This site is the archived OWASP Foundation Wiki and is no longer accepting Account Requests.
To view the new OWASP Foundation website, please visit https://owasp.org
Difference between revisions of "OWASP Germany 2008 Conference"
From OWASP
(Category:OWASP Download added) |
|||
| (46 intermediate revisions by 9 users not shown) | |||
| Line 1: | Line 1: | ||
| − | + | [[Category:OWASP_AppSec_Conference]] [[Category:Germany]] [[Category:Europe]] [[Category:German OWASP Day]] [[Category:OWASP Download]] | |
| − | |||
| − | + | {| cellpadding="20" cellspacing="0" border="1" width="100%" align="center" | | |
| + | | Die Präsentationen stehen zum Download zur Verfügung - siehe unten. | ||
| + | |} | ||
| + | |||
| + | |||
| + | Die deutsche Sektion des Open Web Application Security Projekts (OWASP) hat erstmals einen Branchentreff für '''Entwickler''', '''IT-Security-Verantwortliche''' und '''IT-Manager''' ausgerichtet. Ziel der Veranstaltung war es, eine Plattform zum Erfahrungsaustausch zwischen technischen Entscheidern aufzubauen und herstellerunabhängige Information zum Thema Web-Anwendungssicherheit zur Verfügung zu stellen. | ||
| + | |||
| + | Die OWASP Germany 2008 Konferenz fand am | ||
| + | |||
| + | :'''25. November 2008 ''' | ||
| + | |||
| + | mit einer Vorabendveranstaltung im Steigenberger Airport Hotel in '''Frankfurt am Main''' statt. | ||
| + | |||
| + | (The OWASP Germany 2008 conference has been held on November 25, 2008 in Frankfurt.) | ||
| + | |||
| + | | ||
| + | | ||
| + | |||
| + | {{Template:OWASP_Germany_2008_Sponsors}} | ||
| + | |||
| + | Zurück zur [[Germany|OWASP Germany Homepage]]. | ||
== Agenda == | == Agenda == | ||
| − | {| | + | {| style="width:80%" border="0" align="center" |
| − | |- style="background- | + | ! colspan="3" align="center" style="background:#4058A0; color:white" | Montag, 24.11.08 <br> Kennenlernen, Erfahrungsaustausch, Networking |
| − | | width=" | + | |- |
| − | |style=" | + | | style="width:10%; background:#7B8ABD" | 19:30-open end || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Je komplexer unsere technisierte Welt, desto wichtiger werden persönliche Kontakte! In lockerer Atmosphäre möchten wir erreichen, dass die Teilnehmer in Kontakt miteinander treten, Interessen und Erfahrungen austauschen und möglicherweise Anknüpfungspunkte finden, die über die Veranstaltung hinausreichen. |
| + | Wir bitten daher alle Interessierten, sich zwischen 19.30 und 20.00 Uhr (spätestens!) am Veranstaltungsort einzufinden. Mit professioneller Unterstüzung werden wir dann zusehen, dass wir das Eis schnell brechen und nicht nur einen kommunikativen, sondern auch gemütlichen Abend verbringen. | ||
| + | |||
| + | --- Für das leibliche Wohl ist gesorgt. --- | ||
| + | |||
| + | |- | ||
| + | | style="width:80%" border="0" align="center" ! colspan="3" align="center" style="background:#4058A0; color:#4058A0" | OWASP Germany | ||
| + | |} | ||
| + | |||
| + | |||
| + | {| style="width:80%" border="0" align="center" | ||
| + | ! colspan="3" align="center" style="background:#4058A0; color:white" | Dienstag, 25.11.08 | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 09:00-09:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Registrierung und Kaffee | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 09:30-09:45|| colspan="2" style="width:80%; background:#F2F2F2" align="left" | '''Begrüßung''' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 09:45-10:30|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#OWASP Overview (in Englisch) | '''OWASP Overview (in Englisch)''']] [[:Image:Germany 2008 Conference OWASP Introduction v1.pptx|(download)]] | ||
| + | ''Sebastien Deleersnyder, OWASP Foundation Board Member'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 10:30-11:15|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen | '''Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen''']] [http://www.owasp.org/images/5/55/OWASP_Germany_2008_Wirtschaftlichkeitsbetrachtungen_von_IT-Sicherheitsmassnahmen.pdf (download)] | ||
| + | ''Maximilian Dermann, IT-Security Architect'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 11:15-11:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Kaffeepause | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 11:30-12:15|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Kickstart für sichere Webanwendungen |'''Kickstart für sichere Webanwendungen''']] [http://www.owasp.org/images/0/0d/OWASP-Germany_2008_Kickstart_fuer_sichere_Webanwendungen.pdf (download)] | ||
| + | ''Thomas Schreiber, SecureNet GmbH'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 12:15-13:00|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#SOA Sicherheitsarchitektur | '''SOA Sicherheitsarchitektur''']] [http://www.owasp.org/images/1/14/OWASP_Germany_2008_SOA_Sicherheitsarchitektur.pdf (download)] | ||
| + | ''Dr. Bruce Sams, OPTIMAbit GmbH'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 13:00-14:00 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Mittagspause | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 14:00-14:45|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls | '''Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls''']] [http://www.owasp.org/images/7/74/OWASP_Germany_2008_Best_Practices_Guide_zum_Einsatz_von_Web_Application_Firewalls.pdf (download)] | ||
| + | ''Alex Meisel, Art of Defence'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Tracks: 30 Min Präsentation , 10 Min Diskussion + Raumsuche | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | || style="width:40%; background:#FFDF80" align="left" | '''Track 1''' | ||
| + | | style="width:40%; background:#A0C0E0" align="left" | '''Track 2''' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 14:50-15:30 || style="width:40%; background:#FFDF80" align=left" | [[#Measuring the Security of Web Applications | '''Measuring the Security of Web Applications''']] [http://www.owasp.org/images/b/bc/OWASP_Germany_2008_Measuring_the_Security_of_Web_Applications.pdf (download)] | ||
| + | ''[https://www.owasp.org/index.php/User:Sebastian_Schinzel Sebastian Schinzel], Virtual Forge'' | ||
| + | | style="width:40%; background:#a0c0e0 " align=left" | [[#Server- und Browser-basierte XSS Erkennung | '''Server- und Browser-basierte XSS Erkennung''']] [http://www.owasp.org/images/9/9f/OWASP_Germany_2008_Server_und_Browser_basierte_XSS_Erkennung.pdf (download)] | ||
