEins GmbH''
|-
| style="width:10%; background:#7B8ABD" | 17:10-17:50|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software | '''Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software''']]
''N.N., SAP AG (angefragt), Dr. Boris Hemkemeier, Commerzbank''
|-
| style="width:10%; background:#7B8ABD" | 17:50-18:00|| colspan="2" style="width:80%; background:#F2F2F2" align="left" | '''Schlusswort'''
|-
| style="width:80%" border="0" align="center" ! colspan="3" align="center" style="background:#4058A0; color:#4058A0" | OWASP Germany
|}

== Anmeldung und Preise ==

Anmeldeinformationen in Kürze an dieser Stelle.

'''Preise:'''
{| class="wikitable" <hiddentext>generated with [[:de:Wikipedia:Helferlein/VBA-Macro for EXCEL tableconversion]] V1.7<\hiddentext>
|- valign="bottom"
|style="background-color:#99CCFF" width="112" height="13" | „normaler“ Teilnehmer
| width="60" | 149 EUR

|- valign="bottom"
|style="background-color:#99CCFF" height="13" | OWASP-Mitglied
| 99 EUR

|- valign="bottom"
|style="background-color:#99CCFF" height="13" | Studenten
| kostenlos

|}

Preise zzgl. MwSt.

== Sponsoring ==

Es besteht die Möglichkeit zum Ausstellen und zum Logo-Sponsoring. [http://www.owasp.org/index.php/Image:OWASP_D_2008_Sponsoren_Info.pdf Infos für Sponsoren hier.]

== Abstracts ==

=== OWASP Overview (in Englisch) ===
An introduction to Open Web Application Security Project (OWASP), a worldwide free and open community focused on improving the security of application software. Our mission is to make application security "visible," so that people and organizations can make informed decisions about application security risks.

''Über Sebastien Deleersnyder''

Sebastien started the successful Belgian OWASP Chapter and performed several public presentations on web application and web services security. Sebastien specialises in (web) applicatoin security, combining his software development and information security experience. He is currently OWASP Foundation board member and responsible for the Telindus application security offering in Belgium.

=== Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen ===

''Über Maximilian Dermann''

Maximilian Dermann ist selbstständiger IT-Security Architect. Er war bei Lufthansa Technik für mehr als fünf Jahre für die Sicherheit und den Betrieb der zuletzt über 60 eBusiness Applikationen zuständig. Seine Aufgaben beinhalteten u.a. die Erstellung von Detailrichtlinien für sichere Softwareentwicklung und den sicheren Betrieb der Applikationen, die Koordination von Sicherheitsaudits, das Design und die Koordination des Betriebs der Sicherheitsinfrastruktur sowie die Verantwortung für das Betriebsbudget. Als Projektleiter und Architekt hat er mehrere Projekte im Bereich IT-Sicherheit und IT-Infrastruktur durchgeführt. Maximilian Dermann war als Berater und Softwareentwickler im Bereich Webapplikationssicherheit an insgesamt vier Online-Banking und -Brokerage Projekten beteiligt. Er ist aktives Mitglied des OWASP German Chapters und einer der Co-Autoren des Best Practices Guide für Web Application Firewalls.

=== Kickstart für sichere Webanwendungen ===
::to be completed
''Über Thomas Schreiber''
::to be completed

=== SOA Sicherheitsarchitektur ===
Der Einsatz von SOA erfordert ein neues Sicherheitsmodell, da viele altbewährte Lösungen für Benutzermanagement, Authentifizierung, Autorisierung usw. nicht mehr funktionieren. Auch kommen neue Anforderungen hinzu, wie z.B. die Föderation und die Integration mit PKI-Systemen. Dieser Vortrag zeigt die spezifischen Sicherheitsprobleme von SOA von einer Architekturperspektive. Wichtige Standards für SOA, wie Policy Enforcement Point (PEP), Policy Decision Point (PDP), SAML, XACML, und deren konkrete Benutzung werden besprochen. Die Bedeutung von Rollenmodelle und die flexible Einbindung von solchen in SOAs wird auch behandelt.

''Über Bruce Sams''

Dr. Bruce Sams ist ausgebildeter Physiker und Geschäftsführer von OPTIMAbit GmbH, einer führenden Beratungsfirma im Bereich Anwendungssicherheit (Architecture Review, Penetration Test, Single-Sign-On, PKI und mehr). Dr. Sams ist Autor vieler Fachartikel.

