[SEC] IT Security boeken, artikels, etc

[sh4d0wman]

Boeken

Inleiding Er zijn veel, heel veel boeken geschreven over allerlei aspecten van de IT security. In dit topic kunnen ze besproken worden en kunnen we wellicht nieuwe ideeën opdoen. Boeken met betrekking tot certificering graag bespreken in IT Security Certificeringen

TS trapt af


The Database Hacker's Handbook.
ISBN-10: 0764578014
Behandeld Oracle, DB2, Informix, Sybase, MySQL, SQL en PostgresSQL. Uiteraard kan men niet op alle databases diep ingaan maar het geeft een goede basis voor het pentesten van databases. Het gaat op SQL injection in maar ook bevoorbeeld buffer overflows en andere manieren om een database aan te vallen. Doordat er veel code verspreid in het boek zit leest het niet altijd even prettig. Dit hadden ze beter op cd kunnen zetten. Dan hadden ze meer ruimte over om op sommige zaken dieper in te gaan.



The Webapplication Hacker's Handbook.
ISBN-10: 0470170778
Gaat uitgebreid in op de diverse zwakheden in webservers en webapplicaties. Ben er nog in bezig dus kan er nog niet heel veel over vertellen, wel erg enthousiast tot nu toe. Duidelijke geschreven en diverse screenshots ter verduidelijking.



Syngress Google Hacking for Penetration Testers
ISBN-10: 1597491764
Gebaseerd op de bevindingen van Johnny Long (ihackstuff). Handig om ter referentie te hebben bij footprinting. Ben er nog niet helemaal uit of het zijn geld waard is. Een groot deel kun je toch ook online terug vinden.



Syngress Stealing The Network serie:
How to own the box, How to own a continent, How to own an identity, How to own a shadow
Fictie. Beschrijft verschillende aanvallen aan de hand van veel gebruikte hacking tools. Erg leuk om te lezen en een stuk realistischer dan films zoals Hackers & Swordfish.

[Mishmash]

Misschien handig om ook ISBN nummers erbij te noteren zodat ze makkelijker opgezocht kunnen worden. * Mishmash hoopt niet dat dit een opsomtopic wordt...

[BlaTieBla]

Een aantal minder technische boeken, waar met name de menselijke factor in belicht wordt of andere vormen van (logische en fysieke) beveiliging.

The Art of intrusion - William L. Simon & Kevin D. Mitnick

ISBN-10: 0764569597
ISBN-13: 978-0764569593
en

The Art of Deception - William L. Simon & Kevin D. Mitnick

ISBN-10: 076454280X
ISBN-13: 978-0764542800

Leuke boeken waar 'fictieve' (social enginering) cases worden behandeld, waar soms je mond bij openvalt over hoe makkelijk dingen soms zijn.
Je IT kan zo goed dichtgetimmerd zijn, maar als je voorlichting richting gebruikers e.d. faalt is het een wassen neus.

Daarnaast boeken voor bijvoorbeeld CISSP^* opleidingen. Techniek gaat redelijk rap. Een boek/onderwerp van vandaag kan morgen weer achterhaald zijn. Als de basis goed is, is het relatief eenvoudig om je (techniek) aan te passen.


* CISSP is als voorbeeld bedoeld. Er zijn immers vele vormen van op dat vlak, waarvan CISSP 1 van de bekendere is

---

Een sterk fictief leesboek. Niet zozeer een IT boek, maar wel eentje waar je over na gaat denken en tot discussie kan leiden op het security vlak.... En discussie is altijd goed

Digital Fortress - Dan Brown

ISBN-10: 0312335164
ISBN-13: 978-0312335168
'Fictief' boek over de encryptie en veiligheid die daarmee gemoeid is. Het zet je aan het denken over wat men zoal zou kunnen. Daarnaast zitten er geen tot weinig structurele fouten in dit boek. Iets waar ik me vaak aan erger in dit soort genres

[Voor 43% gewijzigd door BlaTieBla op 07-08-2008 13:02]

[UDuckling5]

Hackers Guide 2e Editie + CD-ROM

ISBN10: 9043004669
ISBN13: 9789043004664

Meest waardeloze boek in de geschiedenis van de wereld

Vormt een scherp contrast met:
Cryptonomicon

ISBN10: 9024537185
ISBN13: 9789024537181

Ook fictie, goed voor discussies, all that jazz.

