Transcript bekijk hier de publicatie

Security.
Awareness.
Security Awareness
Van verrassing naar bevestiging
Rory Breuk
Marinus Kuivenhoven
Martin Visser
#PaSS
UWV SSD | Security Awareness |
2
Marinus Kuivenhoven
Verkenner van technologie met een Hacker Mindset
IT specialist sinds 2003
Security specialist sinds 2006
Auteur van: Staying ahead in the Cybersecurity game.
(mede)oprichter PaSS binnen Sogeti
Professioneel Ethical Hacker
Ontwikkelaar DDOS test
Ontwikkelaar SSEC2012/2013/2014
Techlead binnen Sogeti Security
Inspirator, trainer en presentator over alles wat Security is.
Spreker op Engineeringworld, Infosecurity beurs, ALT-S, Landelijk
Architectuurcongres, OWASP meetings, Landelijk Bestuurskunde congres
Gastspreker op HBO en Universiteiten (+10x per jaar), HitB lightningtalks
SDLc-, SSD-, SDL-Guru
Oracle DBA, Webdeveloper, Developer Java, Coldfusion, PhP, SQL
UWV SSD | Security Awareness |
3
Rory Breuk
“New School” Ethical Hacker
Afgestudeerd op Honeypots en
DMA hack via firewire, op HitB
showcase.
Teamleider Red Ace CTF team.
Winnaar Hackathon Antifraude BZK.
Ontwikkelaar DDOS test (alle
scripting gericht op uitvoeren 30
verschillende aanvalsscenario's).
Security Tester in Sogeti SOC.
Networking, Architectuur, TCL-expert
(exotische scriptingtaal), web
development talen: python,
JavaScript, PHP.
+20 trainingen gegeven in security
UWV SSD | Security Awareness |
4
Martin Visser
Security Architect
Bijna 10 jaar Sogetist.
Offensive Security Professional in
2010
SSD-, SDL-, SDLc-Guru
(mede)oprichter PaSS
PKI, Identitymanagement, DDOS,
Pentesting, Consultancy
Inspirator, Trainer en Presentator in
security: +100 trainingen gegeven
.NET Software Engineer
Microsoft Systems specialist o.a.
Sharepoint, AD, SQL e.d.
UWV SSD | Security Awareness |
5
Wat gaan we doen?
„  Interactieve sessie: U vraagt wij draaien.
„  Wij zenden:
„  Informatiebeveiliging
„  Hacker Mindset
„  Waarom zijn veilige applicaties NU zo belangrijk?
„  Waar komen bedreigingen vandaan?
„  OWASP & demo’s
„  Social Engineering
„  Secure Software Development (SDLc, SDL)
„  Proactive Security Strategy (PaSS)
„  SSD bij het UWV
UWV SSD | Security Awareness |
6
Wat is informatiebeveiliging?
Applicaties hebben betrekking op informatie!
3 pijlers van informatiebeveiliging
„  Beschikbaarheid
„  Integriteit
„  Vertrouwelijkheid
UWV SSD | Security Awareness |
7
- Wat is een veilige applicatie?
Wanneer is een informatiesysteem veilig?
Een informatiesysteem is veilig als het te allen
tijde doet wat er van verwacht wordt
Realisatie
Wens
veilig
onveilig
onveilig
UWV SSD | Security Awareness |
8
Out of the box denken - Interactief
|
9
Wat is een veilig informatiesysteem?
“Bugs are simple mistakes in code leading to problems like buffer
overflows; flaws are mistakes in design. It turns out that a lot of software is
flawed.
In fact, if you step back and look at a multitude of security problems
over time, you'll find that about 50% of them are due to bugs and 50%
due to flaws.”
Functionele
Technische
specificatie
implementatie
veilig
veilig
flaw
bug
UWV SSD | Security Awareness | 10
Informatiebeveiliging – waarom nu?
De omgeving waarin een applicatie draaide, was gesloten
Hierdoor werd de applicatie ‘open’ ontworpen en geïmplementeerd
UWV SSD | Security Awareness | 11
Informatiebeveiliging – waarom nu?
De omgeving waarin een applicatie draaide, breidt uit
Er ontstaat connectiviteit door middel van netwerken
UWV SSD | Security Awareness | 12
Informatiebeveiliging – waarom nu?
De omgeving waarin een applicatie nu draait, is globaal:
Internet
UWV SSD | Security Awareness | 13
HTTP, enig idee wat het is?
1.  Client request naar de Server
2.  Server creert de paging
•  Statische content
•  Dynamische content (DB)
3.  Server response naar de client
4.  De pagina wordt door de browser
geinterpreteerd en getoond
UWV SSD | Security Awareness | 14
Cookiewetgeving en Privacy
Weet je wat je deelt?
Functionele cookies
Analytische cookies
Wat deel je wat je niet weet?
Fingerprinting
UWV SSD | Security Awareness | 15
Informatiebeveiliging – waarom nu?
