'Professionele' hackers?

[Xandrios]

Voor een project ben ik op zoek naar een bedrijf dat een website kan testen op veiligheid. Er zijn een redelijk aantal bedrijven die iets doen in deze richting, probleem is dat zonder referenties het erg moeilijk is om hier een keuze te maken. Daarom ben ik op zoek naar ervaringen

Eisen:
- Applicatie test, geen systeem/hardware test
- 'Goal' is het proberen om achterliggende (backend) systemen te bereiken.
- Bedrijf moet 'established' zijn aangezien het om sensitive data gaat.
- Kosten is niet direct bepalend

Waar ik dus niet naar op zoek ben is een van de 'hack safe' resellers. Het gaat er echt om dat een persoon met goede kennis van security een dag/een aantal dagen besteedt aan het handmatig doporbreken van de webinterface.

Heeft iemand hier ervaring mee, en zou deze willen delen?

[M@rijn]

Fox-it is dacht ik wel 1 van de grootste op dat gebied.

[Boudewijn]

http://www.madison-gurkha.com/

ik heb hier wel eens wat workshops van gezien, erg netjes gedaan.
ook met demoo'tjes.

zou zoiets btw zelf graag willen leren, enig idee waar dat kan (behalve de praktijk) op net niveau?

[lordgandalf]

Voor dit soort onderzoeken kan men zich het beste richten tot bedrijven zoals:
Fox-IT
4itrust

zijn twee bedrijven die dat soort zaken doen

[sh4d0wman]

Ik zou persoonlijk tussen Fox of Madison kiezen aangezien beiden een goede reputatie hebben op dit gebied. Waar ze in verschillen weet ik niet en ik heb helaas geen ervaringen met ze. Zou er wel voor willen werken though

@ Boudewijn: kijk eens bij eccounsil naar CEH (certified ethical hacker) of LPT (licensed penetration tester), deze bieden met name het technische deel. CISA en CISSP zijn ook een optie maar ik geloof dat je dan al werkzaam moet zijn in het IT security vakgebied. Fox-IT biedt ook wel workshops aan dacht ik.

[lordgandalf]

fox-it bied inderdaad workshops aan.

[killercow]

Pine heeft eens wat code van mij getest,
Doen dit erg uitgebreid, en vonden gelukkig vrij weinig (op een local port scan via een ajax script binnen de DMZ na dan )

pine.nl dus.

[JPS]

Goede ethical hackers zijn schaars. De certificering CEH zegt naar mijn mening niet zo veel, het is niet erg moeilijk om die te bemachtigen en daarmee (vind ik) dat je niet kan zeggen dat je een goede penetratietest kunt uitvoeren. Je kunt dan met wat tooltjes spelen. Ethical hacking is namelijk een puzzlekunst op zich.

Je zou eens kunnen kijken naar Seneca Risk & Security. Die zijn naar mijn ervaring gewend om met zeer vertrouwelijk materiaal om te gaan, zijn technisch sterk, maar kijken duidelijk verder en plaatsen aangetroffen kwetsbaarheden/risico's in een bedrijfscontext. http://srs.seneca.nl/smartsite869.htm

CISA/CISSP zijn wat sterkere certificeringen die een indicatie van beveiligingsprofessionaliteit geven, maar staar je daar ook niet blind op.

[JohnStaakke]

Vanuit mijn bedrijf werken we met Madison en Ghurka, voornamelijk voor auditing.
Goeie ervaringen mee.

[JPS]

Boudewijn schreef op woensdag 19 december 2007 @ 22:12:
http://www.madison-gurkha.com/

ik heb hier wel eens wat workshops van gezien, erg netjes gedaan.
ook met demoo'tjes.

zou zoiets btw zelf graag willen leren, enig idee waar dat kan (behalve de praktijk) op net niveau?

Daar zijn geen echte cursussen voor. Meestal leer je het door zelf veel te hobby'en en van collega's te leren. Die CEH training is aardig, maar zoals ik hierboven al zei leer je niet meer dan met wat tooltjes te spelen. 'Echt' hacken is fingerspitzengefuhl, en dat is niet voor iedereen weggelegd. Je hebt daarvoor een sterke technische kennis nodig, maar moet vooral ook geduld en fijnzinnigheid hebben. Het is niet voor niets zo dat veel goede ethical hackers ook lockpicking als hobby hebben.

Je zou eens met backtrack kunnen spelen, maar pas er mee op. Ga niet zomaar wat op een productienetwerk aanklooien; voor je het weet gooi je de boel plat

[orf]

killercow schreef op vrijdag 21 december 2007 @ 10:23:
Pine heeft eens wat code van mij getest,
Doen dit erg uitgebreid, en vonden gelukkig vrij weinig (op een local port scan via een ajax script binnen de DMZ na dan )

pine.nl dus.

