100 days on the board of directors of FIRST

Veröffentlicht am von
Antworten

There is this thing looking back after 100 days of starting a new challenge. This post is doing the share my perspective on my 100 days on the board of directors of FIRST (Forum of Incident Response and Security Teams).
On June 28th, 2018 the annual general meeting of FIRST elected five people to serve on the board of directors for a two year term and I was one of the five individuals.
Still remember the day as it was yesterday, I was very nervous going into the AGM knowing that outstanding people throwing their hat into the ring. In my diary I wrote the great relieve I felt after the results where called out.

Kuala Lumpur

Right after the election the first board meeting was called to order from the chair Thomas Schreck and we had to elect the new officers and start think about different tasks to be taken by the new elected people. Been a guest to board meetings before, I thought I am use to the structure and Robert’s rules that are used to run the meeting – but it is a different story calling out „aye“ and „nay“ to reflect your position when a decision is needed. Being new on the board means you will get an adhoc bootcamp of „duties and obligations of the board of directors by the FIRST lawyer and also some organisational topics and infrastructure to get you up to speed, such as a @first.org mail address and access to various only tools, all within hours.

San Fransisco

This first physical board meeting was a new experience, so let me share it with you.

I have never been to San Fransisco before, so that alone was mind blowing to be at the center of the digital revolution. Anyway the reason or that trip in September was to bring 8 people (two board members joined virtually) from around the globe together to meet, discuss and work on FIRST and for the community that FIRST is representing.

Let me say those meetings are intense, I am use to attend meetings – in most meetings you either need to concentrate for an hour or two and then the meeting is closed or it is a workshop setup where most of the content is already agreed / prepared in advance. For FIRST board meetings, you have to pay attention for eight hours straight, most coffee breaks are exploited with continuing the conversation and lunch is also about FIRST. As a non native speaker that is even more intense to follow. But we did get things done, we worked on topics that will enable FIRST to further grow and also using the resources we get from members and participants of our events even more targeted.

Even on the travel days, we managed to squeeze in some 1on1 meetings to brainstorm on topics on a detailed level that will sooner or later be proposed to the board of directors and the members.

That trip showed me how much enthusiasm every individual on the board has, they are truly committed which is great to see and also a prerequisite, as everyone has his tasks and duties to keep FIRST running.

Recognition of FIRST

Before joining the board, I truly believed the fact that FIRST is a key player in addressing some of the challenges global population is facing, e.g. fake news, cyber warfare and privacy. After 100 days, I can now say that it is a matter of fact that more and more organisations value FIRST by asking for our opinion, input or expertise by training policy makers and our efforts with our valued partner organisations. We are still on a long journey to prepare for that and be able to answer all that demand on a level that we feel comfortable with.

Secretary

If you read thus far and think serving on the board is a tough job, you are right, but I haven’t covered one particular aspect which is the central point of every meeting: Nora Duhig.

Every meeting has an agenda (obviously) and needs to have minutes. Imagine 10 adults who are experts in their professional area discussing and arguing on all aspects starting from finance over contracts to nifty details of infrastructure (hosting infrastructure on prem. or in the cloud, which technology to use…). For transparency reasons, every meeting has to have meetings, so someone must keep track of everything, and that is Nora. It is impressive to observe her ability to follow the discussions, writing minutes while keeping the ability to be pulled into the discussion out of the blue at any time – because she has been attending board meetings way longer then most current members combined and it is critical to get the reason a certain decision was taken in the past to make decisions for the future by either stick to that decisions or change the strategy, having that context is gold.

Conclusion

It is hard to imagine how complex an not-for-profit-organisation that „only“ enables a community is. This organisation has 30 years of history, that includes some small things that we as a board need to work on to transform things we have done in the past into a modern way to operate an organisation. FIRST is doing business with entities literally all around the globe because of the membership spreading and the events we host or co-host.

I am in no way saying I am now settled at the board as the planning phase for the FIRST conference 2019 and already 2020 and 2021 (yes not a typo!) are increasingly taking more time on board calls and the other communication channels that we use almost on a daily base. So I am looking forward to the challenges we have to tackle as a group and I am thankful for that opportunity.

