Onderwerp: Security Check

Na het succesvol opzetten van een security monitor service in de USA gaan we het nu ook hier aanbieden.

We zijn gespecialiseerd in vulnerability, DDOS, en Poort testen. We willen een paar hosters deze dienst eenmalig gratis aanbieden.

Helemaal gratis ?? Ja.

Wat is de adder dan onder het gras. Nu, we zouden het fijn vinden als jullie een stukje willen schrijven over onze dienst welke we dan op onze website mogen plaatsen. Tevens willen we dat jullie er een prijskaartje aanhangen.

Ja zul je zeggen maar julie doen het toch ook al in de states dus je weet de prijs. Tuurlijk wel maar jullie blijven nederlanders dus bepaal zelf eens wat het je waard is.

De scans worden minimaal eens per week uitgevoerd. Hiervan krijg je een rapport per email toegestuurd.

Op verzoek kunnen we ook een DDOS aanbieden maar dat alleen maar tegen strikte voorwaarden.

Als je de scan uit wil laten voeren stuur dan even een prive bericht. Voorwaarden is wel dat je de server welke we scannen in eigen beheer hebt. (Gaarne aantonen)

En dat je toestemming geeft om de server te testen.

Ik zie de priveberichten wel tegemoet.

Oja, we geven 10 scans weg.

Zou je wat meer informatie kunnen geven over wat jullie scannen? Ik zou nou niet graag willen dat jullie met brute-force proberen om wachtwoorden op de server te achterhalen.

Brute-force aanvallen doen we alleen maar op verzoek van de gebruiker.

We doen in eerste instantie een poortscan en een vulnerability scan. Later kunnen we nog een stapje verder gaan maar dat alleen in overleg met de klant.

Overigens als je bang bent voor een brute-force scan zal je toch eens iets aan je password policy moeten doen ;-)

Ik denk niet dat veel controle panelen een brute-force beveiliging hebben tegen het achterhalen van de wachtwoorden van individuele gebruikers.

Dit gaat via contracten?

@The MAzTER

Als je bedoelt dat we hier voor contracten afsluiten dan heb je het juist. We moeten dat wel om er voor te zorgen dat we legaal bezig zijn.

Als je wat anders bedoeld dan hoor ik het graag.

bedoel dus als jullie een server testen van te voren een contract afsluiten.

Dus als je zorgt dat de server op een of andere reden voor geen mogelijkheid meer up te krijgen is dat jullie aansprakelijk gesteld kunnen worden

Origineel geplaatst door Carl<n-media>
Ik denk niet dat veel controle panelen een brute-force beveiliging hebben tegen het achterhalen van de wachtwoorden van individuele gebruikers.

Wel, Plesk kapt naar 3 keer alles af.

Origineel geplaatst door The MAzTER
bedoel dus als jullie een server testen van te voren een contract afsluiten.

Dus als je zorgt dat de server op een of andere reden voor geen mogelijkheid meer up te krijgen is dat jullie aansprakelijk gesteld kunnen worden

Nee helaas niet. Kijk de server kan ook op een andere manier onderuit gaan. (Hardware problemen oid)

We gaan wel voorzichtig te werk en steeds, in overleg met de klant, een stapje verder. Echter zijn we al dusdanig slecht geconfigureerde webservers tegen gekomen welk al na <200 verzoeken onder uit gaan.

Helaas kunnen we dus geen garantie geven als we een DDOS doen. Wel als we een quickscan doen. We testen dan op ongeveer 1024 poorten en meer dan 2200 vulnerabilities.

We doen dan niets anders met je webserver dan aankloppen en requests naar je poort XX

Kortom het is vrij safe. Echter je blijft altijd zelf verantwoordelijk voor je server vandaar dat er eerst een contractje ondertekend wordt voordat wij iets gaan doen.

Maar we zijn in de USA begonnen en daar zijn de claims mij iets te hoog. Vandaar onze verzichtigheid.

