Author: Peter Geelen

Check https://be.linkedin.com/in/pgeelen. Managing Partner at CyberMinute, also owner & managing consultant at Quest For Security, based in Leuven, Belgium. With +20y experience, I built strong experience in enterprise security & architecture, identity & access management, incl. privacy, information & data protection, cybersecurity, corporate security policies, security hardening & cloud security. Committed to continuous learning, I hold renowned security certificates in Privacy Data Protection, Information Security Cybersecurity, Incident Mgmt, Disaster Recovery, Cloud Security, Architecture, Software Security, Ethical Hacking, HR security... and growing. ISO27001/ISO9001/ISO17021 accredited lead auditor. Accredited and authorized trainer for IAPP, (ISC)², PECB, ISACA and Microsoft Alumni MCT. Since 2005, technical focus is Microsoft identity and access solutions: MS Identity Manager and related platforms like AD, Azure AD, PKI, ADFS, single sign-on & security solutions,… Plus hands-on experience in scripting (Powershell), development basics (VB/C#), SQL and Exchange... and a small bit of SharePoint.. to survive. I strive to spend time on the Microsoft community both online as offline: - Governance and Admin of TechNet Wiki: http://aka.ms/wiki - TechNet Wiki Blog: http://aka.ms/wikiblog - Publishing articles & white papers at TN Wiki and Gallery: http://aka.ms/pgpage You can find his personal blog at http://blog.identityunderground.be. 8x Microsoft MVP Enterprise Mobility (Identity and Access), 2008 - 2021 Strong believer and active supporter of knowledge sharing to build and grow the security & privacy communities.

Note-to-self: redirect DNS bypass over your DNS blackhole server

When you have smart devices at home, like smart TVs, you might notice that they are bypassing your internal DNS server, by using public internet DNS (like Google DNS).

And if you use a DNS black hole server like PI-Hole, to protect your network against adware, malware, phishing this is not a healthy situation, as these smart devices bypass your security.

Resources:


Originally, I tried to implement the solution proposed and documented by Scott Helme.

But I ended up with DNS lockdown (and killing my entire internet connection, due to blockage of DNS.)

The solution documented by “Fiction becomes Fact” on this page, did the trick.

Apparently, since the 2018 version, some configuration items like the folder locations have changed…

Important: carefully verify the site folder location mentioned in the posts, to upload the config file. It has changed in newer Ubiquity versions. (Currently : unifi/unifi/data/sites/default/)

Older articles might point to wrong folders (I suppose it has recently changed with new versions of Ubiquiti…)

Just a few more important attention points:

  • in the newer version (dd oct 2022) of the Ubiquity interface, it looks like the topology does not support upload of maps anymore… so you can’t auto-create the site folder… (to be confirmed). You need to create the folders manually. And set the owner/group permission of the folders and config file yourself.
  • explicitly verify the owner settings of the newly created folders too

You can of course, apply this approach to other security solutions.

In essence:

  • all DNS traffic through your firewall must come from your (PiHole) DNS server
  • DNS traffic from any other device is redirected to the DNS server
  • DNS server logs and manages and filters (blocks/allow) the DNS requests

10x times thank you for your support! #mvpbuzz

If you’re in my community and professional network you must have witnessed a wave of Microsoft MVP #mvpbuzz announcements and notifications, early july on the various social media, Twitter, LinkedIN, blogs… a bit later than usual this year.

I was part of it, but due to personal reasons and summer vacation early July, I only had time till now to process it…

Certainly this year is a special year for me, a lot of things have changed professionally.
And when another special award disk dropped in the mail box just a few days ago, I can proudly announce that I’m honored to be awarded the Microsoft MVP award for the 10th time.
You work hard for it, hope for it, but never know if you have met the tough expectations.

[If you want to know more about the Microsoft MVP award, check this page on the MVP site. It’s a reward for a select expert community with great passion for Microsoft technologies, for all community efforts for last year.]


Honestly, it’s not about these white and blue glass disks, but appreciation for the passion and effort in the Microsoft community, to be recognized for the passion in Microsoft Security, more specifically Identity & Access.

And I certainly welcome the program change where the group of MVP “Enterprise Mobility” now moved to MVP Security, which aligns better with reality, what I stand for.

But I could never have achieved this with the great help and support of you, my audience.
So want to thank you, more than 10x for this.

Thank you!

Schakel die ontvangstbevestiging van mail alvast uit (in #Microsoft #Outlook, outlook.com, Outlook web en andere mail apps)

Deze week is er een aanpassing van het Belgische Wetboek uitgevoerd, die het eindelijk mogelijk maakt om via email kennisgeving te doen… zodat je via elektronische mail rechtsgeldige verzending zou moeten kunnen doen.
Zou…

Want het is misschien wel een grote stap vooruit in de rechtsspraak… maar waarom zou je de tegenpartij moedwillig in de kaart willen spelen?
In het ergste geval zou je dus ZELF het bewijs gaan leveren aan de tegenpartij…

Is dat nu wel een goed idee?
Ik denk het niet…

Dus zoals het artikel in de Tijd over deze wetsaanpassing al aangeeft…

 ‘Als blijkt dat u de mail gelezen heeft, door te antwoorden of via een leesbevestiging, dan is de kennisgeving sowieso geldig gebeurd.’ Het voorgaande impliceert dat e-mailgebruikers maar beter voorzichtig met leesbevestigingen omspringen. Zonder leesbevestiging of antwoord is het nog altijd aan de verzender om te bewijzen dat de ontvanger de mail wel degelijk ontvangen of gelezen heeft.