[Nvidiot]

The Cuckoo's Egg (Cliff Stoll)

ISBN10: 1416507787
ISBN13: 9781416507789

Een boek over het tracken van een digitale inbraak in de begintijd van het internet. Vooral interessant om te zien dat het niemand iets interesseert, zelfs wanneer militaire systemen benaderd worden...

Secrets and Lies (Bruce Schneier)

ISBN10: 0471453803
ISBN13: 9780471453802

Een overzicht over hoe je security aan moet pakken, zowel technisch als op management-niveau, wat mij betreft een klassieker onder de security boeken.

[Rukapul]

BlaTieBla schreef op donderdag 07 augustus 2008 @ 12:25:
Een aantal minder technische boeken, waar met name de menselijke factor in belicht wordt of andere vormen van (logische en fysieke) beveiliging.

[...]

Je IT kan zo goed dichtgetimmerd zijn, maar als je voorlichting richting gebruikers e.d. faalt is het een wassen neus.

In dat licht haal ik hier een paper aan dat een nieuw paradigma propageert dat (de beperkingen van) gebruikers expliciet meeneemt in het ontwerp van security oplossingen: Carl Ellison, Ceremony Design and Analysis, 2007

Een sterk fictief leesboek. Niet zozeer een IT boek, maar wel eentje waar je over na gaat denken en tot discussie kan leiden op het security vlak.... En discussie is altijd goed

Digital Fortress - Dan Brown
[afbeelding]
ISBN-10: 0312335164
ISBN-13: 978-0312335168
'Fictief' boek over de encryptie en veiligheid die daarmee gemoeid is. Het zet je aan het denken over wat men zoal zou kunnen. Daarnaast zitten er geen tot weinig structurele fouten in dit boek. Iets waar ik me vaak aan erger in dit soort genres

Het is een tijdje geleden, maar wat ik me herinner van Digital Fortress biedt het op security en technisch vlak weinig goeds. Om mezelf maar te quoten:

Rukapul schreef op woensdag 16 maart 2005 @ 23:39:
- Digital Fortress (eng), Dan Brown (het verhaal op zich is snel en spannend, maar gezocht en alle computeraspecten zijn voor een informaticus werkelijk om te gruwen zo onrealistisch)

Nvidiot schreef op donderdag 07 augustus 2008 @ 21:22:
The Cuckoo's Egg (Cliff Stoll)
[afbeelding]
ISBN10: 1416507787
ISBN13: 9781416507789

Een boek over het tracken van een digitale inbraak in de begintijd van het internet. Vooral interessant om te zien dat het niemand iets interesseert, zelfs wanneer militaire systemen benaderd worden...

Dat is een klassieker (wilde het net zelf hier gaan posten). * Rukapul zal 16-18 geweest zijn toen hij dat boek bij de bieb geleend heeft (gevolgd door Bruce Schneiers' Applied Cryptography Dat laatste boek zouden ze echter niet zonder waarschuwing/disclaimer mogen verkopen...

[Virtugon]

Security Data Visualization

ISBN10: 1593271433
ISBN13: 9781593271435

Is wel een aardig boek met veel informatie over het visualiseren van grote hoeveelheden (security) data. Ik heb het zelf gebruikt binnen de organisatie waar ik werk als inspiratiebron voor leuke grafiekjes die ik kan genereren voor management, maar dat is natuurlijk niet het enige waar deze kennis voor gebruikt kan worden.