| + | ''Martin Johns, Uni Passau, und Jeremias Reith, Uni Hamburg'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 15:30-16:10 || style="width:40%; background:#FFDF80" align=left" | [[#Security-by-Design durch Einsatz von MVC | '''Security-by-Design durch Einsatz von MVC''']] [http://www.owasp.org/images/d/d7/OWASP_Germany_2008_Security_by_Design_durch_Einsatz_von_MVC.pdf (download)] | ||
| + | ''Mirko Richter u. Matthias Rohr, SecureNet GmbH'' | ||
| + | | style="width:40%; background:#a0c0e0 " align=left" | [[#Cross-Site Scripting Filter Evasion | '''Cross-Site Scripting Filter Evasion''']] [http://www.owasp.org/images/0/0f/OWASP_Germany_2008_Cross_Site_Scripting_Filter_Evasion.pdf (download)] | ||
| + | ''Alexios Fakos, n.runs AG'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 16:10-16:30 || colspan="2" style="width:80%; background:#C2C2C2" align="center" | Kaffeepause | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 16:30-17:10 || style="width:40%; background:#FFDF80" align=left" | [[#Learning of Positive Security Models for Web-Applications | '''Learning of Positive Security Models for Web-Applications''']] [http://www.owasp.org/images/c/c1/OWASP_Germany_2008_Learning_Positive_Models.pdf (download)] | ||
| + | ''Christian Bockermann'' | ||
| + | | style="width:40%; background:#a0c0e0 " align=left" | [[#WMAP - Metasploit 3.2 Module für Pentester von Webapplikationen | '''WMAP - Metasploit 3.2 Module für Pentester von Webapplikationen''']] [http://www.owasp.org/images/b/b7/OWASP_Germany_2008_WMAP_Metasploit_Module_fuer_Pentester_von_Webapplikationen.pdf (download)] | ||
| + | ''Hans-Martin Münch, it.sec GmbH & Co. KG'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 17:10-17:50|| colspan="2" style="width:80%; background:#FFDF80" align=left" | [[#Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software | '''Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software''']] [http://www.owasp.org/images/e/e2/OWASP_Germany_2008_Goldene_Regeln_zur_Entwicklung_sicherer_Software.pdf (download)] | ||
| + | ''Tom Schröer und Patrick Hildenbrand, SAP; Dr. Boris Hemkemeier, Commerzbank'' | ||
| + | |- | ||
| + | | style="width:10%; background:#7B8ABD" | 17:50-18:00|| colspan="2" style="width:80%; background:#F2F2F2" align="left" | '''Schlusswort''' | ||
| + | |- | ||
| + | | style="width:80%" border="0" align="center" ! colspan="3" align="center" style="background:#4058A0; color:#4058A0" | OWASP Germany | ||
| + | |} | ||
| + | <div style="text-align: center;">''Der Vortrag "Sicherheit von Rich Internet Applications" entfällt leider.''</div> | ||
| + | |||
| + | == Anmeldung und Preise == | ||
| + | |||
| + | Bitte melden Sie sich über '''[https://www.infodirekt.de/index.php?id=owasp2008_anmeldung dieses Formular]''' an. | ||
| + | |||
| + | (Leider steht uns für dieses Mal das Anmeldeportal der OWASP noch nicht zur Verfügung. Wir mussten daher auf einen selbstsignierten https-Server ausweichen, was aber zu einem unschönen Zertifikatsfehler führt. Lassen Sie sich (ausnahmsweise!) davon nicht irritieren und klicken Sie, falls Sie eine Fehlerseite erhalten, auf ''Laden dieser Website fortsetzen (nicht empfohlen)''.) | ||
| + | |||
| + | '''Preise:''' | ||
| + | {| class="wikitable" | ||
| + | |- valign="bottom" | ||
| + | |style="background-color:#99CCFF" width="112" height="13" | „normaler“ Teilnehmer | ||
| + | | width="60" | 149 EUR | ||
| + | |||
| + | |- valign="bottom" | ||
| + | |style="background-color:#99CCFF" height="13" | OWASP-Mitglied | ||
| + | | 99 EUR | ||
| + | |||
| + | |- valign="bottom" | ||
| + | |style="background-color:#99CCFF" height="13" | Studenten | ||
| + | | kostenlos | ||
| + | |||
| + | |} | ||
| + | |||
| + | Preise zzgl. MwSt. | ||
| + | |||
| + | [[#Zimmerkontingente|Zimmerkontingente hier]]. | ||
| + | |||
| + | == Veranstaltungsort == | ||
| + | |||
| + | '''[http://www.steigenberger.com/aw/Steigenberger_Airport_Hotel/Hotelinformationen/~zlk/Lage_Anreise/ Steigenberger Airport Hotel]''' (per Bahn und Flieger gleichermaßen gut zu erreichen). [[#Zimmerkontingente|Zimmerkontingente hier]]. | ||
| + | |||
| + | |||
| + | == Sponsoring == | ||
| + | |||
| + | Es besteht die Möglichkeit zum Ausstellen und zum Logo-Sponsoring. [http://www.owasp.org/images/9/98/OWASP_D_2008_Sponsoren_Info.pdf Infos für Sponsoren hier.] | ||
| + | |||
| + | |||
| + | == Pressemitteilung == | ||
| + | |||
| + | Die Pressemitteilung zur Konferenz finden Sie [https://www.owasp.org/images/b/b3/Owasp-pr-oct08-conf.de.pdf hier]. | ||
| + | |||
| + | == Die Vorträge im Einzelnen == | ||
| + | |||
| + | === OWASP Overview (in Englisch) === | ||
| + | :An introduction to Open Web Application Security Project (OWASP), a worldwide free and open community focused on improving the security of application software. Our mission is to make application security "visible," so that people and organizations can make informed decisions about application security risks. | ||
| + | :[[:Image:Germany 2008 Conference OWASP Introduction v1.pptx|Download Präsentation]] | ||
| + | :''Über Sebastien Deleersnyder'' | ||
| + | |||
| + | :Sebastien started the successful Belgian OWASP Chapter and performed several public presentations on web application and web services security. Sebastien specialises in (web) applicatoin security, combining his software development and information security experience. He is currently OWASP Foundation board member and responsible for the Telindus application security offering in Belgium. | ||
| + | |||
| + | === Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen === | ||
| + | |||
| + | :Das Problem ist bekannt: alle sind sich einig, dass Webanwendungen sicher sein sollten, aber niemand kann sagen, wie viel Aufwand zu deren Absicherung noch wirtschaftlich ist. Dieser Vortrag zeigt pragmatische, praxiserprobte Ansätze auf, sich einer Wirtschaftlichkeitsbetrachtung zu nähern. | ||
| + | :[http://www.owasp.org/images/5/55/OWASP_Germany_2008_Wirtschaftlichkeitsbetrachtungen_von_IT-Sicherheitsmassnahmen.pdf Download Präsentation] | ||
| + | :''Über Maximilian Dermann'' | ||
| + | |||
