Ervaring security / pentesting opdoen

[Verwijderd]

Hallo, ik heb bijna mijn MsInfoSysSec afgerond en heb certificaten zoals CISSP, maar wil mij nu wat meer richting pentesting ontwikkelen. Aangezien ik nog als systeembeheerder werk doe ik niet zoveel ervaring op en zonder ervaring krijg je geen baan als pentester.

Nu zijn er een paar opties voor mij: een eigen "bedrijfje" naast mijn normale werk runnen. Ik heb daar sinds vandaag toestemming voor van mijn baas, maar hoe begin je daar mee?
Ik kan ook een soort van vrijwilligerswerk doen in die richting. Ik heb me een keer aangemeld voor een soort charity instelling die afrikaanse overheden beveiligde, maar die hebben nooit gereageerd.

Iemand een idee voor freelance / vrijwilligerswerk in de pentesting wereld?

[Squ1zZy]

Is het mogelijk om de payroll van je werk te gebruiken? Als ik een opdracht binnen haal moet ik 30% afstaan en dan doet me werk al het papier werk en de belasting etc.

Je zou websites kunnen testen en als je iets vind het bedrijf benaderen dat je het wil oplossen. Je zou je in moeten schrijven bij de KvK, maar ik zou dat persoonlijk doen als het een beetje loopt. Let wel dat het even duurt voordat je bent ingeschreven.

Als je een beetje ervaring hebt kan je een document opmaken en dit gebruiken voor naast je CV om bedrijven te benaderen om te vragen of je een penetration test mag doen.

Begin met een penetration test op je werk en zet dat op je CV

[Verwijderd]

Squ1zZy schreef op woensdag 16 mei 2012 @ 11:26:
Is het mogelijk om de payroll van je werk te gebruiken? Als ik een opdracht binnen haal moet ik 30% afstaan en dan doet me werk al het papier werk en de belasting etc.

Je zou websites kunnen testen en als je iets vind het bedrijf benaderen dat je het wil oplossen. Je zou je in moeten schrijven bij de KvK, maar ik zou dat persoonlijk doen als het een beetje loopt. Let wel dat het even duurt voordat je bent ingeschreven.

Als je een beetje ervaring hebt kan je een document opmaken en dit gebruiken voor naast je CV om bedrijven te benaderen om te vragen of je een penetration test mag doen.

Begin met een penetration test op je werk en zet dat op je CV

Bedankt voor je tips. Hey random sites testen is niet zo heel spannend en behalve dat de eigenaar vaak juist boos wordt bij je hulp begeef je je volgens mij ook juridisch op glad eis zonder vooraf schriftelijk toestemming te hebben.

[Chemist]

Verwijderd schreef op woensdag 16 mei 2012 @ 13:31:
random sites testen is niet zo heel spannend en behalve dat de eigenaar vaak juist boos wordt bij je hulp

Dat, of ze bedanken je vriendelijk en doen er vervolgens geen f#ck mee....

Er zijn diverse pentest bedrijven in nederland die ook mensen aannemen met genoeg technische/security kennis, maar nog geen specifieke pentest ervaring. Ga daar gewoon een praten zou ik zeggen.

[Verwijderd]

Je kan uiteraard zelf ook wat systemen,switches,routers firewalls e.d. Thuis inrichten om mee te vogelen.
Irrc organiseerden de jongens van backtrack vroeger ook wedstrijden waarbij een aantal hosts gehackt moest worden binnen een bepaalde tijdspanne?

Volgens mij worden pwn20wn en de facebook cup ook nog steeds gehouden ik zou zeggen meld je aan en ga los.

[Verwijderd]

Verwijderd schreef op woensdag 16 mei 2012 @ 22:37:
Je kan uiteraard zelf ook wat systemen,switches,routers firewalls e.d. Thuis inrichten om mee te vogelen.
Irrc organiseerden de jongens van backtrack vroeger ook wedstrijden waarbij een aantal hosts gehackt moest worden binnen een bepaalde tijdspanne?

Volgens mij worden pwn20wn en de facebook cup ook nog steeds gehouden ik zou zeggen meld je aan en ga los.

Ja probleem van thuis klooien is dat je bijna al weet waar het lek zit als je begint. Probleem met de contests is dat het een erg hoog niveau is. Alles daartussen moet je bijna wel leren via werk (legaal) of hacking (illegaal)...

Is er geen goede certificering voor echt praktisch pentesten?