Nessus, Snort, And Ethereal Power Tools

ISBN10: 1597490202
ISBN13: 9781597490207

Is een leuk boek voor als je meer uit deze tools wilt halen. Het beschrijft technisch hoe de tools werken en hoe je er je eigen scripts/add-ons/plug-ins/signatures voor kunt schrijven.

Shellcoder's Handbook (2e druk)

ISBN10: 047008023X
ISBN13: 9780470080238

Een ontzettend interessant boek als je jezelf bezighoud met software security. Tevens ook een handig naslagwerk.

Silence On The Wire

ISBN10: 1593270461
ISBN13: 9781593270469

Er zijn meer aanvalsvormen dan je denkt. Dit boek behandeld een aantal hele leuke alternatieve vormen en is vrij technisch geschreven. Het begint bij de hardware en werkt zich zo op naar de software, zeker een aanrader.

Rootkits

ISBN10: 0321294319
ISBN13: 9780321294319

Alhoewel ik toe moet geven dat ik er nog niet aan toe ben gekomen om dit boek eens goed door te nemen heb ik van collega's gehoord dat het wel erg interessante informatie bevat over de werking van rootkits voor Microsoft Windows.

[Meauses]

Er is binnen het vakgebied van informatiebeveiliging veel geschreven, te veel om allemaal te kunnen lezen binnen het leven. En daarom wil ik graag weten welke boeken of literatuur jullie aan mij en anderen kunnen aanraden om wat meer kennis op te kunnen doen over dit onderwerp.

Het mogen boeken zijn die over de basis gaan, programming, exploiting etc.

Ik lees vooral goede verhalen over hacking: the art of exploitation, maar de informatie in het boek schijnt niet veel meer gehanteerd te worden (het exploiting gedeelte dan).
Daarnaast natuurlijk de boeken van Kevin Mitnick die erg interessant zijn om meer inzicht te krijgen in hoe hackers/social engineers te werk gaan.

[LuckY]

Ik heb de 2 boeken van Kevin mitnick.
Ik heb het hacker boek uitgelezen, ze gaan er niet heel diep op in het wordt meer geromantiseerd.
The art of social engineering, heb ik nog niet uitgelezen.
Ik ben niet zo een boekwurm

[Bor]

De vraag is wel heel erg breed. Is het niet beter eventuele aanbeveligingen onder te verdelen in genre?

Wat betreft "hacking" info lees ik eigenlijk nooit boeken gezien de info vaak al achterhaald (of incompleet) is wanneer het boek uit komt. Internet is een betere bron van informatie.

[Meauses]

Bor de Wollef schreef op dinsdag 24 februari 2009 @ 19:01:
De vraag is wel heel erg breed. Is het niet beter eventuele aanbeveligingen onder te verdelen in genre?

Wat betreft "hacking" info lees ik eigenlijk nooit boeken gezien de info vaak al achterhaald (of incompleet) is wanneer het boek uit komt. Internet is een betere bron van informatie.

De vraag is inderdaad erg breed, ik denk dat het handig is om elkaar te wijzen op interessante stukken of boeken die beschikbaar zijn.

verdeling kan inderdaad, maar we hebben boeken, tutorials, white papers etc.
Hierin heb je ook weer genres; hacking, programming, prevention, detection etc.

Ik denk dat de mensen zelf het beste aan kunnen geven in wat voor categorie het betreffende stuk/boek etc. valt.

[sh4d0wman]

Boeken lopen inderdaad al snel achter maar zijn nog wel eens handig om als naslagwerk te gebruiken aangezien je alle info bij elkaar hebt ipv over veel verschillende sites. Als aanvulling is het dus nooit weg. Ik moet wel eerlijk bekennen dat ik van de meeste boeken alleen een pdf versie heb

Voor webapplication auditing vond ik dit boek wel goed:
Web Application Hackers Handbook,
ISBN-10: 0764578014
Aangezien ik meer OS/netwerk en social engineering gericht was kon ik dit boek goed gebruiken als opfrisser voor pentesten van web applicaties. http://www.amazon.com/Web...TF8&qid=1235505379&sr=8-3

[begintmeta]

Gaan mensen ook naar congressen zoals die van het BSI? of CCC? Bestaan veel dergelijke congressen?

