Security in IT Pro

[kipppertje]

Lieve Adjes,

Wat vinden jullie ervan om een aparte sectie te maken in de afdeling IT Pro voor security / hacking. Ik ben ervan op de hoogte dat het onderdeel Beveiliging & Virussen bestaat in softe goederen, maar het probleem hiermee is dat een topic als "Help, hoe installeer ik mijn Norton virusscanner?" in hetzelfde rijtje staat als de security challenges. Dit zorgt ervoor dat dit voor beide groepen (wanhopige consumenten en profs) minder interessant wordt.
Bijvoorbeeld een topic als:
http://gathering.tweakers.net/forum/list_messages/1317351
staat in programming, terwijl dat het hier eigenlijk om een pentest gaat.

Ben benieuwd wat jullie ervan vinden.

[RGAT]

Tweakers heeft al ervaring met bedrijven welke niet blij zijn dat we hier info over hacken geven, denk dat juist het ontbreken van zo'n rubriek de 'hoe hack ik mijn school' vragen redelijk kunnen ontlopen

[Hahn]

Ik denk dat dat gewoonweg niet levensvatbaar is. Beveiliging & Virussen heeft in de afgelopen 4 dagen een whooping 3 topics waarin gepost is. Dat noem ik eigenlijk al nagenoeg dood.

Om dat nog eens op te gaan splitsen tot een 'beginner' en een 'gevorderde' deel, zal het er echt niet beter op maken.

[kipppertje]

Ik denk dat dat gewoonweg niet levensvatbaar is. Beveiliging & Virussen heeft in de afgelopen 4 dagen een whooping 3 topics waarin gepost is. Dat noem ik eigenlijk al nagenoeg dood.

Sure, ik ben zelf pentester, maar er zitten (voor mij) gewoon weinig interessante topics tussen, maar wel een boel "consumentenvragen", wat er tot op heden voor gezorgd heeft dat ik er ook niet veel rondhang.

@RGAT: daar zijn moderators voor. Uiteraard moeten er richtlijnen zijn voor dit soort dingen. "Hoe hack ik mijn school" is in die zin net zo onwenselijk als "waar koop ik heroïne". Wat die bedrijven betreft, dat is een beetje je kop in het zand steken. Beter fixen die bedrijven hun lekken of komen ze op een dergelijk forum voor advies.
Hacken is niet crimineel, verboden of illegaal. Inbreken zonder toestemming wel, maar dat gaan we niet promoten op een forum natuurlijk.

[flipkipse]

Ik zou het inderdaad ook als een erg interessant hoekje op forum zien.

Eindelijk is leren van de profs hoe zo iets nu eigenlijk in elkaar steekt. Want ik zou wel eens meer achtergrond weten wanneer ik lees: "Sony is gehacked". Ik wil dan wel is weten (puur informatief) hoe doe je nu zo iets, wat komt er bij kijken, etc.. En het is nu eenmaal zo: het beste leren doe je in de praktijk.

[Verwijderd]

kipppertje schreef op zaterdag 07 maart 2015 @ 16:08:
[...]


Sure, ik ben zelf pentester, maar er zitten (voor mij) gewoon weinig interessante topics tussen, maar wel een boel "consumentenvragen", wat er tot op heden voor gezorgd heeft dat ik er ook niet veel rondhang.

@RGAT: daar zijn moderators voor. Uiteraard moeten er richtlijnen zijn voor dit soort dingen. "Hoe hack ik mijn school" is in die zin net zo onwenselijk als "waar koop ik heroïne". Wat die bedrijven betreft, dat is een beetje je kop in het zand steken. Beter fixen die bedrijven hun lekken of komen ze op een dergelijk forum voor advies.
Hacken is niet crimineel, verboden of illegaal. Inbreken zonder toestemming wel, maar dat gaan we niet promoten op een forum natuurlijk.

Ik vind security ook enorm interessant. Maar inderdaad, hoe vaak zie je nou topics over ethisch hacken etc? Gaat dat opeens veranderen met een apart hoekje? Lijkt mij hartstikke leuk, maar ik betwijfel het.

flipkipse schreef op zaterdag 07 maart 2015 @ 16:55:
Ik zou het inderdaad ook als een erg interessant hoekje op forum zien.