| + | :Maximilian Dermann ist selbstständiger IT-Security Architect. Er war bei Lufthansa Technik für mehr als fünf Jahre für die Sicherheit und den Betrieb der zuletzt über 60 eBusiness Applikationen zuständig. Seine Aufgaben beinhalteten u.a. die Erstellung von Detailrichtlinien für sichere Softwareentwicklung und den sicheren Betrieb der Applikationen, die Koordination von Sicherheitsaudits, das Design und die Koordination des Betriebs der Sicherheitsinfrastruktur sowie die Verantwortung für das Betriebsbudget. Als Projektleiter und Architekt hat er mehrere Projekte im Bereich IT-Sicherheit und IT-Infrastruktur durchgeführt. Maximilian Dermann war als Berater und Softwareentwickler im Bereich Webapplikationssicherheit an insgesamt vier Online-Banking und -Brokerage Projekten beteiligt. Er ist aktives Mitglied des OWASP German Chapters und einer der Co-Autoren des Best Practices Guide für Web Application Firewalls. | ||
| + | |||
| + | === Kickstart für sichere Webanwendungen === | ||
| + | :Der Ansatzpunkte und Maßnahmen zur Absicherung von Webanwendungen gibt es viele - doch wo fange ich an und was ist der für meinen ganz speziellen Fall beste Weg? | ||
| + | |||
| + | :Der Vortrag gibt einen kompakten Überblick über die verschiedenen Ansatzpunkte zur Absicherung von Webanwendungen, diskutiert Vor- und Nachteile und stellt Erfahrungen aus der Praxis dar. | ||
| + | :[http://www.owasp.org/images/0/0d/OWASP-Germany_2008_Kickstart_fuer_sichere_Webanwendungen.pdf Download Präsentation] | ||
| + | :''Über Thomas Schreiber'' | ||
| + | |||
| + | :Thomas Schreiber ist Geschäftsführer der [http://www.securenet.de/ SecureNet GmbH] und Berater für die Sicherheit von Webanwendungen. Seit vielen Jahren beschäftigt er sich mit Sicherheitsaspekten von Webanwendungen und hat mittlerweile Hunderte von Webanwendungen auf ihre Sicherheit hin untersucht. Er ist Coautor des vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenen [http://www.bsi.de/literat/studien/websec/WebSec.pdf Maßnahmenkatalog und Best Practices für die Sicherheit von Webanwendungen]. | ||
| + | |||
| + | === SOA Sicherheitsarchitektur === | ||
| + | :Der Einsatz von SOA erfordert ein neues Sicherheitsmodell, da viele altbewährte Lösungen für Benutzermanagement, Authentifizierung, Autorisierung usw. nicht mehr funktionieren. Auch kommen neue Anforderungen hinzu, wie z.B. die Föderation und die Integration mit PKI-Systemen. Dieser Vortrag zeigt die spezifischen Sicherheitsprobleme von SOA von einer Architekturperspektive. Wichtige Standards für SOA, wie Policy Enforcement Point (PEP), Policy Decision Point (PDP), SAML, XACML, und deren konkrete Benutzung werden besprochen. Die Bedeutung von Rollenmodelle und die flexible Einbindung von solchen in SOAs wird auch behandelt. | ||
| + | :[http://www.owasp.org/images/1/14/OWASP_Germany_2008_SOA_Sicherheitsarchitektur.pdf Download Präsentation] | ||
| + | :''Über Bruce Sams'' | ||
| + | |||
| + | :Dr. Bruce Sams ist ausgebildeter Physiker und Geschäftsführer von OPTIMAbit GmbH, einer führenden Beratungsfirma im Bereich Anwendungssicherheit (Architecture Review, Penetration Test, Single-Sign-On, PKI und mehr). Dr. Sams ist Autor vieler Fachartikel. | ||
| + | |||
| + | === OWASP Best Practices zum Einsatz von Web Application Firewalls === | ||
| + | :Der Vortrag stellt den vom OWASP Germany Chapter erstellten ''OWASP Best Practices zum Einsatz von Web Application Firewalls'' vor. | ||
| + | |||
| + | :Das Dokument wendet sich vornehmlich an technische Entscheider - speziell Betriebsverantwortliche, Sicherheitsverantwortliche, Applikationseigner (Fachabteilung, technisch Anwendungsverantwortlicher), die den Einsatz einer WAF im Unternehmen evaluieren. Spezielles Augenmerk wurde – wo immer möglich – auf die Darstellung von Aufwandsabschätzungen gelegt – auch im Vergleich zu möglichen Alternativen wie z. B. Änderungen im Sourcecode. | ||
| + | :[http://www.owasp.org/images/7/74/OWASP_Germany_2008_Best_Practices_Guide_zum_Einsatz_von_Web_Application_Firewalls.pdf Download Präsentation] | ||
| + | :''Über Alex Meisel'' | ||
| + | |||
| + | :Bereits in seiner Informatik-Diplomarbeit beschäftigte Alex Meisel sich mit der Abwehr und der Rückverfolgung von sog. Denial-of-Service- Attacken. Bei einem Schweizer IT-Dienstleister war er als Experte für Web-Sicherheit tätig; anschließend betreute er beim größten europäischen Internet-Knotenpunkt LINX (London Internet Exchange) Mitglieder in Fragen der Netzwerk-Sicherheit. Nach seiner dreijährigen Tätigkeit als Senior Consultant für Design und Implementierung von großen Web-Farmen inkl. Security-Audits bei einem führenden Hersteller von Web-Servern wechselte er als Leiter Projektmanagement zur Realisierung von Web-Applikations-Lösungen im SAP-Umfeld zum gleichen Fortune-500-Unternehmen. | ||
| + | |||
| + | === Measuring the Security of Web Applications === | ||
| + | :Software ist unsicher! "Security Researcher" publizieren nahezu täglich Sicherheitsmängel in Softwareapplikationen in einschlägigen Mailinglisten und Internetforen. Und das bereits seit Jahrzehnten. Softwaresicherheit wird immer wichtiger mit der zunehmenden Vernetzung und Kritikalität der Daten. Daher reservieren Softwarehersteller oft signifikante (aber trotzdem begrenzte) Budgets zur sicheren Softwareentwicklung. Um diese Budgets werben Dienstleister und Hersteller von verschiedensten Sicherheitsprodukten. Oft halten diese Dienste und Produkte nicht das, was das Marketing verspricht. Für Softwarehersteller stellt sich die Frage in welche Prozesse und Technologien in welchem Umfang investiert werden sollte: "Wieviel Sicherheitszuwachs bekommt man für wieviel Aufwand"? In diesem Vortrag beleuchte ich Wege und Irrwege, um dieses Kosten-Nutzen-Verhältnis abzuschätzen und zu optimieren. | ||
| + | :[http://www.owasp.org/images/b/bc/OWASP_Germany_2008_Measuring_the_Security_of_Web_Applications.pdf Download Präsentation] | ||
| + | :''Über Sebastian Schinzel'' | ||
| + | |||
| + | :[http://www.sebastian-schinzel.de/ Sebastian Schinzel] ist seit mehr als fünf Jahren Entwickler und Sicherheitsberater. Sein Fokus liegt auf Sicherheitsuntersuchungen und sicherer Softwareentwicklung von Geschäftsapplikationen. Bei [http://www.virtualforge.de/ Virtual Forge] führt er Sicherheitsuntersuchungen von SAP-Geschäftsapplikationen durch und berät SAP-Kunden zu sicherer Softwareentwicklung. | ||
| + | |||
| + | === Security-by-Design durch Einsatz von MVC === | ||
| + | :Das Frontend von Anwendungen in Model, View und Controller (MVC) zu unterteilen ist sicher eines der wichtigsten Architekturpatterns bei der Entwicklung von Webanwendungen. Für alle relevanten Programmiersprachen existieren hierfür mittlerweile zahlreiche mächtige Frameworks, wie z.B. Struts und Spring MVC für Java oder Symfony für PHP. | ||