[shad0w_crash]

Nee nog nooit gedaan, maar wellicht dat ik dit jaar naar HAR2009 ga

enfin weer ff ontopic:

Literatuur:

The art of deception
Shellcoders handboek
Praktijkgids code voor informatiebeveiliging
hacking exposed

Daarnaast veel tutorials introductie filmpjes etc.

[Anoniem: 51786]

Ik ben wel een regelmatige congresganger.

HAR probeer ik te geraken. CCC staat eveneens op de planning.

Ik probeer ook elk jaar hack.lu mee te pikken, en zeker niet te vergeten: sinds dit jaar: brucon (http://www.brucon.org/)

Daarbuiten heb je er nog verschillende zoals de infosec beurzen, defcon, blackhat, ... maar ik hou toch liever van de wat kleinschaligere events.

[Rukapul]

Om heel eerlijk te zijn vond ik IT Security Boeken een sterkere start hebben

[F_J_K]

Sterker nog, ik voeg [SEC] Literatuur (gestart met Meauses in "[SEC] Literatuur") even samen met IT Security Boeken. Overigens gaat informatiebeveiliging veel verder dan boeken met de term hacking in de titel, maar dat is een hele andere discussie

[Meauses]

Prima van de verhuizing, deze TS is inderdaad wat uitgebreider.

Ik ben zelf op zoek naar een boek voor CISSP. Nu heb ik er hier één liggen (geleend van collega) de All in one CISSP exam guide third edition van Shon Harris. Het is ten eerste een dik boek, en ten tweede leest deze niet zo heel lekker weg. Het is droge stof, en zo leest het ook.

Kan iemand mij een goed boek aanraden voor CISSP?
Is de 4e editie van het boek misschien wat beter (leesbaar), moet ik het boek 'CISSP' hebben uit 2008 of de Official ISC2 guide to the CISSP CBK?

[sh4d0wman]

Meauses schreef op donderdag 05 maart 2009 @ 15:05:
Ik ben zelf op zoek naar een boek voor CISSP. Nu heb ik er hier één liggen (geleend van collega) de All in one CISSP exam guide third edition van Shon Harris.

Probeer anders even online de diverse boeken te downloaden zodat je kunt zien hoe ze geschreven zijn. Daarna gewoon even bestellen bij Amazon ofzo. Er zijn ook wel diverse sites over CISSP.

Misschien is dit nog een nuttige link: http://www.ethicalhacker.net/content/view/176/24/

Succes! Mocht je examen doen, maak hier dan nog even een topic met je ervaringen Zit er ook nog over te denken, op dit moment ben ik echter bezig met CHFI en CCNA.

[Anoniem: 51786]

[b][message=31594615,noline]
Kan iemand mij een goed boek aanraden voor CISSP?
Is de 4e editie van het boek misschien wat beter (leesbaar), moet ik het boek 'CISSP' hebben uit 2008 of de Official ISC2 guide to the CISSP CBK?

De AIO is thans de de-facto standaard. Ik heb wel de 3de editie gehad, en voond die juist immens leesbaar.
Ik had ook de knutz&vines, en de official guide, maar voornamelijk deze laatste leest enorm moeilijk (bijna een wettekst boek). Eigenlijk was "CISSP for dummies" (en ja, ik ben serieus), een ideaal boek om eerst mee te beginnen. Uiteraard gaat dit niet diep genoeg in op de 10 domeinen, maar geeft je wel all-round al een goed gevoel, en in mijn opzicht een ideale starter.

