Community security

[Yarisken]

Hallo,

Ik werk als system engineer en ik heb een grote interesse in security. Ook om de security in mijn bedrijf deftig aan te pakken. Overal waar ik al gewerkt heb is er gewoon bijna "geen" security.
In mijn vrije tijd lees ik wat pdf's, speel wat met backtrack, en kijk wat video's van bv securitytube.
Wat ik zoek is een community / forum / irc kanaal waar mensen zoals ik zitten. Dus geen script kiddies die sites willen gaan afbreken, geen underground gedoe van echte hackers, gewoon een kanaal om met mensen in contact te komen die op een gezonde manier naar security kijken en die ervaringen willen delen.
Uiteraard heb ik al tal van publieke forums bezocht maar daar vind ik niet mijn gading.
Iemand tips ?

Groeten

[Onbekend]

Gaat het om het computernetwerken of ook om andere beveiligingen zoals fysiek toegang e.d.?

[Yarisken]

Onbekend schreef op woensdag 13 maart 2013 @ 23:12:
Gaat het om het computernetwerken of ook om andere beveiligingen zoals fysiek toegang e.d.?

Vooral computernetwerken. Fysieke toegang en social engineering daar heb ik weinig vat op. Als ik mijn kant op orde heb kan ik al heel tevreden zijn.

Ik zal een voorbeeld geven. We hebben al enkele servers gehad die gehacked zijn geweest. Er werden geen updates en geen patches geinstalleerd en als je dan gebruik maakt van een oude jboss ... tja of het standaard wachtwoord voor tomcat :-). Ik ben nog niet lang in dienst en probeer nu de gaten te dichten.
Nu scan ik bv al de servers die bereikbaar zijn over het internet met nexpose ( van rapid 7 ) en zo zorg ik ervoor dat de exploits toch al gedicht worden. Ik ben ook nog bv op zoek naar een goede tool die het interne netwerk monitort. Ik zoek dus eigenlijk mensen om ervaringen mee uit te wisselen.

Nog een ander voorbeeld. Zowel java ( in de browser ), flash, adobe reader etc... worden nauwelijks gepatched. Overlaatst had mijn baas iets gelezen over mini duke en hij vroeg me hoeveel systemen kwetsbaar waren ... ik zei "allemaal". Mijn voorstel was dan ook om adobe reader te verwijderen en een andere pdf reader te gebruiken maar dat ligt allemaal moeilijk. Java in de browser schakel je best uit ... maar dat zorgt voor ongemakken bij de "gebruikers" dus dat is ook niet zo'n goed idee .... :-). Tis nog wat vechten voor de mensen bewust te maken van security.

[ Voor 62% gewijzigd door Yarisken op 13-03-2013 23:34 ]

[photofreak]

@ Yarisken

Op security.nl en op het IRC kanaal van Certified Secure zijn wel wat mensen actief en dat zijn geen scriptkiddies: https://www.security.nl/ en http://hacking.certifiedsecure.com/

[Standeman]

Ik denk dat je nog het beste op LinkedIn terecht kan. Dat is inmiddels wel wat meer geworden dan een profielen site en kent veel, redelijk kleinschalige communities / groups waarin gediscussieerd wordt over o.a. security. Voordeel is dat het voornamelijk professionals zijn die daar zitten.

[Rukapul]

Ik zit wellicht in de verkeerde groepen op LinkedIn mbt security, maar de discussions sectie is meestal toch vrij doods of wordt bevolkt door mensen met een hidden agenda.

[iisschots]

Daarnaast zitten er hier ook mensen die op dit gebied werken, maar het is nog nooit echt van de grond gekomen. Mochten er dus manieren zijn wat ik kan doen zodat we het op GoT kunnen faciliteren hoor ik het graag. Dan ga ik deze bespreken en wat mogelijk is uitvoeren.

[Yarisken]

iisschots schreef op donderdag 14 maart 2013 @ 15:42:
Daarnaast zitten er hier ook mensen die op dit gebied werken, maar het is nog nooit echt van de grond gekomen. Mochten er dus manieren zijn wat ik kan doen zodat we het op GoT kunnen faciliteren hoor ik het graag. Dan ga ik deze bespreken en wat mogelijk is uitvoeren.

Ding is dat je soms zaken wil bespreken die niet publiek moeten zijn voor iedereen.
Vandaag bv zie ik op de firewall een heel pak brute-force attacks. Ik doe wat ik normaal doe en ik scan die server. Wat merk ik nu, deze server zit potdicht, geen poort staat open en fingerprinting geeft ook niks weer. Het is een dedicated gehuurde server. Bijna altijd als ik ip's nakijk van scans of aanvallen dan is het een server die gehacked is en misbruikt wordt. Als je dan een simpele scan doet dan zie je wel meestal poort 80 of 443 openstaan en werkt fingerprinting.
Mocht er hier bv een "niet-publieke" sectie zijn dan zou ik het ip kunnen posten bijvoorbeeld.
Ondertussen al een mailtje naar "abuse" gestuurd :-).