Gevoel van veiligheid ontstaat door ‘lapmiddelen’
Maar:
„  Zeer lage leercurve
„  Aanvallen van een webgebaseerde applicatie is
niet moeilijk
UWV SSD | Security Awareness | 16
Waar komen bedreigingen vandaan?
Bewust
„  Cracker
„  Hacker
„  Scriptkiddie
Risico=(
Onbewust
„  Gebruiker
„  Systeem
„  Omgeving
Bedreiging * Kwetsbaarheid
Tegenmaatregelen
)*Waarde
UWV SSD | Security Awareness | 17
Take 5
UWV SSD | Security Awareness | 18
Waar komen bedreigingen vandaan?
Bewust
„  Cracker
„  Hacker
„  Scriptkiddie
Risico=(
Onbewust
„  Gebruiker
„  Systeem
„  Omgeving
Bedreiging * Kwetsbaarheid
Tegenmaatregelen
)*Waarde
UWV SSD | Security Awareness | 19
OWASP - OWASP TOP TEN
1.  Injection
2.  Cross Site Scripting (XSS)
3.  Broken Authentication and Session Management
4.  Insecure Direct Object References
5.  Cross Site Request Forgery
6.  Security Misconfiguration
7.  Insecure Cryptographic Storage
8.  Failure to Restrict URL access
9.  Insufficient Transport Layer Protection
10. Unvalidated Redirects and Forwards
UWV SSD | Security Awareness | 20
OWASP TOP TEN
1 Injection Flaws – SQL injection
Scherm:
USERNAME:[PERSOONA]
PASSWORD:[GEHEIM12]
Achtergrond:
Mag er toegang worden gegeven aan de gebruiker wanneer:
de username is 'PERSOONA'
en
het wachtwoord is 'GEHEIM12';
UWV SSD | Security Awareness | 21
OWASP TOP TEN
1 Injection Flaws – SQL injection
Scherm:
USERNAME:[PERSOONA]
PASSWORD:[Onbekend of 1=1]
Achtergrond:
Mag er toegang worden gegeven aan de gebruiker wanneer:
de username is 'PERSOONA'
en
het wachtwoord is ‘Onbekend' of 1=1;
UWV SSD | Security Awareness | 22
XSS op organisatie.cursisten.nl
UWV SSD | Security Awareness | 23
Of database injecten om XSS te krijgen
(Voorbeelden van vulnerabilities op de website(s) van het
bedrijf waar de cursisten werken.)
UWV SSD | Security Awareness | 24
Information Disclosure
(Voorbeelden van vulnerabilities op de website(s) van het
bedrijf waar de cursisten werken.)
UWV SSD | Security Awareness | 25
Take 5
UWV SSD | Security Awareness | 26
J.C. van Marken - 1894
„  “Sociale Engineers”
UWV SSD | Security Awareness | 27
Wat is Social Engineering?
Gevoel
Realiteit
veilig
Onveilig
Onveilig
UWV SSD | Security Awareness | 28
Victor Lustig - 1925
„  Gebruikt informatie
„  Voordoen als iemand
„  Too good to be true
„  Meerdere malen
„  Gebruikt informatie
„  Voordoen als iemand
„  Too good to be true
„  Meerdere malen
UWV SSD | Security Awareness | 29
Anton Lee - 2012
UWV SSD | Security Awareness | 30
Frank Abignale - 1965
„ 
„ 
„ 
„ 
Gebruikt informatie
Voordoen als iemand
Too good to be true
Meerdere malen
UWV SSD | Security Awareness | 31
Recentelijk
UWV SSD | Security Awareness | 32
Spanish Prisoner
UWV SSD | Security Awareness | 33
Linken van ‘nutteloze’ informatie
UWV SSD | Security Awareness | 34
Waarom nu?
UWV SSD | Security Awareness | 35
Resultaten Social Engineering Challenge
UWV SSD | Security Awareness | 36
Social Engineering - hoe te voorkomen?
„  Wanneer vertrouw je iemand?
„  Email
„  Pakketje
„  Telefoon
„  In persoon
„  Met welke informatie?
UWV SSD | Security Awareness | 37
Take 5
UWV SSD | Security Awareness | 38
Software Development lifecycle
“Penetratietest”
Requiremnts
Usecases
Architectuur
Ontwerpen
Testplannen
Code
Test
resultaten
Applicatie
Terug
koppeling
Doorlooptijd
UWV SSD | Security Awareness | 39
Markt
„  Acteren op gevoel
„  Verkoop op basis van angst
„  Security kost resources
„  Security beperkt
„  Reactief
„  Adhoc
„  Alleen specialisten
UWV SSD | Security Awareness | 40
Secure Development lifecycle
Ondersteuning
Requiremnts
Usecases
Architectuur
Ontwerpen
Security
Requirem
ents
Threat
model
Abuse
cases
Flaw
Analyse
Testplannen
Code
Test
resultaten
Applicatie
Terug
koppeling
Security
test
plannen
Static
Code
Review
Vrijgave
advies
Security
Assess
ment
Continuity
Plan
Ervaring
UWV SSD | Security Awareness | 41
Secure Development lifecycle
Ondersteuning
Requiremnts
Usecases
Architectuur
Ontwerpen
Security
Requirem
ents
Threat
model
Abuse
cases
Flaw
Analyse
Testplannen
Code
Test
resultaten
Applicatie
Terug
koppeling
Security
test
plannen
Static
Code
Review
Vrijgave
advies
Security
Assess
ment
Continuity
Plan
Ervaring
UWV SSD | Security Awareness | 42
Secure Development lifecycle
“We took a look at the set of the population using prescriptive application security methodologies. It turns out that those
practicing SDL specifically reported visibly better ROI results than the overall population. Unlike point technologies, SDL
advocates a coordinated approach to application security throughout the life cycle, and its emphasis is on a set of
processes that supports such coordination. We can potentially extrapolate that a coordinated approach to application
security is what drives positive ROI.”
