Wawasan Keamanan
Do's and Don'ts
Jack the Hacker Memberitahukan Semua:. Legal Notice
NetIQ Corporation menyediakan dokumen ini "sebagaimana adanya" tanpa jaminan apapun, baik yang tersurat maupun tersirat,
termasuk, namun tidak terbatas pada, jaminan tersirat mengenai keadaan yang dapat diperjualbelikan atau kesesuaian untuk tujuan tertentu.
Beberapa negara bagian tidak mengizinkan penolakan secara ekspres atau jaminan tersirat dalam transaksi tertentu, karena itu,
pernyataan ini mungkin tidak berlaku untuk Anda.
Dokumen ini dan perangkat lunak yang dijelaskan dalam dokumen ini yang dilengkapi bawah perjanjian lisensi atau
perjanjian non-disclosure dan hanya dapat digunakan sesuai dengan persyaratan perjanjian. Ini
dokumen tidak dapat dipinjamkan, dijual, atau diberikan tanpa izin tertulis dari NetIQ Corporation. Tidak
bagian dari publikasi ini yang boleh direproduksi, disimpan dalam sistem pencarian, atau ditransmisikan dalam bentuk apapun atau dengan
segala cara, elektronik, mekanik, atau sebaliknya, tanpa persetujuan tertulis sebelumnya dari NetIQ Corporation.
Perusahaan, nama, dan data yang digunakan dalam dokumen ini fiktif kecuali jika dinyatakan lain.
Dokumen ini dapat mencakup ketidak-akuratan teknis atau kesalahan ketik. Perubahan secara berkala
dibuat ke informasi dalam dokumen. Perubahan-perubahan ini dapat dimasukkan dalam edisi baru dokumen.
NetIQ Corporation dapat membuat perbaikan dalam dan / atau perubahan pada produk yang dijelaskan dalam
dokumen pada setiap saat.
© 1995-2001 NetIQ Corporation, all rights reserved.
Pemerintah AS Hak Terbatas: Penggunaan, penggandaan, atau pengungkapan oleh Pemerintah tunduk pada
pembatasan sebagaimana diatur dalam huruf (c) (1) (ii) Hak dalam Data Teknis dan Perangkat Lunak Komputer
klausul dari DFARS 252.227-7013 dan FAR 52.227-29 (c) dan setiap aturan atau peraturan penggantinya .. Jack the Hacker Memberitahukan All:
Wawasan Keamanan Dos and Don'ts
Ingin menyimpan orang-orang jahat keluar? Panduan praktis ini, Jack the Hacker Memberitahukan Semua: Insights ke Dos Keamanan
and Don'ts relay seluk-beluk pelaksanaan keamanan, seperti yang diceritakan oleh Jack the Hacker. Dalam panduan ini,
Reformasi hacker retakan jauh di mitos seputar pelaksanaan rencana keamanan IT suara
dan menawarkan tips untuk taruhan terbaik anda untuk keamanan jaringan. Dapatkan sekilas ke dalam pikiran orang-orang yang
masuk ke sistem komputer Anda dan mengganggu privasi perusahaan Anda.
Diambil dari dua obrolan yang disponsori oleh NetIQ-"Di dalam Hacker's Mind"-Jack the Hacker Menceritakan Semua akan menunjukkan
Anda bagaimana mengembangkan dan menerapkan strategi keamanan yang sukses untuk melindungi jaringan perusahaan Anda
infrastruktur. Pelajari tentang pertahanan keamanan, bagaimana melindungi organisasi Anda dan cara-cara untuk menanggapi
ancaman keamanan sebelum mereka menjadi insiden besar.
Arsitektur
Kita akan memulai hosting web server kita sendiri. Apakah sekuritas yang dibangun pada Windows NT 4
cukup atau sebaiknya kita menggunakan firewall?
Jack_the_Hacker: Jika memungkinkan, selalu berinvestasi dalam firewall yang bagus, serta arsitektur suara untuk
Web server. Jika Anda dapat berinvestasi dalam firewall barang rumah tangga, beli satu dengan tiga antarmuka. Jika Anda hanya dapat
berinvestasi dalam perangkat lunak, maka Anda harus dapat menyesuaikan server dengan tiga NIC untuk menciptakan daerah penyangga di
yang menempatkan server web Anda. Satu antarmuka untuk Internet, dengan NIC kedua untuk swasta internal
jaringan dan yang ketiga untuk DMZ (zona demiliterisasi). Dibangun keamanan pada Windows NT 4 dan Windows
2000 tuan rumah yang baik. Tetapi ketika mengalami scan dan cracking berbagai upaya, beberapa default memasang
akan retak hanya dalam beberapa menit sampai satu jam. Itulah sebabnya mengapa Anda harus menjaga keamanan saat ini
patch untuk OS dan aplikasi yang berjalan di server.
Apakah ada masalah keamanan yang dikenal dengan Windows 2000 Server berjalan jauh routing
berfungsi sebagai VPN?
Jack: Sampai saat ini, saya belum kemampuan ini bekerja pada Windows 2000. Saya akan merekomendasikan yang lebih
khusus solusi VPN Windows 2000 solusi. Saat ini saya melihat produk ISA, dan
akan dapat memberikan jawaban yang lebih baik setelah beberapa pengujian dengan itu.
Apa daerah-daerah dasar saya perlu untuk mengamankan di situs Web?
Jack: Berapa banyak situs di attrition.org itu dirusak oleh script RDS? Cukup banyak. Daerah dasar yang
Aku melihat ke pengerasan adalah OS dengan memeriksa patch keamanan saat ini dan mengimplementasikannya pada uji
mesin bahkan sebelum melempar situs saya ke atas. Itu hanya untuk server Web. Untuk pertahanan perimeter, Anda
harus membuang firewall dan membuat server Web ke DMZ.
Kami memiliki hubungan yang dipantau oleh perusahaan saudari kita. Sangat pagi-pagi, kami
penggunaan bandwidth berjalan melalui atap. Kita tidak menyadari apa pun berjalan pada waktu itu. Apa
akan anda rekomendasikan kita gunakan untuk menentukan apa yang terjadi? Mungkinkah seseorang akan mengambil
keuntungan dari lubang keamanan?
Jack: yang selalu ada sniffer teman terbaik Anda. Letakkan sebuah sniffer pada link antara Anda dan saudara
perusahaan. Masalahnya mungkin kit mencari server lain dalam sebuah ledakan besar, sebuah mis-konfigurasi server
atau lubang keamanan, tapi sniffer log akan memberi tahu di mana harus memulai .. Sejauh NAT routing yang bersangkutan, kerentanan dapat dieksploitasi bahkan dalam jenis ini tersembunyi
jaringan internal? Lebih dari sekedar Trojan sudah semakin dalam?
Jack: NAT (Network Address Translation) routing ukuran keamanan lain yang lebih banyak perusahaan yang
menggunakan. Mengambil alih sebuah router masih menjadi andalan di masyarakat retak. Hanya karena seseorang tidak bisa
jaringan internal Anda karena menangani swasta tidak berarti bahwa mereka akan mengambil rute yang lain untuk anda
sistem. Router Anda masih ada di sana untuk mengambil.
Apa gagasan Anda tentang pelaksanaan keamanan yang baik?
Jack: Salah satu kebijakan yang telah ditetapkan di tempat sebelum pelaksanaannya. Menyisihkan tes
lingkungan. Memverifikasi patch yang diinstal pada mesin-mesin tidak membuat mereka berhenti berfungsi.
Pastikan bahwa kebijakan ini secara ketat diikuti, tapi kebijakan harus dapat dilaksanakan juga. Membuat setiap
dan setiap salah satu server dalam kepatuhan C2 tidak akan berfungsi jika Anda ingin mereka untuk berbicara satu sama lain. Kamu
harus membuat trade-off untuk memiliki pekerjaan sistem secara koheren. Sebuah proses yang baik terdiri dari satu bulan atau dua
dikehendaki pengujian kebijakan untuk menentukan apa yang layak, diikuti oleh pelaksanaan arsitektur.
Apakah ada masalah dengan menerapkan NT domain di DMZ? Kami ingin menetapkan Microsoft Cluster
dalam DMZ.
Jack: Pastikan bahwa tidak ada yang percaya bahwa pendaftaran domain. Anda dapat mengatur cluster di DMZ. Tapi ingat
apa risiko dengan DMZ - DMZ akan menjadi hacked.
Apa keuntungan menggunakan VPN vs modem renang sejauh menyangkut keamanan?
Jack: Sebuah modem renang biasanya tidak diamankan dengan baik, dan dialer perang dapat menemukan kolam agak mudah. Itu
VPN menggunakan enkripsi oleh alam dan dapat menahan upaya paling kecil melanggar itu.
