aramido provides IT security consulting services. They offer services such as security consulting, security testing, and emergency management in IT.

aramido

aramido provides IT security consulting services including IT security assessment, incident management, and security compliance support. self-described.

aramido GmbH | 302 followers on LinkedIn. aramido supports its customers in reaching the optimal level of IT security.

The aramido white hat hackers attack systems and web applications under the authority of their client. The result of these penetration tests are actions recommended based on real vulnerabilities.

Founder of aramido - IT Security Consulting

Armin Harbrecht

Berater für Informationssicherheit

Maximilian Stauss

Founder of aramido - IT-Security Consulting

Andreas Sperber

Berater für Informationssicherheit @ aramido. MSc CS @ KIT. CTF @ KITCTF

Stefan Gapp

aramido GmbH

Auf in das Winterwunderland der IT-Sicherheit! ❄️ Am 21. November findet die Veranstaltung „IT-Sicherheit hinter den Spiegeln“ in der Karlsruher Palazzo Halle statt – ein faszinierender Abend mit kryptischen Rätseln, kniffligen Herausforderungen und interessanten Diskussionen. Die aramido Sicherheitsberater Maximilian Stauss und Lukas Schöne werden bei dieser Veranstaltung einen Vortrag über Voice Cloning halten. Sie präsentieren live, wie einfach und schnell eine Stimme geklont werden kann und wo die aktuellen Grenzen liegen. Zudem wird es am Ende Tipps geben, wie man sich am besten vor den Gefahren von „Deepfakes“ schützt. Die Veranstaltung wird vom FZI Forschungszentrum Informatik gemeinsam mit den Partnern der KA-IT-Si (Karlsruher IT-Sicherheitsinitiative) und den KASTEL Security Research Labs am KIT durchgeführt. Wir freuen uns sehr auf den Austausch mit anderen im Winterwunderland. Seid ihr auch dabei? 😊 #Winterwunderland #ITSicherheit #ITEvent #VoiceCloning #aramidoErklaert

Die perfekte Open-Source-Red-Teaming-Software und "Configuraton-as-Code-Automatisierung" für eine moderne Red-Teaming-Infrastruktur wurden beim letzten OWASP-Stammtisch vorgestellt. 🥸 Rund 20 interessierte Personen versammelten sich am vergangenen Montag im Konferenzraum von aramido, um Steans Vortrag über seine Bachelor-Arbeit zur modernen Red-Teaming-Infrastruktur zu hören. Nach einer kurzen Einführung in das Konzept von Red Teaming und die Gründe, warum Unternehmen von Red Teaming profitieren können, ging Stean zum eigentlichen Thema seines Vortrags über: Der Gestaltung einer modernen Red-Teaming-Infrastruktur und den dafür erforderlichen Tools. Die Infrastruktur sollte stark automatisiert sein, um die Effizienz zu steigern und sicherzustellen, dass Red-Teaming-Aktivitäten skalierbar und konsistent sind. Dies umfasst die Automatisierung von Aufgaben wie der Erstellung von virtuellen Maschinen, der Bereitstellung von Tools und der Konfiguration von Umgebungen. 🤖 Das ernüchternde Ergebnis: Kein bekanntes Open-Source-Projekt besitzt alle Eigenschaften – es gibt zwar Projekte wie "Warhorse" oder "Red Wizard" aber auch sie bieten keine perfekte Lösung. Eine Umfrage unter verschiedenen Red Teams in großen Unternehmen spiegelte das Ergebnis seiner Recherche wider: Die meisten der befragten Personen berichten, dass sie ihre eigene Infrastruktur individuell erstellt haben. Ein wichtiger Aspekt, der hervorgehoben wurde, war die Notwendigkeit, das Red Team schnell zu warnen, wenn es entdeckt wird, und über Alternativen zu verfügen, wenn IPs oder Domains markiert werden. Dadurch kann das Team schnell reagieren, ohne dass der Einsatz behindert wird. Nicht nur die Verteidiger profitieren also von einem SIEM, sondern auch die Angreifer. 📈 Wir danken Stean herzlich für die interessanten Einblicke in seine Arbeit 💙 Habt ihr Erfahrungen im Bereich Red Teaming? Was interessiert euch daran am meisten? Welche Software darf eurer Meinung nach bei einer gute Red-Teaming-Infrastruktur nicht fehlen? #informationssicherheit #Vortrag #OWASP #RedTeaming OWASP Germany

