secure your umbraco - perplex · 2016-12-20 · security | het landschap ids, ddos protection,...
Post on 12-Aug-2020
2 Views
Preview:
TRANSCRIPT
Secure your UmbracoJeffrey Schoemaker | Perplex Internetmarketing
Introductie | Wie ben ik?Programmeur & CISSP
UmbracoEditor experienceAccessibilityPerformanceSecurity
Introductie | Wie zijn wij?
Perplex Internetmarketing30 marketeers, designers & programmeurs
Mercedes-Benz | AZL | ING
Focus Filmtheater | Het Gelders Orkest
VieCuri Medisch Centrum | Rijnstate | ZiekenhuisGroep TwenteSchipholTickets | SchipholTravel
FNV | Aevitae
Maker van 3 packages
Security | Het landschap
IDS, DDOS Protection, AntiVirus, Wifi, File Integrity Checking, IPS, SAML, CSRF, Firewalls, SocialEngineering, RAID, OSI-model, Failsafe vs Failsecure, BlowFish, BRP, HIPAA, Worm, Smurf-attack,
X-Frame, Poodle-vulnerable, Hearsay evidence, Atlassian, Kerberos, Penetration Testing, Encryption, Patching, NIDS vs HIDS, UPS, PCI-DSS Compliance, ISO, Common Criteria, Password,
TEMPEST attack, Single-Point-of-Failure, Biometrics, SSL, HVAC, Bell-LaPadula, CSP, Lattice BasedAccess Model, AES, Delphi Technique, Tripwire, DAC, Lucifer, ECB, MAC, El-Gamal, WEP, RBAC, Privilege Creep, ALE, SLE, ARO, SOC, SAS70, FISMA, Gramm-Leach-Bliley-Act, Bluesnarfing,
NetBIOS, SOX, NIST, Open relay, Due Care, Threat, PBKDF2, War Chalking, SSID, Cookies, Ping-of-Death, ITIL, L2TP, Six Sigma, DMZ, no-sniff, Brouter, RADIUS, Ticket-Granting Service, Buffer
Overflows, 3-DES, Honeypot, Virtualization, PGP, PEM, TCB, Security Perimeter, HSTS, PIDAS, AES, State Machines, Zero day, Public-Key Pinning, Kernel Proxy Firewall, Chinese Wall model, NDA, CMMI, Salami attack, SIEM, Chain of Custody, QoS, OWASP, Covert Channel, SESAME, CCTV, PTZ,
IPS, Daisy Chaining, Avalanche effect, Brownout, Deluge, Montreal Conference, S/MIME, X-Content-Type-Options Kerckhoff’s Principle, RTO, MTBF, 10Base5, Warm Site, XSS, SLA, Locard’sPrincipal of Exchange, Dumpster Diving, Cybersquatting, DHCP Snooping, BIA, Time-of-check /
Time-of-use, BYOD, X.509, IPv6, IPSec…
Agenda
Security focus 11 tips Security & Umbraco
Security
Don’t outrun the bear, outrun your friends!
Layered Defense
Een ketting is zo sterk als…
“Zorg dat het bij de buurman aantrekkelijker is” of…
Een gemiddelde hack duurt 372 dagen
Aantrekkelijkheid|
Gevoeligheid van data datingsites Inhoud van de data creditcardnummers Hoeveelheid van de data Eenvoud om de data te verkrijgen Bekendheid van de site
Data |
PII (Personally Identifiable Information)
Creditcard-gegevens
Data in motion vs. data in rest
{ Naam | Adres | E-mailadres | Paspoortnummer | Kenteken | Geboortedatum | Loginnaam }
Security reviews |
Te weinig tijd om heel diep te graven Blackbox vs. whitebox Automatische tests en tools: “Pas toe óf leg uit” Standaard aandachtspunten
{ Querystrings | Technisch }{ Login-proces | Proces }{ HTTPS | Technisch }{ Cookies & headers | Technisch }{ Deploy & configuratieproces | Proces }{ Wijze van bouwen | Proces }{ Forms posts | Technisch }
11 tips|
Basistips, om je goed op weg te helpen!
Tip 1| Gebruik HTTPS
Geen enkele (goede) reden om dit niet te doen
Firefox & Chrome gaan je site blokkeren als er een password-pagina is zonder HTTPS
Patch je server en/of loadbalancer!
