Hacking for your security - Penetration Testing · PDF fileHacking for your security -...
Transcript of Hacking for your security - Penetration Testing · PDF fileHacking for your security -...
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Hacking for your security - Penetration Testing
Jens Liebchen - RedTeam [email protected]://www.redteam-pentesting.de
22. Februar 2006
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
”Wir wissen nicht, was fur Lucken wir haben -
deshalb juckt uns das nicht.“
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Agenda
14:00 Uhr Vorstellung Penetrationtestsund Common Failures
ab ca. 15:00 Uhr freie Diskussionund tiefergehende Fragestellungen
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Uber RedTeam
I Gegrundet 2004
I Durchfuhrung von Penetrationtests
I Teambasierte Arbeit
I Forschung im IT-Security Bereich und Veroffentlichung vonAdvisories
I Eine der wenigen auf Penetrationtests spezialisierten Firmen
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Was ist ein Pentest?
I Angriff auf ein Netzwerk im Auftrag des Eigentumers
I Fragestellung: Wie weit kann ein Angreifer eindringen?
I Gleiche Methoden wie”die Bosen“
I Vertraulichkeit (NDA)
I Endet mit ausfuhrlichem Bericht fur den Kunden
I Besonderheit bei RedTeam: Kein Test nach Norm
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Was ist ein Pentest?
I Angriff auf ein Netzwerk im Auftrag des Eigentumers
I Fragestellung: Wie weit kann ein Angreifer eindringen?
I Gleiche Methoden wie”die Bosen“
I Vertraulichkeit (NDA)
I Endet mit ausfuhrlichem Bericht fur den Kunden
I Besonderheit bei RedTeam: Kein Test nach Norm
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Was ist ein Pentest?
I Angriff auf ein Netzwerk im Auftrag des Eigentumers
I Fragestellung: Wie weit kann ein Angreifer eindringen?
I Gleiche Methoden wie”die Bosen“
I Vertraulichkeit (NDA)
I Endet mit ausfuhrlichem Bericht fur den Kunden
I Besonderheit bei RedTeam: Kein Test nach Norm
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Was ist ein Pentest?
I Angriff auf ein Netzwerk im Auftrag des Eigentumers
I Fragestellung: Wie weit kann ein Angreifer eindringen?
I Gleiche Methoden wie”die Bosen“
I Vertraulichkeit (NDA)
I Endet mit ausfuhrlichem Bericht fur den Kunden
I Besonderheit bei RedTeam: Kein Test nach Norm
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Methodik
I Black- und Whiteboxtesting
I Externe oder interne Sichtweise
I In der Praxis: Blackboxansatz meist erfolgreich
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Grundsatzliches
I Ein Pentest ist kein AuditI Die getesteten Netzwerke sind in der Regel komplex, daher:
I Normalerweise nicht besonders verdeckt (viele Logmeldungen)I Pentests sind ergebnisorientiert
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Grundsatzliches
I Ein Pentest ist kein AuditI Die getesteten Netzwerke sind in der Regel komplex, daher:
I Normalerweise nicht besonders verdeckt (viele Logmeldungen)I Pentests sind ergebnisorientiert
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die vier Phasen
I Reconnaissance
I Enumeration
I Exploitation
I Bericht und Vorstellung der Ergebnisse beim Kunden
Sehr idealisiert, in der Praxis oft vermischt. Hierdurch schnellereErgebnisse fur den Kunden.
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Reconnaissance (Aufklarung)
I Homepages
I Google
I DNS
I Whois
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Enumeration: Finden von Angriffsvektoren
I Port scanning
I (Verwundbare) Versionen von Diensten/Systemen feststellen
I Konfigurationsfehler
I Installierte Software auf neue Fehler untersuchen
I Sonstige kreative Ideen
Aufgrund der Menge: Keine vollstandige Suche, stattdessen genauwie ein echter Angreifer:
”Hauptsache, rein!“
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Exploitation
Ausnutzen von Sicherheitslucken:
I Verifizieren: Haben wir wirklich eine Lucke?