Sorry dat ik het zeg, maar ik vind het maar gezever hoor

Portscannen kan je zelf op 5 minuten met nmap en op meer poorten dan de eerste 1024 (waarom alleen maar de eerste 1024 scannen?). Nadat je gevonden hebt welke poorten er open staan op je server kijk je gewoon of de daemon en de libs die het gebruikt uptodate is. Als je echt wilt testen voor lekken kan je toch gewoon zelf even een site bezoeken waar POC explotis opstaan en wat gaan testen. Nujah, je hebt uiteindelijk maar een overzicht van programmas die extern open staan. Lokaal is er veel meer te testen.

Om te testen of je firewall een ddos gaat herkennen en pakketjes begint te droppen ga je al zelf een vrij advanced firewall moeten configen. Een ddos extern testen lijkt me dom, want uw traffic telt natuurlijk mee. Even in het datacenter met een andere bak testen lijkt me veel handiger.

Brute forcen kan je ook met een simpel scriptje zelf doen, ook niet veel aan uiteindelijk. Het is het veel veiliger als je zelf je server in het oog houdt en kijkt dat er niets misloopt.

Een serieuze vulnerability check duurt dagen soms weken en kost over het algemeen in de omgeving van $4000,-

Een poortscan is zo gedaan en ik vraag me af welke 2200 vulnerabilities jullie checken, controleer je gelijk maar alle soorten OS vul per server tegelijkertijd ofzo? Het is eenvoudig te achterhalen welk OS de server gebruikt hoor

BTw meerdendeel van de vulnerabilities zitten in user scripts als PHP/Perl en problemen bij shell toegang.

Origineel geplaatst door secur
Op verzoek kunnen we ook een DDOS aanbieden maar dat alleen maar tegen strikte voorwaarden.

Zelfs met toestemming van de hoster ben je in overtreding van de wet, je bezorgt derden overlast en schade, enz. Lijkt me niet zo'n strak plan.

//EDIT (cq toevoeging): Vulnerability assestment / PoC's / scans e.d. doe ik het liefst zelf, of laat het doen door bevriende security professionals.

Origineel geplaatst door wv-
Portscannen kan je zelf op 5 minuten met nmap en op meer poorten dan de eerste 1024 (waarom alleen maar de eerste 1024 scannen?).

Omdat tot poort 1024 root toegang vereist is om hier iets op te starten.

@Digiover: met toestemming van de hoster ben je zeker NIET in overtreding. Als jij root pass krijgt om iets te doen en je logged in ben je toch ook niet illegaal bezig.

Origineel geplaatst door Beyonder
Een serieuze vulnerability check duurt dagen soms weken en kost over het algemeen in de omgeving van $4000,-

Een poortscan is zo gedaan en ik vraag me af welke 2200 vulnerabilities jullie checken, controleer je gelijk maar alle soorten OS vul per server tegelijkertijd ofzo? Het is eenvoudig te achterhalen welk OS de server gebruikt hoor

BTw meerdendeel van de vulnerabilities zitten in user scripts als PHP/Perl en problemen bij shell toegang.

Dat klopt als een bus. Voor een complete vulnerability scan op locatie, welke we ook doen, ben je ongeveer tussen de 1000 a 1500 Euro per dag voor kwijt. Voor een scan van buitenaf zijn de prijzen aanzienlijk anders.

We checken inderdaad eerst welk OS er op de server draait.

De reden dat we maar de eerste 1024 poorten checken is dat het een quickscan is. Uiteraard is er ook een mogelijk om ale poorten te laten checken. Maar dat kost iets meer tijd.

Zelfs met toestemming van de hoster ben je in overtreding van de wet, je bezorgt derden overlast en schade, enz. Lijkt me niet zo'n strak plan.

Nee we zijn niet illegaal bezig. Als je toestemming hebt van de eigenaar van de machine mag je zoiets doen. We berokkenen GEEN schade aan de machine of brengen overlast aan de machine. Het enige wat we doen is iets meer dataverkeer naar je server toebrengen.

Als je in de logfiles gaat kijken komt het wel meer voor dat er personen een poortscan/vulnerability scan doen op je systeem en daar merk je dan niets van.