Forrester
Secure
Requiremnts
Secure
Usecases
Secure
Architectuur
Secure
Ontwerpen
Secure
Testplannen
Secure
Code
Secure test
resultaten
Secure
Applicatie
Secure
Beheer en
onderhoud
UWV SSD | Security Awareness | 43
Secure Software Development lifecycle
Applicaties & Services
Secure
Requiremnts
Secure
Usecases
Secure
Architectuur
Secure
Ontwerpen
WebApp
Secure
Testplannen
Secure
Code
App
Secure test
resultaten
Secure
Applicatie
Secure
Beheer en
onderhoud
Backend
UWV SSD | Security Awareness | 44
Secure Infrastructure Development
lifecycle
Hardware & Netwerken
Secure
Requiremnts
Secure
Usecases
Secure
Architectuur
Secure
Ontwerpen
Upgrade
Secure
Testplannen
Secure
Code
IPv6
Secure test
resultaten
Secure
Applicatie
Secure
Beheer en
onderhoud
VoIP
UWV SSD | Security Awareness | 45
Secure Organization Development
lifecycle
Hardware & Netwerken
Secure
Requiremnts
Secure
Usecases
Secure
Architectuur
Secure
Ontwerpen
Vestiging
Secure
Testplannen
Secure
Code
Vacature
Secure test
resultaten
Secure
Applicatie
Secure
Beheer en
onderhoud
Outsourcing
UWV SSD | Security Awareness | 46
Secure Development lifecycle – Spinoff’s
Organisatie
Software
Infrastructuur
Secure
Architectuur
Secure
Ontwerpen
Secure
Testplannen
Secure
Implementatie
Secure
Testresultaten
Secure
Infrastructuur
Secure Beheer en
onderhoud
Secure
Secure
Architectuur
Secure
Ontwerpen
Secure
Testplannen
Secure
Implementatie
Secure
Testresultaten
Secure
Infrastructuur
Secure Beheer en
onderhoud
Requirements
Secure Usecases
Secure
Architectuur
Secure
Ontwerpen
Secure
Testplannen
Secure
Implementatie
Secure
Testresultaten
Secure
Infrastructuur
Secure Beheer en
onderhoud
Requirements
Secure Usecases
Requirements
Usecases
Cloud
BYOD
Fusie
UWV SSD | Security Awareness | 47
Secure Enterprise Lifecycle
Strategisch
Moeten
Behoren
Willen
Tactisch
Beschrijven
Faciliteren
Reageren
Controleren
Operationeel
Organisatie
Software
Infrastructuur
UWV SSD | Security Awareness | 48
Proactive Security Strategy
„  Acteren op gevoel feiten
„  Verkoop op basis van angst voordelen
„  Security kost resources levert op
„  Security beperkt enabled
„  Reactief Proactief
„  Adhoc Proces
„  Alleen specialisten Iedereen zijn taak
UWV SSD | Security Awareness | 49
Secure Software Development (Bedrijf)
„  Contactpersonen (binnen bedrijf cursisten)
„  Kees Klaassen
Projectmanager SSD
„  Jaap Jongbloed
Test coördinator SSD
„  Siemen Siemens
SSD coördinator leverancier management
„  Aart Staartjes
Enterprise architect
„  Piet Paulusma
Hoofd Secure Operating Centre
UWV SSD | Security Awareness | 50
Secure Software Development (bedrijf)
„  Status implementatie (binnen bedrijf cursisten))
SSD beveiligingseisen contractueel geborgd vanaf 1-1-2014
Divisie A heeft testlines ingericht
Awareness Business Units en IM’s
Divisie B eerste aanvraag voor impact voor SSD compliancy op
hun applicatieportefeuille
„  Voorbereiding voor invoering risico-analyse is gestart
„ 
„ 
„ 
„ 
SSD normen met SIVA schrijfwijze als bijlage aan leveranciers
verstrekt
„  SSD methode vastgesteld in commissie IB
„  Dashboard wordt gevuld en onderhouden door Divisie A
„ 
UWV SSD | Security Awareness | 51
Security.
van Veilig Voelen
naar Veilig Zijn
Aware.