Mieke Verplancke in De Tijd – door PETER VAN MALDEGEM 
17 augustus 2022

Maar hoe schakel je die ontvangstbevestiging van mail nu uit?

Voor enkele van de meest gebruikte mail programma’s geef ik je alvast de nodige stappen mee.
Voor alle duidelijkheid, veel van die stappen vind je al op ‘t internet, dus voor enkele programma’s geef ik wat pointers naar goeie artikels… kwestie van de mail niet opnieuw uit te vinden.

Mogelijk voeg ik er later nog wat extra mail programma’s toe aan het lijstje.. maar hier kan je al mee starten. Kijk maar even of je favoriete mail client er tussen zit… En anders nog wat opties helemaal achteraan dit artikel.

Disclaimer: ik heb zelf niet altijd de Nederlandstalige versie van de gebruikersomgeving, dus sommige referenties gebruiken Engelse termen, maar je komt er zo ook wel.

Ik heb de volgende mail clients alvast opgelijst

  • Windows Mail app (Win10/11)
  • Outlook.com (web)
  • Microsoft 365 / Office 365 Outlook web
  • Microsoft 365 / Office 365 Outlook client
  • Outlook for Mobile Devices (Android)
  • Apple
  • GMail

Windows Mail app (Win 10)

Geen probleem, want er zijn geen opties in de Windows Mail app.
Dus als je opties wil, moet je een andere mail client zoeken, deze is te eenvoudig.

Outlook.com (web)

Zelf leesbevestiging vragen?

Njet, de Outlook.com web mail heeft die optie niet. (Wel via de Outlook voor Windows)

Leesbevestiging uitschakelen

Bron: https://support.microsoft.com/en-us/office/read-receipts-in-outlook-com-dc1b74ac-8578-469f-8894-82746e8e5aef

  1. Selecteer Instellingen Instellingen > Alle Outlook-instellingen weergeven.
  2. Selecteer E-mail > berichtafhandeling.
  3. Kies onder Leesbevestigingenhoe u reageert op aanvragen voor leesbevestigingen.

Microsoft Outlook

Microsoft 365 / Office 365 online web versie

Bron: https://support.microsoft.com/nl-nl/office/leesbevestigingen-in-outlook-web-e09af74d-3519-45fc-a680-37a538a92157

Het scherm is gelijkaardig aan de outlook.com versie…

Leesbevestiging uitschakelen doe je zo

Settings> Mail >Message Handling > Read Receipts

Microsoft 365 / Office 365 / Outlook v2016, v2019, … mail client

Leesbevestiging vragen (voor één mail of alle mail)

Zie dit Microsoft Support Artikel : https://support.microsoft.com/en-us/office/add-and-request-read-receipts-and-delivery-notifications-a34bf70a-4c2c-4461-b2a1-12e4a7a92141?WT.mc_id=ES-MVP-5002204

Leesbevestiging uitschakelen

Open je Outlook client, menu File (Bestand) > Selecteer de juiste mailbox (als je er meer dan één hebt) > Kies Options (Opties) > Mail > Tracking

Meer details alvast in deze interessante artikels (Engels)

Outlook for Mobile Devices (Android)

Bron: https://answers.microsoft.com/en-us/outlook_com/forum/all/disable-read-receipts-in-outlook-for-android/eee5a248-935c-42da-9087-1487fa70b860

  1. Open Outlook Web App(OWA).
  2. Login op je mailbox (je moet onderstaande herhalen als je meerdere maiboxen hebt)
  3. Kies Settings/Instellingen (View All Settings)
  4. Kies General/Algemeen > Mobile Devices
  5. Kies Don’t send read receipts for messages read on devices that use Exchange ActiveSync.

Apple

Houd er rekening mee dat de meeste instellingen voor het lezen van e-mails zich op het niveau van de e-mailtoepassing bevinden… het hangt er dus van af welke e-mailapp u op uw apparaat gebruikt.

Maar: “Apple Is Killing Email Read Receipts With a Single Popup” (https://medium.com/big-tech/apple-is-killing-email-read-receipts-like-entirely-14da5aa7fa75)

En ook:

Gmail

Google workspace (professional/enterprise)

How do I turn off automatic read receipts for my users?https://support.google.com/googlecloud/answer/10636687

Gmail web (gratis)

Geen opties voor ontvangstbevestiging bij verzenden of ontvangen.
[Opmerking, ik heb ze alvast niet gevonden, … als ze er zijn, laat gerust iets weten.]

En nog een paar andere mail clients

Nog andere artikels

Cyber-vakantielectuur: 2 #mustread boeken over impact van desinformatie en fake news, de wondere wereld van factchecking

Vakantie is de ideale tijd om even bij te lezen… dus ik heb van de gelegenheid gebruik gemaakt om 2 nieuwe, versgepubliceerde boeken onder handen te nemen. 1 boek van onderzoeksjournalist Tim Verheyden en een boek van fact-checker Maarten Schenk.