Eindelijk is leren van de profs hoe zo iets nu eigenlijk in elkaar steekt. Want ik zou wel eens meer achtergrond weten wanneer ik lees: "Sony is gehacked". Ik wil dan wel is weten (puur informatief) hoe doe je nu zo iets, wat komt er bij kijken, etc.. En het is nu eenmaal zo: het beste leren doe je in de praktijk.

Behalve praktijkervaring moet je ook gewoon veel theorie kennen. IT in zijn geheel is natuurlijk één en al theorie. Dus, ga eens een boek lezen.

Zonder de theorie kan een expert jou wel zaken gaan uitleggen, maar ik denk niet dat je er heel veel wijzer van wordt zonder achterliggende kennis.

[ Voor 28% gewijzigd door Verwijderd op 07-03-2015 17:01 ]

[flipkipse]

Verwijderd schreef op zaterdag 07 maart 2015 @ 16:59:
[...]
Behalve praktijkervaring moet je ook gewoon veel theorie kennen. IT in zijn geheel is natuurlijk één en al theorie. Dus, ga eens een boek lezen.

Zonder de theorie kan een expert jou wel zaken gaan uitleggen, maar ik denk niet dat je er heel veel wijzer van wordt zonder achterliggende kennis.

Ik heb de IT kennis ook wel en snap het principe achter "SQL injectie" bijvoorbeeld ook wel.

Alleen bij dingen als Sony denk ik; hoe kom je achter het IP van de server, hoe scan je de server op zwakheden, eenmaal in het netwerk hoe opereert je dan.

Het lijkt me mega interessant om dit bijvoorbeeld in het klein met ze alle uit te proberen. En denk dat er net als mij best Tweakers zijn die zich afvragen; hoe kom je mijn netwerk nou eigenlijk in, want als je weet hoe mensen er in komen. Kan je er jezelf tegen beschermen.

[Hahn]

flipkipse schreef op zaterdag 07 maart 2015 @ 18:50:
[...]


Ik heb de IT kennis ook wel en snap het principe achter "SQL injectie" bijvoorbeeld ook wel.

Alleen bij dingen als Sony denk ik; hoe kom je achter het IP van de server, hoe scan je de server op zwakheden, eenmaal in het netwerk hoe opereert je dan.

Het lijkt me mega interessant om dit bijvoorbeeld in het klein met ze alle uit te proberen. En denk dat er net als mij best Tweakers zijn die zich afvragen; hoe kom je mijn netwerk nou eigenlijk in, want als je weet hoe mensen er in komen. Kan je er jezelf tegen beschermen.

Er zijn alleen twee (grote) redenen waarom dit natuurlijk nooit gaat gebeuren:
[list=1]• Niemand die over die kennis beschikt gaat het aan de grote klok hangen, want niet alleen welwillende Tweakers, maar ook kwaadwillende mensen leren ervan.
• 'Met z'n allen uitproberen' is iets wat Tweakers op alle mogelijke manieren wil voorkomen.

[flipkipse]

Hahn schreef op zaterdag 07 maart 2015 @ 18:52:
[...]

Er zijn alleen twee (grote) redenen waarom dit natuurlijk nooit gaat gebeuren:
[list=1]• Niemand die over die kennis beschikt gaat het aan de grote klok hangen, want niet alleen welwillende Tweakers, maar ook kwaadwillende mensen leren ervan.
• 'Met z'n allen uitproberen' is iets wat Tweakers op alle mogelijke manieren wil voorkomen.

Hoezo? Waarom kan je niet dingen juist voor de "test" neerzetten. Puur voor informatieve doeleinde?

Stel ik zet een router neer en zeg: probeer het maar. En show nu is, hoe pak je zo iets aan. Want als je die technieken weet kan je daar jezelf ook beter tegen beschermen. Waardoor niemand meer iets aan de informatie heeft.

