Security Reviews & Penetration Testing

Transkript

1

2 Security Reviews & Penetration Testing Marco Krebs Einleitung Security Reviews und -Testings sind wichtige Bestandteile des Risiko-Management-Prozesses. Dabei werden potentielle Sicherheitslücken und Schwachstellen gesucht um sicherzustellen, dass die Sicherheits-Infrastruktur mit den Geschäftsanforderungen sowie den definierten und akzeptierten Restrisiken in Einklang steht. Fakten Konfigurations-Schwachstellen und veraltete Systeme beeinflussen die Verfügbarkeit und Qualität eines Systems. Dies kann zu substantiellen Verlusten führen. Effektiv durchgeführtes Risiko-Management: Falls nicht ausreichend gesichert kann die IT-Infrastruktur zum Angriffsziel werden. Compass Dienstleistungen Security Assessments stellen die Kerndienstleistung von Compass Security dar. Eine grosse Erfahrung weisen wir im Prüfen von Web- Applikationen auf. Dies wird aus unserer Sicht bei der heutigen Verlagerung der Schwachstellen in die Applikationsschicht immer wichtiger. Unser Vorgehen ist an gängige Methodologien wie z.b. OWASP oder OSSTMM angelehnt. Compass bietet im Bereich Security Assessments die folgenden Dienstleistungen an: Security Reviews Vulnerability Scanning Web Application Testing Ethical Hacking/Penetration Testing Social Engineering 1 / 4 Als Ergebnis erhält der Auftraggeber wichtige Hinweise, an welchen Stellen die Schwachstellen im System oder der Organisation liegen und durch welche Massnahmen die Situation verbessert werden kann. Compass Security verfolgt einen modularen Ansatz. Beim Ethical Hacking bzw. Penetration Testing wird ein Angreifer simuliert, welcher unbefugt in einen Computer oder in ein Netzwerk eindringt. Ein Security Review hat das Ziel, ganze Infrastrukturen, Systeme oder Applikationen auf Konfigurationsfehler und Schwachstellen zu untersuchen. Vorgehen Zunächst gilt es, mit dem Auftraggeber das Ziel eines Assessments festzulegen und die dazu notwendigen Module zu definieren. Je nach Situation kann ein Security Review sinnvoller sein als ein Testing, da durch den Einblick in die Systemkonfiguration eine höhere Effizienz und Gründlichkeit erreicht wird. Oft werden beide Arten kombiniert: In einer ersten Phase wird z.b. ein Security Testing durchgeführt, welches in der zweiten Phase mit einem gezielten Review von ausgewählten Systemen ergänzt wird. Ebenfalls von zentraler Bedeutung ist die Frage, wie das Assessment durchgeführt werden soll. Ist der Zugriff nur von aussen (Internet) oder auch im Intranet bzw. direkt in der DMZ notwendig? Soll ein Angriff anonym oder als registrierter Benutzer durchgeführt werden? Welcher Wissensstand wird vom Auftragnehmer erwartet? Je mehr Informationen bekannt sind, desto gezielter und effizienter kann getestet werden (Whitebox-Ansatz). Mit keinen oder nur wenigen Informationen über das Zielsystem kann dafür aufgezeigt werden, was ein Angreifer in einer bestimmten Zeit herausfinden kann (Blackbox- Ansatz). Ist Social Engineering, z.b. via Telefon oder mittels der Auslieferung eines Trojaners, für die Beschaffung von Informationen erlaubt?