| + | |||
| + | :Neben dem naheliegenden Nutzen für die Strukturierung der Anwendung besitzen MVC-Frameworks aber auch zahlreiche, oft wenig bekannte Möglichkeiten, die es selbst unerfahrenen Entwicklern ermöglichen, nachhaltig sichere Webanwendungen zu erstellen. Weitergehende Sicherheit wie CSRF-Schutz lässt sich mit speziellen MVC-Plugins, wie HDIV, auch nachträglich, in die Anwendung integrieren. | ||
| + | |||
| + | :Neben diesen Möglichkeiten werden in diesem Vortrag aber auch grundlegende Sicherheitsprobleme betrachtet, die sich mit dem Einsatz von MVC-Frameworks ergeben. | ||
| + | :[http://www.owasp.org/images/d/d7/OWASP_Germany_2008_Security_by_Design_durch_Einsatz_von_MVC.pdf Download Präsentation] | ||
| + | :''Über Mirko Richter und Matthias Rohr'' | ||
| + | |||
| + | :Mirko Richter ist Entwickler sowie Berater für Softwarearchitektur und –sicherheit bei der [http://www.securenet.de/ SecureNet GmbH] in München. Matthias Rohr ist Berater für Webapplikationssicherheit bei der SecureNet GmbH in München. | ||
| + | |||
| + | === Server- und Browser-basierte XSS Erkennung === | ||
| + | :Wenn man sich HTTP Verkehr von Web Applikationen unter dem Gesichtspunkt des Erkennens von eingeschleustem JaveScript-codes betrachtet, fallen zwei einfache Zusammenhänge ins Auge: | ||
| + | |||
| + | :* Die Menge aller von einer Web Applikation legitim verwendeten JavaScripte ist stark eingeschränkt, was sowohl in Anzahl wie auch in Varianten betrifft, und ist somit maschinell erfassbar. | ||
| + | :* Es gibt einen klaren Zusammenhang zwischen den Parametern eines eingehenden HTTP Requests und den (eventuellen) reflected XSS Scripten, die in der resultierenden Web Seite enthalten sind. | ||
| + | |||
| + | :Basierend auf diesen beiden Beobachtungen wurden an den Universitäten Hamburg und Passau zwei Detektoren entwickelt, die in der Lage sind XSS Angriffe zu erkennen. Der Vortrag wird beide Erkennungsmethoden vorstellen und aufzeigen wie wir diese auf der Server-seite [1] sowie im Browser [2] umgesetzt haben. | ||
| + | |||
| + | :Links: | ||
| + | |||
| + | :[1] Martin Johns, Bjoern Engelmann, Joachim Posegga: XSSDS: | ||
| + | :Server-side detection of cross-site scripting attacks, in Annual Computer Security Applications Conference (ACSAC '08), December 2008, http://databasement.net/docs/2008_ACSAC_johns_Engelmann_Posegga_XSSDS.pdf | ||
| + | |||
| + | :[2] Jeremias Reith, noXSS, Firefox extension, http://www.noxss.org/ | ||
| + | |||
| + | :[http://www.owasp.org/images/9/9f/OWASP_Germany_2008_Server_und_Browser_basierte_XSS_Erkennung.pdf Download Präsentation] | ||
| + | :''Über Martin Johns und Jeremias Reith'' | ||
| + | |||
| + | :Martin Johns ist wissenschaftlicher Mitarbeiter an der Universität Passau, wo er im Bereich Web- und Software-Sicherheit forscht und gerade den finalen Schliff an seine Doktorarbeit bringt. Vor seinem Eintritt in die akademische Welt, wirkte er als Software Entwickler in verschiedenen Firmen, wie z.B. Infoseek Deutschland, TC Trustcenter und der SAP AG. | ||
| + | |||
| + | :Jeremias Reith studiert seit 2002 Informatik mit dem Schwerpunkt IT Sicherheit an der Universität Hamburg und arbeitet ausserdem als System-Engineer für ein international agierendes Medienhaus. Momentan schreibt er seine Diplomarbeit mit dem Thema "Reliable reflective XSS detection on the client side" und widmet sich in seiner Freizeit der Firefox-Erweiterung noXSS welche vor XSS-Angriffen schützen soll. | ||
| + | |||
| + | === Cross-Site Scripting Filter Evasion === | ||
| + | :Die Darstellung seiner Individualität ist einer der Schlüsselfaktoren, um im Web 2.0 Business erfolgreich tätig zu sein. Aus diesem Grund erlauben viele Web 2.0 Anwendungen Ihren Benutzern sich freizügig zu präsentieren. Aber diese Praxis erhöht die Risikoanfälligkeit von Cross-Site Scripting Schwachstellen. Der Vortrag untersucht diverse Blacklist- und Whitelist-Ansätze und wie solche Filterregeln umgangen werden können. | ||
| + | :[http://www.owasp.org/images/0/0f/OWASP_Germany_2008_Cross_Site_Scripting_Filter_Evasion.pdf Download Präsentation] | ||
| + | :''Über Alexios Fakos'' | ||
| + | |||
| + | :Alexios Fakos ist nach sieben Jahren in der Softwareentwicklung zum deutschen IT Sicherheitsdienstleister [http://www.nruns.com n.runs AG] gewechselt. Zurzeit ist Herr Fakos als Senior Security Consultant tätig. Seine Schwerpunkte sind unter anderem: Penetrationstests, Quellcodeanalysen und Schulungen für Softwareentwickler und -tester. Neben seiner beruflichen Tätigkeit hat Herr Fakos einen Lehrauftrag mit dem Thema Web Security am Fachbereich Mathematik, Naturwissenschaften und Datenverarbeitung ([http://galileo.fh-friedberg.de/ MND]) an der [http://www.fh-giessen-friedberg.de/ Fachhochschule Giessen-Friedberg]. | ||
| + | |||
| + | === Learning of Positive Security Models for Web-Applications === | ||
| + | |||
| + | :In vielen Bereichen haben maschinelle Lernverfahren bereits einen großen Einfluß genommen. SPAM-Bekämpfung und Anomalie-basierte Intrusion-Detection wären ohne KI-Ansätze wie Text-Klassifizierung, Clustering oder Outlier-Detection nicht möglich. Im Bereich der Web-Sicherheit gibt es dagegen bisher nur sehr wenige wissenschaftliche Arbeiten, maschinelles Lernen zu verwenden. Auf der anderen Seite werben immer mehr Hersteller von Web Application Firewalls mit selbst-lernenden Systemen ohne Details preiszugeben. | ||
| − | + | :Der Vortrag gibt einen Überblick über die (wenigen) wissenschaftlichen Arbeiten zum Thema Web-Sicherheit aus dem Blickwinkel des maschinellen Lernens und stellt ein Projekt vor, das versucht, positive Sicherheitsmodelle für WAF-Systeme aus HTTP-Traffic automatisiert zu erstellen. | |
| − | + | :[http://www.owasp.org/images/c/c1/OWASP_Germany_2008_Learning_Positive_Models.pdf Download Präsentation] | |
| − | + | :''Über Christian Bockermann'' | |
| − | + | :Christian Bockermann ist derzeit wissenschaftlicher Mitarbeiter an der Technischen Universität Dortmund. Nach seiner Diplomarbeit zum Thema "Anomalie-Erkennung in Web-Anwendungen" promoviert er zur Zeit am Lehrstuhl für künstliche Intelligenz im Bereich Web-Sicherheit. Neben einigen Projekten zur Web-Sicherheit betreibt er die Seite jwall.org [http://jwall.org], die einen Teil der Tools bereitstellt, die im Rahmen der Forschungsarbeiten bisher entwickelt wurden. | |
| − | |||
| − | |||
