Lektüre für Security?

[RubberDog]

Moin,

ich bin gerade mit meiner Ausbildung durch, und soll in Zukunft die IT-Sicherheit hier übernehmen - "hier" ist dabei ein Fachbereich einer Universität, welcher durch Studenten und Mitarbeiter auf eine nicht ganz niedrige 4-stellige Nutzerzahl kommt.

Das eigentliche Problem ist, dass mich niemand so richtig an die Thematik heranführen kann, da mein Vorgänger nach einer Krankschreibung nicht mehr arbeitsfähig war und sich der Rest nicht sonderlich damit auskennt.
Ein paar Bücher dazu stehen hier zwar noch, jedoch aus den 90ern und Anfang der 2000er - nichts, worauf man sich im Falle eines Falles verlassen möchte.

Daher meine Frage - kann jemand ein paar brauchbare Bücher empfehlen? 
Primär in Richtung Server (Linux, Unix) und Netzwerksicherheit?


Vielen Dank schon einmal im vorraus.

[Alistair]

Nicht direkt Bücher aber generell kann man sich mal die Empfelungen vom BSI dazu ansehen ...

[Graustein]

Um was für IT-Sicherheit geht es denn?
Ich vermute mal es geht um Admin-Themen wie Firewall, Virenscanner usw und nicht Krypthographie?

[Goulasz]

Hallo @RubberDog!

Wenn es Richtung Entwicklung geht (deckt aber auch viel ab, worauf man als Admin achten sollte), kann ich dir wärmstens das OWASP ans Herz legen. Der Name "Open Web Application Security Project" suggeriert zwar primär einen Fokus auf Webanwendungen, aber selbstverständlich werden auch dahinter liegende Layer beleuchtet und andere Bereiche in weiterführenden Blogartikeln o.Ä. beleuchtet.

Material zur und um die ISO 27001 ist zwar etwas trocken, bietet aber auch eine gute Grundlage rund um Sicherheit in IT.

Gruß, Goulasz  

[RubberDog]

33 minutes ago, Graustein said:

Um was für IT-Sicherheit geht es denn?
Ich vermute mal es geht um Admin-Themen wie Firewall, Virenscanner usw und nicht Krypthographie?

Richtig, eher die Administrative Seite eines größeren Netzwerkes mit etlichen, verschiedenartigen Servern.
Dazu wäre auch noch etwas in Richtung Incident Response nicht verkehrt.

 

 

33 minutes ago, Goulasz said:

Wenn es Richtung Entwicklung geht (deckt aber auch viel ab, worauf man als Admin achten sollte), kann ich dir wärmstens das OWASP ans Herz legen. Der Name "Open Web Application Security Project" suggeriert zwar primär einen Fokus auf Webanwendungen, aber selbstverständlich werden auch dahinter liegende Layer beleuchtet und andere Bereiche in weiterführenden Blogartikeln o.Ä. beleuchtet.

Material zur und um die ISO 27001 ist zwar etwas trocken, bietet aber auch eine gute Grundlage rund um Sicherheit in IT.

Weniger Entwicklung, aber ich werds mir trotzdem mal anschauen, vielen Dank.

[Gast Arvi]

Also wenn man das Thema zumindest halbwegs ernst nimmt muss man ehrlicherweise sagen, dass es ziemlich absurd ist einem zukünftigen Gesellen ohne Schulung soetwas aufzubrummen. Ich der Meinung, dass man dafür ordentliche Schulungen braucht, die einem auch in der Breite an das Themengebiet heranführen. Mit einer Firewall/IDS/PKI Infrastruktur ist es nicht getan - es müssen auch Prozesse definiert werden wie z. B. im einen Ernstfall zu handeln ist. Im besten Fallen bekommt man Schulungen UND es wird eine externe Seucrity Firma hinzugezogen.

Anonsten noch:

Demnächst erscheint ein interessantes Buch zum Thema Hacking/Security im Rheinwerk Verlag, wo verschiedenste Autoren vom Fach zu ihrem Steckenpferd schreiben. Dort geht es u.a. auch um Basis Absicherung von Webservern oder zentralen Infrastruktur Diensten.

[RubberDog]

24 minutes ago, Arvi said:

Also wenn man das Thema zumindest halbwegs ernst nimmt muss man ehrlicherweise sagen, dass es ziemlich absurd ist einem zukünftigen Gesellen ohne Schulung soetwas aufzubrummen. Ich der Meinung, dass man dafür ordentliche Schulungen braucht, die einem auch in der Breite an das Themengebiet heranführen. Mit einer Firewall/IDS/PKI Infrastruktur ist es nicht getan - es müssen auch Prozesse definiert werden wie z. B. im einen Ernstfall zu handeln ist. Im besten Fallen bekommt man Schulungen UND es wird eine externe Seucrity Firma hinzugezogen.

Stimmt. Es ist auch nicht gesagt, dass ich mir alles selbst beibringen muss - es ist lediglich derzeit niemand da, der es könnte. Irgendwelche passenden Schulungen etc sind vermutlich realisierbar.

 

24 minutes ago, Arvi said:

Demnächst erscheint ein interessantes Buch zum Thema Hacking/Security im Rheinwerk Verlag, wo verschiedenste Autoren vom Fach zu ihrem Steckenpferd schreiben. Dort geht es u.a. auch um Basis Absicherung von Webservern oder zentralen Infrastruktur Diensten.

Hab's mir gerade mal angesehen. Allerdings kenne ich bereits "Hacking - Die Kunst des Exploit" von Jon Erickson, sowie "Penetration Testing - A hands-on Introduction to Hacking" von Georgia Weidman. Mal schauen, ob das Buch einen Mehrwert bietet, der den Kauf rechtfertigt.

Bearbeitet 9. Februar 2018 von RubberDog

[Goulasz]

Hallo @RubberDog!

In Kassel bei uns gibt es zusätzlich auch ein IT-Security Meetup. Ggfs. gibt es sowas bei dir in der Umgebung auch? Wenn nicht: Mach eins auf.  

Netzwerken und über echte Probleme aus dem Alltag quatschen bringt dem recht trocken anmutenden Thema doch einiges an Praxisrelevanz dazu.

Gruß, Goulasz  

[afo]

Ich finde ihr steigt zu tief ein. Die grundlegende Frage ist: Sollst du der Admin sein, der "seine" Systeme absichert, oder sollst du der für die Datensicherheit Verantwortliche sein. Und je nachdem sind die "Bildungspfade" höchst unterschiedlich.

[RubberDog]

On 09/02/2018 at 5:47 PM, afo said:

Ich finde ihr steigt zu tief ein. Die grundlegende Frage ist: Sollst du der Admin sein, der "seine" Systeme absichert, oder sollst du der für die Datensicherheit Verantwortliche sein. Und je nachdem sind die "Bildungspfade" höchst unterschiedlich.

Es sind eher "meine" Systeme, da es nur meinen Fachbereich betrifft, nicht das gesamte Netz der Uni.
Da allerdings ein Großteil der PCs und Server hier öffentliche IPs haben, macht das vermutlich keinen allzu großen Unterschied.