Statistics last 100 days

– 2 board meetings in Kuala Lumpur
– 3 virtual board meetings
– 1 physical board meeting in San Fransisco (3 days + various side meetings).
– 2 virtual meetings with the membership committee
– 3 calls as the liaison for special interest groups (SIGs)
– was active on 16 of the last 30 days in our internal chat
– 50+ mails written to the board mailing list
– 300 mails received via board mailing list

Thanks to Serge Droz for the picture shown above.

curl -u in python

Veröffentlicht am von
Antworten

Problem

Sometimes you might want to authenticate against an API with username and password where examples are only listed with curl:


curl -u username:password https://127.0.0.1/foobar

Solution

If you want to implement the same in python you can use the following


import requests
from requests.auth import HTTPBasicAuth
username = "username"
password = "password"

request_url = "https://127.0.0.1/foobar"

result = requests.post(request_url, auth=HTTPBasicAuth(username, password))

Hope it helps, let me know

Der Radladen Mannheim Erfahrungsbericht

Veröffentlicht am von
2

„Der Radladen Feedback“ oder „wie können kleine Geschäfte mit den Online Riesen konkurrieren“

Vorwort

Das soll der Titel des heutigen Blog Beitrages sein. Wer mich kennt, weiß, dass ich quasi alles online einkaufe, von Kühlschank über Tesa Film bis zu Müsli, alles wird bei den bekannten online Riesen eingekauft. Nicht so jedoch bei meinem letzten Fahrrad. Daher möchte ich hier meine Gedanken und Erfahrungen teilen.

Vor ca. einem halben Jahr, nach langen Monaten der Recherche im Internet, lesen zahllosen Blogs und Foren war die Entscheidung getroffen, ein neues Fahrrad wird den Fuhrpark erweitern. Die nächste Entscheidung war Online vs. Stationärer Handel. Viele der Fahrradgeschäfte in der Umgebung fallen aufgrund der begrenzten Kompetenz oder Willen, auch mal ein Fahrrad zu bauen, welches nicht Schema-F entspricht aus dem Raster. Durch eine Suche nach Händlern, die den gewünschten Hersteller (Surly) führen kam ich dann auf das Fachgeschäft „der Radladen“ in Mannheim.

Die Facebook Seite und der Blog werden rudimentär geführt, was aber ersichtlich ist, viele der aufgebauten Fahrräder sind nicht von der Stange, sehr vielversprechend. Also kurzentschlossen eine Mail mit meinen Wünschen und Teile-Listen rausgehauen um zu sehen ob und welche Antwort kommt. Es hat nur ein paar Stunden gedauert bis als Antwort sinngemäß kam „hört sich cool an, aber komm doch besser mal vorbei das wir drüber reden können“.

Planung

An dieser Stelle sei gesagt das ich durchaus Ahnung von Fahrrädern habe, jedoch meine Zeit lieber mit fahren als schrauben verbringe. Einige Teile des Fahrrades waren quasi fix, wie z.b. der Scheinwerfer oder der Rahmen, andere Dinge wie der Lenker oder Antrieb ware nur grob umrissen (Rennrad Lenker, 11 Gänge).

Gesagt getan, ein paar Tage später nach Mannheim gefahren und nach Betreten des Ladens die erste positive Überraschung. Was im Ausstellungsraum / Werkstatt an Fahrrädern steht, wäre in den meisten anderen Geschäften in der Ecke als „Spezial“ mit viel Staub, hier jedoch dreht sich alles um das spezielle. Cyclocross, Gravel, Randonneur, Lastenräder, Falträder – alles Alltag und keine Ausnahme – herrlich.

