Black Box - Het onderzoek dat inzicht geeft
Bij het Black box onderzoek wordt vooraf geen informatie verstrekt, behalve welk systeem (applicatie en/of infrastructuur) onderzocht dient te worden. VASC krijgt hierbij geen enkele
hulp en zal het zelf moeten uitvinden. Hierdoor maken we goed inzichtelijk in wat een aanvaller vanaf het internet kan bereiken zonder verdere voorkennis en zonder legitieme
toegang. Black box onderzoek wordt vaak in een beperkte tijd uitgevoerd, een tijd die veelal korter is dan de tijd die aanvallers bereid zijn in een aanval te steken.
Grey Box - Legt kwetsbaarheden bloot
Bij een Grey box onderzoek worden de login-gegevens verstrekt aan onze consultants. Zo krijgen zij inzicht in de mogelijke kwetsbaarheden die uitgebuit kunnen worden door
gebruikers die legitiem toegang tot een systeem, netwerk of applicatie hebben. Alle onderzoeken die in een Black box aanpak worden uitgevoerd, worden ook in de Grey box
aanpak uitgevoerd. Hieronder valt bijvoorbeeld het onderzoek of in hoeverre het inloggen voor niet-geautoriseerde gebruikers te omzeilen is.
Crystal Box - Maakt systemen inzichtelijk
Met Crystal box wordt volledig inzicht gegeven in de werking van het te onderzoeken systeem. Er wordt bijvoorbeeld beheertoegang tot de servers verstrekt en de broncode van een applicatie ter beschikking gesteld. Ook vragen over de inrichting worden door architecten, ontwikkelaars of beheerders beantwoord. Hierdoor kunnen die onderdelen van
de omgeving beoordeeld worden, waar anders geen toegang tot zou zijn.
Social Engineering - Op de mens gericht
Het social engineering beveiligingsonderzoek richt zich niet direct op de techniek, maar op wat vaak de zwakke schakel in de keten is, namelijk de mens. Tijdens een aanval zal een hacker proberen toegang te krijgen tot vertrouwelijke informatie.
We onderscheiden 4 verschillende soorten social engineering aanvallen/onderzoeken:
Phishing kan worden ingezet om grote groepen mensen in aanraking te laten komen met de test (die daarna in de bewustwordingscampagne gebruikt kan worden). In samenspraak met de organisatie of instelling wordt een scenario bedacht waarbij gebruikers een e-mail krijgen met daarin een link en/of een attachment. Er kan apart gerapporteerd worden over hoeveel mensen op de link hebben geklikt en hoeveel mensen op de bijbehorende website ook hun credentials hebben ingegeven.
Bij deze vorm van social engineering wordt telefonisch contact opgenomen met een afdeling of specifieke personen. Het doel hierbij is om deze mensen over te halen om telefonisch gevoelige informatie te delen zoals gebruikersnaam en wachtwoord, maar we zullen ook proberen om bepaalde 'kroonjuwelen' te bemachtigen
Hoe makkelijk is het om een interne PC te infecteren? Hiertoe worden USB-gadgets verspreid die een stuk elektronica bevatten die de PC proberen te infecteren. Hierbij worden USB-sticks op locatie achtergelaten of als gadget naar personen verstuurd. Zowel de USB-stick als het gadget zijn dusdanig geprepareerd dat als deze gebruikt worden in een PC of laptop dat er code execution plaats vindt. In de regel zal er slechts een verbinding worden opgezet in plaats van dat de PC geïnfecteerd wordt, dit in verband met het extra werk en risico dat daaraan is gekoppeld. In beide gevallen wordt de kwetsbaarheid aangetoond.
Hoe makkelijk is het om ergens binnen te komen? Door middel van social engineering onderzoeken we of het lukt een organisatie binnen te komen of om op plaatsen te komen die niet openbaar zijn, zoals bijvoorbeeld rekencentra, operatiekamers of onderzoekslaboratoria.
Onder fysieke social engineering worden alle acties verstaan die nodig zijn om lijfelijk toegang te verkrijgen tot ruimtes met vertrouwelijke informatie. Dit gebeurt onder meer door tailgating (met iemand door de beveiliging heen lopen) en het tijdelijk aannemen van een andere identiteit. VASC is hierin uniek en faciliteert zowel technische als fysieke ITbeveiliging waarmee een breed spectrum van IT-security kan worden voorzien.
Code review/inspectie - De code gecontroleerd
Tijdens een code review/inspectie wordt op basis van een controle van de beschikbaar gestelde broncode van een werkende applicatie een oordeel geveld over de applicatie/code. Het betreft hier geen volledige code review, maar controle van (belangrijke) delen van de code.
Bij een volledige review van de code wordt (zeer) veel code handmatig onderzocht en bepaalde delen met behulp van automatische tooling.
Penetratietesten - Hoe ver kunnen we komen?
Bij een Black/Grey/Crystal box onderzoek gaat het vooral om het vinden van zoveel mogelijk kwetsbaarheden en de rapprtage hierover. Tijdens een penetratietest is de opzet om in een beperkte tijd een of meer kwetsbaarheden te vinden en die ook daadwerkelijk uit te buiten door zo diep mogelijk door te dringen in een netwerk/applicatie.
Red Teaming - Richt zich op de kroonjuwelen
Een Red teaming onderzoek richt zich niet op een bepaalde applicatie of (deel van) een infrastructuur. Dit onderzoek richt zich op de kroonjuwelen van een organisatie. Hierbij wordt gericht geprobeerd toegang te krijgen tot de belangrijkste bedrijfsgegevens door gebruik te maken van de weg van de minste weerstand, uitgaande van de denk en werkwijze van actoren die uit zijn op bepaalde kroonjuwelen van een organisatie.
Een Red teaming onderzoek bestaat uit een combinatie van zowel technische (voornamelijk Black box) als social engineering onderzoeken.
De te volgen scenario’s worden vooraf overlegd met de opdrachtgever. De opdrachtgever bepaalt uiteindelijk hoe ver hij of zij wil gaan met het onderzoek. Een dergelijk onderzoek geeft een realistisch beeld van de kwetsbaarheid van een organisatie, waarbij ook incident response en forensische paraatheid kan worden getest.
