IT-Security Grundwissen

  • Themenstarter Themenstarter Gelöschtes Mitglied 29330
  • Beginndatum Beginndatum
G

Gelöschtes Mitglied 29330

Guest
Interessiere mich zurzeit auch ziemlich für IT-Security habe mir aber gedacht das ich mir zu erst mal ein paar Programmiersprach-Kenntinisse angeeignet (hauptsächlich C++).
Habe mir auch schon mal wirklich nur die kleinsten Basics angeschaut also was ist ein Exploit, Payloads und sowas.(Also wirklich die kleinsten Grundlagen und da auch nur die Begriffserklärungen)
Auch mal Ubuntu und Kali angeschaut sowie Metasploit.
Bin jetzt wieder auf das Thema gekommen durch den Beitrag in dem Forum hier.
https://www.hackerboard.de/off-topic-zone/50532-oscp.html?highlight=oscp
Meine Frage welches Tutorial benutzt der Themenhersteller?
Und sicherlich noch eine dumme Anfänger Frage wie kann man wenn man einen Exploit gefunden hat der für das Problem passt diesen dann Hochladen bzw. benutzten also auf das problem anwenden?
Könnte mir vlt. wenn jemand mal Zeit hat ;) ein paar Grund begriffe des verlinkten Threads erklären wie z.B. active info gath ein nicht routebares Netzwerk finde oder DC, EIP oder auch evilbuffer, badchars, RCE Exploits oder Recon
Und Vorallem der Themenleiter redet das er ein paar Computer übernommen hat, hat er eine Umgebung in welcher er dies legal machen darf oder auch die 65 Hosts von den er redet????
 
OCSP ist eine Zertifizierung, die Umgebung und Handbücher stellt der Anbieter. Natürlich hat das wiederum einen gewissen Preis. Und es scheint, als wäre es letztendlich deine Sache, was du aus dem Zugang zu Material und Umgebung machst.

Als Alternative gibt es von der Community betriebene Wargames, an denen du dir die Grundlagen selbst beibringen kannst und die meist ebenfalls offene Quellen mitliefern. Eine Liste findest du z.B. unter [WeChall] Uber WeChall. Hier geht es üblicherweise um die Anwendung verschiedener Angriffe auf technischer Ebene und nicht direkt darum, einen bestimmten Exploit auszuführen, der auf spezielles Softwarepaket passt.

Auch gibt es haufenweise ISO Images, die mit verwundbarer Software ausgestattet wurden, meistens auf Linux-Basis, z.B. penetration test - Replacement for DVL (Damn Vulnerable Linux)? - Information Security Stack Exchange

Im Allgemeinen umfasst IT-Security aber deutlich mehr, als nur das "kaputt machen" von Anwendungen. So gibt es neben der Applikationssicherheit auch noch Themen wie Kryptographie, Netzwerksicherheit oder Systemsicherheit. Oder man geht noch einen Schritt zurück und blickt auf das Thema Informationssicherheit - also der Schutz von Informationen allgemein und nicht nur in IT-Systemen. Übertrieben gesagt, das hier. ;)
 
Die Courseware ist wie Beere sagt vom Anbieter. Das Lab ist ein geschlossenes Netz und vollkommen legal zu hacken. Über VPN erreichbar.

Als Anfänger empfehle ich dir Bücher. Tutorials sind oft unvollständig und es fehlt oft der Zusammenhang. Was nicht heißt, dass es keine guten gibt.
Welche hängt von deinen Kentnissen ab. Beim Rheinwerkverlag kannst du dir die openbooks zu diversen IT Themen ziehen.
Security Bücher kosten meist Geld. Ein kostenloses wäre mir nicht bekannt.
Der Zusatz ext:pdf bei google soll mit den passenden Suchbegriffen aber Ergebnisse ausspucken. Ob das legal ist kann ich nicht beurteilen [emoji41]

Es gibt vom BSI ein PDF mit einer Studie zu Penetrationtests. Es gibt OSTMM als PDF. Pentest-standard.org, Metasploit-Unleashed usw. kostenlos....

Mit Englisch solltest du dich früher oder später anfreunden.

Wie Beere sagt ist das Thema breit gefechert. Der OSCP betrifft das was die Allgemeinheit als hacken versteht. Die legale Variante nennt sich Penetration-Test.

vulnhub.com sei hier als von mir favorisierte Quelle von hackbaren VM's genannt.