Snelheidsvoordeel http 2.0
Moeilijkheid Impact Kans dat je iets kapot maakt
Tip 2| IP-lock Umbraco
Umbraco locken op IP(-range)
Vergeet niet je /umbraco/api/ weer open te zetten in het geval van UmbracoApi-controllers
Moeilijkheid Impact Kans dat je iets kapot maakt
Tip 3| Weet hoe je security in elkaar zit
Zorg voor een sterk hashing-algoritme Geen MD5, SHA-1, SHA-256, SHA-512 Use bcrypt of pbkdf2
Weet of je je data encrypt opslaat en zo ja hoe AES
Moeilijkheid Impact Kans dat je iets kapot maakt
Tip 4| Gebruik de juiste headers
X-Content-Type-Options
Moeilijkheid Impact Kans dat je iets kapot maakt
no-sniff
Tip 4| Gebruik de juiste headers
X-Frame-Options
Moeilijkheid Impact Kans dat je iets kapot maakt
Deny / SameOrigin
Tip 4| Gebruik de juiste headers
X-XSS-Protection
Moeilijkheid Impact Kans dat je iets kapot maakt
1; mode=block
Tip 4| Gebruik de juiste headers
Strict-Transport-Security
Moeilijkheid Impact Kans dat je iets kapot maakt
max-age=31536000; preload;include subdomains
Tip 4| Gebruik de juiste headers
Content-Security-Policy
Moeilijkheid Impact Kans dat je iets kapot maakt
default-src 'self' *.youtube.com *.google.com; child-src 'self' *.google.com *.vimeo.com *.youtube.com; script-src 'self' 'unsafe-inline' 'unsafe-eval' *.google.nl *.googleapis.com *.google.com *.youtube.com s.ytimg.com *.google-analytics.com; style-src 'self' 'unsafe-inline' *.google.nl *.google.com; img-src 'self' data: *.google.nl *.google.com *.googleapis.com *.gstatic.com *.google-analytics.com *.doubleclick.net; font-src 'self' data:; form-action 'self'; reflected-xss block; report-uri https://perplex.report-uri.io/r/default/csp/reportOnly;
Tip 4| Gebruik de juiste headers
Content-Security-Policy
Moeilijkheid Impact Kans dat je iets kapot maakt
default-src 'self' *.youtube.com *.google.com; child-src 'self' *.google.com *.vimeo.com *.youtube.com; script-src 'self' 'unsafe-inline' 'unsafe-eval' *.google.nl *.googleapis.com *.google.com *.youtube.com s.ytimg.com *.google-analytics.com; style-src 'self' 'unsafe-inline' *.google.nl *.google.com; img-src 'self' data: *.google.nl *.google.com *.googleapis.com *.gstatic.com *.google-analytics.com *.doubleclick.net; font-src 'self' data:; form-action 'self'; reflected-xss block; report-uri https://perplex.report-uri.io/r/default/csp/reportOnly;
Tip 4| Gebruik de juiste headers
Public-Key-Pins
Moeilijkheid Impact Kans dat je iets kapot maakt
??
Tip 5| Heb een patch proces in place
Moeilijkheid Impact Kans dat je iets kapot maakt
Wat patch je allemaal Hardware Servers Loadbalancers Routers Firewalls
Software Wij patchen alleen high risk security issues in Umbraco
Tip 6| Check je cookies
Moeilijkheid Impact Kans dat je iets kapot maakt
Secure & HttpOnly
Tip 7| Hoe lang bewaar je data?
Moeilijkheid Impact Kans dat je iets kapot maakt
Hoe lang sla je iets op? En waarom? Logs E-mails Overige data Hoe minder data, hoe minder aantrekkelijk
Tip 8| Check je leveranciers
Moeilijkheid Impact Kans dat je iets kapot maakt
Waar host je de website? Azure?
Sla je data ook nog in andere systemen op? Hoe gaan die om met de data? Waar hosten die? Hoe zijn die beveiligd?
n.v.t.
Tip 9| Testing & Tooling
Moeilijkheid Impact Kans dat je iets kapot maakt
Qualys Wordt ook gebruikt voor Thuiswinkel Waarborg Betaalde tool
n.v.t.