Apa metode terbaik untuk mengamankan jaringan internal dari pengguna puas?
Jack: Proper kepatuhan terhadap kebijakan keamanan yang melibatkan Sumber Daya Manusia harus meminimalkan risiko.
Namun, karena data empiris menunjukkan bahwa hal ini mungkin tidak cukup. Tergantung pada seberapa besar korporasi
adalah, tugas ini tumbuh secara eksponensial. Jika pengguna memiliki akses minimal, maka admin keamanan tidak akan banyak
melakukan. Tutup komunikasi antara HR dan tim Keamanan harus mengarah pada cepat dan efektif
pemutusan akses. Sekali lagi, menggelinding kembali ke kebijakan keamanan daripada masalah teknologi.
Apa pendapat Anda tentang menggunakan protokol kontrol, seperti frame relay konektivitas internal
komunikasi, dalam suatu perusahaan dan kemudian memiliki firewall dan proxy DNS untuk membatasi / mengendalikan
akses masuk dan keluar dari perusahaan melalui Internet pada umumnya?
Jack: Ini adalah ide yang sangat bagus, tetapi dapat menjadi sangat sulit dan sangat mahal pelaksanaannya. Lebih
kompleks solusi Anda, semakin besar kemungkinan adalah bahwa Anda akan memiliki kerentanan dalam infrastruktur.
Apakah ada yang pasti, atau hampir pasti, cara untuk mengamankan suatu perusahaan terhadap hacking?
Jack: Putus dari Internet, tarik modem bank dan tidak melakukan bisnis. Anda juga harus membuat
yakin bahwa pelaksanaan awal Anda arsitektur anda adalah suara. Pastikan bahwa kebijakan keamanan dalam
tempat dan karyawan mematuhi mereka. Tidak rogue server harus diperbolehkan ke jaringan.
Pembangunan jaringan harus memiliki firewall pada mereka untuk segmen mereka dari departemen lain, seperti
juga mungkin akuntansi dan keuangan daerah. Pada saat yang sama, cobalah untuk tidak membuat terlalu arsitektur
kompleks. Anda harus mencari media yang bahagia, salah satu yang aman tetapi juga memungkinkan komunikasi terjadi .. Kami saat ini menggunakan dual firewall dikonfigurasi untuk ketersediaan tinggi, keamanan router dan sebuah paket
pembentuk yang melakukan penyaringan. Apakah Anda berpikir bahwa kita juga perlu menggunakan IDS (Intrusion Detection
Systems) di atas ini untuk mengamankan lingkungan kita?
Jack: Dari apa yang terdengar seperti, arsitektur saat ini Anda cukup suara. Saya rasa IDS akan membantu Anda
menemukan beberapa aktivitas internal, tapi kedengarannya seperti anda tidak membiarkan banyak masuk. Yang cantik
secureenvironment.
Bagaimana Anda menyarankan lebih baik melindungi server di DMZ?
Jack: DMZ server Anda "pengorbanan anak domba." Ini adalah server yang Anda harapkan tidak mendapatkan hacked, tetapi
akhirnya akan menemukan jalan ke Gesekan cermin. Berikut adalah beberapa langkah yang dapat Anda ambil. Pertama, menambal
sistem sangat cepat setelah nasihat keluar dan Anda menguji mereka untuk lingkungan anda. Anda harus membuat
yakin server dalam jaringan pribadi pernah mendapatkan hacked. Selanjutnya, gunakan saluran terenkripsi sesering Anda
dapat. Dan akhirnya, mengeras OS untuk melarang hacks mudah dan mengencangkan ACL (Access Control Lists) pada
router untuk hanya mengijinkan dipercaya lalu lintas.
Dapatkah Anda berbicara tentang apa yang kita harus membangun pertahanan untuk mencegah serangan (yaitu SP's, panas
fixes, software tambahan)?
Jack: Mereka pertahanan berurusan dengan OS, akar dari segala kejahatan. Aplikasi tidak dapat berjalan tanpa OS.
Sekarang, menjaga dengan Service Packs dan perbaikan panas adalah pokok utama untuk semua personil IT dan Keamanan. Ini
membantu Anda melacak sebagian besar hacks baru keluar script kiddies yang mempunyai alat. Tetapi
ingat - menguji mereka terlebih dahulu untuk melihat apakah mereka mengembangkan masalah lain dengan aplikasi Anda. Tambahan
lunak yang dapat melihat ke dalam adalah pengendalian mutu untuk rumah Anda aplikasi buatan. Pastikan
pengembang mematuhi pedoman pengkodean ketat yang tidak memperkenalkan buffer overflows.
Apakah Anda mengatakan bahwa menggunakan alamat IP dari rentang 10.0.0.0 pada jaringan internal Anda adalah
bagus?
Jack: Jika Anda mencoba untuk mendapatkan alamat paling, ya, itu masuk akal. Cobalah memilih sesuatu yang
sedikit kurang jelas dari 10.0.0.0, tapi itu adalah pilihan.
Honey Pot
Apa pendapat Anda tentang pot madu? Apakah mereka menjadi pencegah yang efektif?
Jack: Sebagai orang keamanan, saya ingin melihat panci madu dilaksanakan. Namun, sistem ini biasanya memudahkan
terlalu banyak waktu pada sistem mereka yang biasanya menimbulkan bendera untuk saya. Mereka efektif dalam pembelajaran baru
teknik hacker, tetapi tim keamanan harus tahu kapan harus masuk dan tarik steker.
Apakah madu pot memiliki dampak di masyarakat kerupuk?
Jack: hacker yang lebih terampil bahkan tidak berurusan dengan kurang-daripada-sistem aman. Mereka adalah orang-hacks
tentang siapa Anda tidak akan pernah membaca. Kurang-dari-terampil kiddies biasanya tidak tahu mereka berada di madu
panci sampai steker ditarik atau mereka mendengar pendobrak di pintu. Penggunaan pot madu adalah memiliki sebuah
dampak pada kerupuk karena mereka lebih curiga, tapi topi putih memperoleh banyak informasi yang benar
sekarang. Mungkin di masa mendatang, sistem ini mungkin tidak memiliki dampak yang mereka lakukan sekarang. Tapi mereka tampaknya akan
menjaga topi putih pada langkah dengan pihak lain.
Bagaimana pendapat Anda tentang penggelaran madu panci dan sistem IDS? Apakah mereka juga jelas?. Jack: Honey Pot dan jaring adalah hal yang baik jika Anda benar-benar tertarik pada penelitian nilai dan ingin
memperbarui sistem IDS sendiri. Tapi mereka tidak menawarkan perlindungan cukup untuk menjamin investasi sebagai sarana
perlindungan. Yang IDS jelas diperlukan dan lebih jelas daripada panci madu.
Apa yang membuat Anda mengambil madu panci di jaringan anda? Apakah yang menarik perhatian lebih atau
hanya memiliki firewall yang lebih baik?
Jack: Saya suka Honey Pot hanya untuk tujuan penelitian. Jika aku melihat peningkatan besar dalam lalu lintas ke port tertentu
atau jangkauan port, saya akan muntah beberapa pot madu untuk menangkap data dan menganalisisnya. Jika saya tidak
sadar mengeksploitasi baru, maka penelitian yang sangat berharga.
Apa yang terbaik untuk instalasi atau aplikasi panci madu?
Jack: Baca kertas putih baru oleh Lance Spitzner di
http://project.honeynet.org/papers/honeynet/. Jika Anda melihat madu komersial panci, kemudian
yang Sting server dari PGP adalah baik. Jika tidak, instal default dari OS dan menampar ke 'Net adalah
cukup baik.
VPN
Bagaimana cara melindungi jaringan perusahaan dari hacks mempengaruhi terpencil / VPN pengguna?
Jack: Ini adalah salah satu rintangan yang paling sulit untuk diatasi dalam bidang keamanan - remote penggunaan. Multiple
alat-alat dan program-program yang sekarang di pasar personel keamanan memberikan kontrol yang lebih besar atas apa yang jauh
pengguna dapat memiliki akses, serta memberikan lapisan lain keamanan bagi jaringan internal. Pribadi
firewall, seperti Jaringan Ice's BlackICE Pertahanan, solusi korporat mereka ICEpac Security Suite dan
ZoneAlarm PRO, memberikan kesempatan yang lebih baik penangkapan serangan tertentu pada pengguna jauh Anda. Lain
tingkat, Anda dapat berinvestasi di Check Point's SecureClient jika Anda memiliki solusi firewall Check Point, atau di
Soft RedCreek Komunikasi Ravlin solusi perangkat lunak.
