home > blog > onderzoek naar standaard operationele procedures voor het uitvoeren van penetratietesten in red teaming.

Onderzoek naar Standaard operationele procedures voor het uitvoeren van penetratietesten in Red Teaming.


Glenn Wever is sinds eind augustus onze nieuwe stagair. Hij is 22 jaar en derdejaarsstudent Information Security Management op de Haagse Hogeschool in Zoetermeer.

Techniek

Zijn interesse in techniek begon al op de basisschool in groep 7 toen hij mee mocht doen aan de First Lego League. De First Lego League is een wedstrijd waar je zelf een lego mindstorms robot in elkaar zet en programmeert zodat hij allemaal verschillende taken kan uitvoeren. In een groepje van vier personen begon Glenn aan deze leuke opdracht en vooral het programmeren van de robot was al snel zijn hoofdtaak. “Uiteindelijk lukte het ons om de tweede plaats te behalen in de regio Delft (na de TU Delft) en hebben we zelfs in de Benelux finale gestaan.”

Information Security Management

Op zijn zoektocht naar een interessante opleiding ontdekte hij op de Haagse Hogeschool een HBO-ICT opleiding waar je het eerste halfjaar vijf verschillende ICT opleidingen krijgt, en daarna een keuze maakt. Glenn koos voor Information Security management, een opleiding waarin onder andere de onderwerpen social engineering, risk management, fraud investigation, crisismanagement, auditing en cyber research aan bod komen. “In deze onderwerpen is een paar keer Red Teaming besproken en ik werd al snel enthousiast over vooral, maar niet uitsluitend, de technische aspecten van Red Teaming.” Naast de opleiding heeft Glenn een part-time baan gehad als Communicatie assistent waar hij zich bezig hield met het maken van video’s en het interviewen van mensen die nieuwe technische ideeën of producten hadden.

Stageopdracht bij SoSecure

Deze interesses en zijn werkervaring in de communicatie zijn de redenen dat wij Glenn wilden ontmoeten. In zijn stageperiode bij SoSecure gaat hij onderzoek doen naar penetratietesten, het technische onderdeel van Red Teaming. Het onderzoek richt zich op het ontwerpen van standaard operationele procedures voor het uitvoeren van dit soort penetratietesten.

Glenn legt uit wat de begrippen penetratietest en Red Teaming voor hem betekenen:

Penetratietesters testen de beveiligingsmaatregelen van een of meedere systemen door zwakheden te vinden in de systemen. Professionele pentesters verdelen deze aanvallen meestal onder in meerdere fases. Eerst verzamelen ze informatie over de systemen en kiezen ze op basis van de verzamelde informatie welke aanvallen ze gaan uitvoeren. Vervolgens voeren ze heel zorgvuldig de pentest uit zodat de kans dat ze betrapt worden zo klein mogelijk blijft. Als laatste schrijven ze een rapport over de uitkomst van de testen met een advies om de beveiligingsproblemen op te lossen. Bedrijven huren vaak gespecialiseerde partijen van buitenaf in om deze testen uit te voeren als ze zelf de expertise niet bezitten.

Penetratietesten zijn tegenwoordig een belangrijk onderdeel van Red Teaming omdat, uit onderzoek van CBS, blijkt dat steeds meer werkzaamheden bij bedrijven via de computer worden uitgevoerd. Professionals in een operationeel Red Team testen meestal zowel fysiek als virtueel de beveiliging van een bedrijf, organisatie of evenement door vanuit het perspectief van de tegenstander een organisatie aan te vallen. Dit doen zij door zo breed mogelijk naar het target te kijken en bij elke kwetsbaarheid die ze vinden te testen of daar misbruik van gemaakt kan worden. Dit betekent dat het Red Team niet alleen penetratietesten uitvoert maar bijvoorbeeld ook de medewerkers van een bedrijf via de telefoon manipuleert om wachtwoorden te verkrijgen. Het is dus belangrijk dat een Red Team uit meerdere professionals bestaat vanuit verschillende vakgebieden. Als je bijvoorbeeld geen professional hebt die goed kan manipuleren is de kans groot dat een social engineering aanval via de telefoon niet succesvol verloopt.

Kennisuitbreiding

SoSecure heeft Glenn aangeboden om tijdens zijn stageperiode mee te doen aan ‘Security Intelligence’, een van de opleidingen die wij geven. “Deze opleiding is een mooie aanvulling voor mijn studie omdat in mijn opleiding minder aandacht wordt gegeven aan het voorkomen van beveiligingsinbreuken.” In acht dagen tijd gaat hij leren om vanuit het organisatie- en het dadersperspectief effectief gebruik te maken van informatie die hij voorhanden heeft en gericht te zoeken naar aanvullende informatie die hij nodig heeft om de veiligheid te waarborgen. Na de opleiding kan hij dreigingsassessments maken van de relevante bedreigingen voor een organisatie waar hij later ga werken, en met deze kennis kan de organisatie de beveiligingsprocessen effectiever inrichten.

“Ik kijk uit naar de komende twintig weken waarin ik bij SoSecure mag meelopen en betrokken ben in dit bijzondere en innoverende bedrijf!”

Reacties


Reageer

Uw naam
Uw emailadres
Nieuwsbrief?
Bericht