Vulnerability Scanning + Penetration Testing

Transkript

1 Vulnerability Scanning + Penetration Testing Seminar IT-Sicherheit Felix Riemann [email protected] 29. Januar 2011

2 Gliederung Vulnerability Scanning Was ist das? Scanner Demo: Nessus Penetration Testing Was ist das? Motivation Ablauf eines Penetrationstests Demo: Metasploit Quellen F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

3 Vulnerability Scanning Was ist das? Übersuchung der Systeme und Dienste eines Computernetzes auf mögliche Schwachstellen Bekannte Sicherheitslücken in Soft- und Hardware Fehlkonfigurationen (z.b. Standardpasswörter) Idealerweise regelmäßig Täglich werden neue Schwachstellen entdeckt Fehlkonfigurationen können durch Fehlbedienung entstehen Patches können die Konfiguration zurücksetzen Untersuchung hauptsächlich per Netzwerk Für bestimmte Tests werden lokale Hilfsprogramme auf den Zielsystemen benötigt F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

4 Vulnerability Scanning Was ist das? Mit guten oder bösen Absichten Was den Admin interessiert, interessiert auch den Eindringling Schwachstellen werden soweit möglich im Normalfall nur erkannt, nicht ausgenutzt Kein automatisches Beseitigen von Schwachstellen Teilweise bieten Tools jedoch Lösungsansätze an Ergebnis: Auflistung möglicher Sicherheitslücken F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

5 Vulnerability Scanning Tools (eine Auswahl) Portscanner z.b. Nmap, THC-Amap, Sniffer z.b. Wireshark, Tcpdump, Web Application Vulnerability Scanner Nikto2, Burp Suite, Vulnerability Scanner z.b. Nessus, OpenVAS, Qualys Guard, F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

6 Nessus Ursprünglich unter GPL-Lizenz entwickelt Seit Version 3 kommerziell entwickelt GPL-Code als OpenVAS geforkt und weiterentwickelt Aktuell: Version 4.4 (November 2010) Für Privatanwendung kostenlos Registrierung von -adresse für jede Installation nötig Kommerzielle Anwendung: $/Jahr Zeitgesteuerte Ausführung Zusätzliche Tests (z.b. für SCADA-Systeme) Configuration + Content Auditing Vorkonfigurierte Virtuelle Appliances SaaS-Variante: Perimeter Service F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

7 Nessus Tests sind als Plugins realisiert Aktueller Stand: ca Plugins Eigene Plugins können eingebunden werden Unterstützung für externe Tools z.b. Nmap, Nikto2, THC-Hydra Client-Server-Struktur Steuerbar von Kommandozeile und Web-Oberfläche Verfügbar für Windows, Linux, BSD, Solaris und iphone (Client) Homepage: F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

8 Penetrationstests Was ist das? Prozess zur Evaluierung des aktuellen Zustands der IT-Sicherheit eines Unternehmens und zur Entdeckung von Schwachstellen Durchführung durch Dritte Risikobewertung von gefundenen Schwachstellen Schwachstellen können zum Test auch ausgenutzt werden Nicht notwendigerweise auf logische Tests beschränkt z.b. Test der Zugangssicherheit der Server-Räume Empfehlungen zur Durchführung etwa von NIST und BSI F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

9 Penetrationstests Motive Verpflichtung zum Test durch Branche z.b. bei Kreditkartendienstleistern (PCI DSS) Test der eigenen IT-Sicherheit Ausreichende Absicherung gegen Angriffe von Außen Welche Gefahr könnte von Insidern ausgehen? Absicherung von Geschäftsgeheimnissen Vermeidung von Missbrauch Korrekte Reaktion auf erkannte Angriffe Zertifizierung der IT-Sicherheit Optimierung des IT-Budgets F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

10 Ablauf eines Penetrationstests Absprache mit Auftraggeber Zweck des Tests Bestimmte Anforderungen an den Test Welche Systeme dürfen/sollen untersucht werden? Betriebskritische Systeme können vom Test ausgenommen werden Systeme in fremden Datacentern dürfen nicht ohne Erlaubnis des Betreibers untersucht werden Wie weit dürfen die Tests gehen? Sollen Sicherheitslücken nur gesucht oder auch getestet werden? Risikoreiche Tests außerhalb der Geschäftszeiten durchführen Welche Informationen zum Ziel werden vorab bereitgestellt? Angriff durch (ehemaligen) Mitarbeiter F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