We testen alles bij tweakers. Waarom beoordelen we routers dan niet op de veiligheid? Het meest belangrijke in mijn ogen aan een router

[ Voor 8% gewijzigd door flipkipse op 07-03-2015 19:10 ]

[Hahn]

Zo simpel werkt het alleen niet voor de wet. Als ik jou toestemming geef om mij op m'n bek te rossen, dan moet jij alsnog op het politiebureau verschijnen vanwege mishandeling

[NMe]

flipkipse schreef op zaterdag 07 maart 2015 @ 19:06:
Hoezo? Waarom kan je niet dingen juist voor de "test" neerzetten. Puur voor informatieve doeleinde?

Stel ik zet een router neer en zeg: probeer het maar. En show nu is, hoe pak je zo iets aan. Want als je die technieken weet kan je daar jezelf ook beter tegen beschermen. Waardoor niemand meer aan de informatie heeft.

En vervolgens moeten wij je op je blauwe ogen vertrouwen dat het echt jouw router is en je niet vraagt om een willekeurige derde partij te hacken.

Ik kan niets zeggen over B&V verder, aangezien dat niet mijn hoekje van het forum is. "IT Pro" is dan weer wel mijn hoekje, en ik moet zeggen dat ik verder niet heel veel zie in een extra forum dat misschien een paar topics per week krijgt. Als B&V overloopt van dat soort topics kunnen we erover praten, maar zoals de zaken nu staan is de vraag er gewoon niet naar.

kipppertje schreef op zaterdag 07 maart 2015 @ 16:08:
[...]

Sure, ik ben zelf pentester, maar er zitten (voor mij) gewoon weinig interessante topics tussen, maar wel een boel "consumentenvragen", wat er tot op heden voor gezorgd heeft dat ik er ook niet veel rondhang.

Wat houdt je tegen om zelf een interessant topic te openen? En waarom denk je dat een eigen forum dit probleem oplost? Een vrijwel leeg forum waar bijna niet in gepost wordt gaat ook niet veel bezoekers trekken en dus ga je daar ook niet kijken.

[ Voor 23% gewijzigd door NMe op 07-03-2015 19:13 ]

[w4rguy]

NMe schreef op zaterdag 07 maart 2015 @ 19:10:
[...]

En vervolgens moeten wij je op je blauwe ogen vertrouwen dat het echt jouw router is en je niet vraagt om een willekeurige derde partij te hacken.

[...]

Maakt dat uit dan? Als iemand een besluit jou te misleiden om met die kennis een derde partij te hacken ben jij daar niet voor verantwoordelijk toch? Tuurljk kun je vragen wat iemand met die informatie wil. Maar wat is er mis met het delen van kennis? Iedereen die zich met informatiebeveiliging en bijvoorbeeld penetratietesten bezig houdt zou daar ethisch besef bij moeten hebben.

Als jouw bedrijf jou gevoelige informatie laat zien gaat die ook niet eerst aan je vragen of je die wel voor jezelf houdt. Dat verwacht men gewoon van je. Net als dat ik niet verwacht dat iemand mijn schroevendraaier gebruikt om mee in te breken.
'
Dus nee, ik denk dat er wel ruimte moet zijn om die kennis te delen.

Een subforum? Dat denk ik niet. Daar is de tweakers community gewoon niet aan toe. Het aantal informrmatiebeveiligingsspecialisten is gewoon te klein.Het is natuurlijk wel interessant om over te discussieren natuurlijk

[NMe]

w4rguy schreef op zaterdag 07 maart 2015 @ 19:24:
[...]

Maakt dat uit dan? Als iemand een besluit jou te misleiden om met die kennis een derde partij te hacken ben jij daar niet voor verantwoordelijk toch?

We hebben het hier over Tweakers, niet over discussies over pen-tests in het algemeen. Als iemand hier op Tweakers een topic opent met de melding "hier, dit is mijn router, probeer maar te hacken" dan is er geen enkele manier voor ons om te checken dat dat écht zijn hardware is en niet die van iemand anders die hij probeert te kloten. Vervolgens is wie dan ook die daadwerkelijk inbreekt strafbaar (want computervredebreuk) en is het niet eens ondenkbaar dat ook Tweakers aansprakelijk gesteld wordt omdat wij het in dat geval faciliteren. Dus ja, dat maakt uit.