Beide gaan over desinformatie en fake news…een vakgebied dat op ‘t eerste zicht niks te maken heeft met privacy, data protection of cybersecurity…

Hoewel het minder relevant is voor cyber-security, is het na 2 jaar corona-pandemie anders wel heel erg duidelijk hoe desinformatie en manipulatie van de publieke opinie een belangrijke rol heeft gespeeld in het verloop van de pandemie

Maar als je even wat verder kijkt en beseft dat recente wereldconflicten en grote politieke evenementen tegenwoordig allemaal vooraf gegaan worden door grote cyberaanvallen en massieve internet-propaganda campagnes, wordt het snel duidelijk dat desinformatie en fake news daar integraal een onderdeel van zijn.

Maar desinformatie is geen recent fenomeen. Dat is in de voorgaande wereld-oorlogen ook steeds toegepast of zelfs in recente oorlogsgeschiedenis,… kijk maar waar zogezegde atoomdreiging in het Midden-Oosten toe geleid heeft…


Alleen, door internet zijn de proporties en de mogelijkheden enorm toegenomen om beïnvloeding en manipulatie toe te passen.
En het feit dat we zowat alles vanop afstand regelen, en nauwelijks nog direct contact met mekaar hebben… (en zeker niet tijdens corona), maakt desinformatie alleen maar makkelijker.

En dit heeft een grote impact op respect voor mekaar, begrip voor mekaar, tolerantie, rekenschap/aansprakelijkheid, vrijheid van spreken, … heel wat grenzen vervagen.

En dat is wat de boeken van Tim Verheyden en Maarten Schenk mooi uit de doeken doen, op een goed leesbare manier. (Maar ik garandeer je dat je op ‘t einde met een hoop nieuwe vragen achter blijft…)

2 boeken

Het is erg nuttig om beide boeken na elkaar te lezen…

Start eerst met het boek van Tim Verheyden: “Het had waar kunnen zijn”.

De reden is simpel, op het einde van zijn boek verwijst Tim naar het tweede boek: “De fake news files” van Maarten Schenk (Subtitel : “De onthullingen van een bullshit detective“).

Beide boeken bespreken een heel aantal real-life cases en verwijzen naar een shitload van andere lectuur, boeken, papers, websites en ander referentie materiaal. Het boek van Tim Verheyden vermeldt niet duidelijk de bronnen.
Dat is erg jammer, want het is vaak erg handig om eens te gaan kijken naar de inhoud en de kernpunten van het verhaal.

[Dit is alvast een oproep aan Tim Verheyden om, net zoals Maarten Schenk, een bronnenlijst te publiceren, zodat je zelf wat verder op zoek kan gaan naar de achtergrond van hun verhalen.

Tim is een uitstekende onderzoeksjournalist, dus die lijst heeft ie al. Daar ben ik zeker van.]

“Het had waar kunnen zijn”

Tim Verheyden toont aan, met ondersteuning van een aantal experts zoals Nathalie Van Raemdonck, Siri Beerends, Rien Emmery, Maarten Schenk, … hoe erg desinformatie en fake news ons dagelijks leven beïnvloedt.

Het pakt echt bij de adem als je erbij stilstaat hoe ver het gaat.
Maar vergis je niet, zoals ik al eerder zei, dit is geen recent probleem. Desinformatie, propaganda en fake news is zo oud als de mensheid. Dus het is erg moeilijk uit te roeien, net zoals roddels is het een onderdeel van menselijk gedrag.

Het is door internet en de overvloed van informatie, alleen maar moeilijker geworden om feiten en fictie uit elkaar te houden.

De conclusie van Tim is duidelijk, we moeten back to the basics van persoonlijke communicatie, zeker na de corona periode.

“Durf bullshit te benoemen, meer dan ooit. Maar laten we vooral weer met elkaar praten”

(Tim Verheyden)

Bovendien zijn we de laatste decennia heel erg gewoon geraakt aan een stabiele, bijna risicoloze wereld. En Corona en de Russisch-Oekrainse oorlog heeft dat beeld ernstig verstoord.

“De fake news files”

Terwijl Tim Verheyden als onderzoeksjournalist, desinformatie, fake news en propaganda eerder bekijkt vanuit het recente wereldnieuws, bekijkt Maarten Schenk het onderwerp eerder vanuit een technische hoek.

Dit is op het eerste zicht een totaal andere aanpak… Maar het wordt snel duidelijk dat de 2 boeken heel erg op elkaar aansluiten. En het boek van Maarten Schenk brengt heel wat verheldering op het boek van Tim Verheyden.

Daarnaast verwijzen ze allebei naar herkenbare verhalen, die we allemaal wel al ergens in ‘t nieuws gezien hebben, of op internet of op social media…

Maarten maakt duidelijk dat voor heel wat mensen de desinformatie een essentieel onderdeel van hun identiteit geworden is en dat elk redelijke discussie of bewijsmateriaal van het tegendeel dan onmogelijk is omdat het een persoonlijke belediging wordt, die op hun persoon gericht is.