Beratung

Also dann los, Lars (Geschäftsführer) kurz erklärt, dass die Mail von mir kam „Ah ja, Projekt Ogre“ und wir begannen, jeden einzelnen Aspekt des Fahrrades zu besprechen. Ich beschrieb wozu ich das Fahrrad nutzen will und was ich mir vorstellen könnte, er fügte seine Erfahrung zu einzelnen Komponenten aus den zig Rädern die er schon aufgebaut hatte zu dem Gesamtkunstwerk hinzu, so dass wir nach ca. einer geschlagenen Stunde eine ausgewogenen Liste hatten, aus was das Fahrrad entstehen sollte. Da einige der Teile nicht so schnell zu liefern waren (in der Natur der Sache darf man da nicht erwarten alles auf Lager vorfinden zu können“ wurde als Zeitrahmen ca. vier Wochen vereinbart, bei dem aber Zwischenschritte vorgesehen waren, bei denen dann z.b. der Sattel und die Sattelstütze und Lenker am finalen Rahmen angepasst wird.

Übergabe

Diese Anpassungen wurden dann auch gemacht und nach vier Wochen konnte ich das Fahrrad in Empfang nehmen. Bei Übergabe wird eine Probefahrt gemacht und Sattel und Lenker nochmal genau an den Fahrer angepasst. Das Fahrrad war genau nach meinen Wünschen aufgebaut und die Teile passen perfekt zusammen, es ist jedoch zu beachten, dass kein Rad den Radladen verlässt ohne den Hinweis auf eine im Preis enthaltenen Inspektion ca. 4 Wochen später. Dort werden dann nochmal Schrauben nach gezogen, der Sitz der Speichen kontrolliert und einfach sicher gestellt, dass das Fahrrad weiterhin Freude bereitet.

4000 km später

Mittlerweile habe ich auf dem Fahrrad gute 4000 km verbracht und wage mein Fazit. Ich hätte zwar einige der Komponenten (nicht alle) online günstiger bekommen können. Womöglich hätte ich Komponenten auch schneller bekommen können, wenn ich die Auswahl der Online Händler darauf eingeschränkt hätte.
Was ich online jedoch nicht bekomme, ist die Beratung und Erfahrung in der Abstimmung der Komponenten untereinander. Das lässt sich auch schwerlich durch Foren und Blogs ersetzen, da es sich meist um Einzelstücke als Gesamtwerk handelt und der Teufel dann im Detail liegt, bei dem einen passt die ausgewählte Kurbel, der nächste hat vllt einen Rahmen eine Nummer größer und schon passt die Kurbel nicht mehr – schon hat man den Ärger und Frust. Da fahre ich doch lieber mit einem mit Sach-Kenntnis geplanten und aufgebauten Fahrrad.

Fazit

Der stationäre Handel kann also durchaus gegen Online punkten. Das geht vor allem durch Service und Alleinstellung auch Einzelwünsche bedienen zu wollen. Dieser Service muss natürlich auch eingepreist werden, wer ein Fahrrad für 499 Euro kaufen möchte, darf keinen solchen Service erwarten. Ich würde mir wünschen, dass mehr Geschäfte ihre Nische finden und sich dort zu Experten entwickeln, statt ein möglichst breites Publikum bedienen zu wollen. Auch verwechseln oder vermischen einige die Tätigkeit eines Händlers mit einem Mechaniker, beide Tätigkeiten erfordern unterschiedliche Fähigkeiten, und nicht jeder Händler ist ein guter Mechaniker und umgekehrt. Kunden, die jedoch einen fähigen Mechaniker suchen, der durch seine Fachkenntnis verkauft ist im Radladen in Mannheim bestens aufgehoben.

15 Must read books if you want to work on Cyber Security

Veröffentlicht am von
Antworten

Motivation

One of the most frequent questions I get asked by my students: What books should I read if I want to work in Cyber Security?

So I reviewed what I have read so far, talked to colleagues I trust to conduct the following list (as I have a lot of german readers, there is always a link to the german and the english version). The list is a mixture of educational books as well as books that will give an idea about mindset of hackers, defenders and other players in that field.

If you have other recommendations, opinions or comments, I would highly appreciate every feedback in the comments below.

I will try to update the post on a regular base as new trends are coming up e.g. machine learning, AI or blockchain (but I do not see any must-read-books in that areas).

It is fair to say, it is not the only way into the security area, a good amount of people learned by blogs, twitter, youtube and such and there is nothing wrong with it, it is quite the opposite, as the pace of change is so fast, it is hard to keep books up to date.

