Erfaringer som pen- tester. Asbjørn Thorsen

Transkript

1 Erfaringer som pen- tester Asbjørn Thorsen

2 Min bakgrunn Gruppeleder - Universitetets senter for informasjonsteknologi (USIT) Cand.Scient informahkk UiO Lidenskap for webapplikasjonssikkerhet Jobbet som webapplikasjons pen- tester siden 2008 Erfaringer med web siden >

3 Historier fra virkeligheten Myspace orm Defacements Min mor fant et sikkerhetshull

4 HACK DEG SELV FØRST! White Hat

5 Hack deg selv først Kursing av ansa^e (hands on) Lokal helt Oppdragelse av ansa^e Økt fokus på sikkerhet

6 Pen- test Hva er en pen- test? Wikipedia:..is a method of evaluahng the security of a computer system or network by simulahng an a^ack from malicious outsiders (who do not have an authorized means of accessing the organizahon's systems) and malicious insiders (who have some level of authorized access).

7 Pen- teshng I denne sammenheng: TesHng/audiHng av applikasjon IKKE social engineering IKKE bryte seg inn for enhver pris rm rf/ && reboot ';shutdown - -

8 Pen- test BesHlling Hvem? Hvordan? Når? Kan denne personen beshlle av deg? Forberedelse Testmiljø (testmil ~= prodmil) Tilganger Whitebox? Blackbox? Gjennomføring Hacker methodology (WAH)

9 Pen- test Rapport Hvem skriver du Hl? Bli^ funnet Kategori på feil

10 Tabnabbing DEMO

11 Hva mohverer meg som pen- tester? Finne morsomme svakheter/hull Få andre Hl å forstå umordringene Lære nye angrepsvinkler/metoder Jobbe med gode folk Når feil blir fikset raskt og på rikhg måte Bli spurt Se på aha- opplevelser når kursing

12 Foca Demo

13 OWASP Open source webapplicahon Security Project Gode verktøy, soqware, bøker, cheat cheets OWASP topp 10 Arrangerer møte en gang i mnd i Oslo

14 Verktøy Webscarab ZAP Paros Burp Suite nmap ncat

15 Metodikk Hackers Methodology (WAH) Mapping the applicahon(!) Forenklet: AutomaHsert teshng Manuell teshng

16 AutomaHsert teshng Får sjekket Hng som ville ta^ evigheter manuelt Raskt Får et godt utgangspunkt Hl manuell teshng Mange false posihves Finner under halvparten av feilene Finner ikke logiske feil

17 Manuell teshng Finner logiske feil Mer kontroll Skreddersy angrep Lese kommentarer i kode Tidkrevende Må lese igjennom mye om whitebox Må kunne rammeverk, verktøy osv

18 Gjennomføringen Fjerne støy Si^e sammen, god erfaring med 2 High five om funn Google is your best friend Skrive utkast Hl rapport med en gang man gjør funn Bruk Hd på å bli godt kjent med applikasjonen

19 Rapport Hvem skrives det Hl? Slips? Teknisk? Begge? Gjennomgang av rapporten Demoer sier mer enn tusen (vis?) av ord Få folk Hl å forstå alvoret av funnene, hva er det mulig å få Hl med de^e? Denial Utviklerne av applikasjonen oqe i forsvarsposisjon Det der som dere gjør er det ingen som... Mental!!

20 Demo Rubber ducky IncepHon

21 Pen- test light (webapps) Varighet: 2-3 dager Gir en god indikasjon (som oqest) på helsen Hl applikasjonen Bang for the buck Kan ikke ersta^e en full pen- test

22 Hvem bør umøre/beshlle pen- test? There are only two types of companies: those that know they ve been hacked, and those that don t Blackhat 2011 Jeg har ikke bli^ hacket før, så hvorfor trenger jeg en pen- test? Jeg har ikke krasjet bilen noen gang, hvorfor trenger jeg forsikring? Alle bør jevnlig gjøre en audit på seg selv!

23 Hva skremmer meg? Holdninger XSS hadde 10 års jubileum for e^ år eller to siden Hackere ligger allhd langt fremme kunnskapsmessig For dårlig kunnskap blandt web programmerere Brukes for lite resursser på websikkerhet

24 5 råd Hl ikke tekniske personer Usikre ne^verk Phishing Publisering av personlige bilder Social engeneering Om du er i tvil, kontakt en du stoler på (jobb, priv) HTTPS!

25 5 råd Hl tekniske personer Send folk på kurs Skaff en lokal helt Hack deg selv!. Det er verre enn du tror Følg med på securityfocus epostlister Logiske feil er oqe de vanskeligste å finne, bruk Hd Hl å bli kjent med app Ikke slipp løs en applikasjon på ne^et før den er godt testet, gjerne av en tredjepart

26 Oppsummering Hvorfor finner vi de samme hullene hver gang? For dårlig QA, for lite fokus på sikkerhet Hvordan se^er vi IT- sikkerhet i webapplikasjoner på agendaen? Kurs, eierforhold Lokal helt Få proffe pen- testere Hl å teste Se^ av midler