I Was konnen wir durch Ausnutzen der Lucke erreichen?
I Angriff, sofern Risiko des Angriffs nicht zu hoch (gerade beiLivesystemen)
I Nach erfolgreichem Angriff startet wieder Reconnaissance
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Exploitation
Ausnutzen von Sicherheitslucken:
I Verifizieren: Haben wir wirklich eine Lucke?
I Was konnen wir durch Ausnutzen der Lucke erreichen?
I Angriff, sofern Risiko des Angriffs nicht zu hoch (gerade beiLivesystemen)
I Nach erfolgreichem Angriff startet wieder Reconnaissance
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Joker
Was sind Joker, wofur braucht man die?
I Zeit/Geld sparen
I Software konnte in Zukunft verwundbar sein
I Angreifer konnten einen eigenen Exploit entwickeln
I Testen von Second-Line-Defense
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Motivation fur die Durchfuhrung eines Pentests
I Wie sicher sind wir wirklich?I Realitatsnahe Uberprufung der eigenen MaßnahmenI Angst vor IndustriespionageI Vorbeugung von
”Betriebsblindheit“
I Kontrollsystem vom Gesetz vorgeschrieben
I Indirekte GrundeI Werbung/ImagegewinnI Schutz der eigenen Kunden (netzwerkbasierende Produkte)
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Motivation fur die Durchfuhrung eines Pentests
I Wie sicher sind wir wirklich?I Realitatsnahe Uberprufung der eigenen MaßnahmenI Angst vor IndustriespionageI Vorbeugung von
”Betriebsblindheit“
I Kontrollsystem vom Gesetz vorgeschrieben
I Indirekte GrundeI Werbung/ImagegewinnI Schutz der eigenen Kunden (netzwerkbasierende Produkte)
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Resultate: Was bringt ein Pentest?
I Zeigt punktuell relevante Schwachstellen(klassen) auf
I Was steht im Bericht?
I Wie nutzt man die Ergebnisse des Pentests?
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Resultate: Was bringt ein Pentest?
I Zeigt punktuell relevante Schwachstellen(klassen) auf
I Was steht im Bericht?
I Wie nutzt man die Ergebnisse des Pentests?
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Resultate: Was bringt ein Pentest?
I Zeigt punktuell relevante Schwachstellen(klassen) auf
I Was steht im Bericht?
I Wie nutzt man die Ergebnisse des Pentests?
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 1
I Veraltete SoftwareI Insbesondere Software, die nicht im Online Update des
Systems istI Nicht mehr vom Hersteller gepflegte Software/Betriebssysteme
I Schwache PassworterI Unsichere Konfiguration
I Admins wird oft nicht genug Zeit gelassen um alles sicher zukonfigurieren
I Nur an den Außenrandern des Netzes Firewalls, IDS, etc.
I Zuviele Dienste auf einem Server
I Unnotige Dienste
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 1
I Veraltete SoftwareI Insbesondere Software, die nicht im Online Update des
Systems istI Nicht mehr vom Hersteller gepflegte Software/Betriebssysteme
I Schwache PassworterI Unsichere Konfiguration
I Admins wird oft nicht genug Zeit gelassen um alles sicher zukonfigurieren
I Nur an den Außenrandern des Netzes Firewalls, IDS, etc.
I Zuviele Dienste auf einem Server
I Unnotige Dienste
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 1
I Veraltete SoftwareI Insbesondere Software, die nicht im Online Update des
Systems istI Nicht mehr vom Hersteller gepflegte Software/Betriebssysteme
I Schwache PassworterI Unsichere Konfiguration
I Admins wird oft nicht genug Zeit gelassen um alles sicher zukonfigurieren
I Nur an den Außenrandern des Netzes Firewalls, IDS, etc.