"Wer hat, der kann" oder anders ausgedrückt: "Wer endlich weiß wie es geht, der kann" 👀 Es geht um die Herausforderungen, die bei der Anbindung von Anwendungen an Microsoft Entra ID mit OAuth und OpenID Connect (OIDC) auftreten können. Bei dem letzten KA-IT-Si-Event in der schönen dm-Zentrale, dem "dm-dialogicum", präsentierten Moritz Gabriel und Eberhard Ratzel von dmTECH Deutschland einen faszinierenden Einblick in die Nutzung von Microsoft Entra ID. Sie zeigten live mit praktischen Beispielen, dass die Benutzeroberfläche von Entra ID nicht intuitiv ist und dass es zahlreiche Fallstricke gibt, die bei der Einrichtung der Authentifizierung und Autorisierung in der Cloud berücksichtigt werden müssen. Um die Administratoren bei der Einrichtung nicht zu langweilen, hat Microsoft einige interessante Herausforderungen eingebaut: ➡️ unklar definierte oder irreführende Begriffe (wann braucht es eine "Enterprise application" und wann eine "App registration"?) ➡️ ein komplizierter Einrichtungsprozess in der Weboberfläche, der manchmal trotzdem das manuelle Bearbeiten von Konfig-Dateien erfordert ➡️ bei zu vielen Gruppen funktioniert der Gruppenfilter nicht zuverlässig – hoffentlich hat niemand vor, Berechtigungen über die Gruppenzugehörigkeit zu steuern! Außerdem können vorhandene Standard-Einstellungen ernsthafte Sicherheitslücken verursachen, wenn sie nicht angepasst werden. Das freute natürlich die anwesenden aramido Pentester, da solche Details bei der Einrichtung schnell übersehen werden können. Ein besonders spannender Aspekt des Vortrags war die Präsentation des "On-Behalf-Of-Flow"-Workflows. Dieser beschreibt ein Szenario, in dem eine Web-API eine andere Web-API mithilfe einer separaten Identität im Namen der eigenen Identität aufruft. Mit anderen Worten: Man kann sich automatisch und ohne erneute Passwort-Eingabe bei einer anderen Anwendung anmelden, wenn man bereits bei einer authentifizierten Anwendung angemeldet ist. Man merkte, wie lange und intensiv sich die Referenten schon mit dem Thema auseinandergesetzt und Durchhaltevermögen gezeigt haben. Vielen Dank für die wertvollen Einblicke. 💙 Nach dem Vortrag gab es wieder ein leckeres Buffet-Networking, aber dieses Mal im dm-Style: Statt Catering wurden wir im hauseigenen dm-Restaurant verköstigt. 😋 Kleiner Ausblick auf das nächste Event: Am 21. November 2024 findet das Winterwunderland "IT-Sicherheit hinter den Spiegeln" im Palazzo statt. Gemeinsam mit den Partnern der KA-IT-Si und den KASTEL Security Research Labs am KIT veranstaltet das FZI Forschungszentrum Informatik ein großes IT-Event. Wir von aramido freuen uns, einen Vortrag zum Thema Voice Cloning zu halten und unser Wissen mit Ihnen zu teilen. #ITevents #Informationssicherheit #KAITSI #Networking #Microsoft #EntraID dm-drogerie markt Deutschland

Im Minenfeld des Internets ⚠️ Angriffe gestern, heute, morgen Am 05. November 2024 startet in Stuttgart die tekom -Messe. Sie ist die weltgrößte Fachmesse für technische Kommunikation. In einer digitalisierten Welt sind Angriffe nicht nur häufiger, sondern auch zunehmend ausgeklügelter geworden. Unternehmen müssen sich vor solchen Bedrohungen schützen und vorbereitet sein, mit modernen Bedrohungen umzugehen. Auf der tekom-Messe wird Reyhan Düzgün , eine Sicherheitsberaterin der aramido GmbH , einen Vortrag zur Bedrohungssituation im Internet halten, die sich nicht nur für sie als "Minenfeld" anfühlt. In ihrem Vortrag beleuchtet sie die zeitliche Entwicklung von Schadsoftware und simuliert in einem Live-Hack einen Phishing-Angriff aus der heutigen Zeit. Darüber hinaus werden die Schlüsselelemente eines erfolgreichen IT-Sicherheitsmanagements vorgestellt, um gekonnt solche Angriffe abzuwehren. tekom-Messe ( Messe Stuttgart ) Datum: 06. November 2024 Uhrzeit: 10:10 - 10:40 Uhr Standort: Halle C2 #Informationssicherheit #Vortrag #LiveHack #aramidoErklaert