Alat apa yang harus saya gunakan untuk melakukan port scan untuk memastikan saya instalasi VPN router dan tidak ditinggal
terbuka untuk hacker?
Jack: Salah satu yang paling terkenal adalah alat untuk menggunakan nmap (atau nmapNT porting Win32). Ini adalah alat-de-jour dari
kebanyakan script kiddies dan jahat kerupuk. Menggunakan libnet dari Packetfactory memberi Anda kemampuan untuk
kerajinan paket Anda sendiri untuk menguji konfigurasi router Anda.
Seberapa aman adalah teknologi VPN, seperti Check Point VPN-1 software suite?
Jack: VPN autentikasi, seperti Check Point, sangat aman. Check Point terutama menggunakan Triples
Enkripsi DES. Jadi dari perspektif matematika, VPN tahu siapa Anda. Selain itu, Periksa
Point aman VPN klien menawarkan firewall pribadi dengan kebijakan yang dapat dikontrol melalui pusat
manajemen. Hal ini memungkinkan untuk VPN untuk menolak sambungan tidak aman.
Apakah Anda dapat berbagi trik mengakses VPN?
Jack: Ini semua tergantung pada VPN itu sendiri. Saya tidak punya trik untuk mendapatkan melalui VPN karena itu
adalah sebuah dunia di mana saya belum menggali. Melihat beberapa dokumentasi dari @ stake, terbaru
inkarnasi dari MS-CHAP tampak seperti beberapa prosedur yang sama digunakan antara v1 dan v2. Sama
prosedur yang digunakan untuk menurunkan 24 byte respon yang diharapkan bisa mengendus dan serangan kamus dapat dipentaskan
terhadap mereka .. Apakah Anda menguji Lucent LSM? Bagaimana Menurut Anda tumpukan LSM sebagai firewall / VPN
perangkat?
Jack: Saya belum diuji produk ini.
Public Key Infrastructure
Seberapa aman PKI?
Jack: Jawabannya adalah dua kali lipat: Masalah apa yang Anda coba untuk memecahkan, dan ukuran apa implementasi yang
Anda mencari? PKI seperti berdiri cukup aman, dan studi di RSA 512 anjak menyimpulkan ini. itu
512 RSA telah diperhitungkan, tapi berapa banyak orang yang Anda kenal yang memiliki akses ke lebih dari 300
komputer berjalan sejajar dan kemudian memberi makan matriks ke Cray? Tidak banyak. Jika Anda mencoba untuk memecahkan saja
swasta isu e-mail, daripada Anda tidak perlu memerlukan PKI meledak penuh solusi. Jika Anda mencari
pelaksanaan lengkap, daripada PKI yang baik bagi perusahaan. Teknologi-bijaksana, ini adalah produk yang aman.
Sejauh pelaksanaan, PKI adalah apa yang anda buat, dan di situlah masalah timbul.
Jack, siapa yang Anda percaya memiliki solusi kunci keamanan yang lebih baik - VeriSign atau RSA's Keon solusi?
Jack: Bagi saya, itu tergantung pada siapa Anda ingin menjalankan acara, Verisign atau diri Anda sendiri. Jika Anda tidak mau berurusan
dengan sakit kepala pendirian PKI baru infrastruktur, kemudian pergi dengan Verisign. Jika Anda ingin kontrol total
kunci Anda, daripada memilih Keon.
Firewall
Haruskah perusahaan menggunakan firewall untuk mencegah pengguna berbahaya internal dari melakukan kerusakan?
Jack: Internal firewall adalah hal yang baik bila Anda ingin segmen kelompok atau kisaran alamat. Firewall
membuat melintasi jaringan tanpa melihat lebih sulit bagi karyawan berbahaya.
Dari pengalaman Anda, yang adalah yang terbaik dan terburuk firewall?
Jack: Ini adalah masalah pilihan pribadi. Kalau aku bilang kalau aku seperti firewall A dan Anda seperti firewall B, dan Anda
berpikir bahwa B lebih baik daripada A, dan saya pikir sebaliknya, apa yang telah dicapai? Anda tidak suka A dan aku
tidak suka B. Ini mirip Ford vs Chevy - Anda suka satu dan membenci yang lain. Bagi saya, Firewall-1 telah
melakukan pekerjaan yang bagus untuk ini. Saya suka PIX juga, dan saya telah bekerja dengan Gauntlet.
Adalah salah satu OS / platform lebih baik daripada yang lain ketika datang ke implementasi firewall?
Jack: Tidak ada satu platform yang lebih baik daripada yang lain. Mengeras OS, menghapus semua yang tidak perlu
layanan dan membuat mesin standalone. Atau menjalankan firewall alat seperti Nokia, CyberGuard,
SonicWALL atau Cisco.
Menurut pendapat Anda apa saja hardware terbaik firewall di pasar? Mana yang paling sulit
retak?
Jack: Nokia Firewall dan peralatan CyberGuard tampaknya menjadi yang terbaik sekarang. The ipso OS di
Perangkat Nokia pada dasarnya adalah mesin OpenBSD mengeras, yang cukup sulit untuk retak. Itu
Perangkat KnightStar cukup sulit juga, tapi kendala utama adalah implementasi / tepat
konfigurasi .. Apa kerentanan biasanya dieksploitasi dengan MS Proxy dan do you think ISA akan lebih baik?
Jack: Sebuah Proxy Server atau firewall hanya sebagai keamanan yang baik-bijak sebagai dasar OS - yang cocok untuk
risiko keamanan. Saya tidak akan berbicara pada Proxy Server, tetapi sehubungan dengan ISA - terlalu banyak pada satu mesin. Itu
proses penyulingan akan mengambil beberapa jatuh tempo, seperti Check Point dan beberapa keamanan top lainnya
produk.
Apa pendapat anda tentang firewall peralatan dan apakah mereka lebih aman dari perangkat lunak berbasis
firewall?
Jack: Oleh jauh. Vendor telah pergi ke banyak kesulitan untuk mengeras OS, dan telah menghapus banyak yang
mungkin "zona merah" di mana administrator membuat kesalahan implementasi pada OS berbasis firewall.
Kalengan firewall atau membangun sendiri-yang lebih baik?
Jack: Kalengan
Bagaimana dengan Cisco PIX Firewall?
Jack_the_Hacker: Cisco PIX firewall adalah firewall berbasis proxy. Mereka menawarkan perlindungan yang wajar
tapi kerentanan mereka adalah dalam manajemen. Jika Anda menggunakan beberapa PIX firewall, probabilitas tinggi ada
bahwa kerentanan akan diperkenalkan melalui salah konfigurasi sederhana.
Firewall software apa yang anda rekomendasikan?
Jack: Check Point.
Ketika firewall mendapatkan port scan, saya ingin tahu apa ini "pelaku" sebenarnya lakukan.
Apakah perangkat lunak tersebut ada yang memberikan saya ide apa yang di luar firewall?
Jack: Periksa log router perbatasan dan menjalankan suatu sniffer pada baris. Anda tidak dapat melihat apa yang sedang terjadi kecuali
sesuatu mengambil data.
Diberi pilihan software firewall yang anda menginstal pada server atau perangkat keras yang terpisah
bahwa Anda menempatkan di depan server, apakah ada keuntungan atau kerugian pada salah satu?
Jack: Jika Anda berbicara tentang alat versus perangkat lunak firewall, saya suka keduanya. Kecuali Anda merasa nyaman
dalam pengerasan server Anda bahwa Anda akan menginstal perangkat lunak firewall on, maka saya menyarankan
alat. Jika Anda tahu persis apa yang Anda inginkan dalam server Anda, kemudian instal perangkat lunak firewall. Ingat,
pada akhirnya, mereka berdua sama aplikasi firewall.
Seberapa amankah jaringan yang hidup di belakang dikonfigurasi dengan benar Check Point Firewall?
Jack: dikonfigurasi dengan benar adalah pernyataan yang samar-samar, tetapi aku akan mengatakan bahwa lebih aman daripada sebelumnya. Apakah Anda
ingat apa yang biasanya port terbuka bagi Anda meng-host situs Anda? 80? Masih port yang terbuka. Semakin sedikit
lubang di firewall, semakin sedikit dengan kerupuk yang harus bekerja.
Personal Firewall
Menurut pendapat saya, produk keamanan berikutnya akan menjadi firewall pribadi. Seberapa aman akan ini
menjadi? Apakah pengguna akan terlena ke dalam rasa aman yang palsu?. Jack: Saya akan cenderung setuju dengan Anda pada penggunaan luas firewall pribadi. Laporan
selesai kurang dari 3 bulan yang lalu menunjukkan sebuah lubang besar di dasar-dasar firewall ini. Mereka
pada dasarnya proxy server. Jadi, jika Anda bisa mendapatkan seseorang untuk membuka program Trojanized (yaitu Explore.exe), Anda
telah melewati keamanan. Pengguna akan masuk ke modus otomatis dengan alat-alat ini ketika mereka melihat scan
mendaftar.