Every item has links to amazon.com, if you happen to buy the book using the links you support the blog, thank you for that.

1. The Art of War

by Sun Tzu

A relative short (and cheap) book that teaches various aspects of war that most experts agree can also be applied to cyber security. To be honest, there are also a good amount of people who think Art of war is not as important, so read it and make your own opinion.
At least it will be a good ice breaker for networking.

Englisch link / German link

2. Ghost in the Wires: My Adventures as the World’s Most Wanted Hacker

by Kevin Mitnick

This was the first security related book I read after attending a conference talk of the author Kevin Mitnick. It is fair to say he is one of the most known hackers and reading his stories gives the reader first hand access to the mind and motivation of a hacker. The book is also very good to read.

English link / German link

3. The Cuckoo’s Egg: Tracking a Spy Through the Maze of Computer Espionage

by Cliff Stoll

What to say, a book about espionage, spies and many more. Good book that for sure must be read.

English link / German link

4. Practical Malware Analysis: A Hands-On Guide to Dissecting Malicious Software

by Michael Sikorski

Reading that book will equip you with all concepts and skills to analyse malicious files. This is even a very good skill if your goal is not to become the top notch malware reverse engineer, but the concepts outlined in the book will help to understand weaponizing files to target systems or users.

English link / German link

5. Countdown to Zero Day: Stuxnet and the Launch of the World’s First Digital Weapon by Kim Zetter

This book covers the maybe most prominent cyber security attack in history: Stuxnet. To understand motivation of companies to invest money in cyber security, knowing and trying to understand the Stuxnet case is so helpful and Kim Zetters book is the best to do so.

English link / German link

6. Rtfm: Red Team Field Manual

by Ben Clark

This list would be incomplete without at least one book covering the offensive aspect of cyber security professionals: red teaming. Even if you do not want to be payed to hack into companies, it is good to know what the people getting paid to hack into companies have read without a doubt.

English link / German link

7. Crafting the InfoSec Playbook: Security Monitoring and Incident Response Master Plan

by Jeff Bollinger, Brandon Enright, Matthew Valites

Legendary book outlining how to ramp up an Incident Response Plan to defend a network. If your goal is to go into red teaming, read that book to understand how defenders work.

English link / German link

8: 1984

by George Orwell

Fictional book but also a must read for making a career because it will sharpen your sensors for privacy more than any other book out there.

German link

9: Practical Unix & Internet Security

by by Simson Garfinkel, Gene Spafford, Alan Schwartz

Sooner or later everyone in the industry encounters Unix, that is why this book is on that list, because it is the bible for that area.

English link / German link

10: Computer Incident Response and Product Security

by Damir Rajnovic

Damir „Gaus“ Rajnovic created the standard to read to set up an Computer Security Incident Response Team (CSIRT / CIRT / CERT / CSIRT) or a Product Security Incident Response Team (P-SIRT).

German link

11: Applied Cryptography: Protocols, Algorithms and Source Code in C

by Bruce Schneier

A top x list in Cyber Security without a book from Bruce Schneier is not worth to listen to. Bruce Schneier is the rockstar in the area and his book the go to for cryptography.

English link / German link

12: Secure Coding: Principles and Practices

by Mark G. Graff, Kenneth R. van Wyk

You need to understand how to write secure code. Without that know how it is way harder to argue on basic security principles. This book is bootcamp for that purpose.

English link

13: Hacking: The Art of Exploitation

by Jon Erickson

Refered by a trusted friend as one of the go-to books for understanding exploitation.

English link

14: Cryptonomicon

by Neal Stephenson

Another fictional book on that list to understand motivation and boost your motivation in the field.

English link

Bonus: The Ultimate Hitchhiker’s Guide to the Galaxy

by Douglas Adams

When asking friends for opinions and recommendations for that list, the ultimate hitchhiker’s guide to the Galaxy was mentioned „because no security professional will take you seriously if you haven’t read it“ – nothing to add here.

English link / German link

Comment

You might have discovered, it is not yet 15 books, I am still on the journey to discover the remaining bricks. But rather prefer to let people read less books that have a big impact than more books with some that might not be the same caliber.