I Zuviele Dienste auf einem Server
I Unnotige Dienste
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 1
I Veraltete SoftwareI Insbesondere Software, die nicht im Online Update des
Systems istI Nicht mehr vom Hersteller gepflegte Software/Betriebssysteme
I Schwache PassworterI Unsichere Konfiguration
I Admins wird oft nicht genug Zeit gelassen um alles sicher zukonfigurieren
I Nur an den Außenrandern des Netzes Firewalls, IDS, etc.
I Zuviele Dienste auf einem Server
I Unnotige Dienste
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 1
I Veraltete SoftwareI Insbesondere Software, die nicht im Online Update des
Systems istI Nicht mehr vom Hersteller gepflegte Software/Betriebssysteme
I Schwache PassworterI Unsichere Konfiguration
I Admins wird oft nicht genug Zeit gelassen um alles sicher zukonfigurieren
I Nur an den Außenrandern des Netzes Firewalls, IDS, etc.
I Zuviele Dienste auf einem Server
I Unnotige Dienste
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 1
I Veraltete SoftwareI Insbesondere Software, die nicht im Online Update des
Systems istI Nicht mehr vom Hersteller gepflegte Software/Betriebssysteme
I Schwache PassworterI Unsichere Konfiguration
I Admins wird oft nicht genug Zeit gelassen um alles sicher zukonfigurieren
I Nur an den Außenrandern des Netzes Firewalls, IDS, etc.
I Zuviele Dienste auf einem Server
I Unnotige Dienste
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
I Windowsfreigaben im internen Netzwerk fur alle les- undschreibbar
I Bsp.: Userprofiles → Autostartordner. . .
I Unsicheres WLAN (gerne auch direkt im Firmennetz)
I”Verdachtiges“ wird nicht weitergemeldet
I Backups fur alle lesbar
I Incident Response nicht vorhanden
I Schlechte physikalische Sicherheit
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
I Windowsfreigaben im internen Netzwerk fur alle les- undschreibbar
I Bsp.: Userprofiles → Autostartordner. . .
I Unsicheres WLAN (gerne auch direkt im Firmennetz)
I”Verdachtiges“ wird nicht weitergemeldet
I Backups fur alle lesbar
I Incident Response nicht vorhanden
I Schlechte physikalische Sicherheit
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
I Windowsfreigaben im internen Netzwerk fur alle les- undschreibbar
I Bsp.: Userprofiles → Autostartordner. . .
I Unsicheres WLAN (gerne auch direkt im Firmennetz)
I”Verdachtiges“ wird nicht weitergemeldet
I Backups fur alle lesbar
I Incident Response nicht vorhanden
I Schlechte physikalische Sicherheit
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
I Windowsfreigaben im internen Netzwerk fur alle les- undschreibbar
I Bsp.: Userprofiles → Autostartordner. . .
I Unsicheres WLAN (gerne auch direkt im Firmennetz)
I”Verdachtiges“ wird nicht weitergemeldet
I Backups fur alle lesbar
I Incident Response nicht vorhanden
I Schlechte physikalische Sicherheit
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
I Windowsfreigaben im internen Netzwerk fur alle les- undschreibbar
I Bsp.: Userprofiles → Autostartordner. . .
I Unsicheres WLAN (gerne auch direkt im Firmennetz)
I”Verdachtiges“ wird nicht weitergemeldet
I Backups fur alle lesbar
I Incident Response nicht vorhanden
I Schlechte physikalische Sicherheit
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
I Windowsfreigaben im internen Netzwerk fur alle les- undschreibbar
I Bsp.: Userprofiles → Autostartordner. . .
I Unsicheres WLAN (gerne auch direkt im Firmennetz)
I”Verdachtiges“ wird nicht weitergemeldet
I Backups fur alle lesbar
I Incident Response nicht vorhanden
I Schlechte physikalische Sicherheit
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Die ublichen Verdachtigen Teil 2
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing
Uber RedTeamWas ist ein Pentest
Ablauf eines PentestsResultate eines Pentests
Ubliche Fehler
Fragen / freie Diskussion
Jens Liebchen - RedTeam Pentesting Hacking for your security - Penetration Testing