=== OWASP Best Practices zum Einsatz von Web Application Firewalls ===
''Über Alex Meisel''

=== Measuring the Security of Web Applications ===
Software ist unsicher! "Security Researcher" publizieren nahezu täglich Sicherheitsmängel in Softwareapplikationen in einschlägigen Mailinglisten und Internetforen. Und das bereits seit Jahrzehnten.
Softwaresicherheit wird immer wichtiger mit der zunehmenden Vernetzung und Kritikalität der Daten. Daher reservieren Softwarehersteller oft signifikante (aber trotzdem begrenzte) Budgets zur sicheren Softwareentwicklung. Um diese Budgets werben Dienstleister und Hersteller von verschiedensten Sicherheitsprodukten. Oft halten diese Dienste und Produkte nicht das, was das Marketing verspricht.
Für Softwarehersteller stellt sich die Frage in welche Prozesse und Technologien in welchem Umfang investiert werden sollte: "Wieviel Sicherheitszuwachs bekommt man für wieviel Aufwand"? In diesem Vortrag beleuchte ich Wege und Irrwege, um dieses Kosten-Nutzen-Verhältnis abzuschätzen und zu optimieren.

''Über Sebastian Schinzel''

Sebastian Schinzel ist seit mehr als fünf Jahren Entwickler und Sicherheitsberater. Sein Fokus liegt auf Sicherheitsuntersuchungen und sicherer Softwareentwicklung von Geschäftsapplikationen. Bei Virtual Forge führt er Sicherheitsuntersuchungen von SAP-Geschäftsapplikationen durch und berät SAP-Kunden zu sicherer Softwareentwicklung.

=== Security-by-Design durch Einsatz von MVC ===
::to be completed
''Über Mirko Richter''
::to be completed

=== Server- und Browser-basierte XSS Erkennung ===
::to be completed
''Über Martin Johns und Jeremias Reith''
::to be completed

=== Cross-Site Scripting Filter Evasion ===
Die Darstellung seiner Individualität ist einer der Schlüsselfaktoren, um im Web 2.0 Business erfolgreich tätig zu sein. Aus diesem Grund erlauben viele Web 2.0 Anwendungen Ihren Benutzern sich freizügig zu präsentieren. Aber diese Praxis erhöht die Risikoanfälligkeit von Cross-Site Scripting Schwachstellen. Der Vortrag untersucht diverse Blacklist- und Whitelist-Ansätze und wie solche Filterregeln umgangen werden können.

''Über Alexios Fakos''

Alexios Fakos ist nach sieben Jahren in der Softwareentwicklung zum deutschen IT Sicherheitsdienstleister n.runs AG gewechselt.
Zurzeit ist Herr Fakos als Senior Security Consultant tätig. Seine Schwerpunkte sind unter anderem: Penetrationstests, Quellcodeanalysen und Schulungen für Softwareentwickler und -tester. Neben seiner beruflichen Tätigkeit hat Herr Fakos einen Lehrauftrag mit dem Thema Web Security am Fachbereich Mathematik, Naturwissenschaften und Datenverarbeitung (MND) an der Fachhochschule Giessen-Friedberg.

=== Learning of Positive Security Models for Web-Applications ===

In vielen Bereichen haben maschinelle Lernverfahren bereits einen großen Einfluß genommen. SPAM-Bekämpfung und Anomalie-basierte Intrusion-Detection wären ohne KI-Ansätze wie Text-Klassifizierung, Clustering oder Outlier-Detection nicht möglich. Im Bereich der Web-Sicherheit gibt es dagegen bisher nur sehr wenige wissenschaftliche Arbeiten, maschinelles Lernen zu verwenden. Auf der anderen Seite werben immer mehr Hersteller von Web Application Firewalls mit selbst-lernenden Systemen ohne Details preiszugeben.

Der Vortrag gibt einen Überblick über die (wenigen) wissenschaftlichen Arbeiten zum Thema Web-Sicherheit aus dem Blickwinkel des maschinellen Lernens und stellt ein Projekt vor, das versucht, positive Sicherheitsmodelle für WAF-Systeme aus HTTP-Traffic automatisiert zu erstellen.

''Über Christian Bockermann''

Christian Bockermann ist derzeit wissenschaftlicher Mitarbeiter an der Technischen Universität Dortmund. Nach seiner Diplomarbeit zum Thema "Anomalie-Erkennung in Web-Anwendungen" promoviert er zur Zeit am Lehrstuhl für künstliche Intelligenz im Bereich Web-Sicherheit.
Neben einigen Projekten zur Web-Sicherheit betreibt er die Seite jwall.org [http://jwall.org], die einen Teil der Tools bereitstellt, die im Rahmen der Forschungsarbeiten bisher entwickelt wurden.