Maar deze gedachtengang kan, net zoals het corona virus, erg aanstekelijk zijn… En je kan door continue factchecking wel een soort vaccinatie opzetten, die de impact besmetting kan indammen… maar het is werk van lange adem.

En je moet er continue aan blijven werken want er komen elke dag nieuwe fabeltjes bij.

Extra info – Het had waar kunnen zijn (Tim Verheyden)

Frances Haugen

Frances Haugen (Facebook klokkenluidster)

https://en.wikipedia.org/wiki/Frances_Haugen

https://www.theguardian.com/technology/2021/oct/24/frances-haugen-i-never-wanted-to-be-a-whistleblower-but-lives-were-in-danger

https://time.com/6121931/frances-haugen-facebook-whistleblower-profile/

Haar website: https://www.franceshaugen.com/

Frances Haugen on Twitter: https://twitter.com/franceshaugen?lang=en

Arjen Luback – De fabeltjesfuik

Siri Beerends

https://www.siribeerends.nl/

Research: https://www.siribeerends.nl/research/

SETUP Media Lab: https://www.setup.nl/

World Economic Forum (WEF) – The Great Reset

https://www.weforum.org/great-reset

Extra info – De Fake News Files (Maarten Schenk)

Leadstories

Just Because It’s Trending Doesn’t Mean It’s True — Fact checking at the speed of likes since 2015

https://leadstories.com/

Trendolizer

https://www.trendolizer.com/

Referenties & bronnen

Maarten Schenk heeft de meeste van zijn bronnen en referenties uit het boek verzameld op onderstaande link, wat het erg handig maakt om dit verder door te nemen…

https://leadstories.com/de-fake-news-files.html

Boek referenties

Als je de boeken zelf in je kast of eLibrary will hebben, dan vind je hieronder de nodige informatie.

(Ter info, ik heb beide paperbacks hier in de kast staan, moest je ze even willen uitlenen… laat me iets weten.)

“Het had waar kunnen zijn” (1 jun 2022), uitgeverij Pelckmans

e-book (ISBN 978-94-6401-659-8, €14,99): https://www.pelckmansuitgevers.be/het-had-waar-kunnen-zijn-e-book.html

Paperback (ISBN 978-94-6401-609-3, €22,50): https://www.pelckmansuitgevers.be/het-had-waar-kunnen-zijn.html

De Fake News Files (22 mar 2022), uitgeverij Lannoo

Paperback: (ISBN 978-94-0147-686-7, €22,99): https://www.lannoo.be/nl/de-fake-news-files.

E-book (ISBN 978-94-0148-391-9, €12,99): https://www.ebook.nl/ebook/9789401483919-de-fake-news-files-maarten-schenk/

Andere interessante referenties

(deze referenties kunnen in de toekomst nog verder bijgewerkt worden, of er kan nog bijkomende info toegevoegd worden na de initiele publicatie…)

VRT – Boek bespreking door Jef Cauwenberghs

https://www.vrt.be/vrtnws/nl/2022/06/09/zes-inzichten-desinformatie-tim-verheyde/

Zelf verder zoeken! Meer weten?

Online

Tim Verheyden

Blog met heel wat interessante artikels: https://timverheyden.com/blog

Nathalie Van Raemdonck

LinkedIN: https://www.linkedin.com/in/nathalievraemdonck/

Twitter: https://twitter.com/eilah_tan

Website: https://nathalievanraemdonck.com/

Enkele van haar laatste presentaties:

https://eooh.eu/podcasts/he2rnyb04b5no6q6k1xbdpeiey0kd0-nf5e8-99npr-7jnyr

Rien Emmery (@ArbiterOfTweets)

Twitter

Website

https://muckrack.com/rien-emmery/articles

Boeken

On Bullshit (1986), Harry G. Frankfurt

https://en.wikipedia.org/wiki/On_Bullshit

And also

VRTNWS fact checks:

https://www.vrt.be/vrtnws/nl/rubrieken/desinformatie/check/

https://www.vrt.be/vrtnws/nl/2022/06/28/de-checkers-2022/

De Checkers

https://decheckers.be/ : “Een non-profitorganisatie die het publieke debat wil voeden met feiten en nieuwsgeletterdheid stimuleren. deCheckers werkt samen met journalisten van KnackVRT NWS en Factcheck.Vlaanderen.

Note-to-self: CIS Software Supply Chain security guide

CIS (Center for Internet Security) has published an interesting guide on software supply chain security.

Even if you do not build software on your own, it still is useful to to pick the relevant security measures/controls as part of your information security management to protect yourself and your enterprise.