[Squ1zZy]

http://www.eccouncil.org/ heeft enkele examens
Ik heb de CEH cursus gedaan. Was leuk, maar heb er niet heel veel aan gehad.

[ebia]

Verwijderd schreef op woensdag 16 mei 2012 @ 07:56:
Hallo, ik heb bijna mijn MsInfoSysSec afgerond en heb certificaten zoals CISSP, maar wil mij nu wat meer richting pentesting ontwikkelen. Aangezien ik nog als systeembeheerder werk doe ik niet zoveel ervaring op en zonder ervaring krijg je geen baan als pentester.

Nu zijn er een paar opties voor mij: een eigen "bedrijfje" naast mijn normale werk runnen. Ik heb daar sinds vandaag toestemming voor van mijn baas, maar hoe begin je daar mee?
Ik kan ook een soort van vrijwilligerswerk doen in die richting. Ik heb me een keer aangemeld voor een soort charity instelling die afrikaanse overheden beveiligde, maar die hebben nooit gereageerd.

Iemand een idee voor freelance / vrijwilligerswerk in de pentesting wereld?

Zit je nog steeds in het buitenland of zoek je werk gewoon hier in NL?

Vrijwillig zou ik daar niet zo snel aan beginnen, tenzij je dat zou kunnen verpakken in één of andere stichting die dan op een andere manier weer zijn funds krijgt. Want zonder inkomen wordt het toch wel lastig is het niet?

Freelance pentestklussen zijn er bijna niet. Vaak komen dergelijke 'taken' voort uit reeds bestaande interne audit procedures, en worden ze uitgevoerd door bijvoorbeeld een sysadmin, security ops of auditors. (Een beetje afhankelijk van het soort controle).

Slechts een enkele keer zie je een dev-team vragen om bijvoorbeeld een pentest op een platform, app of service, maar dat is zelden. Security is en blijft voor de meeste organisaties een ondergeschoven kindje, of is belegd als taak bij een beheerder. Pas bij grotere organisaties (en waar de belangen vaak wat groter zijn) zie je dat pentesting op één of andere manier ingebed is in het bedrijfsproces: banken, verzekeraars, overheden, high-tech firma's, etc. En dan is alsnog de vraag of ze die kennis (al dan niet deels) van buiten betrekken, of daar in het kader van 'vertrouwen' liever hun eigen mensen hebben zitten.

Pentesting is overigens iets waar vrij veel te vinden is tegenwoordig. Je zult eerst eens moeten kijken wat je precies ligt. De meesten met achtergrond in beheer beginnen vaak bij netwerksecurity, dus algehele scans van netwerken (nmap), kijken of je open services kunt vinden en deze proberen uit te buiten (metasploit). Je hebt honderden youtube video's met aanvallen tot in detail uitgelegd, boeken over het onderwerp, en met een computer met veel RAM en VMware kun je in principe vrij snel aan de slag een omgeving op te bouwen met wat lekke OS-en en services. Kwestie van doen dus.

Met opdrachten moet je dus een beetje geluk hebben, zeker als de kansen gering zijn je het in je netwerk kunt vinden of geen bestaande contacten hebt in 'het wereldje'. In dat geval kun je beter eerst werkervaring opdoen bij een organisatie die jou willen laten groeien in de pentest wereld, alvorens je wellicht daarna iets vor je zelf gaat doen in die sector.

--EDIT--

Dat je in een 'lab' van te voren al weet waar het lek zit is imho niet erg. Het gaat er denk ik meer om dat je de principes snapt achter het lek en dat je die weet te fixen. Want zo denken bedrijven ook: scannen, lek ontdekt? Patchen! Waar ik werk is het scannen volledig geautomatiseerd (en geloof me, dat is een grondig rapportje), en neem ik aan de hand van de resultaten acties om systemen te patchen en verder te hardenen. Maar dan zul je altijd zien: de business gaat voor. Dus als de business voorschrijft dat ze een applicatie nodig hebben ($$$) welke nog op Win95 draait, nemen ze dat risico wel als de baten maar groot genoeg zijn. En dragen ze je natuurlijk uiteraard op om op andere manieren dat systeem te beschermen.

[ Voor 11% gewijzigd door ebia op 19-05-2012 23:35 ]

[photofreak]

Bedrijven zullen denk ik niet zo snel iemand als vrijwilliger aannemen, dat vinden ze iets te verdacht, in de tussen tijd kan je altijd je kennis niveau nog wat opschroeven/testen. Zelf vind ik Certified Secure https://www.certifiedsecure.com/frontpage wel een goede leeromgeving, genoeg challenges en volledig Nederlands.

