Mein erstes SANS-Training

Die Trainings von SANS werden häufig für ihre hohe Qualität gelobt. Davon wollte ich mich gerne mal persönlich überzeugen und habe mir die “SANS Prague 2007” herausgesucht, die vom 12.-17.2.2007 stattfand. Hier mein Bericht:

• Anfang November 2006: Meine Planungen konkretisieren sich. Schon seit längerem dachte ich daran, an einem der Trainings teilzunehmen. Jetzt will ich mir aber wirklich mal die Zeit nehmen.
• Ende November 2006: Das Training wird im sehr zentral gelegenen Diplomat Hotel in Prag stattfinden.
  

  A special discount rate of 119 euros for single and 129 euros for double room will be honoured based on space availability. Make your reservation now, this special rate is only available through 12 January 2007. These rates include VAT and include breakfast.

  119 Euronen für eine “special discount rate” kommt mir recht viel vor. Bei HRS schaue ich, ob nicht vielleicht ein gutes Hotel in der Nähe günstiger ist. Und siehe da, dasselbe Hotel kostet nur noch 89,10 EUR. Für 15 EUR Aufpreis bekommt man ein Komfort- bzw. Business-Zimmer. Na, wer sagt es denn.

• 27.12.2006: Training, Flug und Hotel sind gebucht. Und dasselbe Hotel hat über hotel.de sogar nur 75 EUR pro Nacht gekostet (dafür ist es aber nur ein Standard-Zimmer; Komfort war leider nicht mehr buchbar). Irgendwie wird mir dieser SANS-Vorschlag immer suspekter. Zu dem Early-Bird-Preis von $3,695 für das Training kommen auch noch Steuern, was nicht auf der SANS-Seite zu den “Tuition Fees” steht. Nicht sehr transparent von SANS!
• 12.1.2007: Eine Early-Bird Registrierung lohnt sich nicht immer. Wie ich heute gesehen habe, ist das Training zwar 100$ teurer geworden, dafür ist jetzt aber die Prüfungsgebühr von 300$ in der Trainingsgebühr enthalten. Also 200$ zuviel ausgegeben.
• 11.2.2007: Angekommen in Prag
• 12.2.2007: Erster Tag des Trainings. Neben mir sitzen weitere 44 Leute im Trainingsraum. Das Training wird von Arrigo Triulzi durchgeführt. Trotz seines “zarten Alters” von 34 Jahren hat er seinen Erzählungen nach schon nahezu alles erlebt. Macht aber nichts, der Unterricht ist locker, unterhaltsam und informativ. Da der erste Tag unter dem Motto “Incident Handling Step-by-Step and Computer Crime Investigation” steht, habe ich das meiste bei der CISSP-Vorbereitung schon einmal gelernt. Diese Auffrischung ist aber trotzdem gut.
• 13.2.2007: Zweiter Trainingstag. Heute waren die Themen Reconnaissance und Scanning dran. Vieles aus dem Reconnaissance-Bereich hat mich sehr an die alten Intros der Cisco-Security-Kurse erinnert. Allerdings ist natürlich in diesem Kurs alles deutlich ausführlicher. Den Scanning-Teil fand ich persönlich etwas schwach. Der Kurs wird explizit als “High-End” angepriesen; vorgestellt wurden aber nur Standard-Szenarien von Standard-Tools. Wer regelmäßig das Linux-Magazin liest oder allgemein an Security-Tools interessiert ist kennt dies, da es nicht nennenswert über die ersten Seiten der zugehörigen freien HOWTOs hinausging. Auf den morgigen Tag bin ich aber gespannt; da steht das Thema “exploiting Systems” auf dem Plan.
• 14.2.2007: Der dritte Trainingstag stand unter dem Motto “Gaining Access”. Netcat, Sniffing, Session Hijacking, Buffer Overflow und Format String Attacks. Am Anfang wieder sehr viel Basic-Kram (und der Trainer kam mit ein paar Switch-Security-Funktionen durcheinander 😉 ), aber die Erklärungen zu den Buffer-Overflows und Format String Attacks waren die besten, die ich bisher gehört habe. Äußerst gut!
• 15.2.2007: Vierter Tag; heute stand weiter das Thema “exploiting Systems” auf dem Plan. Das unterteilte sich in “Gaining Access” (die Fortsetzung von gestern), “Web App Attacks” und “Denial of Service”. Etliche Themen waren leider wieder nur sehr oberflächlich und könnten deutlich mehr Tiefgang vertragen. Nach Aussage des Trainers liegt das u.a. an der amerikanischen Ausrichtung des Kurses. In den USA wird dieser Kurs auch viel von “Junior-Security”-Personen besucht, die meist Probleme damit haben, dem Stoff zu folgen. In Europa werden meist nur fortgeschrittene Mitarbeiter von ihren Arbeitgebern zu diesem (ziemlich teuren) Training gesendet, die vieles schon kennen. Aber das ist natürlich ein Problem von fast jedem Training.
• 16.2.2007: Fünfter und letzter Tag des eigentlichen Trainings: Heute war “Keeping Access” dran. Also Backdoors, Trojaner, Rootkits, verschiedene Arten von Covert-Channels, Verschleiern von Einbrüchen und Steganographie. Ein paar sehr interessante Tools wurden angesprochen, die mir bisher entgangen sind. Auch die Abhandlungen über Rootkits waren sehr gut.
• 17.2.2007: Sechster Tag, Hacking-Day. Heute wurde “Capture the Flag” gespielt. Auf vier Servern (zweimal Windows, einmal Linux, einmal OpenBSD) mit verschiedenen Verwundbarkeiten mussten Dateien gefunden werden, die zusammen den Hinweis auf ein Codewort gaben. Unsere Gruppe hat zwar nicht gewonnen (zwei Flags hatten wir, das dritte haben wir gesehen, konnten aber nicht unsere Rechte erhöhen), einen Riesen-Spaß hat es aber trotzdem gemacht. Fast peinlich dabei: Durch Reconnaissance wurde ein Useraccount mit dem Namen Falken gefunden; keiner von uns konnte sich aber an das dazu passende Passwort erinnern. 😉

Gesamt-Fazit: Das war auf jeden Fall eines der besseren Trainings, die ich besucht habe. Es war durchgängig unterhaltsam (was bei soviel Theorie auch nicht ganz unwichtig ist) und etliche Neuigkeiten waren auch dabei. Obwohl die SANS-Trainings deutlich teurer sind als vieles was man sonst so bekommt, denke ich, dass das nicht mein letztes Training dort war. Bei den günstigeren Trainings habe ich einfach schon zuviel “Müll” erlebt. Und “you get what you pay for”!

Ein paar Bild-Eindrücke vom Hotel und dem Training …

von lokalen Spezialitäten … 😉

und einem Snack auf dem Lufthansa-Rückflug …