Apa pendapat Anda tentang ZoneAlarm?
Jack: ZoneAlarm adalah firewall pribadi yang besar, tapi setiap personal firewall memiliki satu kelemahan utama - kebijakan
manajemen. Kita tidak akan masuk ke bahwa di sini, tetapi studi kasus baru-baru ini meninjau keamanan secara keseluruhan
dari semua personal firewall. Anda mungkin dapat menemukan bahwa studi kasus dengan pencarian Web.
Jack, tolong katakan padaku apa pendapat Anda. Seberapa aman PC kecil [jendela] jaringan [selalu di
kabel atau DSL] yang menjalankan program firewall seperti ZoneAlarm atau BlackICE?
Jack: Memiliki program firewall pribadi lebih baik daripada tidak sama sekali. Mereka melakukan pekerjaan yang cukup baik di menjaga
keluar yang benar-benar amatir individu, tapi tidak ada terhadap beberapa tingkat lebih tinggi script kiddies.
Apa yang akan Anda rekomendasikan untuk firewall pribadi untuk desktop pengguna dengan kabel atau DSL
koneksi?
Jack: Dari tiga utama firewall pribadi, aku seperti ZoneAlarm, terutama disebabkan harga. Saya berpikir bahwa BlackICE adalah
sangat baik juga, dan begitu juga Norton solusi.
Hacking / Audit
Bagaimana saya bisa menguji keamanan dari serangan luar?
Jack: Penetrasi pengujian adalah sumber utama informasi yang memberitahu Anda apakah Anda telah melakukan
pekerjaan yang memadai mengamankan lingkungan Anda. Bagaimana Anda akan melakukannya pena. test? Kotak hitam itu. Cobalah untuk memiliki
seseorang dalam tim infosec menjalankan percobaan tanpa pengetahuan sebelumnya dari target. Jalankan tools tersebut sebagai
alat firewall, port scanner dan banyak lagi.
Apa sajakah alat footprinting baik? Dimana aku bisa mendapatkan mereka?
Jack: Nmap - mendapatkannya di www.insecure.org. Ada banyak orang lain, tapi ini yang paling sering digunakan satu dan
yang terbaik sekarang.
Apakah perusahaan-perusahaan kecil 'jaringan kurang menarik bagi seorang hacker dari sebuah perusahaan besar? Atau mungkin
lebih menarik karena mereka bisa menjadi lebih rentan?
Jack: Menarik tetap. Saya akan menggunakan itu sebagai titik arah tujuan yang lebih ambisius. Perusahaan kecil
membuat umpan baik. Sebagian besar perusahaan-perusahaan kecil yang ingin sistem mereka berlari dan tidak begitu tertarik pada
keamanan. Mereka akan tahu bahwa mereka memerlukan keamanan ketika IBM panggilan mereka dan mengatakan bahwa kayu mereka mencapai kembali ke
Perusahaan XYZ mencoba mendobrak masuk
Apa standar industri yang berkaitan dengan etika pihak ketiga hacks diterima oleh klien?
Kami mendapatkan lebih banyak klien yang memerlukan hacks etis mereka sendiri, dan mereka tidak mengizinkan pihak ketiga
hacks yang akan digunakan untuk penilaian keamanan.
Jack: Tidak ada standar industri pada saat ini untuk pihak ketiga hacks etis. Ini lebih di sepanjang
garis: Apakah tujuan menghalalkan cara? Jika Anda berada dalam suatu industri di mana keamanan adalah masalah penting,
maka diperlukan hacks etis. Jika Anda berada di salah satu tempat keamanan telah mengambil kursi belakang, maka etika
hack mungkin tidak perlu .. Bagaimana hacker tetap berhubungan dengan satu sama lain hari ini?
Jack: IRC adalah teman saya dan rekan senegaranya. Jika Anda melihat bahwa berjalan pada sistem Anda, Anda memiliki masalah.
Squash itu. ICQ, dan beberapa message board juga metode populer.
Alat apa yang anda rekomendasikan untuk penetrasi pengujian?
Jack: Tools dari Foundstone yang baik, alat-alat dari farm9.com tampaknya menjadi baik. Tapi ini lebih merupakan
layanan fungsi dari perusahaan konsultan seperti Ernst & Young dan Accenture.
Di mana saya menemukan salinan nmap atau nmapNT?
Jack: Insecure.org dan eeye.com, masing-masing.
Paling eksternal pada dasarnya serangan acak? Atau apakah mereka lebih direncanakan, seperti kebutuhan untuk mendapatkan sebuah
lencana kehormatan untuk beberapa klub dari penyerang?
Jack: Mostly acak dan mencari pengakuan, atau untuk mencoba bergabung dengan kru. Lihat SilverLordz,
Hackweiser, dan beberapa orang lain yang telah di akhir-akhir ini air mata. Eksternal yang lebih merencanakan serangan bohong
aktif selama waktu yang lama, dan mungkin atau mungkin tidak bekerja atau hacker sejati, bukan skiddie.
Jika Anda seorang pemula infosec, selain nmap, di mana Anda akan pergi untuk informasi tentang penetrasi
pengujian.
Jack: SANS.org adalah tempat yang baik untuk mendapatkan informasi. Dapatkan di Pen-test listserv dari Securityfocus.com dan
Vuln-dev daftar.
Apa alat pilihan Anda bila mencari kelemahan?
Jack: Security Analyzer dari NetIQ melakukan pekerjaan yang besar dan kembali dengan daftar menyeluruh.
Selain rekayasa sosial, apa yang Anda eksploitasi favorit lainnya? Di mana Anda melihat yang paling
masalah dengan implementasi keamanan, selain kesalahan manusia?
Jack: Mis-konfigurasi adalah satu hal, tapi admin lupa untuk menerapkan patch secara tepat waktu adalah
lainnya. Berapa lama memiliki kerentanan RedButton NT keluar? Namun, Anda tetap dapat menemukan ini di Net.
Bagaimana dengan wu-ftpd masalah? Hal yang sama - masih di luar sana. IIS telah mengambil banyak antipeluru baru-baru ini karena
anjing hutan hujan penelitian, tetapi pengungkapan lubang ini adalah penting kepada perusahaan-perusahaan yang ingin
melakukan bisnis di Net. Pastikan Anda saat ini admin tetap.
Apakah hacker lebih cenderung untuk mengejar target karena mereka memiliki koneksi broadband
versus analog dial-up? Atau keduanya sama-sama beresiko?
Jack: Keduanya beresiko, tetapi memiliki koneksi broadband sebagai pipa sangat menarik untuk seorang cracker. Jika saya
mengambil alih sebuah mesin yang menjalankan 98 dengan sebuah garis 1.5MB melekat padanya, aku punya tempat yang bagus untuk memulai sebagian besar
serangan. "Selalu-on" koneksi yang lebih mudah untuk menemukan alamat daripada yang ditetapkan secara dinamis ketika panggilan up
untuk sebuah ISP.
Apa situs tertarik Anda ketika Anda hacking?
Jack: Itu tergantung pada suasana hati saya hari itu. Jika aku ingin sebuah tantangan, hacking menjadi perusahaan yang lebih besar
akan mengambil beberapa hari untuk satu minggu, sementara hanya ingin menjadi menyenangkan mendorong saya untuk mengakses kecil
bisnis yang tidak aman situs mereka .. Apa yang beberapa "petunjuk" kiri di belakang (dan selama) hack?
Jack: Tergantung pada di mana mereka masuk, log router Anda mungkin dapat melihat alamat IP yang menunjukkan
mana lalu lintas berasal. Tergantung pada OS mereka yang masuk ke dalam, trek bisa di
Log sistem, atau sys partisi.
Apa itu Ping O 'Death?
Jack: Serangan ini menyebabkan buffer overflow pada target host dengan mengirimkan paket permintaan echo yang
maksimum lebih besar dari ukuran paket IP 65.535 byte. Seperti mesin target merekonstruksi paket-paket,
paket akhir lebih besar daripada batas dan 65.535 menyebabkan serangan DoS. Ini taktik gaya lama dari
beberapa tahun yang lalu. Sebagian besar OS telah ditambal untuk menahan serangan ini. Dapatkan informasi lebih lanjut
di sini: http://www.insecure.org/sploits/ping-o-death.html
Apa implikasi hukum dengan hacking sistem perusahaan Anda untuk membuktikan bahwa mereka adalah
rentan dan meningkatkan keamanan di to-do list?