As we all learned from the log4j issue which impacted many generally used platforms, it has become very clear that you need to look beyond the first level of control (your own)…

It’s critical to manage 2nd (your suppliers) and even third level (suppliers of suppliers)

Highlights

In high level overview, the document discusses:

  1. Source code
    • Code changes
    • Repository management
    • Contribution access
    • Third party
    • Code risks
  2. Build pipelines
    • Build environment
    • Build worker
    • Pipeline instructions
  3. Dependencies
    1. Third party packages
    2. Validate packages
  4. Artifacts
    • Verification
    • Access to artifacts
    • Package registries
    • Origin traceability
  5. Deployment
    • Deployment configuration
    • Deployment environment

Supply chain guide access (need to register on CIS)

https://workbench.cisecurity.org/files/3972 (login needed, but it’s non-commercial, limited data protection risk)

More info:

Extra references

Software impacted by Log4j, see the NCSC Github / Software inventory: https://github.com/NCSC-NL/log4shell/tree/main/software

(if necessary this post will be updated with more interesting material, when applicable)

Note-to-self: PECB CLEH Collaterals

(page is updated on the go, if interesting information is collected …)

PECB

PECB CLEH info

https://pecb.com/en/education-and-certification-for-individuals/ethical-hacking

Exam preparation guides

Download Candidate’s Handbook (pecb.com)
Certified Lead Ethical Hacker Manuals – PECB Help Center (PECB X2Go Client)
Certified Lead Ethical Hacker Manuals – PECB Help Center (PECB CLEH Online Exam)
Certified Lead Ethical Hacker Manuals – PECB Help Center (CLEH Technical Requirements)

PECB X2Go client download (after login)

https://pecb.com/en/cleh

Note taking

CherryTree

https://www.giuspen.com/cherrytree/

http://giuspen.com/cherrytreemanual/

https://www.giuspen.com/cherrytree/#downl

Interesting references

Data breach reports

See: https://identityunderground.wordpress.com/interesting-links/useful-cybersecurity-data-protection-breach-reports/

Cybercrime costs

https://www.grantthornton.global/en/insights/articles/cyber-attacks-cost-global-business-over-$300bn-a-year/

ENISA threat landscape reports

Current (2021)
https://www.enisa.europa.eu/publications/enisa-threat-landscape-2021

All reports
https://www.enisa.europa.eu/topics/threat-risk-management/threats-and-trends/enisa-threat-landscape/enisa-threat-landscape

Previous
https://www.enisa.europa.eu/topics/threat-risk-management/threats-and-trends/enisa-threat-landscape/enisa-threat-landscape-2020
https://www.enisa.europa.eu/publications/enisa-threat-landscape-report-2018
https://www.enisa.europa.eu/news/enisa-news/enisa-report-the-2017-cyber-threat-landscape
https://www.enisa.europa.eu/publications/enisa-threat-landscape-report-2016
https://www.enisa.europa.eu/publications/etl2015

ISO

https://ffwd2.me/FreeISO
>https://standards.iso.org/ittf/PubliclyAvailableStandards/

Freely accessible standards – online
https://www.iso.org/covid19

Free download (from: https://standards.iso.org/ittf/PubliclyAvailableStandards/)

ISO/IEC 27000:2018 EN – FR5thInformation technology — Security techniques — Information security management systems — Overview and vocabularyISO/IEC JTC 1/SC 27

https://standards.iso.org/ittf/PubliclyAvailableStandards/c073906_ISO_IEC_27000_2018_E.zip
https://standards.iso.org/ittf/PubliclyAvailableStandards/c073906_ISO_IEC_27000_2018_F.zip

ISSAF (out-dated)

https://oissggroup.com/

Lockheed Martin – Cyber Kill chain

https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

Mitre

Att&ck

https://attack.mitre.org/

Engage

https://engage.mitre.org/

CVE

https://cve.mitre.org/

NIST

NIST-SP 500-291, NIST Cloud Computing Standards Roadmap

https://www.nist.gov/publications/nist-sp-500-291-nist-cloud-computing-standards-roadmap

NIST SP800 series

https://www.nist.gov/itl/publications-0/nist-special-publication-800-series-general-information

SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy
https://csrc.nist.gov/publications/detail/sp/800-41/rev-1/final

SP 800-82 Rev. 2

Guide to Industrial Control Systems (ICS) Security

https://csrc.nist.gov/publications/detail/sp/800-82/rev-2/final

CSF

https://www.nist.gov/cyberframework

OWASP

https://owasp.org/

https://owasp.org/www-project-top-ten/

https://owasp.org/www-project-mobile-security-testing-guide/

OSSTMM

https://www.isecom.org/

PTES (out of date)

http://www.pentest-standard.org/index.php/Main_Page

http://www.pentest-standard.org/index.php/PTES_Technical_Guidelines

Unified Kill chain

V 2022-05-18

https://www.unifiedkillchain.com/

OSI Model

https://en.wikipedia.org/wiki/OSI_model

https://simple.wikipedia.org/wiki/TCP/IP_model

TCP/IP Port numbers

https://en.wikipedia.org/wiki/List_of_TCP_and_UDP_port_numbers

SANS/GIAC

Wired Equivalent Privacy Vulnerability – GIAC
https://www.giac.org/paper/gsec/624/wired-equivalent-privacy-vulnerability/101399

HTML error codes

https://developer.mozilla.org/en-US/docs/Web/HTTP/Status

https://developer.mozilla.org/en-US/docs/Web/HTTP/Status

The story of Error Code 418
https://www.berkeleysquares.co.uk/2021/06/html-response-code-418-why-youve-never-heard-of-it-and-never-will-again/
https://datatracker.ietf.org/doc/draft-ietf-httpbis-semantics/