=== Sicherheit von Rich Internet Applications ===
::to be completed
''Über fukami''
::to be completed

=== Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software ===
::to be completed
''Über Boris Hemkemeier''
::to be completed

Zurück zur [[Germany|OWASP Germany Homepage]].

[[Category:Germany]]

OWASP Germany 2008 Conference

2008-10-20T14:40:46Z

Chris: /* Learning of Positive Security Models for Web-Applications */

Die OWASP Germany 2008 Konferenz wird am 25.11.08 mit einer Vorabendveranstalung am 24.11.08 in Frankfurt stattfinden.
(The OWASP Germany 2008 conference will be held on November 25, 2008 in Frankfurt.)

Veranstaltungsort: Steigenberger Airport Hotel (per Bahn und Flieger gleichermaßen gut zu erreichen)

Zurück zur [[Germany|OWASP Germany Homepage]].

== Agenda ==
{| style="width:80%" border="0" align="center"
! colspan="3" align="center" style="background:#4058A0; color:white" | Dienstag, 25.11.08
|-
| style="width:10%; background:#7B8ABD" | 09:00-09:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Registrierung und Kaffee
|-
| style="width:10%; background:#7B8ABD" | 09:30-09:45|| colspan="2" style="width:80%; background:#F2F2F2" align="left" | '''Begrüßung'''
|-
| style="width:10%; background:#7B8ABD" | 9:45-10:30|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#OWASP Overview (in Englisch) | '''OWASP Overview (in Englisch)''']]
''Sebastien Deleersnyder, OWASP Foundation Board Member''
|-
| style="width:10%; background:#7B8ABD" | 10:30-11:15|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen | '''Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen''']]
''Maximilian Dermann, IT-Security Architect''
|-
| style="width:10%; background:#7B8ABD" | 11:15-11:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Kaffeepause
|-
| style="width:10%; background:#7B8ABD" | 11:30-12:15|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Kickstart für sichere Webanwendungen |'''Kickstart für sichere Webanwendungen''']]
''Thomas Schreiber, SecureNet GmbH''
|-
| style="width:10%; background:#7B8ABD" | 12:15-13:00|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#SOA Sicherheitsarchitektur | '''SOA Sicherheitsarchitektur''']]
''Dr. Bruce Sams, OPTIMAbit GmbH''
|-
| style="width:10%; background:#7B8ABD" | 13:00-14:00 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Mittagspause
|-
| style="width:10%; background:#7B8ABD" | 14:00-14:45|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls | '''Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls''']]
''Alex Meisel, Art of Defence''
|-
| style="width:10%; background:#7B8ABD" |   || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Tracks: 30 Min Präsentation , 10 Min Diskussion + Raumsuche
|-
| style="width:10%; background:#7B8ABD" |   || style="width:40%; background:#FFDF80" align="left" | '''Track 1'''
| style="width:40%; background:#A0C0E0" align="left" | '''Track 2'''
|-
| style="width:10%; background:#7B8ABD" | 14:50-15:30 || style="width:40%; background:#FFDF80" align=left" | [[#Measuring the Security of Web Applications | '''Measuring the Security of Web Applications''']]
''Sebastian Schinzel, Virtual Forge''
| style="width:40%; background:#a0c0e0 " align=left" | [[#Server- und Browser-basierte XSS Erkennung | '''Server- und Browser-basierte XSS Erkennung''']]
''Martin Johns, Uni Passau, und Jeremias Reith, Uni Hamburg''
|-
| style="width:10%; background:#7B8ABD" | 15:30-16:10 || style="width:40%; background:#FFDF80" align=left" | [[#Security-by-Design durch Einsatz von MVC | '''Security-by-Design durch Einsatz von MVC''']]
''Mirko Richter, SecureNet GmbH''
| style="width:40%; background:#a0c0e0 " align=left" | [[#Cross-Site Scripting Filter Evasion | '''Cross-Site Scripting Filter Evasion''']]
''Alexios Fakos, n.runs AG''
|-
| style="width:10%; background:#7B8ABD" | 16:10-16:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Kaffeepause
|-
| style="width:10%; background:#7B8ABD" | 16:30-17:10 || style="width:40%; background:#FFDF80" align=left" | [[#Learning of Positive Security Models for Web-Applications | '''Learning of Positive Security Models for Web-Applications''']]
''Christian Bockermann''
| style="width:40%; background:#a0c0e0 " align=left" | [[#Sicherheit von Rich Internet Applications | '''Sicherheit von Rich Internet Applications''']]
''fukami, SektionEins GmbH''
|-
| style="width:10%; background:#7B8ABD" | 17:10-17:50|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software | '''Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software''']]
''N.N., SAP AG (angefragt), Dr. Boris Hemkemeier, Commerzbank''
|-
| style="width:10%; background:#7B8ABD" | 17:50-18:00|| colspan="2" style="width:80%; background:#F2F2F2" align="left" | '''Schlusswort'''
|-
| style="width:80%" border="0" align="center" ! colspan="3" align="center" style="background:#4058A0; color:#4058A0" | OWASP Germany
|}

== Anmeldung und Preise ==

Anmeldeinformationen in Kürze an dieser Stelle.