Jack: Saya tidak pernah meng-hack situs perusahaan saya, kecuali aku mendapat persetujuan tertulis sebelumnya. Ini termasuk hukum
nasihat dari perusahaan. Beberapa kualifikasi yang saya akan meminta meliputi: eksposur
informasi rahasia tidak akan menyebabkan penangguhan, atau penghentian (seperti password, e-mail dan
pesan instan) dan lengkap shutdown dari server produksi akibat serangan tidak bisa menyebabkan
penangguhan, atau penghentian.
Admin sering menerima panggilan telepon dan diminta pertanyaan mengenai jaringan fisik, dll
worksites mereka. Pertanyaan apa yang harus Anda tidak pernah menjawab dan mengapa?
Jack: Jawaban yang samar-samar mungkin. Pernah menjawab, "Siapa yang bertanggung jawab?" Atau "Di mana kau berada?"
Jawaban itu hanya mengakibatkan mempersempit serangan. Saya selalu paranoid tentang orang-orang yang bertanya kepada saya
tentang jaringan, saya hanya menjawab, "Ini bekerja."
Apa itu serangan titisan air mata?
Jack: Sebuah serangan titik air mata di mana fragmentasi paket adalah tumpang tindih. Hal ini menyebabkan
ditargetkan, kebanyakan Linux, mesin untuk mencoba salah merakit kembali paket-paket dan kecelakaan. Target
mesin offset melihat pada paket dan merakit kembali mereka menurut offset, tapi paket B's
offset menyatakan bahwa dimulai dalam A:
13:23:13 hostile.com.32157> friendly.com.53: udp 28 (frag 242:36 @ 0 +)
13:23:13 hostile.com> friendly.com: (frag 242:4 @ 24)
Haruskah aku benar-benar menafsirkan port scan sebagai awal untuk menyerang?
Jack: Belum tentu sebuah serangan, tetapi pasti pintu berderak-derak. Begitu mereka mulai memilih kunci, menganggapnya sebagai
serangan. Apa yang saya maksudkan dengan ini sekali Anda perhatikan bahwa scan pecah pada Anda selama beberapa hari berturut-turut dan
kemudian Anda melihat sebentar-sebentar mencoba, siap untuk menyerang.
Apakah ada "Robin Hood" di komunitas hacker atau cracker?
Jack: Hal ini tergantung pada definisi tentang "Robin Hood." Beberapa hal yang saya lakukan sebelum sekarang dapat
dianggap sebagai Robin Hood bertindak. Aku membantu sys admin masyarakat miskin yang tidak mengerti keamanan dan
mendorong mereka ke dalam tindakan.
Informasi Situs
Apa favorit Anda sumber informasi online?. Jack: Bugtraq, Max Visi's Whitehats.com, SANS dan Giac. Astalavista.com juga memiliki beberapa sangat bagus
link ke bawah tanah.
Apakah ada publikasi (online atau lainnya) dalam daftar NT 4 Server celah-celah keamanan dan perbaikan
yang akan Anda rekomendasikan?
Jack: Bugtraq archives and Windows IT Security (formerly NTSecurity.net). More moneter kerusakan
berasal dari dalam, dan kebanyakan sistem internal adalah NT / Windows.
Apakah Anda merekomendasikan situs di web?
Jack: www.whitehats.com, Windows IT Security (sebelumnya NTSecurity.net),
www.securityfocus.com dan packetstormsecurity.org adalah awal yang baik situs.
Apa buku atau bahan pembelajaran yang Anda anggap sebagai layak untuk belajar tentang mengambil keuntungan dari
kelemahan tertentu yang ditemukan dalam sistem? Atau apakah ada nilai berinvestasi dalam?
Jack: Karena saya telah di bidang keamanan, saya telah lebih menghormati beberapa orang secara khusus.
Stephen Northcutt analis yang baik. Bruce Schneier adalah seorang ahli terkemuka. Dan tentu saja guys over di
@ Stake yang besar. Hacking Exposed: Second Edition cukup bagus. Dan yang lebih tua oleh Maximum Security
Anonim yang baik. Tapi bahan belajar yang terbaik adalah teman-teman Anda. Bidang keamanan benar-benar kecil
dunia. Semakin banyak komunikasi yang Anda miliki dengan satu sama lain, semakin baik Anda memiliki kesempatan untuk mengubah
pergi kiddies dan bahkan menolak upaya hack terampil. SANS telah menjadi pemimpin dalam mengumpulkan beberapa
pikiran sangat cerah bersama untuk analisis, dan koran-koran yang mereka rilis adalah bahan belajar yang baik sebagai
baik.
Apa pendapat Anda tentang Foundstone's Hacking Kelas? Apakah Anda pernah melihat ini sebelumnya dan apa yang
Anda ambil?
Jack: Saya bertemu dengan orang-orang Foundstone beberapa bulan yang lalu, bahkan jika mereka tidak ingat saya, dan mereka menyerang
saya sebagai mengetahui apa yang mereka lakukan. Aku akan benar-benar tertarik untuk menghadiri salah satu dari mereka Extreme
Hacking kelas jika hanya untuk melihat apa yang mereka tahu. Penelitian mereka dipimpin oleh JD Glaser. Dia sangat
berbakat, sebagaimana dibuktikan oleh alat-alat sebelumnya di bawah NTObjectives.
Jack, apa buku terbaik di pasar saat ini yang akan menjadi panduan belajar tentang bagaimana menjadi seorang
hacker dan pada saat yang sama mengajari Anda cara untuk melindungi server anda dari yang hacked?
Jack: Tidak ada petunjuk pasti tentang cara hack. Karena terdapat panduan tentang bagaimana melindungi sistem anda, satu
yang adalah Hacking Exposed: 2nd Edition oleh orang-orang dari Foundstone. Namun, hal itu juga terbaik untuk
berlangganan ke daftar seperti SANS, CERT dan sumber daya kerentanan lainnya. Pada waktu itu dalam sebuah buku, Anda
sudah sangat jauh di belakang.
Jack, aku punya pertanyaan tentang pelatihan - bagaimana meyakinkan untuk kecil menengah perusahaan yang mereka
admin jaringan memerlukan pelatihan keamanan meskipun mereka tidak memiliki sebagai besar kehadiran Web sebagai
perusahaan-perusahaan seperti Microsoft.
Jack: Satu mid-size (Senilai USD 50 +) perusahaan tempat saya baru-baru ini bekerja sama dengan menolak untuk meng-upgrade atau bahkan mempertimbangkan
opsi keamanan. Apa yang mereka tidak bisa memahami adalah bahwa informasi yang mereka tetap terkunci (penjualan mereka
contact list) could be extracted by simple social engineering, and their company could be severely
damaged financially by a competitor receiving that contact list. According to recent studies, more than 3
percent of unplanned outages are related to security breaches and issues. So for no other reason, you'd
do this to improve availability. How much is your intellectual property actually worth?.With the exception of reading the numerous e-mails and information I receive from SANS, CERT,
etc., how can I keep abreast of all the new information?
Jack: Limiting yourself to a couple specific sources helps. If you've overflowed yourself with information,
you probably need to cut back and remove whichever source is your "weakest link."
You mentioned above that when it's in a book, you're far behind. But what about UNIX OS and
some computer languages, among other things? They're still the basics, aren't they? I mean with
that knowledge, you can become a hacker?
Jack: That is definitely a place to start. Most individuals I know started in UNIX and learned to program
from there. What we mentioned above is more along the lines that by the time the book is checked for
errors and edited, the exploits have been in the wild for too long. You’re playing catch-up by then.
Are you familiar with Steve Gibson's shields up site? If so, how effective an indicator of one's
security is it?
Jack: I am familiar with this site. This is a good site for the normal consumer to have a look at when they
have an “always-on” connection to the Internet.
What are the best sources of information for securing an NT/2000 network, particularly IIS?
Jack: I have read parts of the Mastering Windows 2000 Server by Mark Minasi and found it to be quite
baik. Hacking Exposed: Second Edition has some very good points on what to secure within your
lingkungan. Checking out SecurityFocus.com always helps as well. The Microsoft team put together a
very nice checklist for IIS. at http://www.microsoft.com/technet/security/iis5chk.asp.
What are the best avenues one should follow to find the best bang for the buck, if you will, in
security training? I am familiar with self-learning. But there are so many exploits out there that
learning them all on your own without proper guidance is difficult.
Jack: I took a track from the SANS team a while back, and I really enjoyed my time there. There is a lot of
good information from the courses. The least -expensive security training is getting on message boards
and asking a lot of questions. There are thousands of people out there that want to pass on their
knowledge on security. Some of the self-learning that you can do is put up a honey pot and watch it get
taken over. Make sure that you are able to see what happens on it before you deploy it, and learn from
those actions.