Security controls framework

https://www.securecontrolsframework.com/secure-controls-framework

https://github.com/securecontrolsframework/securecontrolsframework

Tips & tricks

Book

https://book.hacktricks.xyz/welcome/readme

OCSP

https://github.com/CountablyInfinite/oscp_cheatsheet

https://guide.offsecnewbie.com/cherrytree-oscp-template

https://github.com/devzspy/oscp-certification/tree/master/Note%20Taking%20Tools/CherryTree%20Template

Tools

Pentest wiki

Pentest Wiki: https://pentestwiki.org/

Haveibeenpwnd

https://haveibeenpwned.com/
https://haveibeenpwned.com/Passwords

OSINT

https://osintframework.com/

https://github.com/jivoi/awesome-osint

https://github.com/topics/osint-tools

https://www.osintessentials.com/maps

https://hackcontrol.org/OSINT/Maps.html

Phishing – open source

https://getgophish.com/

Metasploit

https://www.metasploit.com/
https://www.metasploit.com/get-started

https://github.com/rapid7/metasploit-framework/wiki/Nightly-Installers

Exploit DB

https://www.offensive-security.com/backtrack/offensive-security-exploit-archive-online/

https://www.exploit-db.com/

Google Dorking

https://www.exploit-db.com/google-hacking-database

Rubber ducky – USB Key logger

https://shop.hak5.org/products/usb-rubber-ducky-deluxe

https://infosecwriteups.com/make-usb-rubber-ducky-with-less-than-3-fa72dac9e4de

Hack mag – Rubber Ducky

Pen testing labs

Free labs

https://www.google.com/search?q=free+pentesting+labs
https://www.hackthebox.com/
https://www.hackthissite.org/
https://www.offensive-security.com/labs/
https://www.pentesterlab.com/exercises
https://www.vulnhub.com/
https://www.root-me.org/?lang=en
https://www.hacking-lab.com/events/

Various labs

Source: https://github.com/michelbernardods/labs-pentest

-> Academy Hackaflag -BR https://academy.hackaflag.com.br
-> Try Hack Me https://tryhackme.com
-> Attack-Defense https://attackdefense.com
-> alert to win https://alf.nu/alert1
-> CTF Komodo Security https://ctf.komodosec.com
-> CMD Challenge https://cmdchallenge.com
-> Explotation Education https://exploit.education
-> Google CTF https://capturetheflag.withgoogle.com
-> HackTheBox https://www.hackthebox.eu
-> Hackthis https://www.hackthis.co.uk
-> Hacksplaining https://www.hacksplaining.com/exercises
-> Hacker101 https://ctf.hacker101.com
-> Hacker Security https://capturetheflag.com.br
-> Hacking-Lab https://www.hacking-lab.com/index.html
-> HSTRIKE https://hstrike.com
-> ImmersiveLabs https://immersivelabs.com
-> Labs Wizard Security https://labs.wizard-security.net
-> NewbieContest https://www.newbiecontest.org
-> OverTheWire http://overthewire.org
-> Practical Pentest Labs https://practicalpentestlabs.com
-> Pentestlab https://pentesterlab.com
-> Penetration Testing Practice Labs http://www.amanhardikar.com/mindmaps/Practice.html
-> PentestIT LAB https://lab.pentestit.ru
-> PicoCTF https://picoctf.com
-> PWNABLE https://pwnable.kr/play.php
-> Root-Me https://www.root-me.org
-> Root in Jail http://ctf.rootinjail.com
-> Shellter https://shellterlabs.com/pt
-> SANS Challenger https://www.holidayhackchallenge.com
-> SmashTheStack http://smashthestack.org/wargames.html
-> Try Hack Me https://tryhackme.com
-> The Cryptopals Crypto Challenges https://cryptopals.com
-> Vulnhub https://www.vulnhub.com
-> W3Challs https://w3challs.com
-> WeChall http://www.wechall.net
-> Zenk-Security https://www.zenk-security.com/epreuves.php

You expect a phishing test… and then the real stuff kicks in… some quick tips to block evasion techniques

I see more and more phishing exercise fatigue kicking in at my customers…

But it’s more than ever required to be vigilant for new techniques that try to circumvent the typical URL blocking and the other protection layers you put in place.

You’re the best firewall.

What is going on?

You know, these companies that first announce a #phishing test…

which go unnoticed because they are caught by the 𝐬𝐩𝐚𝐦 𝐟𝐢𝐥𝐭𝐞𝐫…

And a few weeks later you get the 𝐫𝐞𝐚𝐥 𝐬𝐭𝐮𝐟𝐟 𝐢𝐧 𝐲𝐨𝐮𝐫 𝐢𝐧𝐛𝐨𝐱 from the same company.

With ridiculous worse quality than the actual test… but still its in the inbox ready to click (DON’T!).

You assume phase 2 of the phishing test…another round, right? (you think: “yeah, right, not me.”).

Because the new mail comes with ridiculous bad quality (⚠️1) than the actual test…

Nowadays you expect smart mails from these criminals…

But still it doesn’t feel OK …you start to realize that this might the real stuff…

Checking for some more phishing indicators (⚠️)

A mail with you in bcc…. (⚠️2)

Addressed to a very strange (New-Zealand) mail address (⚠️3)

with a PDF alike icon image embedded (⚠️4)

via a google drive link (⚠️5)….