'''Preise:'''
{| class="wikitable" <hiddentext>generated with [[:de:Wikipedia:Helferlein/VBA-Macro for EXCEL tableconversion]] V1.7<\hiddentext>
|- valign="bottom"
|style="background-color:#99CCFF" width="112" height="13" | „normaler“ Teilnehmer
| width="60" | 149 EUR

|- valign="bottom"
|style="background-color:#99CCFF" height="13" | OWASP-Mitglied
| 99 EUR

|- valign="bottom"
|style="background-color:#99CCFF" height="13" | Studenten
| kostenlos

|}

Preise zzgl. MwSt.

== Sponsoring ==

Es besteht die Möglichkeit zum Ausstellen und zum Logo-Sponsoring. [http://www.owasp.org/index.php/Image:OWASP_D_2008_Sponsoren_Info.pdf Infos für Sponsoren hier.]

== Abstracts ==

=== OWASP Overview (in Englisch) ===
An introduction to Open Web Application Security Project (OWASP), a worldwide free and open community focused on improving the security of application software. Our mission is to make application security "visible," so that people and organizations can make informed decisions about application security risks.

''Über Sebastien Deleersnyder''

Sebastien started the successful Belgian OWASP Chapter and performed several public presentations on web application and web services security. Sebastien specialises in (web) applicatoin security, combining his software development and information security experience. He is currently OWASP Foundation board member and responsible for the Telindus application security offering in Belgium.

=== Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen ===

''Über Maximilian Dermann''

Maximilian Dermann ist selbstständiger IT-Security Architect. Er war bei Lufthansa Technik für mehr als fünf Jahre für die Sicherheit und den Betrieb der zuletzt über 60 eBusiness Applikationen zuständig. Seine Aufgaben beinhalteten u.a. die Erstellung von Detailrichtlinien für sichere Softwareentwicklung und den sicheren Betrieb der Applikationen, die Koordination von Sicherheitsaudits, das Design und die Koordination des Betriebs der Sicherheitsinfrastruktur sowie die Verantwortung für das Betriebsbudget. Als Projektleiter und Architekt hat er mehrere Projekte im Bereich IT-Sicherheit und IT-Infrastruktur durchgeführt. Maximilian Dermann war als Berater und Softwareentwickler im Bereich Webapplikationssicherheit an insgesamt vier Online-Banking und -Brokerage Projekten beteiligt. Er ist aktives Mitglied des OWASP German Chapters und einer der Co-Autoren des Best Practices Guide für Web Application Firewalls.

=== Kickstart für sichere Webanwendungen ===
::to be completed
''Über Thomas Schreiber''
::to be completed

=== SOA Sicherheitsarchitektur ===
Der Einsatz von SOA erfordert ein neues Sicherheitsmodell, da viele altbewährte Lösungen für Benutzermanagement, Authentifizierung, Autorisierung usw. nicht mehr funktionieren. Auch kommen neue Anforderungen hinzu, wie z.B. die Föderation und die Integration mit PKI-Systemen. Dieser Vortrag zeigt die spezifischen Sicherheitsprobleme von SOA von einer Architekturperspektive. Wichtige Standards für SOA, wie Policy Enforcement Point (PEP), Policy Decision Point (PDP), SAML, XACML, und deren konkrete Benutzung werden besprochen. Die Bedeutung von Rollenmodelle und die flexible Einbindung von solchen in SOAs wird auch behandelt.

''Über Bruce Sams''

Dr. Bruce Sams ist ausgebildeter Physiker und Geschäftsführer von OPTIMAbit GmbH, einer führenden Beratungsfirma im Bereich Anwendungssicherheit (Architecture Review, Penetration Test, Single-Sign-On, PKI und mehr). Dr. Sams ist Autor vieler Fachartikel.