What would be a good book to read that shows an administrator more understanding of how to
secure Linux?
Jack: Try the Real World Linux Security : Intrusion Prevention, Detection and Recovery by Bob Toxen.
How does one subscribe to CERT and the other good subscription lists to stay up to date on
keamanan?
Jack: SecurityFocus has instructions on its site (SecurityFocus.com) as to how to subscribe to their
multiple mailing lists. CERT is the same way. Check out the sites from which you want to receive mail,
and they should have instructions on how to subscribe.
What is a good "Security 101" book for the complete novice?
Jack: The Hacking Exposed books are pretty good. But to be honest, there are no “Security 101” books.
Security is such an all-encompassing problem that no single book could tell you everything you need to
know, even for the complete novice..How do you feel about Lance Spitzners’ white papers?
Jack: Lance’s papers definitely hold a lot a value from which individuals can learn. The motives paper
shows actual logs of what the script kiddies do once they have access. Lance and the Honeynet (Project)
crew know their stuff.
Lack of security knowledge by admins: What are some tips you can give to lock down each of
these OS’s?
Jack: The quickest way would be to go to SecurityFocus and check out each section of their site
(SecurityFocus.com). The Microsoft section has checklists on securing IIS, NT 4.0, 2000. Linux
section has the same layout and information.
Do you have any suggestions for security training?
Jack: Try the GIAC courses offered by SANS, as well as looking into the studies for CISSP certification.
Peralatan
Are DoS and DDoS attacks going to (continue to) be a threat?
Jack: These attacks are definitely going to be a threat. DoS attacks are easy enough to initiate upon a
vulnerable system, but almost every system is vulnerable to DDoS attacks. It is the same adage that
shows if they have a larger pipeline to use than you do, the DDoS will more than likely work. Namun, jika
you are able to subscribe to some online tracking listservs, such as Bugtraq, you should be able to keep
up with some of the openings and how other security individuals are trying to combat them. Keamanan
field is like a large fraternity or sorority, everyone knows the same names, and everyone looks for help
when a disaster strikes.
Are any tools available that don't require two full-time people to monitor the alerts and track them
down?
Jack: This is dependent on both the size of your environment, as well as your initial assessment on what
is going to be monitored. Most organizations should have at least two individuals on staff that track and/or
monitor the alerts that come in. Should they be full time? Belum tentu. Most current tools may be
distributed among numerous monitoring stations. At least one individual should look at these alerts almost
full time. The reason it should not be full time is the human element. If one were to look at the same logs
for 8 hours a day, 5 days a week, it becomes "noise" to them. That is where the backup comes into play.
When the saturated person becomes overwhelmed, the backup person should be able to take a fresh
look at the information. Even when talking to other Intrusion Detection analysts, they will tell you the same
benda. That is why a community of these analysts help you through your detects.
Are there any tools/utilities that you would say are essential?
Jack: There are multiple tools that are essential in order to have a well-rounded security solution. Pertama
would be log consolidation tools. One of the key sources for forensic analysis are the logs. Jika mereka tidak
secured, any information gleaned is suspect at best. Next is an IDS tool. VA tools and automated
response actions are also required. A firewall is very essential.
How do you see integration between auditing activity (audit logs consolidation), monitoring
activity (Host network-based IDS) and vulnerability assessment activity (host-network)?
Jack: This would be considered the complete package as far as security. Security cannot be looked upon
as a one-size-fits-all type of solution. You cannot rely only on your firewalls, your network-based intrusion.systems and your auditing capabilities separately. Security has to encompass all viable points of entry,
and even some you don't see. These are the reasons why you need to look into implementing a security
policy using those host- and network-based scanning tools before an attacker or internal employee does
attacks your system. You must be able to look through logs from your firewalls, your border and internal
routers and your network-based intrusion tools and host-based tools. Lastly, you would have to look
through your host audit logs, whether they be *NIX of Windows.
Have you seen any conversations regarding the value (or lack) of biometrics solutions?
Jack: Biometrics was a necessary security tool on one of my previous contracts, but that lays within the
physical security aspect of things. The controller for the biometrics is the target at that point. Sekali lagi,
depends on what you are trying to secure – physical access to your most critical servers or your users’
akses ke jaringan.
How important is it to stay on top of vulnerability fixes on my publicly accessible servers?
Jack: IT is VERY IMPORTANT to keep up to date with these fixes. Countless examples are Attrition.org
that show how admins who don't keep up with patches ride into the sunset in infamy.
What is the most exciting security technology that you see today?
Jack: I am interested in seeing if the Rabin crypto stands up to the analysis of Mr. Schneier and others in
the crypto field. Another lets you implement a single point of log consolidation from numerous points –
audit logs, firewall logs, IDS logs and host-based logs. Now, if you can come up with something like that,
the development would be exciting because it takes many of the unseen problems and makes them
terlihat.
What is your opinion on the effectiveness of IDS?
Jack: Network or host-based? Network has problems when used in switched networks. Network IDS is
possible, but much harder to implement. Host-based, when used alone, is only one facet of the overall
security of your environment. IDS alone will not save you. But an overall security scheme of, say,
restricted border router, firewall A, load balancer, NIDS sensor in DMZ, firewall B, internal switched
network, internal NIDS sensors and then host-based IDS is great. If you can make that work in your
environment, you would be about 90-percent complete. Vulnerability testing and adherence to security
policy will make up most of the rest.
Should hackers who release proggies like VBS Worm Generator be held responsible, like the
person who goes and gets the proggie and releases the worm to the Net?
Jack: IMHO yes.
We've been looking into some intrusion detection tools, but most don't seem to be worth the time
or money. Have you had any success with these types of tools?
Jack: Traditional IDS is like reading in the newspaper that you've died in a car accident the day after it
terjadi. You want to establish a security solution that takes data from IDS tools, but can then be
adaptive and automatically respond. Remember that exposure time equals detection time plus reaction
waktu. If your IDS does not provide immediately reaction time, then you are still behind the hacker.
What do you think of the latest program from Rain Forest Puppy that renders IDS essentially
useless?.Jack: I am trying to find the program you are talking about, but the one that does come to mind is from
K2called ADMutate. That API is dangerous. We knew that this would come along someday, and that is why
most IDS systems fail – the system is based on recognizing signatures, not out of band processes. RFP
released RFProxy, which is something that we are currently evaluating.
What about SAINT?
Jack: SAINT is a good tool that has been around for a while. It definitely does a good job.
Would a Web server running VMS on an Alpha be less vulnerable to hacking?
Jack: I don’t know since I have never come across that combination. That would almost lead into
the“defense-by-obscurity” realm.
How do you perceive the use of polymorphic code such as ADMutate? Good or evil?
Jack: Both. Good, so that one can try and duplicate the morphing of a new exploit before it happens, and
bad because of the intentions behind it.
Do you recommend a Unix-based OS for an intrusion detection box? Or is NT/2000 sufficient?
Jack: NT is sufficient, but anything straight out of the box is not secure. Look at the skill set of your team:
Do you have more *NIX people than NT? Vice versa? Go with what works for your team. *NIX can be
highly tuned, and so can NT.
What are your thoughts on the newest wireless network problems?
Jack: This was bound to happen sooner or later. More people want the really interesting equipment in
their offices. The problems with WEP are basic implementation, which in turn, shows the problems with
the algorithms used for WEP. As is documented at http://www.isaac.cs.berkeley.edu/isaac/wep-faq.html,
current implementations use a single key that is shared between all mobile stations and access points.
Sharing a single key, along with the low strength of the initialization vector, makes cracking an
encryptedtransmission possible. I believe that more vendors will be looking to strengthen this technology.
What happened with PitBull in Europe?
Jack: What happened is that they went up against a true set of hackers, ones that know an OS and don't
use blatant DoS attacks. The fact that the hack was known in the underground for some time also shows
that securing the OS is one of the most important steps in securing your infrastructure. What LSD did was
hack Solaris for x86, but the PitBull software was not hacked. Tapi siapa yang peduli? They won because they
knew what they were doing. Periode. Akhir cerita.
*NIX
In your opinion, is an open source OS, such as Linux, as secure as a proprietary flavor of Unix (for
instance, AIX or Solaris)?
Jack: No version is secure out of the box. Read the reports that show that old patches that were not
implemented on an OpenBSD box were exploited by a hacker, or put any *NIX flavor in the place of
OpenBSD. Most Proprietary *NIX flavors improve performance, not necessarily security.
How secure is Linux?.Jack: I think that a Linux box is as secure as you make it. Every default install is not good, whether it be
NT or Linux. The open source community does a very good job of keeping everyone informed of new
patches and holes that are found.
What would you consider the easiest targets for attack – NT/2K or Linux?
