#^Jenkins Security Advisory 2018-12-05

Code execution through crafted URLs
Jenkins uses the Stapler web framework for HTTP request handling. Stapler’s basic premise is that it uses reflective access to code elements matching its naming conventions. For example, any public method whose name starts with get, and that has a String, int, long, or no argument can be invoked this way on objects that are reachable through these means. As these naming conventions closely match common code patterns in Java, accessing crafted URLs could invoke methods never intended to be invoked this way.

#^https://ripe77.ripe.net/wp-content/uploads/presentations/128-presentation-en.pdf
#IPv6

#^The Illustrated TLS Connection: Every Byte Explained

In this demonstration a client has connected to a server, negotiated a TLS 1.2 session, sent "ping", received "pong", and then terminated the session. Click below to begin exploring. The code for this project can be found on GitHub.

#^Verwundbarkeitsanalyse anhand von CPE-Dictionary und CVE-Feeds

Sicherheitslücken können Cyberangriffe ermöglichen. Deswegen müssen Sicherheitsverantwortliche ständig nach Verwundbarkeiten bei der installierten Software suchen. Was sind die Herausforderungen einer solchen Verwundbarkeitsanalyse?

#^LOW←TECH MAGAZINE

Low-tech Magazine refuses to assume that every problem has a high-tech solution. A simple, sensible, but nevertheless controversial message; high-tech has become the idol of our society.

#^BSI - IT-Grundschutz-Schulung

Der Online-Kurs zum IT-Grundschutz basiert auf dem IT-Grundschutz-Kompendium und den BSI-Standards 200-1,-2 und -3. Das Angebot kann Anwendern, die sich erstmalig mit dem IT-Grundschutz befassen möchten, dabei helfen, in die Umsetzung der IT-Grundschutz-Methodik einzusteigen.

Inhalte und Ziele
Im Fokus der einzelnen Lerneinheiten stehen die Ziele des IT-Grundschutzes, aus welchen Komponenten er besteht und wie die IT-Grundschutz-Methodik generell anzuwenden ist. Das Kurs-Angebot führt in insgesamt neun Lektionen durch die IT-Grundschutz-Vorgehensweise und soll besonders neuen Anwendern den Einstieg in die IT-Grundschutz-Vorgehensweise erleichtern. Mit Testfragen am Ende jeder Lektion lässt sich unmittelbar der individuelle Kenntnisstand überprüfen.

Wonderful tool(s)! The Docker image is 1,6GB big, but it does combine quite a lot of things and makes it very convenient to use. In contrast to other such performance tools sponsored by a big company, Sitespeed.io complains about GA and GTM usage.

#^Sitespeed.io - Welcome to the wonderful world of Web Performance

Sitespeed.io is a set of Open Source tools that makes it easy to monitor and measure the performance of your web site.

Measuring performance shouldn’t be hard: you should be able to have full control of your metrics, own your own data and you should be able to do it without paying top dollars.

That’s why we created sitespeed.io.

The TSDB is something I want add to our monitoring server.

#^Administratoren zwischen Datenschutz und Inform... » ADMIN-Magazin

Der Admin ist Pragmatiker: Systeme am Laufen halten, der Rest ergibt sich von selbst. Gleichzeitig ist er sich jedoch bewusst, dass es beim Umgang mit personenbezogenen Daten Grenzen gibt, über die der Datenschutzbeauftragte wacht. Dessen Ziele stehen jedoch oft im Widerspruch zur Sicherheit der Daten. Ein Konflikt, für den nicht selten der Rücken des Admins als Austragungsort herhalten muss.

Die Zielvorgaben von Informationssicherheitsbeauftragten (ISB) und Datenschutzbeauftragten (DSB) sind nicht immer kompatibel. Im operativen Tagesgeschäft soll der Administrator den Betrieb der IT sicherstellen, sieht sich aber hin und wieder widersprüchlichen Anforderungen dieser beiden Beauftragten ausgesetzt.

Der Gesetzgeber sieht vor, dass der Datenschutzbeauftragte keine Weisungsbefugnis hat. Deshalb liegt es an der Geschäftsführung zu regeln, wer die tatsächlich auszuführenden Maßnahmen zum Schutz der Datenverarbeitung vorgibt. Das kann der ISB oder die IT-Leitung sein. Denn dort liegen die organisatorischen Verantwortlichkeiten. Da die Fäden beim Administrator zusammenlaufen, hat er aus seiner Position die Möglichkeit, entsprechende Konflikte zwischen Datenschutz und Informationssicherheit zu erkennen und alle Beteiligten darauf aufmerksam zu machen.
Grundsätzlich gilt: Für die Informationssicherheit werden betriebliche Entscheidungen getroffen, in denen Risiko und Nutzen einander abgewogen werden. Beim Datenschutz gibt es konkrete gesetzliche Vorgaben. Innerhalb dieser Vorgaben ist der Spielraum für Entscheidungen weitaus geringer als in der Informationssicherheit. Im Zweifel stellt die eine Entscheidung aus Sicht des ISB nur ein wirtschaftlich kalkulierbares Risiko dar, aus Sicht des Datenschutzes möglicherweise einen Gesetzesverstoß, der eine Ordnungswidrigkeit darstellt.

#^Safe Containers » ADMIN Magazine

By Martin Loschwitz
Docker containers are a convenient way to run almost any service, but admins need to be aware of the need to address some important security issues.
Container systems like Docker are a powerful tool for system administrators, but Docker poses some security issues you won't face with a conventional virtual machine (VM) environment. For example, containers have direct access to directories such as /proc, /dev, or /sys, which increases the risk of intrusion. This article offers some tips on how you can enhance the security of your Docker environment.