[photofreak]

Yarisken schreef op donderdag 14 maart 2013 @ 22:51:
[...]


Ding is dat je soms zaken wil bespreken die niet publiek moeten zijn voor iedereen.
Vandaag bv zie ik op de firewall een heel pak brute-force attacks. Ik doe wat ik normaal doe en ik scan die server. Wat merk ik nu, deze server zit potdicht, geen poort staat open en fingerprinting geeft ook niks weer. Het is een dedicated gehuurde server. Bijna altijd als ik ip's nakijk van scans of aanvallen dan is het een server die gehacked is en misbruikt wordt. Als je dan een simpele scan doet dan zie je wel meestal poort 80 of 443 openstaan en werkt fingerprinting.
Mocht er hier bv een "niet-publieke" sectie zijn dan zou ik het ip kunnen posten bijvoorbeeld.
Ondertussen al een mailtje naar "abuse" gestuurd :-).

Dat is niks nieuws, mijn access log staat ook de hele tijd vol met crawlers die zoeken naar /admin, /phpmyadmin, etc heb er al een paar keer wat langs gehad die 100 pogingen doen

en vaak als services als ssh of ftp gebrute worden gaat dit automatisch en worden default login creds geprobeerd.

Ik trek me inmiddels er niks meer van aan, je kan er toch niks tegen doen en het kost me meer moeite dat het oplevert, een van de redenen waarom ik ook de moeite niet meer doe om IP's te blacklisten.

[Standeman]

Rukapul schreef op donderdag 14 maart 2013 @ 15:32:
Ik zit wellicht in de verkeerde groepen op LinkedIn mbt security, maar de discussions sectie is meestal toch vrij doods of wordt bevolkt door mensen met een hidden agenda.

Ik zit ook niet in de security groups, meer in de Java dev-groep en Standevrouw in de P&O & recruitment groups. Daar lees ik van tijd tot tijd wel interessante dingen.

[iisschots]

Ik wil zeker wanneer er behoefte leeft eens overleggen of we een hidden security forum kunnen krijgen als een test. Ik doe geen beloften of het ook echt gaat komen.

[LnC]

Mocht er zo'n forum komen, dan ben ik wel benieuwd om daarin mee te discusseren. Aangezien security / malware e.d. mijn intresse heeft.

[wizkid_niels]

LnC schreef op vrijdag 15 maart 2013 @ 12:19:
Mocht er zo'n forum komen, dan ben ik wel benieuwd om daarin mee te discusseren. Aangezien security / malware e.d. mijn intresse heeft.

Ik ook, ben bezig met hijackthis cursus bezig voor malware e.d. en loop stage bij een cybersecurity bedrijf. Wil hier graag mee verder dus zo'n forum zou leuk zijn om te volgen.

[LuckY]

Zo een forum gaat binnen de kortste keren dood, het is nu enkel even hip ivm de security challenge, maar dat bloed snel dood - immers dit forum heet beveiliging en virussen.

Security topics zijn vaker gepoogd te starten maar zijn doodgebloed.
Er loopt een topic over certificering waar eens in de zoveel tijd iemand zwaait met zijn net nieuw behaalde certificaatje.

Persoonlijk kan je beter gaan zoeken op media zoals IRC en/of twitter en zelf onderzoeken of de betrokkene geen dubbele agenda hebben.

Daarnaast is www.reddit.com/r/netsec en alle relevante reddits een goede bron van informatie.

Helaas is in het verleden tweakers niet de juiste doelgroep gebleken voor dit onderwerp.

wizkid_niels schreef op vrijdag 15 maart 2013 @ 13:15:
[...]
cybersecurity bedrijf

Cyberbullshit!

[ Voor 15% gewijzigd door LuckY op 16-03-2013 16:04 ]

[wizkid_niels]

@Lucky, er zijn in NL zoveel bedrijven die penetration-testing e.d. aanbieden. Het is toch niet zo raar dat ook deze bedrijven stagiaires aannemen? Ik beweer ook niet dat ik bij Fox-IT stage loop

[Orion84]

Ik denk dat Lucky meer doelt op dat hij die term een loos buzzword vindt, niet dat ie niet gelooft dat jij bij een dergelijke bedrijf stage loopt.