Jack: Linux by far. The majority of the people administrating Linux systems have almost no clue of how to
secure or even MINIMIZE risk. Second would be NT4, and then 2000. All three are considered easy to
implement OS's, but fall victim to bad practices. Again, I can't stress how important good implementation
is.
NT / 2000
Jack, do you have some tips on securing NT?
Jack: SANS top 10 list for securing NT is a good starting ground. I saw a script yesterday that looked
really good as well, but I don't have the reference right now. There is one thing that I would like to say on
that issue though – what do want that server or workstation to do? That is what determines the level to
which you harden a box.
For you, Win2K is more secure than NT? How much?
Jack: I think over the past year, with security measures that were put into 2000 show, that a true
2000implementation is a pretty sound solution. There is that backwards compatibility issue with NT, but I think
that Microsoft has done a good job with 2000. You can't put an index on the amount security has
improved in 2000, but Microsoft learned some lessons from 4.0 and tried to improve them in 2000.
Is NTLMv2 much more secure than NTLM? Apa perbedaan antara keduanya?
Jack: While initially it was believed that NTLM v2 was more secure, conversations with Microsoft by an
individual who recently submitted his findings to NTBugtraq may suggest otherwise.
What is the best way to secure a Win2K Server?
Jack: There are checklists that the Win2K team has put together. If I had the URL handy I would post it -
this is one of those subjects that could spawn a chat in and of itself.
What is the best way to lock down a Win2000 Domain?
Jack: Remove your network cable. There is no "one thing" that I can cover in the context of this chat. Aku
highly recommend getting a Windows 2000 book, such as Mark Minasi's Mastering Windows 2000 Server
buku. Microsoft press also has several books that cover this.
You are stating that Windows NT is easier to hack than 2000? Mengapa?
Jack: NT has been around longer and more people know about the vulnerabilities in the system.
Windows 2000 has not been around long enough to have a massive explosion of vulnerabilities, even
though it has its fair share of them. If you have a completely 2000 infrastructure, getting into that system
is harder than using old tried and true tricks for an NT system. The usage of AD and Kerberos help quite
sedikit.
What are your thoughts about securing Windows 2000 Active Directory?.Jack: If you are asking me on ways to secure Active Directory, I know some ways to help it out. Pertama
thing, make sure that only one or two individuals get the Enterprise Administrator’s role, and no one gets
Schema Admin. Second, think about how you are going to setup the AD well ahead of implementation.
Understand Active Directory as well as you can.
If Linux machines are easier to hack, why are so many NT servers broken into?
Jack: Most of the Linux machines that are used in the consumer area do not get security updates as
frequently as Windows machines. Businesses that use Linux must stay on top of package updates,
especially security-related updates, and they can’t always do so. That is why it may be easier to hack
than an NT machine. However, most businesses run NT servers.
How secure is terminal server in a Win2K native domain?
Jack_the_Hacker : It is pretty good. We are still doing some research on this topic as it has become
more prevalent for us to deal with. If you do a search on Securityfocus.com, you will notice that there are
not a lot of issues with Terminal Server for Win2K.
What is your opinion on Windows 2000, specifically IPsec, Kerberos and NAT?
Jack: Always have liked IPsec, and I especially like how Win2K has implemented it. The Kerberos is
definitely a step above using NTLM hashes, and NAT has been around and is quite common.
What do you see as being some of the biggest problems with Windows 2000?
Jack: The three I's - Implementation, Implementation and Implementation. In the OS itself, the worst
problem now is reverse-compatibility with insecure network protocols. For example, NT4 SMB.
Misc.
We all know that network security is a vital role in all major organizations. Why then is the world
waking up so late to it and why is the IT industry not creating hype to promote a "security-conscious"
dunia?
Jack: There is no real need for the IT industry to hype security than it has to this point. Companies that
do not understand what security is do not invest their resources into anything more than performance
over security. These companies will not understand their risks until they have a wake-up call from
(hopefully) an internal source rather than an external attack. The IT industry hyped e-commerce during its
explosion because getting hard-working individuals to submit their credit card information to a Web page,
rather than a person who they would see slide it through a reader, was difficult. They wanted to show
peace of mind with security for B2C and P2P businesses. As that boom has started a small downturn,
more individuals have started to take that information and try to translate it to security within the
workplace. Most individuals have misconceptions of hackers, crackers, phreakers and script kiddies or
their stereotypical ideas of based on media persona. The FBI will tell you that crackers do not fall into
astereotypical person. The attack could be from a 12-year-old girl to a 53-year-old system admin.
What is your opinion on full disclosure of vulnerabilities?
Jack: This is a question that is loaded and ready to go off. For me, I like to let the system vendor know
what I found, give them a few days, then let Bugtraq know. I believe in full disclosure for certain problems.
Others, I leave with the vendor. If it is a large hole like the BIND bug, full disclosure was good and
bad.Disclosure of a small vulnerability in Netscape's browser that allows them to take over a non-secure
session, I leave with Netscape..How long have you been doing security?
Jack: Security on the good side, five years. On the other side, around seven years.
Aren't you concerned that speaking in an open event like this could also bolster any crackers
looking to get resources for tools and information?
Jack: I opened myself up for this event. More than likely, some outside entities will look for the
information for which IT managers are looking. I wouldn't say being scared, I say wanting to inform
outside individuals.
What is your programming language background and platforms?
Jack: Some old-school Assembly, C & C++, some VBScript and Perl. My main platforms are OpenBSD,
Windows and Solaris.
How do you feel about security certification? (CISSP, SANS certs, etc)
Jack: I like the CISSP certification because of the broad range it covers. The GIAC cert is pretty good
because of the level of testing that they use. Certifications in previous products and years were
considered "paper certs" because you didn't need a lot of real world experience. I think that SANS and
ISC² figured that out and wanted their certifications to mean something. I would much rather trust a
CISSP with designing and implementing a security policy for my company than a strict auditor.
What is your background? Did you start in networking and work into security, or was your start in
programming? Which do you see as being more beneficial?
Jack: I first started out as a bona-fide user. My first real start was in networking and some BASIC
programming at the same time. I stuck with the networking aspect and kept up with the programming
sisi. With security, you can't have one without the other. If you do, you are just an admin resetting
password.
Haven't the recent prosecution of hackers discouraged would be hackers?
Jack: I don't think they have been discouraged. They seem to be more determined in certain cases.
Hackweiser is on a rampage right now. And until he/she is prosecuted, the defacements will continue.
Back a few years ago, you had a few good crews put together. Nowadays, you have a lot of average to
good crews who are looking for props from their peers and then they want recognition from the security
field as well. After the first few successive hacks, it is a power game. And everyone thinks they are
invincible.
Is it easy to crack a computer running Gnutella, Napster and other similar file-sharing apps?
Jack: I have not delved into the realm as of yet. I cannot give you an educated answer to this question. Aku
can do some more research to let you know in the future.
Do you see a career model from the underground into the enterprise employment or consulting as
current options that would create more interest in hostile security "cracking?"
Jack: It is evident in some of the defacements out there, but those are kiddies that want to break into the
security field and get paid for what they know about their scripts..What reformed Jack?
Jack: Realizing that there was more to life than having to watch my back for badges every day. Plus,
when I had FBI agents show up at door one morning for something completely different. Those badges
look scary.
What would be the best method to discourage would be hackers from starting in the first place?
Jack: I don't know. The media glorifies the attention these hackers like.
Who/what influenced you to change sides AND how did you sell yourself as
trustworthy/employable, given extents of background checks, etc.?
Jack: There was this one network admin that I met at one of my first real jobs that showed me the ropes
on how to work in the real world. I don't remember his name, but I figured that I didn't have to stare at a
CRT in my room the rest of my life. Actually, some of the companies did not do background checks on
aku. And I don't have a rap sheet. I was forthcoming with them when asked about my experience with the
"other side." But those actions were done when I was young and naïve. Now, I am just young.
What keys should one look for in a log to spot an intrusion?
Jack: When your audit logs are gone. It depends on the method. Slow-and-low is hard to see. A straight
hack-attack is pretty blatant. Take a look at the Honeynet Project's logs, as well as some of the papers
from SANS.
In your opinion what needs to be done to prevent people from hacking (i.e. tougher laws, better
prosecution, etc.)?
Jack: All of the above. The old adage that the world is a small place rings even more true with the
Internet. You can't tell if the hack was from your neighbor across the street or in some other foreign
negara. I think more crackdowns are going to happen across the globe, and that might stop a few of the
hacks. But this will never stop. Tougher extradition laws would be a start, but I am not going into law here.
What do you get out of hacking?