3 Das Ziel eines Security Assessment gibt auch die Tiefe der entsprechenden Tests vor: Steht die Suche bzw. das Aufzeigen von potentiellen Schwachstellen im Vordergrund, so ist ein Security Review und/oder ein Vulnerability Scanning ausreichend. Einen Schritt weiter geht das Penetration Testing, wo versucht wird, die gefundenen Schwachstellen auch auszunützen. Die folgenden Fragen können bei der Definition eines Auftrages hilfreich sein: Welche Attacken will man verhindern? Was gilt es zu schützen? Vor wem will man sich schützen? Von wo sind Angriffe zu erwarten? immer von einem Compass-Mitarbeiter im Sinne einer zweiten Meinung gegengelesen. Bei Bedarf werden die Ergebnisse beim Auftraggeber präsentiert und besprochen. Eine Umsetzung der von uns vorgeschlagenen Massnahmen führen wir als unabhängiger, neutraler Dienstleister keine durch. Gerne unterstützen wir Sie bei der Prüfung ob, bzw. inwieweit sich die Situation verbessert hat. Nach dem Test ist vor dem Test. Security Assessments stellen grundsätzlich eine Momentaufnahme dar und sind deshalb nur für eine kurze Zeit gültig. Deshalb empfehlen wir, eine Umgebung bzw. einzelne Teilbereiche gezielt und regelmässig auf deren Sicherheit zu überprüfen. Sicherheit ist kein Zustand, sondern ein sich kontinuierlich weiterentwickelnder Prozess. Ihre Vorteile Vorbereitung und Durchführung Mit den obgenannten Angaben sowie der Anzahl der zu prüfenden Komponenten kann der nötige Zeitaufwand abgeschätzt werden. Nun ist der Zeitpunkt der Überprüfung festzulegen: Was für Vorabklärungen/Vorbereitungen sind notwendig? Beispiele sind das Beantragen von Zutrittsberechtigungen, das Erstellen von Benutzerkonten oder das Bereitstellen einer stabilen Testumgebung. Compass Security führt wo möglich die Tests immer mit eigener Hard- und Software durch. Der Betreiber der zu prüfenden Infrastruktur ist in jedem Fall vorgängig über den Test zu informieren und muss damit einverstanden sein (Einverständniserklärung). Ebenso ist für die gesamte Dauer der Überprüfung ein Ansprechspartner festzulegen, welcher bei Bedarf entsprechend reagieren kann. Was wird von der Dokumentation erwartet? Soll diese in Deutsch oder in Englisch erfolgen? Besteht die Notwendigkeit zum Abweichen von der Compass-Dokumentstruktur? Wie gross ist der Verteiler? Aus Qualitätsgründen wird jeder Bericht 2 / 4 Sie erhalten einen Bericht, in welchem Schwachstellen aufgezeigt und priorisiert werden. Ebenso werden Massnahmen zur Verbesserung der Situation vorgeschlagen. Sie erhalten Aufschluss darüber, ob die von Ihnen eingesetzten Sicherheitsmassnahmen den gängigen Anforderungen genügen. Aufgrund des detaillierten Anhangs lernen Sie, wie die Tests durchgeführt wurden und auf was Sie in zukünftigen Projekten achten müssen. Referenzen Die Kundschaft von Compass erstreckt sich über alle Branchen des nationalen und internationalen Wirtschaftsumfeldes. Aufgrund der Vertraulichkeit gegenüber unseren Kunden geben wir Firmennamen lediglich auf Anfrage und in Rücksprache mit den Referenzen bekannt. Interessiert? Rufen Sie uns noch heute an und verlangen Sie Ihre individuelle, unverbindliche Offerte. team@csnc.ch