SPOILER: I crippled the link mentioned in previous screenshot to avoid any accidents…

SPOILER 2: DO NOT, EVER CLICK these links…

Still, If you can’t control your curiosity, you might peek into the link via alternative methods (see later).

The display of unrelated content, with payment instructions (⚠️6), isn’t really what you would expect.

Because if you even dare to click the links you get another link (⚠️7)… and this time the browser malware detection (Smartscreen filtering) kicks in .. at last… so I’ll stop the curiosity here…

Why is this an issue?

The main issue here is: the phishing links are pointing to well-known (like Google drive, Microsoft OneDrive, Dropbox…) for hosting malware, which usually escape or bypass the malware URL detection…

Security tips

Rule nr 1: Don’t click links in unexpected mails

Curiosity kills the cat: Please withstand the urge to click the links to satisfy your curiosity….

If you don’t expect the mail, be very cautions, don’t click the links.

Control your curiosity: test the links in isolated mode

If you can’t control your curiosity, don’t ever click the links on your main computer.

But copy the link and open it

  • in a Windows sandbox
  • virtual machines or test machine… not your production machine
  • mobile device

Use Windows Sandbox

Since Windows 10 (Pro) you can use Windows Sandbox (free), that is a virtual, isolated environment. So you can test some interesting things without damaging your production host machine.

By stopping the Sandbox, the machine forgets all settings and returns to default state, pristine.

More info: https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-sandbox/windows-sandbox-overview

Run a quarantined client in virtual machine

Use Microsoft Hyper-V (free) or Oracle Virtual box (free) and install a client OS in the virtual machine.
Snapshot the machine before the test, perform the test, return to snapshot to avoid any left overs of malware.

Run the link on a mobile phone

Less secure, but better than running malware on your most important machine, is running the link on a browser on your mobile device. There is lower risk of infection and less impact than loosing your primary working machine, although… be aware, there is still a small risk of infection even for smartphones…

Additional security measures

To permit some stupidity and protect against accidents, please make sure

  • to implement all the latest OS security updates, patch on a continuous basis
  • have an anti-malware and anti-virus that is updated continuously
  • keep the default OS security features enabled including local system firewall and malware detection
  • consider a paid antivirus subscription, it’s worth the money and keep it up to date every hour
  • get a mail protection against malware, tracking, phishing and ransomware (like Windows defender for 365) have regular backups (1 online and 1 offline) and test the restores
  • use cookie/tracking/advertisement blockers
  • use a DNS blackhole system to protect your network from accessing suspicious URLs (including tracking and phishing websites, advertisements, C&C Command and control malware domains, …)

You’re the best firewall

Don’t get caught.

Don’t be curious.

Suspect everything you don’t expect.

Don’t click the links.

And if you’re curious, keep it safe and secure.

Handige tip: snelle en volledige download van #BELAC auditor werkbestanden en documenten

(Update: 29/4/2022, link naar BELAC Management systeem)

Wanneer je als auditor voor BELAC (de Belgische Accreditatie-instantie) werkt, moet je gebruik maken van hun

  • richtlijnen
  • Procedures
  • juridische documenten & referentiestandaarden
  • aanwijzingen
  • beoordelingsrapporten

Deze worden allemaal (afzonderlijk) gepubliceerd op de website van BELAC onder de publicaties:

De meest recente updates vind je hier: https://economie.fgov.be/nl/themas/kwaliteit-veiligheid/accreditatie-belac/recent-gewijzigde-en-nieuwe

Er is jammer genoeg geen optie om alle bestanden in één keer te downloaden.

Informatie over het BELAC management systeem vindt je hier:

(NL) : https://economie.fgov.be/nl/themas/kwaliteit-veiligheid/accreditatie-belac/managementsysteem-van-belac

(FR): https://economie.fgov.be/fr/themes/qualite-securite/accreditation-belac/systeme-de-management-de-belac

(EN): https://economie.fgov.be/en/themes/quality-and-safety/accreditation-belac/management-system-belac

Download zelf de volledige collectie met Powershell

Om alle BELAC bestanden als collectie te downloaden kan je dit Powershell script gebruiken.

Om dit script te gebruiken, moet je de .txt extensie verwijderen (laat de .ps1 suffix staan).

Moest je geen Microsoft Windows gebruiken, dan kan je dit script ook op Linux draaien.
Meer info: https://docs.microsoft.com/en-us/powershell/scripting/install/installing-powershell-on-linux?view=powershell-7.2?WT.mc_id=ES-MVP-5002204

Full download zip (versie 2022-04-28)

Om het makkelijk te maken hier is de volledige download van 3 talen in zip formaat.