Jack: Different people get different things from hacking. Those driven by money often find a very lucrative
source of income (ask those stung by the FBI). Others do it for the game, sort of like rich kleptomaniacs.
They don't need to steal but enjoy the rush. Some try to believe the "noble ends justifies barbaric means,"
so they are doing sys admins a favor. I tend to lean toward the thrill of the game – can I do it?
What is your definition of a hacker and how do you know when he/she has been reformed?
Jack: Hackers work on the foundational premise of freedom of information. Crackers work on the
foundational premise of infliction of harm. Determining whether or not someone is reformed is very
sulit. Who's to say an alcoholic doesn't sneak a drink now and then?
How can one be reformed? Do you ever get the itch?
Jack: Check out the efforts of the 2600 crew. The itch is always there for curiosity, but I no longer get the
urge to crack systems without proper approval (or funding).
What happened with the Microsoft Premier Support hiccup?.Jack: This is a prime example of what everyone in the security field should know: A computer is
administered by a human and configured by a human - it's bound to go wrong somehow. Proses
were not completely followed and a mis-configuration occurred, opening up a hole. This is the No. 1
problem with all infrastructures – the technology is good, but the implementation may not be right.
Has the perceived economic slowdown affected the security market? Jika ya, bagaimana?
Jack: In some ways, the slowdown has. Most of the high-tech marketplace is feeling the pinch of the
perlambatan. But so-called "old" money firms, such as the oil and gas industry, are booming. Ada
more laid-off employees who may have damaging information, and some know how to get back into their
ex-employers systems. If there is a time for more security, now is that time.
What is the HIPAA initiative looking like?
Jack: With a 2003 deadline, more providers are finding out that this is larger than once thought. Sebagai
evidenced last year when someone accessed a Washington State hospital’s patient information, hacking
the system wasn't too difficult. This is a very large undertaking, and those providers who have not yet
started on the path to compliance are going to have a problem to finish before the deadline. Utama
problem is the ever-changing face of security. Several years ago, it was physical, then it turned to anti-viral,
now it's PKI and intrusion-detection systems. Are those providers ready for it? Mungkin tidak.
Is network security compromised with the use of IM's?
Jack: This has not been widely studied, but initial studies indicate that yes, this is the case.
With all the talk of Chinese hackers these days, how susceptible is our nation’s infrastructure to
cyber-terrorism?
Jack: Various areas and companies are obviously going to be better-protected than others. Yang lebih baik
source of information might be the NSA or other government agencies.
What do you consider the hardest OS to hack into?
Jack: IPSO - the OS that runs on the Nokia Firewall Appliances. OpenBSD is a close second. Akan tetapi,
this doesn't take into consideration poor systems administration. Bad implementation will open big holes
in your network regardless of how strong your NOS is.
How do you recommend that admins react to Web site penetration attempts? Offensively or
defensively? Any specific offensive tools that you recommend?
Jack: I would recommend acting defensively. Reacting with an offensive state of mind is much easier
when your territory is being invaded. Collect all of the data you can from the attack, seal it away and call
your law enforcement officials. Make sure that they are able to do forensic analysis on the data, and have
them prosecute the crew or individual. Taking matters into your own hands could be bad. What happens if
the IP address that you are killing is actually another company that has been hacked? Apakah Anda ingin menambahkan
to that sysadmin’s headache already?
What is your best advice for someone who has been fired from a network admin job for allegedly
"hacking"? Do any good law firms support "the hacker"?
Jack: I can’t answer that question very well because I have not gone to that extent with my activities. Itu
Stanford Law School is attempting to defend the 2600 crew in the DeCSS trial..How do VMS/OpenVMS rate in terms of 'hardness'?
Jack: I haven’t used VMS in a while. But do a search on packetstormsecurity.org for VMS. Melihat bagaimana
many vulnerabilities exist.
How do you convince a company that security needs to be a prime concern and to take action?
Jack: Convincing the company’s upper management that they need security is still difficult because they
see the bottom line and ask why they are spending so much on security when they haven’t had an attack.
My response is, “You haven’t had an attack that you can see because of your current architecture.” I will
then hand them their passwords, selected e-mails that they have sent out among one another, their
current driver’s license information and Social Security Number that was sniffed off a Web site. Itu
usually gets their attention. This is the normal scare tactic that security analysts are left with. This is not
the best way, just the easiest.
As a professional hacker, would you want, or think it beneficial, to be a dedicated security
specialist or be a jack of all trades? (No pun intended)
Jack: To become a dedicated security specialist, you have to be a jack-of-all-trades. Look at the CISSP
persyaratan. Security does not have just one facet. It is quite multi-faceted.
Do you find that firms, in particular industries, are attacked more frequently than others? Jika demikian,
which do you find are mainly targeted? (e.g. real estate, political, etc)
Jack: “Hacktivism” targets mostly government sites to spread literature on human rights that the cracker
feels are being violated. From my experience, just about anyone is a target, not just the high-profile
hacks.
Would you enter your own personal credit card number online with today's current security
practices?
Jack: Yes, but only after I have done some research on them.
What are your thoughts on computer forensics, in terms of the job market?
Jack: I think that the demand is much greater than the supply of qualified forensic analysts. With as many
hacks that occur on a daily basis, an analyst could have four months of data to sift through.
Do you think the whole e-commerce will eventually melt down? Anything can be hacked into
eventually? Will businesses just stop doing business on the open ’Net?
Jack: In my opinion, the e-commerce world will not melt down. It has become too entrenched in today’s
marketplace that consumers and businesses cringe at the thought of no e-tailers and e-business.
How old were you when you started learning to Hack?
Jack: I started around the age of 15.
I understand that ICQ is one of the biggest security risk. Apakah ini benar?
Jack: I don’t think that it is the biggest threat, but it certainly does open up holes that are not necessary.
There are multiple ways to have a person open up a Trojan (horse) received through ICQ, and the overall
security of ICQ is not that great.
What are some of the things that a small company should avoid doing, so they don’t become
"interesting" to the crackers?.Jack: Understand that everyone is a target, but for varying reasons. Hardening your Web servers will
keep your site from being defaced. But make sure that your databases are more secure. Following that
mantra will thwart most of the attacks that your site will come up against. Don’t keep casual contact
information on the Web site. That casual contact information makes figuring out your naming convention
easier for me. As much as you would like your investors to see who is in charge of running the business,
it makes my life easier.
What did you find to be the hardest obstacle to overcome?
Jack: Old school mentality. How can a person of my age be able to do the things that I say I can? Plus,
human nature shows that if you don’t understand something or someone, you tend to disregard them or
try to keep away.
With the Feds starting to come down hard on hackers and crackers, do groups still recruit new
memberships to train and compete against other groups? Or has the entire scene gone
underground?
Jack: There has never been a large movement to go out and recruit people to create a crew to squash
another crew. Crews get together because they want to. There are no fliers out there saying, “Come join
us!” But there are lots of solicitations by people wanting to join a crew.
Is there a common mistake most people tend to make when it comes to securing from an outside
vulnerability?
Jack: Believing that they have secured everything. The worst thing that you can do with security is
become relaxed.
Is it me, or is Microsoft heavily under fire? Or shouldn't I trust Microsoft's platform as a secure
lingkungan?
Jack: The market leader is always going to be under fire because we trust them to produce the best
produk. I think that they have always tried to keep up with security issues, but the consumer wants
everything. That consumer can be the home user or the corporate user - it doesn’t matter. Anda ingin menjadi
able to browse graphic sites and not have a problem with it. Remember when it was a text-only BBS?
That was before we the consumer who wanted his/her e-mail to work directly with their word processor or
program spreadsheet. That was before HTML pages knew what 1.0 looked like. I like Microsoft’s
platforms, but I don’t personally trust any operating system out of the box.
Let's say a company you work for has NO security policy. Should you feel it is your responsibility
to implement security measures of your own? Or should you insist that the directive comes from
higher management?
Jack: I would like to be able to do this myself but the directive must come from upper management.
How do you think crackers today are responding to all the media around their activities?
Jack: Pumping up their already inflated egos
For more information on NetIQ’s Security Management Solution, visit
www.netiq.com/solutions/security/
Labels
- 10 Alasan mengapa PC Crash (1)
- 10 Fast and Free Security (1)
- 36 Grafichs Books (1)
- Buku Online (1)
- cara hack admin password baru (1)
- Cara Mempercepat Firefox (1)
- Cara mendapatkan Password windows (1)
- Dasar UNIX Overview (1)
- Google Screts (1)
- Internet Dasar (1)
- menghilangkan klik kanan di menu explorer (1)
- Serial Number (2)
Link
Wawasan Keamanan
Selasa, 03 November 2009
Langganan:
Posting Komentar (Atom)
0 komentar:
Posting Komentar