4 Anatomie eines Hackerangriffs Grundsätzlich steht zu Beginn einer Attacke ein Information Gathering (Footprinting), wobei der Angreifer im Internet nach Informationen über das Zielsystem sucht. Dazu werden zum Beispiel Abfragen in DNS, whois oder Suchmaschinen benutzt und Webseiten ausgewertet. In einem zweiten Schritt, auch Reconnaissance genannt, geht es um die Identifikation und das Auswerten des Zielnetzwerkes. Wie ist eine Firma an das Internet angebunden (Routing)? Welche IP- Bereiche sind offiziell dieser Firma zugeordnet? Werden Systeme extern gehostet? Was ist überhaupt angreifbar? Diese Frage wird in der Mapping-Phase beantwortet, in welcher mit Hilfe eines Scanners aktive Systeme im Zielbereich ermittelt werden. Sind die aktiven Zielsysteme bekannt, kann mit einem Port-Scanning gestartet werden. Hier werden pro System die verfügbaren Ports ermittelt. Das Ziel des darauffolgenden Application-Mapping bzw. dem Application- Fingerprinting ist es, diese Ports/Dienste einer Applikation (z.b. DNS-Server) zuzuordnen und, sofern möglich, die genaue Version der eingesetzten Software zu ermitteln. Wie beim OS- Fingerprinting geschieht dies z.b. via Banner- Grabbing oder mittels dem Auswerten von serverspezifischen Antworten. Mit dem Wissen über die eingesetzte Software- Version kann der Angreifer in einem nächsten Schritt gezielt nach bekannten Schwachstellen suchen (Vulnerability Scanning) und diese, sofern möglich, auch ausnutzen (Exploiting). Bei einer Webapplikation erfolgt die Suche nach Angriffspunkten zu einem grossen Teil in Abhängigkeit von Aufbau und Funktionalität. Als letzte Möglichkeit gilt es, aufwändig nach neuen (unbekannten) Schwachstellen zu suchen und/oder eigenen Schadcode zu entwickeln. Allenfalls führen auch gezielte Denial-of-Service- Attacken oder Social Engineering zum Erfolg. 3 / 4 Compass Dienstleistungen näher erklärt Sie würden unsere Dienstleistungen gerne näher kennenlernen? Gerne beraten wir Sie in einem persönlichen Gespräch zu folgenden Themen: Security Reviews Zum Beispiel Beurteilen der IT Security Policy, Sicherheitsarchitektur und implementierten Massnahmen, Prozessen, Dokumentationen oder Überprüfen von Systemkonfigurationen zusammen mit einem Administrator vor Ort. Vulnerability Scanning Suche von bekannten Schwachstellen und potentiellen Konfigurationsfehlern auf Infrastruktur- (Netzwerkgeräte, Systeme) und Applikations-Ebene (Dienste). Diese Tests werden mit Hilfe eines Scanners durchgeführt. Web Application Testing Gezielte Überprüfung einer Webapplikation auf Schwachstellen wie z.b. Cross-Site-Scripting oder SQL-Injection, aber auch auf (logische) Fehler in der Authentisierung/Autorisierung bzw. im Session-Handling. Diese Tests erfolgen zu einem grossen Teil manuell, werden jedoch durch den Einsatz von Web-Application-Scannern ergänzt. Ethical Hacking/Penetration Testing Hier wird ein Angreifer simuliert: Das Compass- Team versucht, ermittelte Schwachstellen gezielt auszunutzen, um unberechtigten Zugang auf einen Computer oder ein Netzwerk zu erhalten. Social Engineering Ausnützen des Faktors Mensch als eines der schwächsten Glieder in der Sicherheitskette. Zum Beispiel können interne Informationen via Telefon, versendetem Trojaner oder als Service-Mitarbeiter vor Ort beschafft werden.

5 Beispiel aus dem Reporting: Schwachstellentabelle Nr. Referenz Schwachstelle Bedrohung Elimination Gewichtung Kommentar Fortlaufende Nummerierung Punkte. der Referenz zum entsprechenden Testfall in den folgenden Kapiteln. Erklärung der Schwachstelle, welche während dem Test gefunden wurde. Beschreibt was passieren könnte, wenn die Schwachstelle ausgenutzt wird. Eine Empfehlung wie die Schwachstelle beseitigt werden könnte. Compass Gewichtung der Schwachstelle und der Bedrohung: : Gering : Mittel : Hoch Normalerweise leer. Kommentar des Kunden zu diesem Punkt. Fordern Sie unseren Beispiel-Report an. Wir sind gerne für Sie da. Manual Hacking Web Application: Information Gathering Goal Preparation 4 / 4 Determine the used product and version. Tools: Telnet netcat No Description of Test Expected Result 1 Determine the server banner in the HTTP response, e.g.: GET / HTTP/1.0 No version information is available. Actual Result Microsoft IIS 5.0 banner disclosed. PASS FAIL FAIL Details Concerning Number 1 # netcat 80 HEAD / HTTP/1.0 HTTP/ Object moved Server: Microsoft-IIS/5.0 Date: Tue, 23 Apr :00:54 GMT X-Powered-By: ASP.NET Location: Connection: Keep-Alive Content-Length: 154 Content-Type: text/html; Charset=utf-8 Set-Cookie: asdf=asdf; expires=thu,22-apr :00:00 GMT; path=/ Set-Cookie: ASPSESSIONIDOKEJDNG=FOCKKHMCFANJOHNDGLPINMCO; path=/ Cache-control: private