| − | + | === WMAP - Metasploit 3.2 Module für Pentester von Webapplikationen === | |
| − | + | :War das Metasploit Framework bisher vor allem für Penetrationstest auf Infrastrukturebene interessant, so wurden mit der Einbindung des WMAP Projekts von Efrain Torres eine Reihe von Modulen vorgestellt welche auch bei der Untersuchung einer Webapplikation nützlich sind. Dieser Vortrag zeigt die grundlegende Arbeitsweise mit diesen Modulen. | |
| + | :[http://www.owasp.org/images/b/b7/OWASP_Germany_2008_WMAP_Metasploit_Module_fuer_Pentester_von_Webapplikationen.pdf Download Präsentation] | ||
| + | :''Über Hans-Martin Münch'' | ||
| + | :Hans-Martin Münch arbeitet als Security Consultant bei der Firma it.sec, wo er sich hauptsächlich mit der Durchführung von Penetrationstests befasst. | ||
| − | + | === Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software === | |
| − | + | :Im Rahmen Forschungsprojektes [http://www.secologic.de Secologic] wurden von SAP und Commerzbank u.a. "Goldene Regeln" jeweils für Entwickler, Auftraggeber, Architekten, Tester und IT- Projektleiter entwickelt, die dazu beitragen sollen, die Zahl sicherheitsrelevanter Fehler in Software systematisch zu reduzieren. Das Projekt richtete sich insbesondere an den Mittelstand, wo spezialisiertes Wissen zur Sicherheit von IT-Anwendungen nicht vorausgesetzt werden kann. Die Besonderheit: Nicht nur die Entwickler, sondern auch die (internen oder externen) Auftraggeber werden in die Pflicht genommen. Denn hier sitzt der erste wichtige "Hebel" für die Verbesserung der Softwarequalität. | |
| − | + | :[http://www.owasp.org/images/e/e2/OWASP_Germany_2008_Goldene_Regeln_zur_Entwicklung_sicherer_Software.pdf Download Präsentation] | |
| + | :''Über Boris Hemkemeier'' | ||
| − | + | :Dr. Boris Hemkemeier arbeitet als Senior Security Consultant bei der [http://www.commerzbank.de Commerzbank AG] und ist Board Member des German OWASP Chapters. | |
| − | |||
| − | |||
| − | + | :''Über Patrick Hildenbrand'' | |
| − | |||
| − | |||
| − | + | :Patrick Hildenbrand ist Solution Manager SAP Business ByDesign mit den Schwerpunkten Security, Identity und Access Management und B2B Kommunikation. | |
| − | |||
| − | |||
| − | + | :''Über Tom Schröer'' | |
| − | |||
| − | + | :Tom Schröer koordiniert bei der [http://www.sap.com SAP AG] die internen Richtlinien für das sichere Programmieren. | |
| − | |||
| − | |||
| − | + | == Zimmerkontingente == | |
| − | |||
| − | |||
| − | |||
| − | + | Veranstaltungshotel: | |
| − | |||
| − | |||
| − | + | '''Steigenberger Airport Hotel Frankfurt''' | |
| − | |||
| − | |||
| − | + | Unterschweinstiege 16 | |
| − | |||
| − | + | D-60549 Frankfurt am Main | |
| − | |||
| − | |||
| − | + | Internet: www.airporthotel.seigenberger.de | |
| − | |||
| − | |||
| − | + | Zimmerreservierung unter folgendem Abrufkontingent reservierbar | |
| − | |||
| − | |||
| − | |||
| − | + | Telefon: 0049-69-6975 24 26 oder 0049-69-6975 24 27 | |
| − | |||
| − | |||
| − | |||
| − | + | Stichwort: OWASP | |
| − | |||
| − | |||
| − | |||
| − | + | Kosten pro Teilnehmer und Übernachtung: 165 Euro ohne Frühstück auf Selbstzahlerbasis | |
| − | |||
| − | |||
| − | |||
| − | + | ||
| − | |||
| − | |||
| − | |||
| − | + | ||
| − | |||
| − | |||
| − | + | Alternative Hotels stehen wir folgt zur Auswahl: | |
| − | |||
| − | |||
| − | |||
| − | + | '''NH Frankfurt Rhein Main''' | |
| − | |||
| − | |||
| − | |||
| − | + | Kelsterbacher Strasse 19-21 | |
| − | |||
| − | |||
| − | + | 65479 Raunheim | |
| − | |||
| − | + | Internet: www.nh-hotels.com | |
| − | |||
| − | |||
| − | | | + | Zimmerreservierung unter folgendem Abrufkontingent reservierbar |
| + | |||
| + | Telefon: 0049-6142-99 07 89 | ||
| + | |||
| + | Stichwort: OWASP | ||
| + | |||
| + | Kosten pro Teilnehmer und Übernachtung: 128 Euro ohne Frühstück auf Selbstzahlerbasis | ||
| + | |||
| + | Direkter Hotel Shuttle zum Airport und von dort mit Shuttle zum Steigenberger Airport Hotel Frankfurt | ||
| + | |||
| + | |||
| + | |||
| + | HRS Buchungssysteme: | ||
| + | |||
| + | Tel 0049-221-2077 600 | ||
| + | |||
| + | Internet: www.hrs.de | ||
| + | |||
| + | Hier können Sie aus einer großen Auswahl direkt Ihr Hotel aussuchen und gemäß Ihren Ansprüchen gezielt wählen. | ||
| + | |||
| + | |||
| + | |||
| + | |||
| + | Zurück zur [[Germany|OWASP Germany Homepage]]. | ||
Latest revision as of 23:20, 2 November 2012
| Die Präsentationen stehen zum Download zur Verfügung - siehe unten. |
Die deutsche Sektion des Open Web Application Security Projekts (OWASP) hat erstmals einen Branchentreff für Entwickler, IT-Security-Verantwortliche und IT-Manager ausgerichtet. Ziel der Veranstaltung war es, eine Plattform zum Erfahrungsaustausch zwischen technischen Entscheidern aufzubauen und herstellerunabhängige Information zum Thema Web-Anwendungssicherheit zur Verfügung zu stellen.
Die OWASP Germany 2008 Konferenz fand am
- 25. November 2008
mit einer Vorabendveranstaltung im Steigenberger Airport Hotel in Frankfurt am Main statt.
(The OWASP Germany 2008 conference has been held on November 25, 2008 in Frankfurt.)
| Organisatoren: | 
|
| |
| Sponsoren: | 
|
|
|
|
|
| |
|
|||
| Aussteller: | Art of Defence | ||
| denyall | |||
| SecureNet | |||
Zurück zur OWASP Germany Homepage.
- 1 Agenda
- 2 Anmeldung und Preise
- 3 Veranstaltungsort
- 4 Sponsoring
- 5 Pressemitteilung
- 6 Die Vorträge im Einzelnen
- 6.1 OWASP Overview (in Englisch)
- 6.2 Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen
- 6.3 Kickstart für sichere Webanwendungen
- 6.4 SOA Sicherheitsarchitektur
- 6.5 OWASP Best Practices zum Einsatz von Web Application Firewalls
- 6.6 Measuring the Security of Web Applications
- 6.7 Security-by-Design durch Einsatz von MVC
- 6.8 Server- und Browser-basierte XSS Erkennung
- 6.9 Cross-Site Scripting Filter Evasion
- 6.10 Learning of Positive Security Models for Web-Applications
- 6.11 WMAP - Metasploit 3.2 Module für Pentester von Webapplikationen
- 6.12 Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software
- 7 Zimmerkontingente
Agenda
| Montag, 24.11.08 Kennenlernen, Erfahrungsaustausch, Networking | ||
|---|---|---|
| 19:30-open end | Je komplexer unsere technisierte Welt, desto wichtiger werden persönliche Kontakte! In lockerer Atmosphäre möchten wir erreichen, dass die Teilnehmer in Kontakt miteinander treten, Interessen und Erfahrungen austauschen und möglicherweise Anknüpfungspunkte finden, die über die Veranstaltung hinausreichen.