Have fun with reading.

(This post is inspired by 15 Must Read Books if You Want to Work on Wall Street)

Überwachungskamera worauf kommt es an

Veröffentlicht am von
Antworten

Ich werde immer wieder gefragt, wie man einfach eine Kameraüberwachung für das eigene Haus umsetzen kann. Viele bauen gerade ihr Haus oder renovieren, viele Gewerke sind mit Experten besetzt oder es gibt schon sehr sehr viel Material im Internet. Anscheinend jedoch nicht zu Videokameras im Außenbereich.

Um nicht immer das gleiche zu erzählen also hier eine schriftliche Variante meiner Antworten.

Disclaimer: Dieser Blogpost ist keine rechtliche Beratung, prüft also bitte erst, welche Regeln, Gesetze es gibt und respektiert die Privatsphäre von euren Nachbarn und anderen Personen in eurem Haushalt genauso wie Personen die euch ggf. besuchen (mehr dazu später)

Der Beitrag ist in verschiedene Fragen unterteilt, sollten noch weitere Fragen unter den Nägeln brennen, einfach die Kommentarfunktion nutzen.

Frage: Warum sollte ich eine Videoanlage / Videoüberwachung in meinem Haus installieren?

Am wichtigsten ist es zu verstehen, dass eine Videoanlage nichts verhindert. Wer sich vor Einrücken schützen möchte muss in Dinge wie Schlösser, Beschläge oder Riegel investieren (Stichwort passive Sicherheit) auch eine Alarmanlage verhindert keine Einbrüche.
Eine Videoanlage kann aber für ein Sicherheitsgefühl sorgen, sie kann helfen, Einbrüche oder Diebstähle aufzuklären.

Eine solche Anlage kann auch genutzt werden, um Personen, die im Haus sind und z.b. ihr Büro im Dach haben einen Überblick zu verschaffen, was um das Haus herum geschieht.

Was auch beachtet werden sollte, ist die Stromversorgung, zum einen die Stromversorgung der Kamera (Power over Ethernet vs. reguläre Steckdose vs. Batterie)

Steckdose: Super wenn sie schon da ist. Frage jedoch wie dann die Datenübertragung funktioniert, Wifi / WLAN kann teilweise etwas unzuverlässig sein.

Power over Ethernet: ggf. sinnvoll wenn am Ort der Kamera keine Steckdose ist und man damit nur ein Kabel ziehen muss

Batterien: Nutzbar wenn man überhaupt keine Kabel hat / keine Kabel legen kann. Es ist jedoch zu beachten, dass bei entsprechender Bewegung viele Bilder / Videos entstehen und die Laufzeit der Kamera deutlich verkürzen.

Frage: Wo sollte eine Kamera platziert werden?

Die Antwort ist schwer zu geben, es kommt darauf an. Zum einen sollte man interessante Punkte wie Eingänge, Parkplätze oder Nischen in Betracht ziehen.
Ein weiterer Aspekt ist die genaue Platzierung, es ist zum Beispiel unglücklich, eine Kamera so zu platzieren, dass sie ungesehen demontiert oder abgedeckt werden könnte.

Auch die Distanz ist relevant, was bringt eine Aufnahme von einer Person an der Eingangstür wenn jede Aufnahme maximal die Farbe der Mütze erkennen lässt.

Frage: Welche Anlage sollte ich nutzen?

Je nach Budget. Gute Erfahrung habe ich mit Reolink Anlagen gemacht, dort ist auch ein Controller erhältlich, der die Speicherung usw übernehmen kann und Kameras zum Beispiel per Power over Ethernet versorgt und eine Mail schicken kann, wenn die Verbindung zu einer Kamera unterbrochen wurde.
Auch die Qualität der Kameras ist sehr gut.

Frage: Wohin sollten die Aufnahmen gehen?

Sie sollten gespeichert werden, wenn Aufnahmen in der Cloud gespeichert werden oder die Anlage über das INternet steuerbar ist, hat das immer das Risiko, dass sich Dritte unberechtigten Zugang zu der Anlage verschaffen.

