Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
Logging BIR gebeurtenissen registeren in logs
15-08-2019, 09:24 door Anoniem, 7 reacties
Beste,
Document (logging beleid) biedt een handreiking voor het gebruik van logging door organsisaties.
Ik heb een vraag over controle van het beleid op systeemgebruik, hier wordt aangegeven welke gebeurtenissen opgenomen moeten worden.
Beveiligingsincidenten (zoals de aanwezigheid van malware, testen op vulnerabilities, foutieve inlogpogingen, overschrijding van autorisatiebevoegdheden, geweigerde pogingen om toegang te krijgen, het gebruik van niet operationele systeemservices, het starten en stoppen van Security Services).
Vraag: wat wordt er bedoeld met 'het gebruik van niet operationele systeemservices'.
Document (logging beleid) biedt een handreiking voor het gebruik van logging door organsisaties.
Ik heb een vraag over controle van het beleid op systeemgebruik, hier wordt aangegeven welke gebeurtenissen opgenomen moeten worden.
Beveiligingsincidenten (zoals de aanwezigheid van malware, testen op vulnerabilities, foutieve inlogpogingen, overschrijding van autorisatiebevoegdheden, geweigerde pogingen om toegang te krijgen, het gebruik van niet operationele systeemservices, het starten en stoppen van Security Services).
Vraag: wat wordt er bedoeld met 'het gebruik van niet operationele systeemservices'.
Reacties (7)
Ik neem aan dat het gaat om manual of disabled services die toch gestart worden (De disabled services na omzetten naar manual/auto natuurlijk).
Ik zie veel documenten die deze manier van logging (inclusief ISO documenten) maar er wordt verder niet ingegaan op details.
Als voorbeeld zou een hacker bijvoorbeeld SNMP kunnen activeren waarna een host uitvraagbaar is, of zelfs met de private code wijzigingen kan doen.
Ik zie veel documenten die deze manier van logging (inclusief ISO documenten) maar er wordt verder niet ingegaan op details.
Als voorbeeld zou een hacker bijvoorbeeld SNMP kunnen activeren waarna een host uitvraagbaar is, of zelfs met de private code wijzigingen kan doen.
als je die alinea google'd, dan zie je dat allerlei bedrijven die opgenomen hebben in hun beveiligingsbeleid.
http://decentrale.regelgeving.overheid.nl/cvdr/xhtmloutput/Historie/Tholen/CVDR609572/CVDR609572_1.html die bijvoorbeeld.
een niet operationeel ding is bijvoorbeeld een backup-systeem dat niet in productie gebruikt wordt, maar wel zachtjes aanstaat, en af en toe ingezet wordt, terwijl de security ervan niet op orde is. Of dat raadpleeg Windows XP machientje in je netwerk dat maar heeeeel af en toe aanstaat.
http://decentrale.regelgeving.overheid.nl/cvdr/xhtmloutput/Historie/Tholen/CVDR609572/CVDR609572_1.html die bijvoorbeeld.
een niet operationeel ding is bijvoorbeeld een backup-systeem dat niet in productie gebruikt wordt, maar wel zachtjes aanstaat, en af en toe ingezet wordt, terwijl de security ervan niet op orde is. Of dat raadpleeg Windows XP machientje in je netwerk dat maar heeeeel af en toe aanstaat.
15-08-2019, 16:30 door
Erik van Straten
In aanvulling op wat Anonieme bijdragers vandaag om 13:10 en 14:02 hierboven schreven (meer bijdragen zie ik nog niet):
1) "niet operationeel" leg ik uit als "normaal gesproken niet in gebruik";
2) met "systeemservice" wordt meestal een dienst bedoeld die ook start en draait (of kan starten/draaien) als niemand op het systeem is ingelogd.
Vanuit risico-overwegingen vind ik het woord "systeemservice" onhandig gekozen. Je wilt het immers ook detecteren als iemand (of malware onbedoeld uitgevoerd door iemand) "in user mode" een remote shell, TeamViewer, Responder of een FTP server start (ook als dat niet persistent is, d.w.z. niet automatisch weer start zodra de gebruiker opnieuw inlogt). Overigens is het loggen hiervan niet altijd even eenvoudig.