Wir bitten daher alle Interessierten, sich zwischen 19.30 und 20.00 Uhr (spätestens!) am Veranstaltungsort einzufinden. Mit professioneller Unterstüzung werden wir dann zusehen, dass wir das Eis schnell brechen und nicht nur einen kommunikativen, sondern auch gemütlichen Abend verbringen. --- Für das leibliche Wohl ist gesorgt. --- | |
| OWASP Germany | ||
| Dienstag, 25.11.08 | ||
|---|---|---|
| 09:00-09:30 | Registrierung und Kaffee | |
| 09:30-09:45 | Begrüßung | |
| 09:45-10:30 | OWASP Overview (in Englisch) (download)
Sebastien Deleersnyder, OWASP Foundation Board Member | |
| 10:30-11:15 | Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen (download)
Maximilian Dermann, IT-Security Architect | |
| 11:15-11:30 | Kaffeepause | |
| 11:30-12:15 | Kickstart für sichere Webanwendungen (download)
Thomas Schreiber, SecureNet GmbH | |
| 12:15-13:00 | SOA Sicherheitsarchitektur (download)
Dr. Bruce Sams, OPTIMAbit GmbH | |
| 13:00-14:00 | Mittagspause | |
| 14:00-14:45 | Vorstellung des OWASP Best Practices Guide zum Einsatz von Web Application Firewalls (download)
Alex Meisel, Art of Defence | |
| Tracks: 30 Min Präsentation , 10 Min Diskussion + Raumsuche | ||
| Track 1 | Track 2 | |
| 14:50-15:30 | Measuring the Security of Web Applications (download)
Sebastian Schinzel, Virtual Forge |
Server- und Browser-basierte XSS Erkennung (download)
Martin Johns, Uni Passau, und Jeremias Reith, Uni Hamburg |
| 15:30-16:10 | Security-by-Design durch Einsatz von MVC (download)
Mirko Richter u. Matthias Rohr, SecureNet GmbH |
Cross-Site Scripting Filter Evasion (download)
Alexios Fakos, n.runs AG |
| 16:10-16:30 | Kaffeepause | |
| 16:30-17:10 | Learning of Positive Security Models for Web-Applications (download)
Christian Bockermann |
WMAP - Metasploit 3.2 Module für Pentester von Webapplikationen (download)
Hans-Martin Münch, it.sec GmbH & Co. KG |
| 17:10-17:50 | Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software (download)
Tom Schröer und Patrick Hildenbrand, SAP; Dr. Boris Hemkemeier, Commerzbank | |
| 17:50-18:00 | Schlusswort | |
| OWASP Germany | ||
Der Vortrag "Sicherheit von Rich Internet Applications" entfällt leider.
Anmeldung und Preise
Bitte melden Sie sich über dieses Formular an.
(Leider steht uns für dieses Mal das Anmeldeportal der OWASP noch nicht zur Verfügung. Wir mussten daher auf einen selbstsignierten https-Server ausweichen, was aber zu einem unschönen Zertifikatsfehler führt. Lassen Sie sich (ausnahmsweise!) davon nicht irritieren und klicken Sie, falls Sie eine Fehlerseite erhalten, auf Laden dieser Website fortsetzen (nicht empfohlen).)
Preise:
| „normaler“ Teilnehmer | 149 EUR |
| OWASP-Mitglied | 99 EUR |
| Studenten | kostenlos |
Preise zzgl. MwSt.
Veranstaltungsort
Steigenberger Airport Hotel (per Bahn und Flieger gleichermaßen gut zu erreichen). Zimmerkontingente hier.
Sponsoring
Es besteht die Möglichkeit zum Ausstellen und zum Logo-Sponsoring. Infos für Sponsoren hier.
Pressemitteilung
Die Pressemitteilung zur Konferenz finden Sie hier.
Die Vorträge im Einzelnen
OWASP Overview (in Englisch)
- An introduction to Open Web Application Security Project (OWASP), a worldwide free and open community focused on improving the security of application software. Our mission is to make application security "visible," so that people and organizations can make informed decisions about application security risks.
- Download Präsentation
- Über Sebastien Deleersnyder
- Sebastien started the successful Belgian OWASP Chapter and performed several public presentations on web application and web services security. Sebastien specialises in (web) applicatoin security, combining his software development and information security experience. He is currently OWASP Foundation board member and responsible for the Telindus application security offering in Belgium.
Wirtschaftlichkeitsbetrachtungen von IT-Sicherheitsmaßnahmen
- Das Problem ist bekannt: alle sind sich einig, dass Webanwendungen sicher sein sollten, aber niemand kann sagen, wie viel Aufwand zu deren Absicherung noch wirtschaftlich ist. Dieser Vortrag zeigt pragmatische, praxiserprobte Ansätze auf, sich einer Wirtschaftlichkeitsbetrachtung zu nähern.
- Download Präsentation
- Über Maximilian Dermann
- Maximilian Dermann ist selbstständiger IT-Security Architect. Er war bei Lufthansa Technik für mehr als fünf Jahre für die Sicherheit und den Betrieb der zuletzt über 60 eBusiness Applikationen zuständig. Seine Aufgaben beinhalteten u.a. die Erstellung von Detailrichtlinien für sichere Softwareentwicklung und den sicheren Betrieb der Applikationen, die Koordination von Sicherheitsaudits, das Design und die Koordination des Betriebs der Sicherheitsinfrastruktur sowie die Verantwortung für das Betriebsbudget. Als Projektleiter und Architekt hat er mehrere Projekte im Bereich IT-Sicherheit und IT-Infrastruktur durchgeführt. Maximilian Dermann war als Berater und Softwareentwickler im Bereich Webapplikationssicherheit an insgesamt vier Online-Banking und -Brokerage Projekten beteiligt. Er ist aktives Mitglied des OWASP German Chapters und einer der Co-Autoren des Best Practices Guide für Web Application Firewalls.
Kickstart für sichere Webanwendungen
- Der Ansatzpunkte und Maßnahmen zur Absicherung von Webanwendungen gibt es viele - doch wo fange ich an und was ist der für meinen ganz speziellen Fall beste Weg?
- Der Vortrag gibt einen kompakten Überblick über die verschiedenen Ansatzpunkte zur Absicherung von Webanwendungen, diskutiert Vor- und Nachteile und stellt Erfahrungen aus der Praxis dar.
- Download Präsentation
- Über Thomas Schreiber
- Thomas Schreiber ist Geschäftsführer der SecureNet GmbH und Berater für die Sicherheit von Webanwendungen. Seit vielen Jahren beschäftigt er sich mit Sicherheitsaspekten von Webanwendungen und hat mittlerweile Hunderte von Webanwendungen auf ihre Sicherheit hin untersucht. Er ist Coautor des vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenen Maßnahmenkatalog und Best Practices für die Sicherheit von Webanwendungen.