[w4rguy]

NMe schreef op zaterdag 07 maart 2015 @ 19:27:
[...]

We hebben het hier over Tweakers, niet over discussies over pen-tests in het algemeen. Als iemand hier op Tweakers een topic opent met de melding "hier, dit is mijn router, probeer maar te hacken" dan is er geen enkele manier voor ons om te checken dat dat écht zijn hardware is en niet die van iemand anders die hij probeert te kloten. Vervolgens is wie dan ook die daadwerkelijk inbreekt strafbaar (want computervredebreuk) en is het niet eens ondenkbaar dat ook Tweakers aansprakelijk gesteld wordt omdat wij het in dat geval faciliteren. Dus ja, dat maakt uit.

Klaag whatsapp dan ook aan. Want die faciliteren vast ook drugsdeals op festivals. Wat mij betreft is het de wereld op zijn kop als je zo gaat redeneren. Elke vorm van criminaliteit wordt denk ik wel ondersteund door openbaar gebruikte voorzieningen of middelen. Daar kun je niet de oorzaak in zoeken.

En als iemand zegt "kijk, hier, hack dit", dan moet iedere persoon die bekwaam is met informatiebeveiliging wel achter zijn oren krabben of het wel helemaal in orde is...

Als ik zeg, hier dit is mijn auto, kijk eens of je in kan breken. Doe je dat toch ook niet zomaar?

[Hahn]

w4rguy schreef op zaterdag 07 maart 2015 @ 19:33:
[...]


Klaag whatsapp dan ook aan. Want die faciliteren vast ook drugsdeals op festivals. Wat mij betreft is het de wereld op zijn kop als je zo gaat redeneren. Elke vorm van criminaliteit wordt denk ik wel ondersteund door openbaar gebruikte voorzieningen of middelen. Daar kun je niet de oorzaak in zoeken.

En als iemand zegt "kijk, hier, hack dit", dan moet iedere persoon die bekwaam is met informatiebeveiliging wel achter zijn oren krabben of het wel helemaal in orde is...

Als ik zeg, hier dit is mijn auto, kijk eens of je in kan breken. Doe je dat toch ook niet zomaar?

Je maakt meerdere vergelijkingen die ik echt totaal niet kan volgen.

De situatie waar hier over gesproken wordt is: iemand zegt "ik heb hier een router, kijk eens of jullie 'm kunnen hacken", iemand hackt die router en vervolgens blijkt die router niet van diegene te zijn. Dan kan jij, als hacker, niet schuilen achter "ja, maar hij zei dat die router van hem was".

Wát heeft dat met WhatsApp te maken? En je laatste vergelijking insinueert dat niemand ook daadwerkelijk zou gaan hacken, dus dan heeft het ook geen nut om het toe te laten

[NMe]

w4rguy schreef op zaterdag 07 maart 2015 @ 19:33:
[...]

Klaag whatsapp dan ook aan. Want die faciliteren vast ook drugsdeals op festivals.

Om die vergelijking kloppend te maken moeten we even totaal veranderen wat Whatsapp is en doet... Die vergelijking klopt alleen als Whatsapp op grote schaal mensen die elkaar niet kennen in contact brengt en in een ruimte die daar speciaal voor gemaakt is mensen uitnodigen om te praten over het kopen van drugs.

[flipkipse]

Hahn schreef op zaterdag 07 maart 2015 @ 19:39:
[...]

Je maakt meerdere vergelijkingen die ik echt totaal niet kan volgen.

De situatie waar hier over gesproken wordt is: iemand zegt "ik heb hier een router, kijk eens of jullie 'm kunnen hacken", iemand hackt die router en vervolgens blijkt die router niet van diegene te zijn. Dan kan jij, als hacker, niet schuilen achter "ja, maar hij zei dat die router van hem was".

Wát heeft dat met WhatsApp te maken? En je laatste vergelijking insinueert dat niemand ook daadwerkelijk zou gaan hacken, dus dan heeft het ook geen nut om het toe te laten

Waarom faciliteert Tweakers de verbinding + router niet? Ze krijgen zoveel testertjes...

