The Zero Day
Iets korter vandaag; Op full-disclosure wordt weer eens gesproken over zogenaamde zero-day exploits. Iedereen kent de geruchten rond de zogenaamde zero-day exploits natuurlijk wel. Enge hackers met zwarte hoeden zouden gebruik maken van bij ons onbekende vulnerabilities en exploits om systemen aan te vallen. Of dit echt waar is, daar zijn de meningen over verdeeld. In mijn ogen lijkt het me niet meer dan logisch dat mensen die slimmer zijn dan ik, of domweg meer tijd hebben, nieuwe vulnerablities kunnen vinden en exploits kunnen ontwikkelen waar ik geen weet van heb. Aannemende dat er inderdaad enge zero-days in bepaalde kringen circuleren, hoe kunnen we ons, en onze data, hier dan tegen beveiligen? Of is het allemaal maar FUD?
zero days exploit is ontdekt in één laag, en de eerste laag faalt, dan werkt
de tweede laag als compensating control. En daarnaast nog een detecting
control, waarmee je monitored wat er op je systeem gebeurt.
publiekelijk weet van is, een van de bekendere voorbeelden
hiervan is het recente WMF lek zoals op FD wordt omschreven
in vandaags mailing.
Echter denk ik dat het belangrijk is je te focussen op de
risico's. Je kunt je systeem nog zo goed distimmeren, er
zijn altijd onberekenbare factoren waartegen je je niet kunt
beschermen, zoals bijvoorbeeld 0-day vulns/exploits. Een
goed voorbeeld van iets wat echt kan helpen in het beperken
van de schade (helemaal voorkomen gaat niet makkelijk lukken
imo) zijn de jail's die bij de BSD smaken beschikbaar zijn.
Hiermee kan je de kwetsbare onderdelen van je netwerk
(bijvoorbeeld een webserver) afsluiten van de rest van je
systeem. Dit sandbox idee dat ook wordt toegepast in
virusscanners is in mijn ogen echt een uitkomst.
Houd er echter wel rekening mee of de moeite van het
configureren de moeite waard is. Als de data oninteresant is
(zoals op veel desktops voor prive gebruik) zal er weinig te
halen zijn voor een aanvaller, het zal dan ook lang niet
altijd de moeite/kosten lonen om deze systemen 'zo veilig
mogelijk' te maken.
Risk management > Security management ;)
Het begint al bij de mens zelf.
Dus ja ze zijn er..daar ben ik heilig van overtuigd.
IT beveiliging moet mijn inziens uit meerdere lagen bestaan, als er
een zero days exploit is ontdekt in één laag, en de eerste laag
faalt, dan werkt de tweede laag als compensating control. En
daarnaast nog een detecting control, waarmee je monitored wat
er op je systeem gebeurt.
compensating control, detecting control? zeker een cursusje
gevolgt? Met zulke abstracte praat hou je echt geen hackers
tegen. Vertaling van mij: meerdere 'lagen' realiseer je door je
mogelijk kwetsbare punten met de laagst mogelijk privileges te
laten opereren. En wat betreft detectie van 0days daar zou ik niet
teveel op vertrouwen...
Wat dacht je van de MWF exploit van 24 december 2005??
Onder een steen gezeten ofzo ???
Je kunt niet alle programmeerfouten en lekken opvangen door
een ander programma of een zogenaamde laag. (Iets)/(Het
enige) wat je zou kunnen doen is een grote hook op alles
zetten en bij misterieuze dingen om toestemming vragen, maar
ook dat lost niet alles op.
Het is gewoonweg niet te doen om tegen onbekende dingen te
'vechten'. Zoals alle virus en spyware programmas nog steeds
werken is op basis van definities, dus eerst moet het worden
opgenomen in de definitie voordat je er tegen bescherm wordt.
Een van de weinige dingen is dus het tegenhouden van
'standaard' gevaarlijkere acties... Voor zover ik weet en
kennis ervan heb.
scheiden van programma en data, minimale rechten etc..
idd een strakke beveiliging. Als dat goed werkt ben je
behoorlijk veilig. Alleen ben je dan echt tot op het bod
beperkt. Als je dan ook met policies Active X totaal uit
schakeld of ook daar een soort whitelist hebt is het
behoorlijk veilig :)
IT beveiliging moet mijn inziens uit meerdere lagen bestaan, als er
een zero days exploit is ontdekt in één laag, en de eerste laag
faalt, dan werkt de tweede laag als compensating control. En
daarnaast nog een detecting control, waarmee je monitored wat
er op je systeem gebeurt.
compensating control, detecting control? zeker een cursusje
gevolgt? Met zulke abstracte praat hou je echt geen hackers
tegen. Vertaling van mij: meerdere 'lagen' realiseer je door je
mogelijk kwetsbare punten met de laagst mogelijk privileges te
laten opereren. En wat betreft detectie van 0days daar zou ik niet
teveel op vertrouwen...
over security die verder gaat dan besturingsysteem niveau. Met bijdehante
opmerkingen houd je geen hackers tegen.
full disclosure helpt
IT beveiliging moet mijn inziens uit meerdere lagen bestaan, als er
een zero days exploit is ontdekt in één laag, en de eerste laag
faalt, dan werkt de tweede laag als compensating control. En
daarnaast nog een detecting control, waarmee je monitored wat
er op je systeem gebeurt.
compensating control, detecting control? zeker een cursusje
gevolgt? Met zulke abstracte praat hou je echt geen hackers
tegen. Vertaling van mij: meerdere 'lagen' realiseer je door je
mogelijk kwetsbare punten met de laagst mogelijk privileges te
laten opereren. En wat betreft detectie van 0days daar zou ik niet
teveel op vertrouwen...
wilt praten
over security die verder gaat dan besturingsysteem niveau. Met
bijdehante
opmerkingen houd je geen hackers tegen.
Ik weet wel zeker dat ik langer in security scene zit dan jij :)
toch het langst :P
Oh jee, 't wordt toch geen potje ver pissen? De mijne is
toch het langst :P
met potje verpissen misschien ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.