Verder kan je natuurlijk altijd een goedkope VPS nemen en wat applicaties erop zetten om hierop los te gaan. Buiten dit kom je op virtual labs zoals die van Offensive Security.

[Verwijderd]

Probeer de http://www.onsight.nl/ security challenge eens. Wellicht mag je daarna wel een cv sturen

[Verwijderd]

Voor de Onsight Challenge heb je naast je eigen gereedschap alleen nog een VMware player nodig.
Als je level 1 en level 2 weet op te lossen en uitlegt hoe je aan de oplossing bent gekomen, zijn we natuurlijk geinteresseerd in je CV. Zeker goed voor je carriere.

[photofreak]

De onsight security challenge is zeker niet de moeilijkste challenge, ik heb moeilijkere gezien maar hij is wel leuk om te doen.

[Hmmbob]

Level 1 is vrij simpel, die was zo doorlopen. Voor level 2 moet ik even iets verder kijken en wat tools erbij pakken, maar daar moet ik me meer voor concentreren dan mogelijk is met kinderen om je heen

[sh4d0wman]

Ik heb het ook even gespeeld en vond het een leuke challenge. Weet alleen nog niet hoe ik het laatste bericht kan decrypten, al veel verschillende opties geprobeerd zonder resultaat.

[yeehaw]

Je zou bijvoorbeeld de Training van de makers van Backtrack kunnen proberen:

http://www.offensive-secu...n-testing-with-backtrack/

Die schijnt wel redelijk pittig te zijn.

[Yarisken]

De onsightchallenge krijg ik niet aan de praat. Hij "pakt" geen ip heb ik de indruk dus geen enkele scan werkt :-) ofwel is dit net de bedoeling.
Soit een heel interessant topic. Ik merk het zelf in mijn bedrijf dat security niet heel serieus wordt genomen en dat we vroeg of laat wel is problemen gaan hebben. Weet er iemand een site waar je "oefeningen" kan doen in pentesting ?

[photofreak]

Yarisken schreef op zondag 08 juli 2012 @ 15:38:
De onsightchallenge krijg ik niet aan de praat. Hij "pakt" geen ip heb ik de indruk dus geen enkele scan werkt :-) ofwel is dit net de bedoeling.
Soit een heel interessant topic. Ik merk het zelf in mijn bedrijf dat security niet heel serieus wordt genomen en dat we vroeg of laat wel is problemen gaan hebben. Weet er iemand een site waar je "oefeningen" kan doen in pentesting ?

Je moet ook bij de onsight challenge dynamisch IP-adres instellen en dan afgaande van je IP-adres range van de VM ware socket even de hele /24 range pingen of port scannen, dan kom je op het IP-adres van de server.

Pentesten in het begin is wel een groot woord, maar er zijn verschillende sites om je security kennis bij te houden, zelf vind ik Certified Secure de beste site tot nu toe, alles wordt netjes beetje bij beetje wat moeilijker en het is volledig Nederlandstalig. Zelf heb ik hier inmiddels alle certificaten en bijna alle challenges gehaald.

Succes!

[LuckY]

Onsight challenge lijkt alleen gestolen of gekopieerd, dus helaas is het één en ander te vinden op het internet. Challenge is wel grappig, maar zeker niet moeilijk, misschien hadden ze beter één of ander bashscript in kunnen zetten wat met verkeerde user gegevens draaide wat te beïnvloeden is.

OSCP (offensive security PWB) is best pittig, en je moet gemotiveerd zijn om hem te doen, ivm labaccess time en soms in het diepen gegooid worden en zelf uitzoeken (wat bijna een must is voor pentesting/security). Hier ben ik de fout in gegaan door het plannen in een drukke periode waardoor ik te weinig labaccess heb gehad om het rapport te bouwen.

Hier is trouwens nog een mooi overzicht om ervaring op te doen: http://g0tmi1k.blogspot.nl/2011/03/vulnerable-by-design.html met meerdere wargames.

Daarnaast is certifiedsecure zeker aan te raden voor je webhacking skills en nu ook je programming skills met zaken als panic picnic en binary mastery.


Helaas duurt het wachten op de uitslag zolang, in april had ik al mijn submission gedaan

[sh4d0wman]

Yarisken schreef op zondag 08 juli 2012 @ 15:38:
De onsightchallenge krijg ik niet aan de praat. Hij "pakt" geen ip heb ik de indruk dus geen enkele scan werkt :-) ofwel is dit net de bedoeling.

