Security/OWASP: Anleitungen und Praxiswissen | Seite 9 | mironsoft Blog
Security/OWASP
-
21.10.2025
Sobald ein Team weiß, dass die Aufarbeitung eines Sicherheitsvorfalls damit endet, eine schuldige Person zu benennen, ändert sich das Verhalten in der Aufarbeitung selbst: Details werden zurückgehalten, Zeitlinien geglättet und unbequeme Fragen vermieden. Ein blame-freies Postmortem verschiebt den Fokus konsequent von der Frage, wer einen Fehler gemacht hat, hin zu der Frage, welche Bedingungen diesen Fehler überhaupt erst möglich gemacht haben, und führt dadurch nachweislich zu ehrlicheren, vollständigeren Berichten.
-
20.10.2025
Ein korrekt konfigurierter TLS Stack entscheidet darüber, ob Kundendaten, Zahlungsinformationen und Sessions in Magento Shops wirklich geschützt sind oder nur scheinbar. Dieser Artikel zeigt, wie der TLS Handshake funktioniert, warum veraltete Protokollversionen und schwache Cipher Suites ein reales Risiko darstellen, wie Zertifikatsketten korrekt validiert werden und wie Let's Encrypt, HSTS und gehärtete Serverkonfigurationen zusammenspielen.
-
19.10.2025
Ein gestohlenes Admin-Passwort reicht heute für einen Totalschaden im Magento-Backend. Dieser Artikel zeigt, wie TOTP nach RFC 6238, gehashte Backup-Codes und phishing-resistentes WebAuthn/FIDO2 technisch korrekt implementiert werden und wie sich Magentos natives Two-Factor-Auth-Modul für alle Admin-Nutzer erzwingen lässt.
-
11.10.2025
Image Signing beweist, dass ein Container Image tatsächlich aus der eigenen Pipeline stammt und seit dem Build nicht verändert wurde. Eine Software Bill of Materials listet jede einzelne Komponente im Image auf und macht Supply-Chain-Risiken sichtbar, bevor sie zum Sicherheitsvorfall werden. Cosign und Syft aus dem Sigstore-Ökosystem setzen beides ohne eigene PKI-Infrastruktur um.
-
06.10.2025
Ein CIS Benchmark liefert die konkreteste verfügbare Checkliste, um einen Linux Server nachvollziehbar zu härten und Compliance-Anforderungen zu erfüllen. Wer die Kontrollen versteht, priorisiert und mit CIS-CAT sowie Ansible automatisiert, ersetzt manuelle Einzelprüfungen durch wiederholbare, auditierbare Prozesse.
-
01.10.2025
Ungepatchte Server sind das häufigste Einfallstor für Angriffe, aber vollautomatische Updates ohne Kontrolle bergen ein eigenes Risiko. Dieser Artikel zeigt, wie unattended-upgrades Sicherheitspatches zuverlässig einspielt, Fehler per E-Mail meldet und Reboots in ein planbares Wartungsfenster verschiebt, statt den Betrieb unvorhersehbar zu unterbrechen.
-
30.09.2025
Ein Passwort als Kommandozeilenargument übergeben, landet dauerhaft in der Bash History und ist für jeden sichtbar, der später dieselbe Shell nutzt. Dieser Artikel zeigt, wie Secrets in der Bash History, der Prozessliste und in Logs entstehen, wie HISTCONTROL und sichere Übergabewege das verhindern, und wie man bestehende History-Dateien nach vergessenen Zugangsdaten durchsucht.
-
27.09.2025
Ein Threat-Modeling-Workshop ohne feste Struktur verläuft schnell im Sand, weil Teilnehmer entweder zu abstrakt bleiben oder sich in Detailfragen einzelner Komponenten verlieren, ohne systematisch alle relevanten Bedrohungskategorien abzudecken. Die STRIDE-Methodik gibt genau diese Struktur vor, indem sie sechs klar abgegrenzte Bedrohungskategorien liefert, die pro Systemkomponente durchgegangen werden, und so aus einer offenen Diskussion einen wiederholbaren, vollständigen Prozess macht.
-
27.09.2025
SUID, SGID und das Sticky Bit steuern, mit welchen Rechten Programme laufen, wer Gruppenrechte erbt und wer Dateien in gemeinsam genutzten Verzeichnissen löschen darf. Richtig eingesetzt ermöglichen sie sichere Systemwerkzeuge wie passwd und stabile geteilte Projektordner ohne ständige manuelle Rechtevergabe. Falsch konfiguriert öffnen unentdeckte SUID-Binaries jedoch ein klassisches Einfallstor für Privilege Escalation, das jeder Administrator regelmäßig gezielt auditieren sollte.
-
22.09.2025
Wer Claude Code oder ähnliche Assistenten nutzt, sendet Code-Kontext und Prompts an einen externen Anbieter. Dieser Artikel zeigt konkret, was dabei übertragen wird, wie man eine Datenschutz- und Trainings-Opt-out-Richtlinie vor der Einführung bewertet und wie sich Zugangsdaten und Kundendaten zuverlässig aus dem KI-Kontext ausschließen lassen.