Waarom testen we ze niet op veiligheid? Hoe snel zijn de pro"s er doorheen. Loggers op de router om te zien wat zich afspeelt. En kijken welke testen die al doorstaan heeft...

[Hahn]

Om alle redenen die al aangedragen zijn. Te veel risico's en te weinig animo.

[kipppertje]

Wat houdt je tegen om zelf een interessant topic te openen? En waarom denk je dat een eigen forum dit probleem oplost? Een vrijwel leeg forum waar bijna niet in gepost wordt gaat ook niet veel bezoekers trekken en dus ga je daar ook niet kijken.

Wat me tegenhoud is dat het 80% consumentenvragen zijn, en ik denk dat een eigen forum dit probleem op gaat lossen. Het is een beetje een kip-ei verhaal.
Maar om eerlijk te zijn, ik weet niet of een apart forum dit probleem gaat oplossen, maar ik weet wel dat het op de huidige manier er waarschijnlijk niet gaat komen.

Er zijn alleen twee (grote) redenen waarom dit natuurlijk nooit gaat gebeuren:
Niemand die over die kennis beschikt gaat het aan de grote klok hangen, want niet alleen welwillende Tweakers, maar ook kwaadwillende mensen leren ervan.
'Met z'n allen uitproberen' is iets wat Tweakers op alle mogelijke manieren wil voorkomen.

Tuurlijk niet. Kennis hoort gedeeld te worden. Alle informatie die je daarvoor nodig hebt is al publiek beschikbaar, hetzij via internet, hetzij via conferenties, hetzij via opleidingen en cursussen. Hoe denk je anders dat we aan security profs komen?

Het "hier is mijn IP, kijk maar wat je kan hacken"-idee lijkt me inderdaad een slecht idee, maar in een gecontroleerde omgeving is hier niets mis mee.

spoiler:

Er bestaat al een topic hierover: Security challenges

[NMe]

flipkipse schreef op zondag 08 maart 2015 @ 00:18:
[...]

Waarom faciliteert Tweakers de verbinding + router niet? Ze krijgen zoveel testertjes...

Zelfs als ze inderdaad zoveel testertjes "krijgen" zit er nogal wat werk, tijd en geld achter om die sandboxed te laten draaien zodat het breken van die router niet betekent dat je ineens bij andere servers kan. Niet dat ik het wil uitsluiten maar zo simpel als je het nu maakt is het allemaal niet... Nog los van het feit dat dit niks te maken heeft met de vraag naar een apart subforum.

kipppertje schreef op zondag 08 maart 2015 @ 14:50:
[...]

Wat me tegenhoud is dat het 80% consumentenvragen zijn, en ik denk dat een eigen forum dit probleem op gaat lossen. Het is een beetje een kip-ei verhaal.

En toch zijn alle "if you build it, they will come"-forums uit het verleden op niets uitgelopen. Je moet eerst iets van een voedingsbodem hebben voordat je een nieuwe plant kan laten groeien. Door aan te geven dat je over een onderwerp wil praten maar dat niet te doen op de plek die er op dit moment voor is draag je bij aan het probleem, niet aan de oplossing. Waarmee ik je geenszins wil verplichten om topics te openen, maar ik vind wel dat je een ietwat rooskleurig beeld hebt van hoe dit soort dingen in de praktijk werken. Om maar even als voorbeeld te nemen:
Themaforum Virtualisatie
Ook Devschuur onderhevig aan cosmetisch ingrijpen -> De Devschuur krimpt in -> Software Engineering & Architecture opgeheven

[F_J_K]

Dan is "gewoon" regelmatig topics starten en actief reageren op de huidige plaatsen wel de manier. Als er vooral pro-discussies zijn dan trekt het eerder pros. Niet binnen een dag of week, maar op langere termijn.

Als er vooral wordt gereageerd in topics met eenvoudige antwoorden dan trekt het mensen met eenvoudige vragen.

(En als er voldoende actieve topics zijn dan is het inderdaad zeker een los subforum waard. Maar "if you build it, they will come" heeft tot nu toe helaas niet gewerkt.