Ik kan je wel hiernaar toe verwijzen: het forum voor al je CISSP vragen en testen:
www.cccure.org

Een post van mij (wel eerst registreren) omtrent mijn studieproces en examen-ervaring:
http://www.cccure.org/mod...iewtopic&t=3027&highlight

[Rukapul]

Meauses schreef op donderdag 05 maart 2009 @ 15:05:
Ik ben zelf op zoek naar een boek voor CISSP. Nu heb ik er hier één liggen (geleend van collega) de All in one CISSP exam guide third edition van Shon Harris. Het is ten eerste een dik boek, en ten tweede leest deze niet zo heel lekker weg. Het is droge stof, en zo leest het ook.

Heb dat boek ook (al 3 jaar oid) liggen, maar wat een verschrikkelijk slecht geschreven boek is dat. Het is niet grappig ondanks de vele pogingen daartoe, lange lappen tekst met matige structuur en intern niet altijd even consistent. Had ik de fouten die erin voorkomen (met name in de figuren) al genoemd?.

[Meauses]

Anoniem: 51786 schreef op donderdag 05 maart 2009 @ 16:38:
[...]


De AIO is thans de de-facto standaard. Ik heb wel de 3de editie gehad, en voond die juist immens leesbaar.
Ik had ook de knutz&vines, en de official guide, maar voornamelijk deze laatste leest enorm moeilijk (bijna een wettekst boek). Eigenlijk was "CISSP for dummies" (en ja, ik ben serieus), een ideaal boek om eerst mee te beginnen. Uiteraard gaat dit niet diep genoeg in op de 10 domeinen, maar geeft je wel all-round al een goed gevoel, en in mijn opzicht een ideale starter.

<knip>

Het CISSP voor dummies boek had ik inderdaad ook al overwogen, het komt wel uit 2002, ik heb alleen geen idee of het boek hierdoor teveel achterloopt of is het nog op het niveau dat het echt de basis is en nog goed te gebruiken is.
Ik zal nog niet in de nabije toekomst aan CISSP beginnen, ben nu nog bezig met mijn HBO studie waarvoor ik nu bezig ben met afstuderen. Mocht ik gaan beginnen aan CISSP dan zal ik zeker wat posten hierover.

[Anoniem: 51786]

Rukapul schreef op donderdag 05 maart 2009 @ 16:57:
[...]

Heb dat boek ook (al 3 jaar oid) liggen, maar wat een verschrikkelijk slecht geschreven boek is dat. Het is niet grappig ondanks de vele pogingen daartoe, lange lappen tekst met matige structuur en intern niet altijd even consistent. Had ik de fouten die erin voorkomen (met name in de figuren) al genoemd?.

Mja, als je de recensies en tips naleest, is het wel nog steeds het werk dat de domeinen zo volledig mogelijk behandeld. Maar ik zou nooit (voor dit examen alvast) op 1 boek vertrouwen, en minimum een tweede erbij hebben ter aanvulling / naslag.
En lange lappen? Probeer u dan maar eens door de official guide te worstelen. Precies een wettekst-boek

Meauses schreef op donderdag 05 maart 2009 @ 19:41:
[...]


Het CISSP voor dummies boek had ik inderdaad ook al overwogen, het komt wel uit 2002, ik heb alleen geen idee of het boek hierdoor teveel achterloopt of is het nog op het niveau dat het echt de basis is en nog goed te gebruiken is.
Ik zal nog niet in de nabije toekomst aan CISSP beginnen, ben nu nog bezig met mijn HBO studie waarvoor ik nu bezig ben met afstuderen. Mocht ik gaan beginnen aan CISSP dan zal ik zeker wat posten hierover.

Zo veel is er fundamenteel aan de 10 domeinen niet gewijzigd, dus het dummies boek zal zeker als intro nog meer dan voldoende zijn, aangezien dit de basis is. Voor de rest zou ik zeker een recenter nemen, aangezien er toch als je dieper in detail gaat, wat wijzigingen zijn geweest de laatste jaren zoals bvb de focus minder op amerikaanse wetgeving, maar meer globaal..
Let ook wel op, aangezien je nog studeert, dat je nog geen CISSP kan worden, maar associate. Je moet namelijk die 4 (of is het al 5?) jaar ervaring kunnen voorleggen.