=== OWASP Best Practices zum Einsatz von Web Application Firewalls ===
''Über Alex Meisel''

=== Measuring the Security of Web Applications ===
Software ist unsicher! "Security Researcher" publizieren nahezu täglich Sicherheitsmängel in Softwareapplikationen in einschlägigen Mailinglisten und Internetforen. Und das bereits seit Jahrzehnten.
Softwaresicherheit wird immer wichtiger mit der zunehmenden Vernetzung und Kritikalität der Daten. Daher reservieren Softwarehersteller oft signifikante (aber trotzdem begrenzte) Budgets zur sicheren Softwareentwicklung. Um diese Budgets werben Dienstleister und Hersteller von verschiedensten Sicherheitsprodukten. Oft halten diese Dienste und Produkte nicht das, was das Marketing verspricht.
Für Softwarehersteller stellt sich die Frage in welche Prozesse und Technologien in welchem Umfang investiert werden sollte: "Wieviel Sicherheitszuwachs bekommt man für wieviel Aufwand"? In diesem Vortrag beleuchte ich Wege und Irrwege, um dieses Kosten-Nutzen-Verhältnis abzuschätzen und zu optimieren.

''Über Sebastian Schinzel''

Sebastian Schinzel ist seit mehr als fünf Jahren Entwickler und Sicherheitsberater. Sein Fokus liegt auf Sicherheitsuntersuchungen und sicherer Softwareentwicklung von Geschäftsapplikationen. Bei Virtual Forge führt er Sicherheitsuntersuchungen von SAP-Geschäftsapplikationen durch und berät SAP-Kunden zu sicherer Softwareentwicklung.

=== Security-by-Design durch Einsatz von MVC ===
::to be completed
''Über Mirko Richter''
::to be completed

=== Server- und Browser-basierte XSS Erkennung ===
::to be completed
''Über Martin Johns und Jeremias Reith''
::to be completed

=== Cross-Site Scripting Filter Evasion ===
Die Darstellung seiner Individualität ist einer der Schlüsselfaktoren, um im Web 2.0 Business erfolgreich tätig zu sein. Aus diesem Grund erlauben viele Web 2.0 Anwendungen Ihren Benutzern sich freizügig zu präsentieren. Aber diese Praxis erhöht die Risikoanfälligkeit von Cross-Site Scripting Schwachstellen. Der Vortrag untersucht diverse Blacklist- und Whitelist-Ansätze und wie solche Filterregeln umgangen werden können.

''Über Alexios Fakos''

Alexios Fakos ist nach sieben Jahren in der Softwareentwicklung zum deutschen IT Sicherheitsdienstleister n.runs AG gewechselt.
Zurzeit ist Herr Fakos als Senior Security Consultant tätig. Seine Schwerpunkte sind unter anderem: Penetrationstests, Quellcodeanalysen und Schulungen für Softwareentwickler und -tester. Neben seiner beruflichen Tätigkeit hat Herr Fakos einen Lehrauftrag mit dem Thema Web Security am Fachbereich Mathematik, Naturwissenschaften und Datenverarbeitung (MND) an der Fachhochschule Giessen-Friedberg.

=== Learning of Positive Security Models for Web-Applications ===

In vielen Bereichen haben maschinelle Lernverfahren bereits einen großen Einfluß genommen. SPAM-Bekämpfung und Anomalie-basierte Intrusion-Detection wären ohne KI-Ansätze wie Text-Klassifizierung oder Clustering nicht möglich. Im Bereich der Web-Sicherheit gibt es dagegen bisher nur sehr wenige wissenschaftliche Arbeiten, maschinelles Lernen zu verwenden. Auf der anderen Seite werben immer mehr Hersteller von Web Application Firewalls mit selbst-lernenden Systemen ohne Details preiszugeben.

Der Vortrag gibt einen Überblick über die (wenigen) wissenschaftlichen Arbeiten zum Thema Web-Sicherheit aus dem Blickwinkel des maschinellen Lernens und stellt ein Projekt vor, das versucht, positive Sicherheitsmodelle für WAF-Systeme aus HTTP-Traffic automatisiert zu erstellen.

''Über Christian Bockermann''

Christian Bockermann ist derzeit wissenschaftlicher Mitarbeiter an der Technischen Universität Dortmund. Nach seiner Diplomarbeit zum Thema "Anomalie-Erkennung in Web-Anwendungen" promoviert er zur Zeit am Lehrstuhl für künstliche Intelligenz im Bereich Web-Sicherheit.
Neben einigen Projekten zur Web-Sicherheit betreibt er die Seite jwall.org [http://jwall.org], die einen Teil der Tools bereitstellt, die im Rahmen der Forschungsarbeiten bisher entwickelt wurden.

=== Sicherheit von Rich Internet Applications ===
::to be completed
''Über fukami''
::to be completed

=== Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software ===
::to be completed
''Über Boris Hemkemeier''
::to be completed

Zurück zur [[Germany|OWASP Germany Homepage]].

[[Category:Germany]]