Ik had een probleem met Nmap onder Windows7 64-bit. De live host werd niet gevonden terwijl een scan van dezelfde ip reeks met AngryIP scanner wel resultaat gaf (een normale ping vanaf cmd werkte ook gewoon). Ik ben nog aan het testen waar dit gedrag aan ligt. (wellicht windows firewall of iets anders).

Op dit moment ben ik nog bezig met CCNA Security, zodra deze klaar is wil ik OSWP doen en zal ik mijn ervaringen ook wel delen op het forum hier. Uiteraard op een later moment nog OSCP maar ik twijfel nog of ik daarvoor wellicht Linux+ doe aangezien mijn Linux kennis vrij zwak is.

[Rukapul]

Ook eens even naar die Onsight challenge gekeken. Ik ben langer bezig geweest om die virtual machine aan de praat te krijgen op m'n Debian machine dan beide levels te kraken

Beetje flauw dat als je 3 standaard dingen weet dat je hem daarmee op kunt lossen.

[LuckY]

Verwijderd schreef op woensdag 23 mei 2012 @ 15:56:
Voor de Onsight Challenge heb je naast je eigen gereedschap alleen nog een VMware player nodig.
Als je level 1 en level 2 weet op te lossen en uitlegt hoe je aan de oplossing bent gekomen, zijn we natuurlijk geinteresseerd in je CV. Zeker goed voor je carriere.

En Is de uitslag al bekend ?

@hieronder:

Hij is nog te downloaden, je kan alleen niet meer winnen gok ik
http://onsight.nl/dwnl/OnsightSecurityChallenge.zip

[ Voor 13% gewijzigd door LuckY op 01-08-2012 13:50 ]

[MrHarry]

jammer dat ik het nu pas lees leek me wel leuk om te doen

[sh4d0wman]

Ik heb mijn oplossing ook opgestuurd alleen kwam ik niet achter het level2 password. Iemand die dit gelukt is? Het frustreerde mij enorm dus ik wil graag de oplossing weten

Om de tijd te doden ben ik nu eens aan het kijken naar de OSCE registratie challenge: http://www.fc4.me/. Volgende week eerst maar eens beginnen met OSWP en wellicht later in het jaar OSCP.

[iisschots]

Het is niet leuk wanneer een oplossing makkelijk op internet te vinden is. Daarom wil ik deze niet in dit topic zien.

[LuckY]

iisschots schreef op woensdag 01 augustus 2012 @ 16:26:
Het is niet leuk wanneer een oplossing makkelijk op internet te vinden is. Daarom wil ik deze niet in dit topic zien.

Om het algemeen te houden lees goed de opdracht in level 2 en vergelijk het met level 1, en daarna is het kwestie van de volgorde.
Wel vaag, op de main site staat 31 Juli, terwijl er op level pagina's over 1 augustus gesproken wordt voor einde van de challenge/uiterste inleverdatum.

[ Voor 5% gewijzigd door LuckY op 01-08-2012 20:25 ]

[sh4d0wman]

Even een schopje, Onsight is druk bezig met de resultaten te beoordelen. Nog even geduld dus voordat de winnaar bekend is. Voordat ik de uitwerking opvraag zal ik nog eens puzzelen met de post van Lucky. Echter ben ik inmiddels begonnen aan OSWP en de IO challenges op smashthestack.org dus heb niet heel veel tijd over haha

Quote van de Onsight mail:

Allereerst wil ik jou namens Onsight hartelijk danken voor je deelname aan onze Challenge!
Afgelopen week verstreek de uiterste inzenddatum en onze experts zijn inmiddels druk met het beoordelen van alle inzendingen.

In week 34 zullen wij de winnaar bekend maken en hierover op onze website een nieuwsitem publiceren.

Wellicht wel leuk om vast wat statistieken uit te wisselen;
· In totaal zijn 24 deelnemers de uitdaging aangegaan
· 21 deelnemers hebben Level 1 opgelost
· 1 deelnemer heeft Level 1 bijna opgelost
· 2 deelnemers hebben we gediskwalificeerd
· 12 deelnemers hebben Level 2 opgelost
· 4 deelnemers hebben Level 2 bijna opgelost

Mocht je tot slot nog interesse hebben in de uitwerking van de oplossing, dan kan je deze per e-mail bij ons opvragen.