SOA Sicherheitsarchitektur
- Der Einsatz von SOA erfordert ein neues Sicherheitsmodell, da viele altbewährte Lösungen für Benutzermanagement, Authentifizierung, Autorisierung usw. nicht mehr funktionieren. Auch kommen neue Anforderungen hinzu, wie z.B. die Föderation und die Integration mit PKI-Systemen. Dieser Vortrag zeigt die spezifischen Sicherheitsprobleme von SOA von einer Architekturperspektive. Wichtige Standards für SOA, wie Policy Enforcement Point (PEP), Policy Decision Point (PDP), SAML, XACML, und deren konkrete Benutzung werden besprochen. Die Bedeutung von Rollenmodelle und die flexible Einbindung von solchen in SOAs wird auch behandelt.
- Download Präsentation
- Über Bruce Sams
- Dr. Bruce Sams ist ausgebildeter Physiker und Geschäftsführer von OPTIMAbit GmbH, einer führenden Beratungsfirma im Bereich Anwendungssicherheit (Architecture Review, Penetration Test, Single-Sign-On, PKI und mehr). Dr. Sams ist Autor vieler Fachartikel.
OWASP Best Practices zum Einsatz von Web Application Firewalls
- Der Vortrag stellt den vom OWASP Germany Chapter erstellten OWASP Best Practices zum Einsatz von Web Application Firewalls vor.
- Das Dokument wendet sich vornehmlich an technische Entscheider - speziell Betriebsverantwortliche, Sicherheitsverantwortliche, Applikationseigner (Fachabteilung, technisch Anwendungsverantwortlicher), die den Einsatz einer WAF im Unternehmen evaluieren. Spezielles Augenmerk wurde – wo immer möglich – auf die Darstellung von Aufwandsabschätzungen gelegt – auch im Vergleich zu möglichen Alternativen wie z. B. Änderungen im Sourcecode.
- Download Präsentation
- Über Alex Meisel
- Bereits in seiner Informatik-Diplomarbeit beschäftigte Alex Meisel sich mit der Abwehr und der Rückverfolgung von sog. Denial-of-Service- Attacken. Bei einem Schweizer IT-Dienstleister war er als Experte für Web-Sicherheit tätig; anschließend betreute er beim größten europäischen Internet-Knotenpunkt LINX (London Internet Exchange) Mitglieder in Fragen der Netzwerk-Sicherheit. Nach seiner dreijährigen Tätigkeit als Senior Consultant für Design und Implementierung von großen Web-Farmen inkl. Security-Audits bei einem führenden Hersteller von Web-Servern wechselte er als Leiter Projektmanagement zur Realisierung von Web-Applikations-Lösungen im SAP-Umfeld zum gleichen Fortune-500-Unternehmen.
Measuring the Security of Web Applications
- Software ist unsicher! "Security Researcher" publizieren nahezu täglich Sicherheitsmängel in Softwareapplikationen in einschlägigen Mailinglisten und Internetforen. Und das bereits seit Jahrzehnten. Softwaresicherheit wird immer wichtiger mit der zunehmenden Vernetzung und Kritikalität der Daten. Daher reservieren Softwarehersteller oft signifikante (aber trotzdem begrenzte) Budgets zur sicheren Softwareentwicklung. Um diese Budgets werben Dienstleister und Hersteller von verschiedensten Sicherheitsprodukten. Oft halten diese Dienste und Produkte nicht das, was das Marketing verspricht. Für Softwarehersteller stellt sich die Frage in welche Prozesse und Technologien in welchem Umfang investiert werden sollte: "Wieviel Sicherheitszuwachs bekommt man für wieviel Aufwand"? In diesem Vortrag beleuchte ich Wege und Irrwege, um dieses Kosten-Nutzen-Verhältnis abzuschätzen und zu optimieren.
- Download Präsentation
- Über Sebastian Schinzel
- Sebastian Schinzel ist seit mehr als fünf Jahren Entwickler und Sicherheitsberater. Sein Fokus liegt auf Sicherheitsuntersuchungen und sicherer Softwareentwicklung von Geschäftsapplikationen. Bei Virtual Forge führt er Sicherheitsuntersuchungen von SAP-Geschäftsapplikationen durch und berät SAP-Kunden zu sicherer Softwareentwicklung.
Security-by-Design durch Einsatz von MVC
- Das Frontend von Anwendungen in Model, View und Controller (MVC) zu unterteilen ist sicher eines der wichtigsten Architekturpatterns bei der Entwicklung von Webanwendungen. Für alle relevanten Programmiersprachen existieren hierfür mittlerweile zahlreiche mächtige Frameworks, wie z.B. Struts und Spring MVC für Java oder Symfony für PHP.
- Neben dem naheliegenden Nutzen für die Strukturierung der Anwendung besitzen MVC-Frameworks aber auch zahlreiche, oft wenig bekannte Möglichkeiten, die es selbst unerfahrenen Entwicklern ermöglichen, nachhaltig sichere Webanwendungen zu erstellen. Weitergehende Sicherheit wie CSRF-Schutz lässt sich mit speziellen MVC-Plugins, wie HDIV, auch nachträglich, in die Anwendung integrieren.
- Neben diesen Möglichkeiten werden in diesem Vortrag aber auch grundlegende Sicherheitsprobleme betrachtet, die sich mit dem Einsatz von MVC-Frameworks ergeben.
- Download Präsentation
- Über Mirko Richter und Matthias Rohr
- Mirko Richter ist Entwickler sowie Berater für Softwarearchitektur und –sicherheit bei der SecureNet GmbH in München. Matthias Rohr ist Berater für Webapplikationssicherheit bei der SecureNet GmbH in München.
Server- und Browser-basierte XSS Erkennung
- Wenn man sich HTTP Verkehr von Web Applikationen unter dem Gesichtspunkt des Erkennens von eingeschleustem JaveScript-codes betrachtet, fallen zwei einfache Zusammenhänge ins Auge:
- Die Menge aller von einer Web Applikation legitim verwendeten JavaScripte ist stark eingeschränkt, was sowohl in Anzahl wie auch in Varianten betrifft, und ist somit maschinell erfassbar.
- Es gibt einen klaren Zusammenhang zwischen den Parametern eines eingehenden HTTP Requests und den (eventuellen) reflected XSS Scripten, die in der resultierenden Web Seite enthalten sind.
- Basierend auf diesen beiden Beobachtungen wurden an den Universitäten Hamburg und Passau zwei Detektoren entwickelt, die in der Lage sind XSS Angriffe zu erkennen. Der Vortrag wird beide Erkennungsmethoden vorstellen und aufzeigen wie wir diese auf der Server-seite [1] sowie im Browser [2] umgesetzt haben.
