Narzędzia do pentestów – najlepszą obroną jest atak
-
- 09.12.2014
Wyszukiwanie podatności
Aby dostać się do środka, tester lub włamywacz muszą znaleźć podatności, które następnie będzie można wykorzystać. Z reguły skanery podatności są wykorzystywane do znalezienia niezałatanych luk. Coraz popularniejsze staje się regularne używanie takich skanerów przez osoby odpowiedzialne w firmach za bezpieczeństwo. Jednakże nie zawsze reakcje na wyniki są podejmowane wystarczająco szybko, nie zawsze również te wyniki są zrozumiałe dla osób przeprowadzających skanowanie. Dlatego osoby mające korzystać ze skanerów podatności powinny posiadać kwalifikacje umożliwiające im poprawne interpretowanie wyników.
Powszechnym problemem w przypadku wykrycia podatności jest koncentrowanie uwagi tylko na tych, które są oznaczone wysokim lub średnim priorytetem. Takie podejście jest bardzo krótkowzroczne. W efekcie bowiem podatności oznaczone niskim priorytetem zadziwiająco często stają się przyczynkiem do przeprowadzenia udanego ataku. Jeśli skanowanie zostanie poprawnie przeprowadzone, może pomóc w podniesieniu poziomu bezpieczeństwa, ponieważ wykryte luki można wyeliminować. Jednakże posiadanie samych wyników nic nie zmienia, konieczne są dalsze działania.
Zobacz również:
- Testy penetracyjne systemów IT - czy warto w nie zainwestować?
- Przeglądarka Chrome będzie jeszcze jakiś czas akceptować pliki cookie
Wykorzystywanie podatności
Ostatnią fazą jest wykorzystanie wykrytych luk. Od strony defensywnej często pomija się tę fazę, uznając ją za nieistotną, jednakże wyszukiwanie podatności często zgłasza wiele fałszywych alarmów (false positive). Narzędzia ofensywne, jak Metasploit, Burp Suite, czy sqlmap mogą posłużyć do zweryfikowania części podatności wykrytych w czasie skanowania. Weryfikując, czy dane podatności były fałszywym alarmem, osoby odpowiedzialne za bezpieczeństwo mogą lepiej zrozumieć, jakie ryzyko wiążę się z wykrytymi podatnościami i zareagować właściwie, podejmując działania zaradcze, mające zapobiec wykorzystaniu tych luk przez prawdziwych intruzów.
Narzędzia hakerów
Jest wiele narzędzi bezpieczeństwa o ofensywnym charakterze, które można bezpłatnie pobrać z Internetu. Zawdzięczamy to licencjom open source i specom od bezpieczeństwa, którzy tworzą i udostępniają narzędzia, aby wspierać społeczności podobnych sobie specjalistów. Ponieważ są tworzone przez pojedyncze osoby czy luźne grupki fanów open source, brakuje im wsparcia i promocji, dlatego często są znane jedynie w wąskich kręgach korporacyjnych.
Jeśli chce się być skutecznym od strony defensywnej czy ofensywnej, trzeba dobrze zrozumieć narzędzia i techniki wykorzystywane przez drugą stronę. Osoby zajmujące się ochroną sieci muszą wiedzieć, jakich ataków mogą się spodziewać i jakich sposobów używają włamywacze, aby uniknąć wykrycia. Aby zdobyć taką wiedzę, najlepiej samemu wypróbować te same metody ataków.
Analogicznie, osoby działające od strony ofensywnej muszą poznać strategie bezpieczeństwa, różne typy zabezpieczeń i sposoby wykrywania ataków. Wykrycie takie jest łatwiejsze, jeśli się wie, jak działają zabezpieczenia. Patrząc od drugiej, łatwiej jest też uniknąć wykrycia, jeśli włamywacz zna się na zabezpieczeniach. Znajomość narzędzi ofensywnych umożliwia obrońcom aktywne identyfikowanie zagrożeń, zanim te staną się poważne.
Analiza metod ofensywnych może również pomóc zespołom bezpieczeństwa w wykryciu łatwych do wykorzystania podatności i ich usunięcia. Dzięki temu kolejne testy penetracyjne można sprofilować w kierunku lepszego wykrywania zagrożeń specyficznych dla danej firmy.
Bogatą kopalnią wiedzy na temat testów penetracyjnych jest serwis PwnWiki.io. Można go przeglądać online lub zgrać do laptopa. Zawartość serwisu jest dostępna w formie pliku ZIP. Jest to nie tylko obszerna, ale także dogłębna baza wiedzy, dobrze zorganizowanej i najczęściej aktualnej. Jak deklarują autorzy, jest to zbiór TTP (Tools, Tactics and Procedures), czyli wskazówek, co trzeba zrobić, gdy już uda się uzyskać dostęp (np. jakimi metodami podnosić uprawnienia). PwnWiki.io jest jednym z tych repozytoriów GitHub, które warto mieć pod rękę w czasie prowadzenia testów penetracyjnych. Dzięki temu w razie potrzeby ma się dostęp do aktualnych materiałów, gdy potrzebna jest pomoc.
W przyborniku bardzo przydatną pozycją jest również książka Red Team Field Manual (RTFM). Jest to przede wszystkim zbiór sprytnych poleceń tekstowych Windows i różnych narzędzi (nmap, John the Ripper, itp.). Na 80 stronach autor zebrał rozmaite polecenia konsolowe wraz z przydatnymi trickami.
Kolejną książką, której warto się przyjrzeć, jest The Hacker Playbook: Practical Guide to Penetration Testing. Autor książki jest praktykującym pentesterem, a nie kimś, kto powtarza prostą teorię i wylicza narzędzia do pentestów. Nie jest to kompletny przewodnik po narzędziach na każdą okazję, ale dobrze prowadzi czytelnika od momentu przygotowań do ataku aż po osiągnięcie celu.