[Meauses]

Anoniem: 51786 schreef op donderdag 05 maart 2009 @ 22:34:
[...]


[...]


Zo veel is er fundamenteel aan de 10 domeinen niet gewijzigd, dus het dummies boek zal zeker als intro nog meer dan voldoende zijn, aangezien dit de basis is. Voor de rest zou ik zeker een recenter nemen, aangezien er toch als je dieper in detail gaat, wat wijzigingen zijn geweest de laatste jaren zoals bvb de focus minder op amerikaanse wetgeving, maar meer globaal..
Let ook wel op, aangezien je nog studeert, dat je nog geen CISSP kan worden, maar associate. Je moet namelijk die 4 (of is het al 5?) jaar ervaring kunnen voorleggen.

Dank voor de nuttige info.
Inderdaad, hier was ik al van op de hoogte. Ik geloof dat een studie (relevant voor CISSP) telt voor 1 of 2 jaar ervaring. Bij CISM telt het voor 2 jaar. Ik geloof dat je in totaal inderdaad 5 jaar relevante ervaring dient te hebben.
Ik zit nu zo'n 2 jaar in het vak, maar merk dat ik nog veel te leren heb...

Dan ga ik eens de CISSP voor dummies aanschaffen om mee te beginnen.

[SKiLLa]

Waarschijnlijk alwel eerder genoemd, maar toch: Het Chaos computer boek
(Das Chaos Computer Buch) uit 1988 (!). Imho een echte klassieker ivm. het tijdsbeeld, quote:

"Dit boek was vooral een plaatsbepaling in tijd, en herlezing bracht verbazing over hoeveel verder wij inmiddels gedachteloos gekomen zijn."

Amen, ik heb 't gelezen toen ik 11 was (1990) en laatst opnieuw, goed voor het retrospectief ...
Voor de "pubers" onder ons verplichte kost (imho), zeker als je weet dat sommige van die "terroristen"
van toen 20 jaar later "industry-leader" zijn geworden/geweest

[Eriky]

Het boek Nmap Network Scanning van Goron "Fyodor" Lyon is ook een aanrader. Dit boek over nmap is geschreven door de maker van nmap zelf. Het bevat een gedetailleerde uitleg van alle opties en manieren van werken. Dus je leert niet alleen met nmap werken, maar je snap ook waarom en hoe bepaalde scans werken. Ook bevat het boek een deel over het omzeilen van IDS systemen. Je moet wel basiskennis hebben van TCP/IP maar dat is sowieso kennis die elk security minded persoon wel heeft.

En het mooiste van alles: op http://nmap.org/book/ kan je een groot deel van het boek ook online lezen!

[Voor 0% gewijzigd door Eriky op 12-07-2009 16:01. Reden: typo]

[Rukapul]

*kick*

Ik ben op zoek naar een boek over het toepassen van risk asssessment (i.t.t. de abstracte modellen en processen). Het liefst enigszins praktisch en met cases onderbouwd. Een hoofdstuk met bijvoorbeeld quantitatieve risk assessment zou ook aardig zijn.

In mijn zoektocht tot zover ben ik uitgekomen op The Security Risk Assessment Handbook:


Kent iemand dit boek? Andere suggesties?

[SanderH_]

Misschien is er een nieuw topic nodig, maar ik dacht om deze maar een schopje te geven..

Welke boeken zouden jullie aanraden ivm InfoSec voor een security noobie die toch een redelijke IT achtergrond heeft? Als je er met andere woorden een aantal moet noemen, wat zijn dan dé klassiekers?

Werken van Bruce Schneier zie ik alvast vaak voorbijkomen.

[Voor 10% gewijzigd door SanderH_ op 08-08-2015 03:30]