11 Ablauf eines Penetrationstests Absprache mit Auftraggeber Ausgangspunkt des Tests Simulation eines Angriffs aus dem Internet Simulation eines Angriffs aus dem Firmennetz Abstimmung eines Notfallplans Was muss vorher gesichert werden? Wer muss benachrichtigt werden? Wer muss über den Test informiert werden? Betriebsrat insb. bei Anwendung von Social Engineering Mitarbeiter Infrastrukturbetreiber (ISP, Hoster, ) F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

12 Ablauf eines Penetrationstests Sammeln von Informationen über Organisationsstruktur des Unternehmens Beobachtung des Unternehmensstandorts Webseiten des Unternehmens Stellenausschreibungen WHOIS-Records Netzwerkstruktur Abfrage von DNS-Servern Webseiten des Unternehmens Stellenausschreibungen Mailinglistenbeiträge von Mitarbeitern Traceroute Portscans Wardriving F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

13 Ablauf eines Penetrationstests Sammeln von Informationen über Eingesetzte Software / Hardware Portscans + Fingerprinting Stellenausschreibungen Mailinglistenbeiträge von Mitarbeitern z.b. Support-Anfragen/-Beiträge Mögliche Schwachstellen Port-Scans (z.b. mit nmap) Vulnerability Scans (Nessus, Nikto2, ) Security-Mailinglisten (z.b. Bugtraq) Schwachstellen-Datenbanken (z.b. OSVDB, CVE) F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

14 Ablauf eines Penetrationstests Auswertung der Informationen und Planung Auswertung der im letzten Schritt gesammelten Informationen Abgleich mit Testzielen Chancen für einen erfolgreichen Angriff Nötiger Aufwand für einen erfolgreichen Angriff Auswählen der Angriffsziele Angriffsziele noch einmal mit Auftraggeber abstimmen F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

15 Ablauf eines Penetrationstests Angriff auf Schwachstellen Versuch die ausgewählten Schwachstellen anzugreifen Paketgeneratoren Password Cracker Netzwerksniffer z.b. zum Mitschneiden von Zugangsdaten XSS, SQL-Injections, Buffer Overflows Social Engineering, Phishing Malware Verwendung von Exploit-Frameworks (Metasploit, w3af) F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

16 Ablauf eines Penetrationstests Auswertung und Aufräumen Wiederherstellung des Ausgangszustands Zurücksetzen von geänderten Systemkonfigurationen Entfernen von Malware Erstellung des Abschlußberichts Resultat des Tests Bewertung der gefundenen Schwachstellen Welche Schwachstellen konnten genutzt werden? Welche nicht? Auf welche Daten konnte zugegriffen werden? Konnten kritische Dienste gestört werden? Testprotokoll Dokumentation der vorherigen Testschritte Verwendete Tools und ihre Log-Dateien Lösungsvorschläge anbieten F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

17 Metasploit Framework Framework zum Entwickeln von Exploits Aktuelle Version: (Dezember 2010) BSD-Lizenz Entwicklung mit Ruby Unterstützung für Nessus und Nmap Kommerzielle Varianten Metasploit Express Metasploit Pro F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

18 Metasploit Framework Aktueller Inhalt Über 640 Exploits auch Client-Side-Exploits (z.b. für Acrobat Reader) Über 320 Hilfmodule z.b. zum Durchtesten von Passwortlisten Über 200 Payloads Wird von Exploit ausgeführt (z.b. Remote-Terminal) Über 20 Encoder Verschleierung von Angriffen vor Virenscannern F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

19 Quellen BSI-Studie Durchführungskonzept für Penetrationstests, pentest/index_htm.html F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20

20 Quellen PCI Data Security Standard v2.0, https: // Sebastian Schreiber, Kosten und Nutzen von Penetrationstests, PenTests_APRIL_2006.pdf Andreas Rominger, Timo Schmid, Michael Staats, Penetration Testing, 44.innen-49.pdf NIST Special Publication , Technical Guide to Information Security Testing and Assessment, F. Riemann (Universität Kassel) Vulnerability Scanning + Penetration Testing / 20