Tip 9| Testing & Tooling
Moeilijkheid Impact Kans dat je iets kapot maakt
https://asafaweb.com https://securityheaders.io/https://www.ssllabs.com/ssltest/https://www.htbridge.com/sslhttps://www.htbridge.com/websec
n.v.t.
https://asafaweb.com
https://securityheaders.io
https://www.ssllabs.com/ssltest
https://www.htbridge.com/ssl
https://www.htbridge.com/websec
Tip 10| Beveilig je test & acceptatie-omgeving
Moeilijkheid Impact Kans dat je iets kapot maakt
Alsof het productie is
Tip 11| OWASP
Moeilijkheid Impact Kans dat je iets kapot maakt
SQL Injection
Reguliere audits
Built on ASP.NET Identity
Locking van users
Password rules
Automated logout
Wachtwoord vergeten-functionaliteit
Zie: https://umbraco.com/securityUmbraco & Security |
Not secure by default Legacy encoding op false (tot in 7.6)
Usergroups and userroles Uitgesteld van 7.6 naar 7.7
Maar dat is het voorlopig wel…
Umbraco & Security | De toekomst
Wachtwoordmanagement Enforce password complexity Enforce password history Enforce password aging No default passwords Limit number of login failed attempts (within a timeframe) Log invalid attempts Inform administrator by suspicious activity
Umbraco & Security |
http://umbraco.usermanagement.perplex.eu/
Multiple startnodes: http://issues.umbraco.org/issue/U4-8638 Reset lockout after x minutes: http://issues.umbraco.org/issue/U4-8645 Default hashing algorithm: http://issues.umbraco.org/issue/U4-8644 Store algorithm in usertable: http://issues.umbraco.org/issue/U4-8643 Expiration date account: http://issues.umbraco.org/issue/U4-8641 Change pwd on next logon: http://issues.umbraco.org/issue/U4-8639 Log interactions in table: http://issues.umbraco.org/issue/U4-8634 Password aging: http://issues.umbraco.org/issue/U4-8633
Wil je ons helpen?|
Laten we zorgen dat Umbraco niet negatief in het nieuws komt
Zorg dat je door die security reviews heen komt
Heb je een probleem? Laat het weten!
Kunnen wij jou helpen?|
Security | Het landschap
IDS, DDOS Protection, AntiVirus, Wifi, File Integrity Checking, IPS, SAML, CSRF, Firewalls, SocialEngineering, RAID, OSI-model, Failsafe vs Failsecure, BlowFish, BRP, HIPAA, Worm, Smurf-attack,
X-Frame, Poodle-vulnerable, Hearsay evidence, Atlassian, Kerberos, Penetration Testing, Encryption, Patching, NIDS vs HIDS, UPS, PCI-DSS Compliance, ISO, Common Criteria, Password,
TEMPEST attack, Single-Point-of-Failure, Biometrics, SSL, HVAC, Bell-LaPadula, CSP, Lattice BasedAccess Model, AES, Delphi Technique, Tripwire, DAC, Lucifer, ECB, MAC, El-Gamal, WEP, RBAC, Privilege Creep, ALE, SLE, ARO, SOC, SAS70, FISMA, Gramm-Leach-Bliley-Act, Bluesnarfing,
NetBIOS, SOX, NIST, Open relay, Due Care, Threat, PBKDF2, War Chalking, SSID, Cookies, Ping-of-Death, ITIL, L2TP, Six Sigma, DMZ, no-sniff, Brouter, RADIUS, Ticket-Granting Service, Buffer
Overflows, 3-DES, Honeypot, Virtualization, PGP, PEM, TCB, Security Perimeter, HSTS, PIDAS, AES, State Machines, Zero day, Public-Key Pinning, Kernel Proxy Firewall, Chinese Wall model, NDA, CMMI, Salami attack, SIEM, Chain of Custody, QoS, OWASP, Covert Channel, SESAME, CCTV, PTZ,
IPS, Daisy Chaining, Avalanche effect, Brownout, Deluge, Montreal Conference, S/MIME, X-Content-Type-Options Kerckhoff’s Principle, RTO, MTBF, 10Base5, Warm Site, XSS, SLA, Locard’sPrincipal of Exchange, Dumpster Diving, Cybersquatting, DHCP Snooping, BIA, Time-of-check /
Time-of-use, BYOD, X.509, IPv6, IPSec…
Vragen?Jeffrey Schoemaker | Perplex Internetmarketing
Links
Nosniff-header: https://blog.fox-it.com/2012/05/08/mime-sniffing-feature-or-vulnerability
CSP-header: https://report-uri.io
Https in Chrome: https://threatpost.com/chrome-to-label-some-http-sites-not-secure-in-2017/120452
Https in Firefox: https://tweakers.net/nieuws/118279/firefox-gaat-waarschuwingen-tonen-bij-inloggen-non-https-sites.html
top related