Hier hetzelfde. Applicatie voor een gemeente is getest door Pine bij ons. Erg goed verslag en een aantal aanbevelingen gekregen.

[sh4d0wman]

CEH en dergelijke certificeren zullen uiteraard niet volstaan om een ethical hacker te worden. Belangrijkste zijn toch wel diverse eigenschappen die je moet bezitten anders raak je op den duur toch gefrustreerd denk ik. Voorbeelden, vasthoudendheid/doorzettingsvermogen (er is altijd wel een manier om ergens binnen te komen, deze vinden kan echter zeer veel tijd kosten), creatief (out of the box denken en nieuwe dingen uit durven te voeren), nauwkeurig werken (je zal maar opeens een host hacken die buiten je scope viel ) etc. Ook vind ik netwerken een belangrijk onderdeel, ken de juiste mensen en je hoort informatie voordat het algemeen gepubliceerd is. (als het uberhaupt gepubliceerd wordt)

[Juup]

Ik weet natuurlijk niet HOE goed je het getest wilt hebben maar ik zou nooit maar 1 persoon van 1 bedrijf er 1 keer naar laten kijken. Ik heb wel eens met wat madison-gurka lui gewerkt en hoewel het zeer aardige mensen zijn heb ik niet het gevoel dat hun skills op niveau "echte hacker" waren.

Als ik het nu zou moeten doen zou ik 2 of 3 bedrijven inhuren en er een competitie-element aan toevoegen. Dus: wie het eerste op server x als user y iets kan runnen, die krijgt een noemenswaardige bonus.

[JPS]

Juup schreef op vrijdag 21 december 2007 @ 11:43:
Als ik het nu zou moeten doen zou ik 2 of 3 bedrijven inhuren en er een competitie-element aan toevoegen. Dus: wie het eerste op server x als user y iets kan runnen, die krijgt een noemenswaardige bonus.

Natuurlijk, nodig meerdere partijen uit. Maar het competitie-element, hoe leuk dat ook lijkt, zou ik achterwege laten. Dan gaat iedereen met grof geschut op zoek naar de quick-win, maar daarmee heb je geen enkel zicht op al je kwetsbaarheden, zeker niet de geraffineerde. Het beperkt ook nadrukkelijk het o-zo-belangrijke out-of-the-box denken, zoals hierboven is beschreven. Een hacker moet veel verder denken dan die ene quick-win.

[Verwijderd]

JPS schreef op vrijdag 21 december 2007 @ 12:13:
[...]
Een hacker moet veel verder denken dan die ene quick-win.

Klopt, ik heb ooit een profesionele firewall moeten testen. Zat erg goed in elkaar. Kon er niet rechtstreeks in komen. Heb toen via een backdoor op de logging ingebroken. Kreeg automatisch een bericht dat alles open stond, toen de beheerder de logging ging bekijken.

[Ivo]

Boudewijn schreef op woensdag 19 december 2007 @ 22:12:
http://www.madison-gurkha.com/

ik heb hier wel eens wat workshops van gezien, erg netjes gedaan.
ook met demoo'tjes.

zou zoiets btw zelf graag willen leren, enig idee waar dat kan (behalve de praktijk) op net niveau?

Ik ga me inschrijven voor de master Information Security Technology aan de TU/e. Een 2-jarige masteropleiding die je voorbereid op onderzoek in informatiebeveiliging (protocollen, encryptie), maar ook werken als security consultant.

[Verwijderd]

Je zou eens kunnen kijken bij www.securitymasterclass.nl, verzorgen trainingen en certificeringstrajecten van Mile2. Zeer goede trainers, voeren zelf pen testen uit bij o.a. de NSA

Boudewijn schreef op woensdag 19 december 2007 @ 22:12:
http://www.madison-gurkha.com/

ik heb hier wel eens wat workshops van gezien, erg netjes gedaan.
ook met demoo'tjes.

zou zoiets btw zelf graag willen leren, enig idee waar dat kan (behalve de praktijk) op net niveau?

[Boudewijn]

Ivo schreef op vrijdag 21 december 2007 @ 13:15:
[...]

Ik ga me inschrijven voor de master Information Security Technology aan de TU/e. Een 2-jarige masteropleiding die je voorbereid op onderzoek in informatiebeveiliging (protocollen, encryptie), maar ook werken als security consultant.

Nice, ik neem aan dat daar al een flinke dot UNIX kennis aan vooraf dient te gaan?
* Boudewijn gaat eerst zijn msc in ST maar eens afmaken btw