/ Forside / Teknologi / Internet / Sikkerhed / Nyhedsindlæg
Login
Glemt dit kodeord?
Brugernavn

Kodeord


Reklame
Top 10 brugere
Sikkerhed
#NavnPoint
stl_s 37026
arlet 26827
miritdk 20260
o.v.n. 12167
als 8951
refi 8694
tedd 8272
BjarneD 7338
Klaudi 7257
10  molokyle 6481
dot NET, Er der noget specielt ved det?
Fra : Stig Johansen


Dato : 08-08-02 06:23

Kære alle.

Jeg er tilknyttet et større ambitiøst web-projekt, hvor der i vid
udstrækning vil blive adgang for alle.

Projektet bygges på Microsoft-platforme.

Der vil for mange web-baserede funktioner, være en tilsvarende funktion
eksponeret som webservice. (SOAP over HTTP(S))

Når snakken falder på sikkerheds-tjek/audit, kunne jeg godt tænke mig at
vide:
- Er der nogle specielle ting i .NET, man skal være opmærksom på?
- Er der nogle, der har god erfaring med en virksomhed i forbindelse med et
sådant tjek?

(Jeg har fået anbefalet bla. Vigilante, men de er gået konkurs)

--

Med venlig hilsen/Best regards
Stig Johansen
Stig.Johansen@udvikling.it.dk
(remove dot dk)






 
 
Max (08-08-2002)
Kommentar
Fra : Max


Dato : 08-08-02 07:09

On Thu, 08 Aug 2002 07:23:10 +0200, Stig Johansen wrote:

> Kære alle.
>
> Jeg er tilknyttet et større ambitiøst web-projekt, hvor der i vid
> udstrækning vil blive adgang for alle.
>
> Projektet bygges på Microsoft-platforme.
>
> Der vil for mange web-baserede funktioner, være en tilsvarende funktion
> eksponeret som webservice. (SOAP over HTTP(S))
>

Det har jeg desværre ingen idé om, men jo flere funktioner man
implementerer, jo større sandsynlighed er der for at dfer er huller. og
det nye hul i Microsoft Content Management Server, som kan give 'root'.

> Når snakken falder på sikkerheds-tjek/audit, kunne jeg godt tænke mig at
> vide:
> - Er der nogle specielle ting i .NET, man skal være opmærksom på? - Er
> der nogle, der har god erfaring med en virksomhed i forbindelse med et
> sådant tjek?
>
> (Jeg har fået anbefalet bla. Vigilante, men de er gået konkurs)
>

Vi prøvede Vigilante for 3-4 år tilbage og det var fint nok. Så
begyndte jeg at bruge nessus(http://nessus.org), og sidst vi havde vigilante på besøg (1 år
siden) der fandt de kun false positives via nessus. ingen af deres egne
programmer kunne finde noget, De var døde inden de døde.

Det firma som jeg har været på kursus hos (i hacking) hedder DefCom, og
de er meget kompetente og har flere kendte hackere ansat. De underviser
både i Danmark, Norge, Sverige, England, m.v.

Du kan få tilsendt materiale ved at kigge her....http://www.defcom.com

Så får man kastet 'Hacking Exposed 3rd edition' og en cd-rom med godter i
nakken.

Defcom udfører og 'penetrationstest' og IDS overvågning.

Jeg ved godt at jeg lyder som en reklamesøjle, men jeg synes at de gør et
godt stykke arbejde.

> --
>
> Med venlig hilsen/Best regards
> Stig Johansen
> Stig.Johansen@udvikling.it.dk
> (remove dot dk)

Max [3400 Hillerød]

Christian E. Lysel (08-08-2002)
Kommentar
Fra : Christian E. Lysel


Dato : 08-08-02 08:04

Max wrote:
>>- Er der nogle specielle ting i .NET, man skal være opmærksom på? - Er
>>der nogle, der har god erfaring med en virksomhed i forbindelse med et
>>sådant tjek?

Få lavet en manuel gennemgang af din sikkerhed, evt. hvor din kode
bliver læst igennem. Brug et firma der ved noget om .NET

Automatiske netværksscanninger er spild af penge og tid. Hvis de endelig
finder huller, har du et andet problem, nemlig at dem der har sat
sikkerheden op, ikke har styr på hvad de fortager sig.

Den seneste automatisk sårbarhedsscanner jeg har testet, påstod at et
med 0 huller, havde 7 kritiske huller og derfor havde lav sikkerhed
(hvor der var følgende katagorier, høj, mellem, lav).

>>(Jeg har fået anbefalet bla. Vigilante, men de er gået konkurs)

Er de ikke startet for sig selv i danmark?

> Vi prøvede Vigilante for 3-4 år tilbage og det var fint nok. Så
> begyndte jeg at bruge nessus(http://nessus.org), og sidst vi havde vigilante på besøg (1 år
> siden) der fandt de kun false positives via nessus. ingen af deres egne
> programmer kunne finde noget, De var døde inden de døde.

Mange af de falske positiver jeg ser på vores installeret, påstår bla
der er installeret quarke server på Raptor firewalls og Cisco routerer.
Hvordan kan man få sig selv til at skrive den slagt, gentagende gange på
de samme kunder?

> Det firma som jeg har været på kursus hos (i hacking) hedder DefCom, og
> de er meget kompetente og har flere kendte hackere ansat. De underviser
> både i Danmark, Norge, Sverige, England, m.v.

Jeg har aldrig set deres rapporter, blot deres angreb på systemer jeg
har sat op, det lignede spild af tid, for de kendte huller blev ikke
fundet, bla. simpelt sql-injection. Dette var for 2 år siden, det kan
godt være de har forbedret sig, eller de havde en dårlig dag.


Søg
Reklame
Statistik
Spørgsmål : 177549
Tips : 31968
Nyheder : 719565
Indlæg : 6408820
Brugere : 218887

Månedens bedste
Årets bedste
Sidste års bedste