English version download zip (version 2022-04-28)

Download the EN version zip docs here:

Nederlandstalige download zip (version 2022-04-28)

Download de NL versie zip hier:

Version francophone a télecharger(version 2022-04-28)

Version FR ici:

Versie beheer

2022-04-29: Update met BELAC mgmt systeem info

2022-04-28: Originele post

Note-to-self: Quick & full download of #BELAC auditor work files

(Latest update: 29 apr 2022, reference to BELAC Management system)

When working as auditor for BELAC (the Belgian Accreditation Body), you’ll need to use their

  • guidelines
  • procedures
  • legal documents & reference standards
  • instructions
  • assessment reports

These are all (separately) published on the BELAC website under the publications:

The most recent updates can be found here: https://economie.fgov.be/en/themes/quality-and-safety/accreditation-belac/recently-modified-and-new

But there is no option available to download the full set at once.

Information on the BELAC management system can be found here:

(NL) : https://economie.fgov.be/nl/themas/kwaliteit-veiligheid/accreditatie-belac/managementsysteem-van-belac

(FR): https://economie.fgov.be/fr/themes/qualite-securite/accreditation-belac/systeme-de-management-de-belac

(EN): https://economie.fgov.be/en/themes/quality-and-safety/accreditation-belac/management-system-belac

Download the full collection yourself – Powershell

Therefore you can use this Powershell script to get the most recent full collection of BELAC docs.

To execute the Powershell script, you need to remove the .txt extension (and leave the .ps1 suffix).

Even if you’re a Linux fan, you can run this script.
More info: https://docs.microsoft.com/en-us/powershell/scripting/install/installing-powershell-on-linux?view=powershell-7.2?WT.mc_id=ES-MVP-5002204

Full download zip (version 2022-04-28)

To make your life easy, here is the full download of 3 languages in zip.

English version download zip (version 2022-04-28)

Download the EN version zip docs here:

Dutch version download zip (version 2022-04-28)

Download the NL version zip docs here:

French version download zip (version 2022-04-28)

Download the FR version zip docs here:

Versioning

2022-04-29: Updated with BELAC mgmt system info

2022-04-28: Original post

Note-to-self: #DPIA for cloud – reference material (focus on #Microsoft cloud)

In interesting set of reference material, that is regularly coming back in data protection, cybersecurity and information security discussions I lately had with peers and colleagues.
May you can use it too…

Feel free to provide some feedback yourself, if you know additional pointers I should add.

You know where to find me.

Change history

2022-04-27 14:00: Added EDPB announcement to references section

Governmental DPIAs

Netherlands

2018-12-06: DPIA on Microsoft Office 2016 & 365

https://iapp.org/news/a/dutch-government-commissioned-dpia-on-microsoft-office-pro-plus/

Direct download of PDF:

2022-02-22: DPIA on Microsoft Office 365

https://www.dataguidance.com/news/netherlands-dutch-government-publishes-dpia-microsoft

Press release by Dutch Government:

2022-02-21 https://www.rijksoverheid.nl/documenten/publicaties/2022/02/21/public-dpia-teams-onedrive-sharepoint-and-azure-ad

Publication of DPIA by Dutch Government

2022-02-21 : https://www.rijksoverheid.nl/documenten/publicaties/2022/02/21/public-dpia-teams-onedrive-sharepoint-and-azure-ad

Source: Beltug news https://www.beltug.be/news/7430/Dutch_government_publishes_DPIA_and_DTIA_for_Microsoft/

2022-02: The Dutch Ministry of Justice and Security requested an analysis of US legislation in relation to the GDPR and Schrems II by GreenburgTraurig.

Switzerland

In a recent article (In French) by ICT journal, the Canton of Zurich published a

https://www.ictjournal.ch/articles/2022-04-26/comment-le-canton-de-zurich-a-estime-le-risque-de-passer-sur-le-cloud-de

Research

Researchgate

Data Protection Impact Assessment (DPIA) for Cloud-Based Health Organizations

https://www.researchgate.net/publication/349882283_Data_Protection_Impact_Assessment_DPIA_for_Cloud-Based_Health_Organizations

Guidelines

CNIL

https://www.cnil.fr/en/tag/Privacy+Impact+Assessment+(PIA)

https://www.cnil.fr/en/guidelines-dpia

IAPP

https://iapp.org/news/a/guidance-for-a-cloud-migration-privacy-impact-assessment/

Templates

IAPP

https://iapp.org/resources/article/transfer-impact-assessment-templates/

Referring to:

IAPP Templates

Supplier references

Microsoft

Data Protection Impact Assessment for the GDPR

2021-11-17: https://docs.microsoft.com/en-us/compliance/regulatory/gdpr-data-protection-impact-assessments

Data Protection Impact Assessments: Guidance for Data Controllers Using Microsoft Professional Services

Part 1: Determining whether a DPIA is needed

https://docs.microsoft.com/en-us/compliance/regulatory/gdpr-dpia-prof-services?view=o365-worldwide#part-1–determining-whether-a-dpia-is-needed

Part 2: Contents of a DPIA

https://docs.microsoft.com/en-us/compliance/regulatory/gdpr-dpia-prof-services?view=o365-worldwide#part-2-contents-of-a-dpia

Download Customizable DPIA document

https://www.microsoft.com/en-us/download/details.aspx?id=102398

(more to come, this article will be updated with additional references when necessary)

Other relevant references

EDPB (European Data Protection Board)

Launch of coordinated enforcement on use of cloud by public sector

https://edpb.europa.eu/news/news/2022/launch-coordinated-enforcement-use-cloud-public-sector_en