Penetratietesters tijdens fysieke beveiligingstest gearresteerd
In de Verenigde Staten zijn vorige week twee penetratietesters gearresteerd tijdens het uitvoeren van een fysieke beveiligingstest bij een rechtbank in de Amerikaanse staat Iowa. Het securitybedrijf dat de test uitvoerde was door de State Court Administration ingeschakeld om de beveiliging te testen.
De penetratietesters hadden de opdracht gekregen om op verschillende manieren ongeautoriseerde toegang tot digitale gerechtelijke dossiers te verkrijgen. Ze werden aangehouden nadat er een alarm in de rechtbank was afgegaan, zo meldt de Des Moines Register. Volgens de autoriteiten was er een misverstand ontstaan over de locaties die onderdeel van de test zouden uitmaken.
"Beide partijen dachten dat ze een overeenstemming hadden over de locaties voor de fysieke beveiligingstest. Recente gebeurtenissen hebben echter aangetoond dat beide partijen verschillende interpretaties van de reikwijdte van de overeenkomst hadden", aldus een verklaring van de State Court Administration die gisterenavond verscheen.
De autoriteiten hebben excuses aan de sheriffs en raad van toezichthouders aangeboden voor de ontstane verwarring en de impact die het incident had. Daarnaast hebben het securitybedrijf en de autoriteiten de documenten met betrekking tot de beveiligingstest openbaar gemaakt en een onderzoek aangekondigd.
probeerde werd opgepakt. Kan niet beter zou ik zeggen.
Dit is een Europese manier van kijken naar het gebeurde.
Laten we eerlijk zijn. Dit is niet volgens de afspraak. Deze zijn dus niet nagekomen en reden voor...
Noem maar op. Dat is de Amerikaanse manier van kijken naar dit gebeurde.
Dit is een Europese manier van kijken naar het gebeurde.
Laten we eerlijk zijn. Dit is niet volgens de afspraak. Deze zijn dus niet nagekomen en reden voor...
Noem maar op. Dat is de Amerikaanse manier van kijken naar dit gebeurde.
Hoezo Amerikaanse manier van kijken? Als ik een pentest op een (andere) partij laat uitvoeren dan dek ik ook de scope goed af. Sowieso laat je de leverancier en pentester overenkomen dat de pentester computervredebreuk mag plegen. Bij een broncode review laat je een non-disclosure agreement tekenen en bij fysieke toegang tot andermans gebouw regel je ook gewoon expliciete toestemming.
probeerde werd opgepakt. Kan niet beter zou ik zeggen.
Het ligt eigenlijk nog wat ingewikkelder. In dat gebouw staan wel computers die bij het geteste systeem horen die, ook fysiek, mochten worden aangepakt, maar dat mochten de pentesters alleen tijdens kantooruren proberen. Voor acties buiten kantooruren (en dit was rond middernacht) waren aanvullende afspraken nodig, en er is tot nu toe niet gebleken dat die er waren.
Je kan zeggen dat het afgaan van een inbraakalarm en het optreden van de politie een geslaagde test vormen, het is alleen geen onderdeel van wat de staat mocht laten testen en zonder toestemming van de instantie die toestemming kan geven is een inbraak strafbaar.
Dit is een Europese manier van kijken naar het gebeurde.
Laten we eerlijk zijn. Dit is niet volgens de afspraak. Deze zijn dus niet nagekomen en reden voor...
Noem maar op. Dat is de Amerikaanse manier van kijken naar dit gebeurde.
Naja "niet volgende de afsrpaak". Dat is dus niet duidelijk. De staat dacht dat het alleen ging om acties tijdens kantooruren. En de onderzoekers dachten 24/7. En dat was nergens in een afspraak gedefinieerd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