Wie sollte eine moderne Red Teaming Infrastruktur aussehen? 👀 Beim nächsten OWASP Stammtisch am 04. November um 19 Uhr wird Stean vorstellen, wie eine moderne Red Teaming Umgebung mithilfe von Ansible ausgerollt werden kann, welche Tools Gold wert sind und welche Strategien den Unterschied machen. Bei einem Red Teaming Angriff übernehmen Sicherheitsexperten die Rolle von Angreifern, um langfristig und ausdauernd gezielt Schwachstellen in einem Unternehmen zu identifizieren und auszunutzen. Das Ziel ist es, die Abwehrmechanismen zu testen und im besten Fall – oder schlechtesten Fall? 🤔 – diese zu überwinden und dadurch nach und nach Zugriff auf das Unternehmensnetzwerk zu gelangen. Im Unterschied zu einem klassischen Penetrationstest mit eingeschränktem Scope und Testzeitraum werden bei einem Red Teaming unterschiedliche Angriffsvektoren über einen längeren Zeitraum hinweg ausgeführt: Dazu zählen auch Social-Enginering-Angriffe, je nach Umfang vor Ort "Besuche" und technische Angriffe auf unterschiedliche Systeme und Infrastrukturen. Wir sind schon sehr gespannt auf den Vortrag und den anschließenden Austausch, da wir bei aramido auch Red Teaming Assessments anbieten und im Sinne von OWASP alle vom Erfahrungsaustausch profitieren. 🥸 Datum: 04.11.2024 Uhrzeit: 19:00 Uhr Ort: aramido GmbH , Karlsruhe Bei den Stammtischen sind alle eingeladen, die sich für die Sicherheit von Webanwendungen und anderer Software interessieren. Dabei ist es egal, ob man selber Anwendungen entwickelt, seit Jahren in der IT-Security tätig ist oder erst ein Studium begonnen hat. Die Teilnahme ist kostenlos. #Informationssicherheit #Vortrag #RedTeaming #OWASP OWASP Germany

Welche interessanten Updates und Features gibt es im "Saftladen" von OWASP? 🧃💻 Dieser und andere aktuellen OWASP-Projekte wurden vor Kurzem vorgestellt, diskutiert und einige direkt getestet. Es war der erste OWASP-Stammtisch in Karlsruhe nach einer längeren Pause und war ein gutes Update und Abholer für alle Interessierten. Egal ob Juice Shop, DefectDojo, Threat Dragon oder oder oder... war es wieder faszinierend zu sehen, welche Fülle an Projekten die OWASP-Community der Öffentlichkeit zur Verfügung stellt. 💙 Highlight für Kadir A. : Die Updates im Juice Shop – vor allem die neuen Coding Challenges, mit denen man nach dem Ausnutzen der Schwachstelle, ebenjene auch direkt schließen kann. Der Lerneffekt wird dadurch nochmal erhöht. Der Juice Shop kann sinnvoll bei Sicherheitstrainings, Sensibilisierungsschulungen mit Live Hacks und CTF-Wettbewerben eingesetzt werden. Er enthält typische Schwachstellen von Webanwendungen aus den "OWASP Top Ten" sowie viele weitere Sicherheitslücken. Ein großes Lob an der Stelle an Björn Kimminich , Leiter des Juice Shop Projekts: Es ist toll, dass die Anwendung stetig weiterentwickelt wird und immer wieder neue UI/UX Updates, Schwachstellen, Herausforderungen, Easter Eggs und Features dazu kommen. Allen die interessiert am Thema Application Security sind und mit gleichgesinnten an sinnstiftenden und wirkungsvollen Projekten arbeiten möchten, legen wir ans Herz, Mitglied beim OWASP zu werden und von den Stammtischen und dem jährlichen German OWASP Day zu profitieren (was man aber auch ohne Mitglied zu sein kann)! Links hierzu packen wir in die Kommentare ⬇️ OWASP Germany #OWASP #Schwachstellen #OWASPTopTen #ApplicationSecurity #GermanOWASPDay

OWASP bei aramido Am kommenden Montag, den 7. Oktober findet im aramido-Büro der nächste Karlsruher OWASP-Stammtisch statt. Das Open Worldwide Application Security Project (OWASP) ist eine Non-Profit-Organisation die schon seit mehr als 20 Jahren durch verschiedene Projekte wertvolle Beiträge zur Verbesserung der Anwendungssicherheit liefert. Der kommende Stammtisch wird mit einem Überblick zu den aktuellen OWASP-Projekten starten und im Anschluss die Möglichkeit zu einem entspannten Austausch zu den neuesten Themen aus der Informationssicherheit bieten. 🗨️ Bei den Stammtischen sind alle eingeladen, die sich für die Sicherheit von Webanwendungen und anderer Software interessieren. Dabei ist es egal, ob man selber Anwendungen entwickelt, seit Jahren in der IT-Security tätig ist oder erst ein Studium begonnen hat. Wir freuen uns schon sehr auf das Event. 🤩 Die Teilnahme ist kostenlos. #OWASP #aramido #ITevents #Informationssicherheit #AppSec #Karlsruhe