- Links:
- [1] Martin Johns, Bjoern Engelmann, Joachim Posegga: XSSDS:
- Server-side detection of cross-site scripting attacks, in Annual Computer Security Applications Conference (ACSAC '08), December 2008, http://databasement.net/docs/2008_ACSAC_johns_Engelmann_Posegga_XSSDS.pdf
- [2] Jeremias Reith, noXSS, Firefox extension, http://www.noxss.org/
- Download Präsentation
- Über Martin Johns und Jeremias Reith
- Martin Johns ist wissenschaftlicher Mitarbeiter an der Universität Passau, wo er im Bereich Web- und Software-Sicherheit forscht und gerade den finalen Schliff an seine Doktorarbeit bringt. Vor seinem Eintritt in die akademische Welt, wirkte er als Software Entwickler in verschiedenen Firmen, wie z.B. Infoseek Deutschland, TC Trustcenter und der SAP AG.
- Jeremias Reith studiert seit 2002 Informatik mit dem Schwerpunkt IT Sicherheit an der Universität Hamburg und arbeitet ausserdem als System-Engineer für ein international agierendes Medienhaus. Momentan schreibt er seine Diplomarbeit mit dem Thema "Reliable reflective XSS detection on the client side" und widmet sich in seiner Freizeit der Firefox-Erweiterung noXSS welche vor XSS-Angriffen schützen soll.
Cross-Site Scripting Filter Evasion
- Die Darstellung seiner Individualität ist einer der Schlüsselfaktoren, um im Web 2.0 Business erfolgreich tätig zu sein. Aus diesem Grund erlauben viele Web 2.0 Anwendungen Ihren Benutzern sich freizügig zu präsentieren. Aber diese Praxis erhöht die Risikoanfälligkeit von Cross-Site Scripting Schwachstellen. Der Vortrag untersucht diverse Blacklist- und Whitelist-Ansätze und wie solche Filterregeln umgangen werden können.
- Download Präsentation
- Über Alexios Fakos
- Alexios Fakos ist nach sieben Jahren in der Softwareentwicklung zum deutschen IT Sicherheitsdienstleister n.runs AG gewechselt. Zurzeit ist Herr Fakos als Senior Security Consultant tätig. Seine Schwerpunkte sind unter anderem: Penetrationstests, Quellcodeanalysen und Schulungen für Softwareentwickler und -tester. Neben seiner beruflichen Tätigkeit hat Herr Fakos einen Lehrauftrag mit dem Thema Web Security am Fachbereich Mathematik, Naturwissenschaften und Datenverarbeitung (MND) an der Fachhochschule Giessen-Friedberg.
Learning of Positive Security Models for Web-Applications
- In vielen Bereichen haben maschinelle Lernverfahren bereits einen großen Einfluß genommen. SPAM-Bekämpfung und Anomalie-basierte Intrusion-Detection wären ohne KI-Ansätze wie Text-Klassifizierung, Clustering oder Outlier-Detection nicht möglich. Im Bereich der Web-Sicherheit gibt es dagegen bisher nur sehr wenige wissenschaftliche Arbeiten, maschinelles Lernen zu verwenden. Auf der anderen Seite werben immer mehr Hersteller von Web Application Firewalls mit selbst-lernenden Systemen ohne Details preiszugeben.
- Der Vortrag gibt einen Überblick über die (wenigen) wissenschaftlichen Arbeiten zum Thema Web-Sicherheit aus dem Blickwinkel des maschinellen Lernens und stellt ein Projekt vor, das versucht, positive Sicherheitsmodelle für WAF-Systeme aus HTTP-Traffic automatisiert zu erstellen.
- Download Präsentation
- Über Christian Bockermann
- Christian Bockermann ist derzeit wissenschaftlicher Mitarbeiter an der Technischen Universität Dortmund. Nach seiner Diplomarbeit zum Thema "Anomalie-Erkennung in Web-Anwendungen" promoviert er zur Zeit am Lehrstuhl für künstliche Intelligenz im Bereich Web-Sicherheit. Neben einigen Projekten zur Web-Sicherheit betreibt er die Seite jwall.org [1], die einen Teil der Tools bereitstellt, die im Rahmen der Forschungsarbeiten bisher entwickelt wurden.
WMAP - Metasploit 3.2 Module für Pentester von Webapplikationen
- War das Metasploit Framework bisher vor allem für Penetrationstest auf Infrastrukturebene interessant, so wurden mit der Einbindung des WMAP Projekts von Efrain Torres eine Reihe von Modulen vorgestellt welche auch bei der Untersuchung einer Webapplikation nützlich sind. Dieser Vortrag zeigt die grundlegende Arbeitsweise mit diesen Modulen.
- Download Präsentation
- Über Hans-Martin Münch
- Hans-Martin Münch arbeitet als Security Consultant bei der Firma it.sec, wo er sich hauptsächlich mit der Durchführung von Penetrationstests befasst.
Goldene Regeln der IT-Sicherheit bei der Beauftragung und Erstellung von Software
- Im Rahmen Forschungsprojektes Secologic wurden von SAP und Commerzbank u.a. "Goldene Regeln" jeweils für Entwickler, Auftraggeber, Architekten, Tester und IT- Projektleiter entwickelt, die dazu beitragen sollen, die Zahl sicherheitsrelevanter Fehler in Software systematisch zu reduzieren. Das Projekt richtete sich insbesondere an den Mittelstand, wo spezialisiertes Wissen zur Sicherheit von IT-Anwendungen nicht vorausgesetzt werden kann. Die Besonderheit: Nicht nur die Entwickler, sondern auch die (internen oder externen) Auftraggeber werden in die Pflicht genommen. Denn hier sitzt der erste wichtige "Hebel" für die Verbesserung der Softwarequalität.
- Download Präsentation
- Über Boris Hemkemeier
- Dr. Boris Hemkemeier arbeitet als Senior Security Consultant bei der Commerzbank AG und ist Board Member des German OWASP Chapters.
- Über Patrick Hildenbrand
- Patrick Hildenbrand ist Solution Manager SAP Business ByDesign mit den Schwerpunkten Security, Identity und Access Management und B2B Kommunikation.
- Über Tom Schröer
- Tom Schröer koordiniert bei der SAP AG die internen Richtlinien für das sichere Programmieren.
Zimmerkontingente
Veranstaltungshotel:
Steigenberger Airport Hotel Frankfurt
Unterschweinstiege 16
D-60549 Frankfurt am Main
Internet: www.airporthotel.seigenberger.de
Zimmerreservierung unter folgendem Abrufkontingent reservierbar
Telefon: 0049-69-6975 24 26 oder 0049-69-6975 24 27
Stichwort: OWASP
Kosten pro Teilnehmer und Übernachtung: 165 Euro ohne Frühstück auf Selbstzahlerbasis
Alternative Hotels stehen wir folgt zur Auswahl:
NH Frankfurt Rhein Main
Kelsterbacher Strasse 19-21
65479 Raunheim
Internet: www.nh-hotels.com
Zimmerreservierung unter folgendem Abrufkontingent reservierbar
Telefon: 0049-6142-99 07 89
Stichwort: OWASP
Kosten pro Teilnehmer und Übernachtung: 128 Euro ohne Frühstück auf Selbstzahlerbasis
Direkter Hotel Shuttle zum Airport und von dort mit Shuttle zum Steigenberger Airport Hotel Frankfurt
HRS Buchungssysteme:
Tel 0049-221-2077 600
Internet: www.hrs.de
Hier können Sie aus einer großen Auswahl direkt Ihr Hotel aussuchen und gemäß Ihren Ansprüchen gezielt wählen.
Zurück zur OWASP Germany Homepage.