Maar als in jouw organisatie diensten zoals Remote Registry, TPFP service en client-ondersteuning voor SMBv1 uit horen te staan maar toch worden gestart/aangezet, dan wil je dat zeker ook terug zien in je logs.
Als voorbeelden heb ik Windows software genoemd, maar e.e.a. geldt natuurlijk voor alle besturingssystemen.
1) "niet operationeel" leg ik uit als "normaal gesproken niet in gebruik";
2) met "systeemservice" wordt meestal een dienst bedoeld die ook start en draait (of kan starten/draaien) als niemand op het systeem is ingelogd.
Vanuit risico-overwegingen vind ik het woord "systeemservice" onhandig gekozen. Je wilt het immers ook detecteren als iemand (of malware onbedoeld uitgevoerd door iemand) "in user mode" een remote shell, TeamViewer, Responder of een FTP server start (ook als dat niet persistent is, d.w.z. niet automatisch weer start zodra de gebruiker opnieuw inlogt). Overigens is het loggen hiervan niet altijd even eenvoudig.
Maar als in jouw organisatie diensten zoals Remote Registry, TPFP service en client-ondersteuning voor SMBv1 uit horen te staan maar toch worden gestart/aangezet, dan wil je dat zeker ook terug zien in je logs.
Als voorbeelden heb ik Windows software genoemd, maar e.e.a. geldt natuurlijk voor alle besturingssystemen.
Vraag: wat wordt er bedoeld met 'het gebruik van niet operationele systeemservices'.
Met de rest van je verhaal neem ik aan dat je deze referentie bedoeld: https://www.noraonline.nl/wiki/BIR_(Baseline_Informatiebeveiliging_Rijksdienst)
Gezien de vele benamingen en invullingen wordt de "BIR" gebundeld en krijgt als naam "BIO"
Let even op de afwijkende betekenissen van woorden in dit soort richtlijnen., Een hele uitwerking krijg je in:
https://zoek.officielebekendmakingen.nl/stcrt-2019-26526.html Onder 12.4 staat een hele toelichting.
De technische invulling moet zo goed mogelijk daarmee in overeenstemming komen en gedocumenteerd worden
Je hebt een uitwerking te pakken die "niet operationele systeemservice" noemt.
De bron is waarschijnlijk https://www.noraonline.nl/wiki/Registratie_(logging) Daar staat je tekst.
" beveiligingsovertredingen (zoals de constatering van een virus; worm; Trojaans paard of andere malware; een poortscan of testen op zwakheden; foutieve inlogpogingen; overschrijding van autorisatiebevoegdheden; geweigerde pogingen om toegang te krijgen; het gebruik van niet operationele systeemservices; het starten en stoppen van security services); "
In die context is het herstarten van een proces/taak die de autenticatie voor een "applicatie" doet zeker iets voor logging. Het bekijken van loggings is ook een event. eventviewer is een niet operationeel proces.
Het woord "Operationeel" kun je op meer manieren uitleggen.
16-08-2019, 11:23 door
beatnix
noot: services draaien ook wanneer evt. gebruikers aangelogd krijgen te zijn.
met 'niet operationele systeem services' wordt meestal een niet draaiend serviceprogramma bedoeld wat WEL geinstalleerd is/opgestart mogelijkheden krijgt OF soms krijgt men er ook mee te bedoelen:
een service die wel draait alleen NIET HOEFT te draaien, zoals een printerservice zonder printer. in dat geval wordt het wel verkeerd benoemd, want ongeacht of een service afgenomen wordt, een draaiende service is in principe een 'operationele' service, men beoogt dan meestal met 'operationeel' de 'bedrijfs- of technische doelstelling' te benoemen.
met 'niet operationele systeem services' wordt meestal een niet draaiend serviceprogramma bedoeld wat WEL geinstalleerd is/opgestart mogelijkheden krijgt OF soms krijgt men er ook mee te bedoelen:
een service die wel draait alleen NIET HOEFT te draaien, zoals een printerservice zonder printer. in dat geval wordt het wel verkeerd benoemd, want ongeacht of een service afgenomen wordt, een draaiende service is in principe een 'operationele' service, men beoogt dan meestal met 'operationeel' de 'bedrijfs- of technische doelstelling' te benoemen.
24-08-2019, 13:55 door
karma4
Vraag voldoende uitgewerkt?
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
