Month: Oktober 2013

Erfahrungen zum OSCP: Teil 3 Erste Bilanz

Leave a Comment

Meine erste Bilanz:

  • 1x Windows (privilegierte Rechte)
  • 5x Linux (unprivilegierte Rechte)
  • Freischaltung DEV-Netz

Ich habe schon in vielen Berichten gelesen, wie steil die Lernkurve beim OSCP ist und wie umfangreich der Kurs. Jetzt kann ich es nachvollziehen. Es stimmt auch, dass der OSCP in keiner Art und Weise vergleichbar mit anderen Sicherheitszertifizierungen ist. Während man bei CISSP, CISM & Co sehr vieles einfach auswendig lernen kann, ist der OSCP absolut praktisch orientiert. Hier wird nichts auswendig gelernt, hier werden Anwendungen und Systeme gehackt. Über z.B. SQL Injections lesen ist die eine Sache, sie praktisch durchzuführen eine andere. Ich empfinde den OSCP bisher als recht anstrengend, aber auch als extrem lehrreich und fesselnd.

Kleiner Tipp am Rande: Wenn man über das eigene Adminpanel versucht einen Rechner zurückzusetzen und es scheint nicht zu funktionieren: Es ist eher kein Systemfehler sondern hat einen relativ einfachen Grund…

Der richtige Umgang mit QSAs / Auditoren für PCI DSS

Leave a Comment

Letztens habe ich für einen Kunden wiederholt den Audit begleitet und erfolgreich abgeschlossen. Ich möchte an dieser Stelle betonen, wie wichtig der richtige Umgang mit dem QSA ist. In manchen (vielleicht auch vielen?) Unternehmen wird der QSA als Feind gesehen, er ist der „böse Auditor“. Das stimmt so nicht und ist auch ein Fehler. Ein zertifiziertes oder demnächst zertifiziertes Unternehmen ist der Kunde und die QSA-Company der Dienstleister. PCI-Audits sind keine behördliche Prüfung einer Aufsichtsbehörde für Datenschutz oder ähnliches. Man bezahlt für den Audit, also sollte man das Beste aus der Situation machen.

Verliert man die Ansicht, dass der Audit der „böse“ ist und ruft sich in Erinnerung, dass man für seine Dienstleistung bezahlt, ändert sich auch automatisch die Herangehensweise. Der beste Umgang mit einem QSA ist die offene Variante. Man sollte eventuelle Probleme offen ansprechen und mit ihm darüber sachlich diskutieren. Nochmals: Offen und sachlich! Wenn man weiß, dass vielleicht ein Compliance-Problem lauert, kann man das am besten gleich ansprechen. Und zwar direkt am Anfang. Warum? Weil man dann nichts mehr zu verbergen hat und ein Auditor nichts mehr finden kann, was man vielleicht ohnehin schon weiß. Hat man in der Vorbereitung seinen Job gut gemacht, findet er gar nichts mehr. Idealerweise gibt es natürlich gar keine Probleme, aber das ist nicht immer der Fall.

Diese Vorgehensweise schafft etwas Vertrauen zwischen den Beteiligten und kann ungemein den Audit erleichtern. Auditoren müssen für ihren Job eine gewisse Grundskepsis mitbringen, das lässt sich nicht vermeiden. Wer sachlich diskutiert, ehrlich und offen ist, wird beim Audit insgesamt besser fahren, als wenn man sich verschließt und sinnlose Diskussionen führt, bei denen man ohnehin nur verlieren kann. Einfach den Auditor als Partner sehen ;-).

Erfahrungen zum OSCP: Teil 2 Die ersten Schritte

Leave a Comment

Die Doku umfasst mehrere hundert Seiten und das Video-Material läuft auch länger als 5min. Ganz zu schweigen davon, dass die Übungen in der Doku auch ihre Zeit kosten. Etwas ungeduldig habe ich mich dann direkt am Labor versucht.

Das war ein Fehler. Ich habe einige Stunden für einen Angriff verschwendet, den ich nicht erfolgreich durchführen konnte. Danach bin ich zurück zur Doku. Auf Seite 305 stand dann auch der entscheidende Hinweis, wieso mein Angriff nicht funktionierte. Abkürzungen funktionieren beim OSCP nicht.

Meine Empfehlung: Doku überfliegen. Video sehen. Doku lesen und Übungen durchführen. Parallel vielleicht ein paar Scans (z.B. nmap oder nikto) gegen das Labor schießen, aber nicht blind drauflos hacken.

Erfahrungen zum OSCP: Teil 1 Der Start

Leave a Comment

Ich habe mich für den Kurs Penetration Testing with BackTrack (PWB) angemeldet, der – sofern erfolgreich bestanden – mit dem Zertifikat Offensive Security Certified Professional (OSCP) abschließt. Nach einem Master in Security Management und Zertifikaten wie CISSP, CISM, T.I.S.P. usw. möchte ich etwas Neues wagen: Einen Einstieg in die Welt des Penetration Testing. Komplett neu ist sie für mich nicht. Ich habe u.a. einige Jahre Erfahrung im Bereich IT-Security, hatte schon einmal mit Backtrack experimentiert und einige Reports von Penetration Testern gelesen und bewertet. Worauf ich mich jetzt aber freue ist, mir selbst die Hände schmutzig machen zu dürfen.

Auf der Website vom offensive-security.com findet sich folgende passende Beschreibung für den Kurs:

Penetration Testing with BackTrack (PWB) is an online training course designed for network administrators and security professionals who need to acquaint themselves with the world of offensive information security. This penetration testing training introduces the latest hacking tools and techniques in the field and includes remote virtual penetration testing labs for practicing the course materials.Penetration Testing with BackTrack attempts to simulate a full penetration test, from start to finish, by injecting the student into a rich, diverse, and vulnerable network environment.

Ich habe bereits meine Zugangsdaten erhalten sowie alle Kursmaterialien: Eine PDF mit 337 Seiten, einiges an Videomaterial und VPN-Keys zum Labor. Ich bin gespannt auf die Erfahrung und werde hier berichten.

Der CISSP ist keine Pentester-Zertifizierung

Leave a Comment

Nachdem ich letztens wieder eine Stellenanzeige für einen Penetration Tester gesehen habe, die eine CISSP-Zertifizierung fordert, möchte ich dazu ein paar Worte verlieren. Die Kurzform: Der CISSP hat nichts mit Penetration Testing oder Ethical Hacking zu tun. Absolut nichts.

Im Gegensatz zum CISM (Certified Information Security Manager) ist der CISSP (Certified Information Systems Security Professional) technischer ausgerichtet. Das ist soweit korrekt. Nichtsdestotrotz richtet sich der CISSP an Security-Spezialisten, die zwar ein klein wenig technischer orientiert sind als reine klassische Manager, aber deren primärer Fokus eben nicht Pentesting ist. Überhaupt nicht. Sicherlich gibt es Pentester, die eine CISSP-Zertifizierung nachweisen können. Aber man sollte vielleicht eher Pentester-Zertifizierungen wie OSCP, OSCE oder CEH in Stellenanzeigen oder Ausschreibungen fordern.