#^Mailquota-Management mit Dovecot

Ein ständig wachsender Datenbestand droht viele Mail-Infrastrukturen zu überfordern. Dabei gibt es zumindest für Dovecot einen Weg aus der Speicherfalle.

Für seine Nutzer gilt heute als selbstverständlich, dass das E-Mail-System durchgehend verfügbar ist und immer ausreichend Speicherkapazität zur Verfügung hat. Dennoch sind die Ressourcen natürlich endlich und kosten Geld. Daher kann ein schnell wachsender Datenbestand die Betriebssicherheit einer Mail-Infrastruktur durchaus gefährden. Das muss aber nicht sein.

#Dovecot #IMAP #Mailarchiv

#notgotzot

#^IAM in the Cloud » ADMIN Magazine

Offers for identity management as a service (IDaaS) are entering the market and promising simplicity. However, many lack functionality, adaptability, and in-depth integration with existing systems. We look at how IT managers should consider IDaaS in their strategy.
Identity and access management (IAM) is a core IT discipline located between IT infrastructure, information security, and governance. For example, IAM tools help with the management of users and their access rights across systems and (cloud) services, to provide easy access to applications (preferably with a single sign-on experience), to handle strong authentication, and to protect shared user accounts.

#CIAM (Customer Identity and Access Management)

I already had a dockerized Selenium-Grid but it was a good idea to replace it with Selenoid. The state of automation and the video recording feature are really impressive.

#^Selenoid

Selenoid is a powerful implementation of Selenium hub using Docker containers to launch browsers.

Lightweight and Lightning Fast
Suitable for personal usage and in big clusters:
* Consumes 10 times less memory than Java-based Selenium server under the same load
* Small 7 Mb binary with no external dependencies (no need to install Java)
* Browser consumption API working out of the box
* Ability to send browser logs to centralized log storage (e.g. to the ELK-stack)
* Fully isolated and reproducible environment

#^Scalable Selenium Cluster: Up & Running | Ivan Krutov
by seleniumconf on YouTube

#^Studie: DevOps-Teams gehen häufig leichtfertig mit Zugangsdaten um

In vielen Unternehmen mangelt es den DevOps-Abteilungen an Regeln für den sicheren Umgang mit privilegierten Accounts und Zugangsdaten – vielfach fehlt eine übergreifende Sicherheitsstrategie, wie CyberArks „Advanced Threat Landscape“-Report zeigt.

So you can not send eMails from an M$ Azure VM? You need a SMTP relay outside of Azure?
Luckily Exchange Online Protection is an ideal solution you can directly sign up for. At least they know how to squeeze out their victims.

#^Icinga Director v1.4.0 has been released

We tagged v1.3.2 more than two months ago and according our initial plans it should have been announced together with v1.4.0. However, sometimes things take longer than expected. But now it’s official: Director v1.4.0 is our shiny new release.

#^Eliminating the zombie vulnerability – removing passive voice from the docs

If you can insert the words “by zombies” into a sentence, then that sentence very likely uses the passive voice. A colleague recently reminded me of this tip. It made me laugh, and so I thought it’s worth blogging about. If only to share the chuckle.

Here are some examples of zombie-infested sentences, and their equivalents using active voice.

Example 1

Geographic requests are indicated by zombies through use of the coordinates parameter, indicating the specific locations passed by zombies as latitude/longitude values.

Converting passive voice to active:

You can use the coordinates parameter to indicate geographic requests, passing the specific locations as latitude/longitude values.

For an even more concise effect, use the imperative:

Use the coordinates parameter to indicate geographic requests, passing the specific locations as latitude/longitude values.

#documentation #technical writing

#^Securing Network Time | Core Infrastructure Initiative

Date Published September 27, 2017
Since its inception the CII has considered network time, and implementations of the Network Time Protocol, to be “core infrastructure.” Correctly synchronising clocks is critical both to the smooth functioning of many services and to the effectiveness of numerous security protocols; as a result most computers run some sort of clock synchronization software and most of those computers implement either the Network Time Protocol (NTP, RFC 5905) or the closely related but slimmed down Simple Network Time Protocol (SNTP, RFC 4330).

Nice collection of #Jenkins pipeline examples.

#^jenkinsci/pipeline-examples

pipeline-examples - A collection of examples, tips and tricks and snippets of scripting for the Jenkins Pipeline plugin

ziemlich viel und es macht richtig Spass!

#^Was gibt’s Neues vom Director?

Gleich zwei neue Releases stehen an, und während die v1.3.2 bereits vor einer Woche inoffiziell getagged wurde, werden bei der v1.4.0 gerade noch die letzten Kanten rund geschliffen. Wenn nichts dazwischen kommt werden dann Anfang nächster Woche beide gemeinsam offiziell angekündigt werden.

Einfachere Suche, flexiblere Tabellen
Template Choices
Schnelleres Arbeiten mit einzelnen Services
Autocompletion
Neue Dashboards und Dashlets
Vererbung ist alles
Berechtigungen
Genutzte Custom Variablen
VMware vSphere/ESXi Import

#^Securing Docker » ADMIN Magazine

Docker containers introduce serious security problems, but you can employ a number of methods to deploy them securely.

Few debate that the destiny of a hosting infrastructure is running applications across multiple containers. Containers are a genuinely fantastic, highly performant technology ideal for deploying software updates to applications. Whether you're working in an enterprise with a number of critical microservices, tightly coupled with a pipeline that continuously deploys your latest software, or you're running a single LEMP (Linux, Nginx, MySQL, PHP) website that sometimes needs to scale up for busy periods, containers can provide with relative ease the software dependencies you need across all stages of your development life cycle.