🚨 NIS-2-Betroffenheitsprüfung des BSI aktualisiert. Im Zuge der Umsetzung der #NIS2 -Richtlinie hat das BSI die Betroffenheitsprüfung umfassend überarbeitet und an den aktuellen Gesetzesentwurf des Bundes (NIS2UmsuCG) angepasst. Diese Prüfung unterstützt Unternehmen und Einrichtungen dabei, festzustellen, ob sie von den Vorgaben der NIS-2 betroffen sind.📜 🏢 Auch nach der Aktualisierung bleibt die Prüfung weiterhin einfach und bequem über die BSI-Webseite zugänglich. Wir empfehlen allen betroffenen Organisationen dringend, die Prüfung erneut durchzuführen, um sicherzustellen, dass sie den neuen gesetzlichen Anforderungen entsprechen. ✅ Bleibt informiert und prüft jetzt, ob Ihr vom NIS2UmsuCG betroffen seid: ⬇️

Federal Office for Information Security (BSI)

Mit WireGuard, Pi-hole und einem Cloud-Server zum eigenen privatsphäreschützendem VPN 🔐 Vergangene Woche fand bei uns der Workshop von Thomas Merz 🐧 zum Thema “Privacy to Go: Einrichtung (d)eines VPN zum Mitnehmen” statt. Zu Beginn informierte Pascal Baumer, ein aramido Sicherheitsberater, über die Sicherheit von Smartphones. In seinem Live-Hacking-Vortrag demonstrierte er, wie einfach es ist, die vollständige Kontrolle über ein Smartphone zu erlangen – inklusive Live-Kamerazugriff und dem Auslesen aller Kontakte und SMS. 📱 Am Ende seines Vortrags erhielten die Teilnehmenden wertvolle Tipps, wie sie sich am besten vor solchen Angriffen schützen können. Hier begann dann der eigentliche Hauptteil des Abends: Der Schutz der Privatsphäre durch ein eigenes VPN. Thomas Merz gab eine Einführung in das Thema und führte die Teilnehmenden Schritt für Schritt durch die Einrichtung ihres eigenen VPNs. Damit die neu eingerichteten VPNs dauerhaft abgesichert sind, wurden anschließend verschiedene Sicherheitsvorkehrungen getroffen. Zum Abschluss wurden verschiedene Bedrohungsszenarien diskutiert und Sicherheitsbedenken minimiert. Ein großer Dank geht an Thomas und Pascal für den spannenden und informativen Abend. 💙 #ITevents #WireGuard #Pihole #VPN #Privatsphäre #aramido

> „Das wird lustig“, haben sie gesagt.(…) Ein Erfahrungsbericht von Fabienne Hofsäß (keine Hackerin) zu unserem Wargaming. Zugegeben, als ich das erste Mal bei aramido vom „Wargaming“ gehört habe, konnte ich mir nicht so viel darunter vorstellen. Die Definition: "Wargaming ist ein Play-and-Learn-Format und stellt bei aramido gleichermaßen ein Teamevent und eine Weiterbildungsmöglichkeit dar." Meine Vorstellung: Es sitzen alle irgendwie zusammen und hacken irgendwas. Und ich aus dem Marketing? Ich habe ja noch nie gehackt 😅 Lust zum Hacken besteht durchaus, aber den richtigen Einstieg hatte ich noch nicht gefunden… bis zu diesem Zeitpunkt. Etwas skeptisch aber mit einer großen Portion Neugier und Vorfreude startete mein erstes Wargaming. Die anderen aramidos haben mich perfekt abgeholt und zeigten mir Basics, mit denen ich beginnen konnte. Es gab immer wieder Momente, bei denen die anderen merkten, dass ich irgendwo hänge zwischen „Was passiert da eigentlich“ und „Warum funktioniert das nicht?!?!!!!!1!!1!“ 🙈 Sie hatten viel Geduld und halfen, wenn es nicht weiter ging. Inzwischen bin ich auf verschiedenen Hacking- und Forensik-Plattformen angemeldet und habe erste Challenges erfolgreich (alleine) abgeschlossen 😊 Ich freue mich jedes Mal, wenn wieder ein Wargaming ansteht. Nicht, um auf den bekannten Plattformen neue Challenges zu absolvieren (das kann ich auch alleine zu Hause), sondern weil die anderen aramidos immer spannende Projekte zum Mitmachen vorbereiten. Zum Beispiel hatten wir untersucht, wie sicher die verschiedenen NFC-Protokolle sind und ob man sie nicht inzwischen mit verschiedener Hard- und Software einfach hacken kann. Auf unser letztes Wargaming habe ich mich wieder besonders gefreut. Warum? Die Antwort würde das Limit dieses Posts leider endgültig sprengen 🙃 Wenn es euch interessiert, lasst es uns mit einem "Daumen hoch" wissen, und wir posten die Fortsetzung. #aramido #aramidoEvents #aramidoTeam #wargaming #hacking #erfahrungsbericht

ARAM

DE:ARAMIDO

aramido