Wie kann ich meine Anlage von außen steuern / auf Aufnahmen zugreifen?

Ich würde nicht empfehlen, die Anlage aus dem Internet erreichbar zu machen, sondern per VPN z.b. auf die FritzBox zugreifen und dann auf die Anlage als ob man sich im Heimnetz befindet. Das verkleinert das Risiko dramatisch.

Frage: Warum nicht in die Cloud?

Siehe oben, in die Cloud bringt immer das Risiko mit, dass die Anlage von außen gesteuert werden kann.

Frage: Welche Bereiche sollte ich überwachen?

Alle wichtigen, aber auf die eigene Privatsphäre und die der Anwohner achten. Z.b. öffentliche Straßen dürfen nicht überwacht werden. Einen Balkon überwachen scheint erst mal sinnvoll, aber was wenn ihr euch dort mal hinlegen wollt, dann gibt es Bilder von euch auf dem Balkon. Es ist also Abwägungssache.

Ein komplettes System:

Kabellose Kamera ohne Stromversorgung:

Backfischfest Blog 2018

Veröffentlicht am von
Antworten

Backfischfest Blog

In den letzten Jahren hat sich der Backfischfest Blog oder auch Backfischfest Vlog um die Band Die Döftels zu einer Institution in Worms entwickelt.

Die witzige Art die Tradition auf die Schippe zu nehmen und hinter die Kulisse zu schauen macht Freude und ist jeden Tag auf dem Festplatz oder der Fischerwääd Gesprächsthema.

Aus dem Backfischfestblog sind auch solche Geschichten wie die „Terrence-Hill-Brücke“ entstanden.

Unterstützt wird der Backfischfest Blog von einigen Wormser Unternehmen. Schnitt und Kamera übernehmen rawk und Steven Amendt

Hier die Videos

fatal error: ‚fuzzy.h‘ file not found

Veröffentlicht am von
Antworten

Trying to install pydeep on OSX and getting the error below:

pydeep.c:2:10: fatal error: 'fuzzy.h' file not found
#include
^~~~~~~~~
1 error generated.
error: command '/usr/bin/clang' failed with exit status 1

So far I have not found a solution for it.

Some people recommended to use:

xcode-select --install

Which did not help my issues.

Also the following:

$ export LDFLAGS="-L/usr/local/lib"
$ export C_INCLUDE_PATH=/usr/local/include

Did not help

Still searching for a solution and will update that blogpost once I found anything

9TageTicket 10 Jahre

Veröffentlicht am von
Antworten

Dieses Jahr zum Backfichfest Worms feiert das 9TageTicket, an dem ich mit einigen Freunden beteiligt bin das 10-jährige Jubiläum.
Was anfangs noch ein Scherz unter Freunden war um zu zeigen, wie oft man auf dem Backfischfest war, hat sich mittlerweile zu einer Institution entwickelt, die von Wormsern wie auch den Schaustellern gerne angenommen wird.

Die Arbeit an dem Ticket macht jedes Jahr wieder Spaß, es ist zu einer Tradition geworden, am Tag vor der Eröffnung gemeinsam die Tickets zu drucken und zu schneiden und dann den ersten Abend auf dem Fischfest gemeinsam an der Ausgabe zu sitzen, bekannte Gesichter sehen und einfach die Zeit genießen, die auch manchmal etwas stressig ist.

Ich freue mich auf jeden Fall wieder drauf.

Ahoi

Virtualbox OSX freeze

Veröffentlicht am von
Antworten

From time to time, esp. after starting a few virtual systems at the same time, the whole OSX system can freeze and there is basically nothing to rescue the system but cold reboot.

This is due to some limits set to low, which can be fixed by:

sudo sysctl -w kern.aiomax=512 kern.aioprocmax=128 kern.aiothreads=16

That will be effective till reboot, it can be made persistent by adding the following line to /etc/sysctl.conf


kern.aiomax=512
kern.aioprocmax=128
kern.aiothreads=16

Found at http://www.firewing1.com/blog/2013/08/02/setting-os-x-kernel-asynchronous-io-limits-avoid-virtualbox-crashing-os-x