Wenn du dich rein privat dafür interessierst ist der OSCP wohl nicht relevant, da mit Kosten verbunden. Wenn du ihn doch machen möchtest empfehle ich dir dir genug Vorwissen anzueignen, da das Kostspielige und auch interessante eigentlich das Lab ist. Wenn du dir erst Basics beibringen musst tickt die Uhr trotzdem weiter und das Geld ist weg.
 
Also welche guten Bücher würdet ihr denn dann empfehlen wenn Tutorials eigentlich eh nicht zu gebrauchen sind?
Was sagt ihr wie man den besten Einstieg in das Thema bekommt wenn man als Grundlage nur ein paar Programmier-Grundkentnisse hat?


Gesendet von iPhone mit Tapatalk
 
Ich meinte damit nicht, dass die dann nutzlos sind.

Wenn du die durch hast greif die einzelnen Themen nochmal auf und vertiefe sie. Dann hast du eine Grundlage mit der man arbeiten kann.

Rheinwerk Computing :: IT-Handbuch für Fachinformatiker - index

Rheinwerk Computing :: Windows Server 2012 R2 - index

Rheinwerk Computing :: Linux - index

Rheinwerk Computing :: Java ist auch eine Insel - index

Hacking mit Kali: Amazon.de: Andreas Weyert: Bucher

Also das Buch über Kali hatte ich mal durchgeblättert und es ist wirklich nur was für richtige Anfänger, die eine Einführung benötigen.

Metasploit

Hier wird Metasploit behandelt und man wird ganz nett durch Szenarios geführt.

IT-Sicherheit

Diesen Schinken habe ich in einer etwas älteren Ausgabe sehr empfehlenswert gefunden. Ich denke die Neuauflage sollte nichts verschlechtert haben.

OSSTMM

Pentest Methodology - ein alternativer Ansatz, der nicht jedem liegt

BSI-Konzept

Pentest Durchfhrungskonzept vom BSI

Du solltest dir ein paar Jahre Zeit nehmen [emoji16]
 
Zuletzt bearbeitet:
Wie lange habt ihr den gebraucht?
Oder wie alt wart ihr als ihr mit IT-Sicherheit in Kontakt gekommen seit und wie lang habt ihr dann gebraucht?


Gesendet von iPhone mit Tapatalk
 
Grundsätzlich ist man nie fertig... life long learning...

Wie lange man braucht bis man damit was anfangen kann hängt ganz stark von dir selbst ab. Wie schnell du den Stoff lernst, verstanden hast und anwenden kannst. Eine Lehre dauert gut drei Jahre... rechne noch zwei drei Jährchen mit Berufserfahrung und Spezialisierung drauf. Ein Studium dauert ähnlich lang. Ich würde mal auch die 5 Jahre anpeilen bis du weißt wovon du sprichst. Es kann natürlich schneller gehen, aber denk dran dein Leben nicht zu vernachlässigen. Das kann man nur einmal genießen [emoji6]

Es ist wie beim Führerschein, vom Quatschen lernt man das fahren nicht. Also solltest du die Theorie auch in die Praxis umgesetzt haben.

Erste erfolge wirst du schon früher haben. Also lass dich von 5 Jahren nicht abschrecken.

Das Alter ist vollkommen egal. Sobald du in der Lage bist das Gerät zu bedienen und lernfähig bist kannst du los legen.

Mal so am Rande:

Manchmal muss man sich aber auch eingestehen, dass das Thema nichts für einen ist und wechselt dann hoffentlich rechtzeitig in eine andere Branche. Es gibt nichts schlimmeres als vom Leben gezwungene Admins weil IT grad Mode ist. Wer Interesse und Spass daran hat ist einfach motivierter und bringt schon mal eine grundsätzliche Leistung.

Nebenbei sei noch Englisch in Wort und Schrift zu empfehlen. Da gibts ja online Angebote.

Und Mathe empfehle ich am Rande, wenn du dich mit den Hintergründen beschäftigst. Ein bisschen steht im Fachinformatiker Buch. Ich weiß nicht was du für ne Schule besuchst oder hast, aber auf ombplus.de kann man sich die gute Mathe Basis nochmal kostenlos anschauen.
 