[ebia]

Yarisken schreef op woensdag 13 maart 2013 @ 23:11:
Ik werk als system engineer en ik heb een grote interesse in security. Ook om de security in mijn bedrijf deftig aan te pakken. Overal waar ik al gewerkt heb is er gewoon bijna "geen" security.
In mijn vrije tijd lees ik wat pdf's, speel wat met backtrack, en kijk wat video's van bv securitytube.
Wat ik zoek is een community / forum / irc kanaal waar mensen zoals ik zitten. Dus geen script kiddies die sites willen gaan afbreken, geen underground gedoe van echte hackers, gewoon een kanaal om met mensen in contact te komen die op een gezonde manier naar security kijken en die ervaringen willen delen.
Uiteraard heb ik al tal van publieke forums bezocht maar daar vind ik niet mijn gading.
Iemand tips ?

Zo makkelijk is je vraag eigenlijk niet, en toch ook weer wel.

In feite heb je 'de hackercommunity'. Dat is natuurlijk weer helemaal onderverdeeld in kleine subgroepjes, van white hat tot black hat, van de hardcore encryptie gerelateerde 'hacks' tot de meer hands-on gerichte hacks, en alles wat daar tussenzit in alle kleuren van de regenboog.

Maar wat jij wil is juist beveiligen. Ja, dan is het handig als je weet wat er speelt, maar omdat 'hacking' nogal veelomvattend is kun je nooit alles weten.

Waar je je als beheerder aan zou moeten houden (IMHO) zijn gewoon de best practices voor het veilig inrichten, gebruiken en beheren van de infra en systemen. Daarmee doe je op een 'deftige' manier beveiliging installeren, volgens de normen van de fabrikant (zodat je ook geen gelazer krijgt met support).

Want anders dan thuis (waar je maar een beetje kunt aanrommelen), moeten de systemen op je werk 'het gewoon doen'. Als die systemen niet vanaf het eerste moment zijn opgebouwd met beveiliging in het achterhoofd, is het heel moeilijk omdat er later alsnog in te verwerken.

Ik zou eerst het laaghangende fruit pakken door er voor te zorgen dat de meest gangbare systemen en pakketten gewoon gepatched zijn naar de laatste levels (dat is soms al een opgave genoeg), en zal in combinatie met goed ingerichte en geteste firewall, proxy en virusscanner 95% van de bagger op je netwerk tegenhouden.

Controle is het toverwoord. Controle is dat je weet wat er speelt op je netwerk, en dat je er grip op hebt of op kan uitoefenen. Dat is zeg maar je streven. Dat krijg je niet alleen door middel van techniek (denk aan een IDS), maar ook gewoon door goed doordachte procedures (denk aan het managen van accounts van personen die de organisatie verlaten).

Je kunt wel direct aan de gang met vulnerability scans, maar dat test meer de capaciteiten van jou als tester, dat of je met zekerheid kunt stellen of een bepaald systeem helemaal veilig is.

Sowieso moet je uitkijken dat het niet compleet jouw verantwoordelijkheid wordt. Als er dan een incident is of wat dan ook, dan ben jij diegene die aangekeken wordt om de shit op te lossen, of nog erger, aangekeken omdat men vindt dat jij je werk niet goed hebt gedaan. Security doe je immers met z'n allen... bewustwording enzo.

Overigens kun je, als je echt een concrete case hebt, deze altijd hier neerzetten. Er zullen genoeg lurkers zijn met kennis die mogelijk dan wel de moeite nemen om iets te schrijven. Dat is mijn ervaring althans.

[sh4d0wman]

In jou geval kunt je wellicht het beste eens informeren bij je manager of je wellicht een verbeterplan op kunt stellen voor de informatie beveiliging. Zonder management support kom je niet heel ver. Zorg er hierbij ook voor dat verantwoordelijkheden duidelijk worden. Dit om te voorkomen dat je straks aangesproken gaat worden op een security incident.

Vervolgens kun je in deze rapportage aangeven wat je tot op heden (en met de kennis die je nu hebt) bent tegen gekomen en hoe dit te voorkomen / verhelpen is.

Zorg er voor dat je toestemming hebt voordat je alles gaat scannen en testen. Een foutje is snel gemaakt en schade zal niet in dank worden afgenomen.

Mocht je specifieke vragen hebben dan ben ik altijd bereid deze te beantwoorden. Indien privacy gevoelig via DM maar wel met het verzoek om een anonieme versie als bijdrage op GoT te plaatsen.
Ik heb ervaring met de technische kant (offensive / defensive) en verder met ISO27002 / ISO27001 implementaties dus meer policies / procedures / en ander slaapverwekkend spul.