Zu deinen vergessenen Fragen:
Exploits kann man auf unterschiedlichste Art und Weise hochladen. Da ist alles erlaubt was funktioniert und das ist manchmal auch die Kunst. z. B. auf einfachste Weise über Dienste wie ftp, http, ssh oder auch Programme wie netcat
man kann auch code in http anfragen verstecken usw.

DC = Domain Controller

active info gath = aktive Invormationsbeschaffung (Information Gathering)

evilbuffer = ist einfach nur eine Bezeichnung für den Payload, den Bösen Code der bei einem Exploit ausgeführt werden soll

badchars = kurz gesagt Zeichen, die nicht im Payload vorkommen dürfen, da der Computer sie falsch interpretiert und der Exploit dann fehlschlägt

RCE = Remote Code Execution = du kannst mit der Sicherheitslücke Code enfernt ausführen besser gesagt du kannst den Exploit einfach auf deiner Kiste starten und er wird dann auf dem Ziel ausgeführt

recon = reconnaissance = ein anderes Wort für active information gathering

Für Begriffe die du nicht kennst schmeiss einfach google an meistens gibts nen wikipedia Treffer oder es hat sich mit der Übersetzung ins Deutsche geklärt.
 
Also was Exploit-Entwicklung betrifft kann ich dir die Exploit Writing Tutorial Reihe vom Corelan Team empfehlen.

Weil SchwarzeBeere die ISO Images von Systemen mit Sicherheitslücken erwähnt hat, auf VulnHub findest du weitere Images.

Letztes Jahr bin ich auf cybrary gestoßen, da findest du kostenlose Kurse zu bestimmten Themen aus der IT-Sicherheit wie bspw. Penetration Testing, Malware Analysis und Forensik. Sind auch Kurse dabei zu anderen IT-Themen.

Das wichtigste hat lama0815 schon genannt, life long learning und auf jeden fall Spaß an der Sache haben :thumb_up:. Gibt genügend Themengebiete in der IT-Sicherheit die alle interessant sind und wie du siehst gibt es genügend kostenloses Material um mit dem lernen und üben zu beginnen.
 
lama0815 hat gesagt.:
Zu deinen vergessenen Fragen:
Exploits kann man auf unterschiedlichste Art und Weise hochladen. Da ist alles erlaubt was funktioniert und das ist manchmal auch die Kunst. z. B. auf einfachste Weise über Dienste wie ftp, http, ssh oder auch Programme wie netcat
man kann auch code in http anfragen verstecken usw.

DC = Domain Controller

active info gath = aktive Invormationsbeschaffung (Information Gathering)

evilbuffer = ist einfach nur eine Bezeichnung für den Payload, den Bösen Code der bei einem Exploit ausgeführt werden soll

badchars = kurz gesagt Zeichen, die nicht im Payload vorkommen dürfen, da der Computer sie falsch interpretiert und der Exploit dann fehlschlägt

RCE = Remote Code Execution = du kannst mit der Sicherheitslücke Code enfernt ausführen besser gesagt du kannst den Exploit einfach auf deiner Kiste starten und er wird dann auf dem Ziel ausgeführt

recon = reconnaissance = ein anderes Wort für active information gathering

Für Begriffe die du nicht kennst schmeiss einfach google an meistens gibts nen wikipedia Treffer oder es hat sich mit der Übersetzung ins Deutsche geklärt.
Zum Vergrößern anklicken....
Also Informations Technologie kann wirklich jeder lernen der ein bisschen Computer Erfahrung hat.
Ich persönlich bin schon seit ca 2 Jahren an speziell Computer Technologien interessiert und lerne seit einem Jahr Java habe mit 12 Jahren angefangen in Java zu programmieren. Momentan suche ich nach mehr IT wissen. Also lama0815 hat eindeutig recht, wenn Interesse besteht und man motiviert ist kann man auch früher Erfolge haben bevor man 5 Jahre sich mit dem Thema beschäftigt.
 
Bist du 13?!


Gesendet von iPhone mit Tapatalk
 
Und welche "speziellen Computer Technologien" erwecken dein Interesse?


Gesendet von iPhone mit Tapatalk
 
Kann dir das IT Handbuch für Fachinformatiker nur empfehlen. Da sind alle wichtige Basics aufgelistet und ausführlich erklärt. :) Hat mir vor Jahren auch sehr geholfen.
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben