Návrh postupů pro ověření odolnosti podnikové LAN proti síťovým útokům

Systém pro řízení bezpečnosti informací (ISMS)

Systém pro řízení bezpečnosti informací (Information Security Management Systems – ISMS) je celosvětově uznávaný standard, který je určen k zavedení systému řízení bezpečnost i. ISMS je obsažen v mezinárodní normě ISO/IEC 27001:2005, která je také přeložena do češtiny Českým normalizačním institu-tem. Českou verzi můžeme najít pod označením ČSN ISO/IEC 27001 a má ste j-ný status jako oficiální verze.

Tato norma poskytuje podporu pro ustanovení, zavádění, provozování, mo-nitorování, udržování a zlepšování ISMS. Norma je napsána pružně a díky tomu se dá použít jak v malých, tak i ve velkých podnicích. Pomáhá určit informační aktiva firmy a ty poté chránit. Zvyšuje konkurenceschopnost podniku a certifi-kace mu může pomoci ve spolupráci s jinými podniky. (1)

PDCA

Plánuj, Dělej, Kontroluj a Jednej (Plan, Do, Check, Act - PDCA) je model, který popisuje kroky zavádění a využívání ISMS modelu dle normy ISO/EIC 27001. Dělí se na čtyři části, které je důležité pro správné nasazení a provozování ISMS dodržet. Nejedná se pouze o lineární proces, ale neustále se opakující aktivitu, která neustále nachází některé nedostatky v návrhu ISMS modelu a ty poté po-máhá odstranit. Tento model a celý proces je dobře popsán v článku ISMS v ma-lých a středních firmách, který byl vydaný v časopise Data Security Manage-ment. (2)

Plánuj (Plan)

ISMS lze zavést a používat jak v malých podnicích o 15 pracovnících až po velké organizace o stovkách až tisících zaměstnancích. Návrh a implementace jednot-livých bodů obsažených v ISMS se může výrazně lišit podle počtu uživatelů sys-tému, jeho rozsahu, způsobů zpracování a uchovávání dat apod.

Další otázkou je potřeba zavedení bezpečnostního oddělení v podniku a ná-sledný počet zaměstnanců, kteří by měli na starosti jen tuto problematiku. Pro velké organizace je potřeba samostatné oddělení a zaměstnat 5 – 10 lidí, ve střední firmě budou stačit 2 zaměstnanci a v podniku do 10 zaměstnanců po-stačí jedna osoba na půl úvazku.

První krok v plánování se týká strategie bezpečnosti. Ve velkých podnicích se strategie bezpečnosti popisu je detailněji než ve firmách malých až středních. U středních podniků v řadě případů postačí, když se ředitel na poradě s dalšími vedoucími pracovníky shodne na strategii a ta se začne prosazovat. Správná vol-ba a způsob prosazení strategie řízení bezpečnosti není jednoduchá záležitost a proto, pokud nemáme odborníky v našem podniku, je vhodné se obrátit na odborné zaměstnance externích firem, které se touto problematik ou zabývají.

Dalším krokem je vytvoření a schválení bezpečnostní polit iky, která definu-je zásady a pravidla na úrovni cílů. Také obsahuje odkaz na dokument, který popisuje rozsah ISMS. Měla by zde být popsána organizační struktura bezpe č-nosti, popis bezpečnostních rolí a jejich odpovědností. U menších firem tuto roli může na sebe vzít ředitel firmy a praktické provedení bezpečnostních zásad a metodik provede síťový administrátor. U větších organizací se spíše vytvoří speciální oddělení zabývající se bezpečností v podniku.

Důležitou částí pro vytvoření a správné řízení ISMS je znalost bezpečnost-ních rizik, která nám pomůže odhalit jejich analýza. Detailní analýza rizik nám poskytne podklady pro efektivní výběr a implementaci bezpečnostních opatření. V malé firmě lze provést detailní analýzu za dva až tři týdny. Buď s vlastními zaměstnanci, kteří znají chod firmy, nebo spoluprácí s konzultační firmou. Po-stačí nám 2-4 zaměstnanci, definují se datová aktiva a síťový administrátor pro-vede hodnocení hrozeb a zranitelnost í a navrhne protiopatření. U středně ve l-kých organizací je doba potřebná pr o detailní analýzu podstatně delší a pro schválení závěrů musí výstupní dokumenty projít nejméně 3 zaměstnanci. V ý-stup analýzy rizik, který se zpracuje do dokumentace, bývá velmi podobný pro všechny typy organizací. Liší se jen r ozsahem podpůrných reportů, které jsou zpravidla výstupem z použité metodiky, ale zprávy o aktivech a dopadech či o analýze rizik jsou shodné.

Poslední krok v části Plánuj navazuje na analýzu rizik a zabývá se vytvoře-ním Plánu implementace a následně Prohlášení o aplikovatelnosti (opatření). Výběr bezpečnostních opatření by měl pokrýt zjištěná rizika a jejich způsob je nezávislý na velikosti organizace. Jejich implementace bude r ozdílná. Hlavní rozdíl bude ve způsobu a zejména v rychlosti jejich prosazení. Při výběru bez-pečnostních opatření je vždy nutné zohlednit jejich dopad na uživatele a na pro-cesy organizace. V malé firmě nebývá problémem rychle změnit jakýkoli proces, aby byl více zabezpečený. Ale čím je podnik větší, tím je složitější měnit již za-běhnuté procesy a postupy. Proto je nutné při výběru protiopatření ve střední firmě více respektovat současný stav.

Prohlášení o aplikovatelnosti (opatření) je jedním z dokumentů nutných k certifikaci. Obsahuje informace o implementovaných opatřeních, př ípadně o dalších protiopatřeních navržený ch na pokrytí rizik. Hlavním cílem je doku-mentovat rozhodnutí, pr oč dané protiopatření bylo či nebylo vybráno k zavedení. Pokud firma neplánuje být certifikována, není nutné vytvářet samo-statný dokument, ale pouze zapsat rozhodnutí o výběru protiopatření, aby i po delší době bylo jasné, pr oč nastalo dané rozhodnut í.

Dělej (Do)

Ve druhé fázi modelu PDCA se rozhoduje o způsobech implementace opatření a metodách prosazení. Okruhy opatření jsou pod obné jak pro malou firmu, tak i pro středně velkou. Rozdíl nastává ve způsobu a zejména v rychlosti jejich pro-sazení. V malých firmách může implementace protiopatření nastat ze dne na den, což je velmi rychlé zavedení. Ve středních organizacích je ale proces im-plementace zdlouhavější a ne tak jednoduchý úkol. Nejdříve se musí vzít v úva-hu akceptovatelnost protiopatření ze strany uživatelů, dále vyžaduje revizi př í-slušné směrnice, zapojení několika administrátorů a seznámit se změnou uživ a-tele. Poté by měla následovat kontrola funkčnosti opatření.

Bezpečnostní dokumentace se značně liší mezi malou a středně velkou or-ganizací ve formě a míře detailu. Není příliš známo, že uvedené normy striktně nevyžadují papír ovou formu dokumentace ani její pevnou strukturu, vše pone-chávají na preferenci jednotlivých firem. Dokumentace ISMS požadována k cer-tifikaci podle ISO/EIC 27001 pochopitelně musí obsahovat určité, úplné uvede-né typy dokumentů, dané jednotlivými kroky procesu ISMS, ale jejich rozsah, obsah a forma může být překvapivě jednoduchá a flexibilní.

Program zvyšování bezpečnostního povědomí v organizaci patří mezi další metody prosazení bezpečnosti. Jedná se o jednoduchou, levnou a velice účinnou metodu, která bývá mnohdy ve firmách opomíjena. Její cíl je zvýšit u všech za-městnanců informovanost jednak o obecných principech a souvislostech infor-mační bezpečnosti a o konkrétních rizicích, opatřeních, odpovědnostech a pra-vidlech, vyplývající ze zaváděného nebo již provozovaného ISMS. Tento pro-gram je zaměřen na zaměstnance, kteří jsou často zdrojem bezpečnostních inc i-dentů a kteří mohou, pokud jsou správně informováni, svým včasným jednáním šíření a škodám incidentů zabránit.

V dalším bodě je potřeba zajistit kontinuální proces zvládání a řízení infor-mačních r izik. Základ pro úspěšné řízení je ident ifikace a analýza všech potenci-álních rizik a následné zvládání a sledování v čase. Není potřeba veškerá identi-fikovaná rizika bezezbytku pokrýt, ale pouze jen taková, u kterých je to efektivní. Zbytek rizik postačí pouze akceptovat a sledovat.

Pro sledování nových typů rizik a rozpozná ní bezpečnostních incidentů je nutné aktivovat generování záznamů o nejdůležitějších bezpečnostních událos-tech a tyto záznamy vyhodnocovat.

Součástí plánu zvládání rizik je i sledování nár oků na provoz jednotlivých opatření a celkového zajištění bezpečnosti. Z hlediska preferencí při výběru opatření hrají celk ové nároky na jejich zavedení a provoz hlavní r oli.

Posledním krokem v této části je tvorba a údržba Havarijních plánu (DRP – Disaster Recovery Planning) a Postupů řešení bezpečnostních incidentů (IHR – Incident Response Handling). Pro malé podniky nemá cenu a je neefektivní vy-tvářet a udržovat podrobné formální havarijní plány. Postačí pouze vytvoření stručného univerzálního havarijního „check listu“ pro všechny možné případy havárie, který bude obsahovat postup bezpečného vypnutí, restartu technického vybavení a serverů, jednoduchý záznam výsledné konfigurace technologií a apl i-kací, postup obnovení dat, kontakty na důležité osoby. U středně velkých firem je potřeba Havarijní plán detailněji popsat a tento plán pravidelně testovat, ak-tualizovat a na základě výsledků testů vylepšovat.

Kontroluj (Check)

Tato část nám dává zpětnou vazbu a vedení firmy má informace o tom, jak zása-dy a bezpečnostní politika byly naplněny , jestli byla zavedena všechna bezpeč-nostní opatření uvedená v Prohlášení o aplikovatelnosti opatření a zda fungují spolehlivě a efektivně.

Základní zdroj informací pro kontrolu funkčnosti a spolehlivosti je monito-ring provozu klíčových prvků IS a ochranných opatření. Pro případ, že firma plánuje certifikaci, je potřeba vytvářet a shromažďovat záznamy o fungování alespoň těch opatření, která jsou uvedena v Prohlášení o aplikovatelnosti. Bohu-žel ne všechny typy opatření generují automaticky záznamy o činnosti, v tomto případě je potřeba záznamy generovat ručně. U malých firem je dostačující v ý-chozí nastavení logování pro účely monitoringu IS a občasná ruční kontrola. U středních firem už je potřeba vygenerované záznamy filtrovat a pomocí skrip-tů nebo dodatečných programů vyhledávat nestandardní události.

Důležitou součástí třetího kroku v PDCA modelu je testování funkčnosti opatření. Pasivní metody kontroly je potřeba doplnit aktivními a preventivními způsoby, např. aplikačními kontrolami chyb výpočtů a zpracování dat nebo tes-továním zranitelnost í a penetračním testováním systémů, jemuž se budu věno-vat ve větším detailu v další kapitole.

Dále musíme realizovat Audit a kontrolu bezpečnostních opatření, aby-chom měli zpětnou vazbu o stavu reality vůči plánu a návrhu požadovaného c í-lového stavu. U ISMS by měl audit zahrnovat kontrolu funkčních bezpečnost-ních i řídících opatření ISMS, která se nachází v Prohlášení o aplikovatelnosti a jsou popsána v bezpečnostní dokumentaci. A pomocí auditu ověřit jak jsou realizována v praxi. U malé firmy postačí přiřadit funkci interního auditora ně-jakému stávajícímu zaměstnanci, který jednou ročně prodiskutuje výstupy audi-tu s ředitelem firmy a se zaměstnanci. U středně velké firmy není od věci zavést novou funkci bezpečnostního auditora. Tento zaměstnanec bude mít za úk ol provádění plánovaných i namátkových kontrol a následnou analýzu těchto aud i-tů.

Posledním krokem v této části je ověření funkčnost i, spolehlivosti a úplnos-ti funkčních i řídících opatření. Jednou r očně zkontrolovat rozsah, adekvátnost a efektivnost celého ISMS a výsledky projednat s vedením firmy. Tato činnost vyžaduje široký přehled a zkušenosti z oblasti bezpečnosti informací a malé i střední firmy by se měly obrátit na externí firmy, které se touto problematikou zabývají.

Jednej (Act)

Význam této poslední části modelu PDCA spočívá ve vyhodnocení výsledků au-ditu a kontroly funkčnosti bezpečnostních opatření i ISMS procesu, který za-počne další cyklus PDCA, ve kterém budou naplánována, zavedena, zkontrolo-vána a opět vyhodnocena nápravná a preventivní opatření k zajištění požadova-ného a konzistentního stavu bezpečnosti v čase. Pro správné naplánování dalších a nových úprav je potřeba mít co nejpřes-nější a nejúplnější informace o aktuálním stavu a cílech organizace. Tyto infor-mace nám poskytne předchozí zmíněná část Dělej PDCA modelu. V malých fir-mách toto vyhodnocení provede zaměstnanec, který byl tímto úkolem pověřen. U středních a velkých podniků je dobré zavést fórum pro bezpečnost informací, ve kterém se bude evidovat revize návrhů a možné vylepšení jak bezpečnosti informací, tak i celého pr ocesu ISMS. Do tohoto fóra přispívají zástupci uživat e-lů, dodavatelů a odborníci pro oblast bezpečnosti informací v organizaci.

Po definování nedostatků a chyb v rámci ISMS zavedeme nápravná opatře-ní a zabráníme dalšímu trvání. Může se jednat např. o neúplnou implementaci opatření zvolených v Prohlášení o aplikovatelnosti opatření, o chybějící doku-mentaci těchto opatření, nedostatečné proškolení zaměstnanců apod.

K zabránění výskytu potenciálních neshod v budoucnu jsou zavedena pre-ventivní opatření, která nám pomůžou snížit př íčiny, které by mohly vést ke vzniku reálné nežádoucí situace. Zde např íklad můžeme uvést nedůsledné provádění potřebných monit orovacích činností nebo nedodržení oddělení rolí u některých činnost í.

Typy útoků

Útoků je celá řada a nebudou zde uvedeny všechny možné druhy. Různé útoky se sou-středí na rozdílné cílové systémy s odlišnými cíly. Některé chtějí pouze zne-přístupnit službu, aby se zákazníci banky nedostali ke svým účtům. Jiné útoky jsou zákeřnější a chtějí se dostat do cílového systému a odtud získat různé citlivé informace a data.

Wi-Fi sítě

Wi-Fi síť je častý doplněk mnoha podnikových sítí, ale jedná se i o značnou hrozbu. Na zabezpečení Wi-Fi sítí se musí klást velký důraz, protože je zde větší šance zneužit í než u fyzických sítí. Podstatná výhoda pro útočníky je, že nepo-třebují přímý přístup k síťovým prvkům a nemusí být ani přímo v budově, signál může dosahovat až za zdi podniku a útočník může sedět na lavičce poblíž , nebo v autě na parkovišti vedle podniku.

Útoky na Wi-Fi sítě jsou poměrně rozšířené a existuje mnoho nástrojů, kte-ré tyto útoky usnadňují a poté umožňují i následný odposlech citlivých informa-cí.

Za dnes již archaickou záležitost se považuje zabezpečení WEP, které je snadno prolomitelné. Za bezpečné se nepovažuje ani WPA, který je následník WEP s mnoha vylepšeními. Dnes by mělo být samozřejmostí zabezpečení WPA2.

Sociální inženýrství

Jedná se o techniku, která se také nazývá sociotechnika. Je to technika využív a-jící lidského prvku v podniku. Soustřeďuje se na přesvědčování a ovlivňování lidí, aby uvěřili, že útočník je vlastně někdo jiný, např. správce systému. A poté je zmanipulovat k vyzrazení nějaké citlivé informace, třeba hesla k systému.

Další možnost sociotechniků je, že si nejdříve získají zcela nepodstatné in-formace, ze kterých si odvodí další informace významnější. Takovou studnicí informací mohou být např. internetové stránky firmy. Zde mohou získat t ele-fonní čísla, e-mailové adresy a jména zaměstnanců, které se dají dále využít k získání dalších informací. Když získá některá jména zaměstnanců, může si je vyhledat na sociálních sít ích jako je Facebook, Google plus nebo Twitter a zde uvedené informace využít v dalších etapách útoku.

Jednou z dalších metod je tzv. trashing, kdy útočník prohledává vyhozené dokumenty ve firmě a může se opět dozvědět zajímavé informace př ímo o fun-gování podniku a jejich zaměstnancích.

Když má útočník základní informace, přistoupí k samotnému útoku. Čím větší podnik, t ím je snadnější se vydávat za nějakého zaměstnance a vzbudit dů-věru v zaměstnanci, kterého si útočník vybral. Tuto důvěru může vzbudit v oso-bě právě získanými informacemi o jiné osobě ze sociální sítě a tím přesvědčit, že znají stejnou osobu. Poté je větší pravděpodobnost, že oběť útočník ovi sdělí požadované informace. Další možnost je ovlivňování pomocí autority, kdy se útočník odvolává na svého šéfa a důležitost úkolu. (3)

Phishing

Do češtiny se také překládá jako „rhybaření“. Jedná se o e-mailové útoky, které mají za cíl vylákat z uživatelů důvěrné informace. Např. údaje k platebním kar-tám, přihlašovací údaje k různým účtům. Takovýto e-mail se snaží vyvolat do-jem odeslání z organizací, na jejichž klienty jsou útoky vedeny. Může obsahovat text v podobě neprovedení platby, výzvy k aktualizaci údajů včetně hesla, o za-blokování platebních karet a další.

Ve zprávě bývá odkaz, který vede na podvodné webové stránky a formulář, proto je potřeba být ostražitý a kontrolovat, kam nás odkaz přesměroval. (4)

VoIP

Voice over IP je přenos hlasových dat po IP sítích. Tato technologie používá ce-lou řadu protokolů, má vysoké požadavky na kvalitu sítě a celkově je poměrně složitá, z toho plyne, že má hodně slabých míst.

Nejjednodušším útokem na VoIP služby je využití útoku typu DoS. Velké množství žádost í o navázání spojení, tzv. SIP INVITE, dokáže zahltit celou infra-strukturu.

Další možnost útoku spočívá v podvržení identity volajícího. Některé hlaso-vé schránky používají službu ident ifikace volajícího pr o autentizaci a díky této metodě se může útočník do hlasové schránky dostat bez znalosti hesla.

Je i možnost přímo do hovoru vkládat data. Je to složitý útok a volající si ho většinou všimnou, pr otože vkládání RTP paketů do existujícího spojení se větši-nou neobejde bez problémů na VoIP zařízení a možné jsou i pády.

V případě, že útočník má možnost se k telefonu připojit, může zkusit najít webové rozhraní pr o správu telefonu a zkusit uhádnout heslo, většinou bývá v defaultní podobě. P oté může pozměnit konfiguraci telefonu a podstrčit mu vlastní DHCP server a nebo TFTP server, ze kterého si stahuje konfiguraci nebo také novou verzi firmwaru.

U VoIP dat se může stát, že odejdou zajímavé informace o topologii sítě a proto se hodí přepisov ání SIP hlaviček. (5)

Dostupnost služeb

Útoky na dostupnost služeb se nazývají DoS útoky (Denial of Service - odmítnutí služby). Existuje mnoho druhů útoků tohoto typu, které se můžou soustředit na nějak ou chybu v programu nebo v operačním systému. Dalším typem je zahl-cení cílového stroje požadavky, ten nestíhá odbavit veškeré dotazy a stane se nedostupným. Tyto útoky bývají hodně zákeřné a obrana proti některým typům není snadná a je velice nákladná.

SYN flood

Tento typ DoS útoku je už poměrně starý, ale stále hojně využívaný a efektivní. Pro správné navázání komunikace s cílovým systémem se v TCP využívá tzv. three-way handshake (trojcestné potřesení rukou). Nejdříve je vyslán paket s příznakem SYN, cílový systém odpoví SYN-ACK, poté se pošle ACK ze zdrojo-vého systému a spojení je úspěšně navázáno.

U útoku SYN flood toto navázání není dodrženo. Útočník posílá pakety z podvržených adres s příznakem SYN, ale už neodpovídá na pakety s příznakem SYN-ACK, které vysílá cílový systém. Tímto dochází k otevření několika nedo-končených spojení a ty blokují odbavení dalších požadavků a cílový systém se stává nedostupným.

Obr. 1 Korektní navázání TCP spojení

Obr. 2 Útok typu SY N flood

Dá se využít i reflektivního út oku, kdy útočník svůj útok zesiluje pomocí ji-ných počítačů nebo směrovačů, které ani nemusel dříve napadnout. Velká výho-da spočívá v tom, že je minimální šance vystopovat útočníka. Data při tomto útoku netečou stejnou cestou, ale mění se s tím, jak se mění počítače, které jsou použity. (6)

ICMP flood

Tento útok využívá protokolu ICMP a nejčastěji s pakety ICMP Echo, které jsou použity pro ping. Zde můžeme nastavit paketu ICMP Echo až 65 kB. Při odpov í-dání serveru na paket ICMP Echo, využívá paketu ICMP Echo reply a zachovává jeho velikost. Tím dochází k záplavě spojení v obou směrech. Provést tento útok je velmi snadné, ale také je velmi snadné ho odfiltrovat. (7)

DNS zesilující útok

Útok spočívá v posílání DNS dotazů se zdr ojovou IP adresou nastavenou na IP adresu oběti. U tohoto útoku se dá dosáhnout více než 70 násobku původních dat a považuje se za nejsilnější funkční útok. Jediné, co k provedení tohoto úto-ku potřebujeme, je veřejný relay DNS server. (6)

Smurf

Smurf využívá ICMP protokolu. Zde echo request posílá na síťovou broadcast adresu s cílovou podvrženou adresou. Když klienti obdrží echo request, odpoví echo reply na oběť a ta je zahlcena množstvím odpovědí. V případě, že na této síti nejde použít echo request na broadcast, dá se pro zvýšení efektivnosti použít nějaká jiná síť, která toto podporuje. Tato informace se dá najít na stránkách http://www.powertech.no/smurf/.

Fraggle

Fraggle útok je podobný jako Smurf, ale s tím rozdílem, že využívá UDP místo ICMP. Tento útok pracuje s programy CHARGEN a ECHO UDP, které operují na portech 19 a 7. Obě tyto aplikace jsou navrženy, aby se chovaly jako ICMP ping. Jsou navrženy, aby daly vědět o své aktivitě na síti, když jsou dotázány . Protože tyto dvě aplikace komunikují mezi sebou, dá se mezi nimi vytvořit ne-konečná smyčka. (8)

Ping of Death

Tento typ útoku pracuje s délkou paketu. Standardní paket ICMP Echo request může být maximálně 65 535 bytů. Ale tato velikost se dala upravit, a když ho útočnici vyslali proti cílovému systému, systém na takovou velikost nebyl připraven a zkolaboval. Využíval chyby operačního systému, ale v současnosti je již odstraněna, tudíž je tento typ útoku už nepoužitelný. (9)

Webové aplikace

Webové aplikace jsou stále rozšířenější a tento trend bude i nadále pokračovat. Z toho plyne, že i útočníci se více a více soustředí na toto prostředí a je potřeba věnovat pozornost jejich zabezpečení, aby data uživatelů byla v bezpečí. Existuje velké množství útoků vedené proti webovým aplikacím a některé mají stejnou podstatu jako útoky na servery či desktopové aplikace. Neziskový projekt, který se zabývá bezpečností webových aplikací, se nazývá The Open Web Application Security Project (OWASP). Na portálu tohoto projektu se dá zjistit velké množ-ství útoků na webové aplikace a také jak se prot i nim bránit, jiné také uveřejňují žebříčky nejčastějších hrozeb.

Existuje značné množství nástrojů, které pomáhají analyzovat a nacházet chyby ve webových aplikacích a napomáhají cílovou aplikaci napadnout. Od jednodušších, zdarma dostupných aplikací, které se soustředí na užší okruh problematiky (Achilles, Paros Proxy) až po komplexní komerční balíčky (SPI Dynamics WebInspect a SPI Toolkit). (5)

SQL injection

Tento útok se dá považovat za velmi oblíbený a poměrně jednoduchý. Webová aplikace k omunikující s databázovým serverem využívá SQL dotazy . Problém nastává, když vstupy z formulářů nekontrolujeme a můžeme právě nějaký SQL dotaz spustit přes tento formulář.

Význam SQL dotazů lze snadno změnit jedním vhodně umístěným znakem. Mezi tyto znaky patří například apostrof, středník nebo dvojitá pomlčka. A tyto znaky mají v SQL dotazech zvláštní význam. Díky těmto úpravám v dotazech může útočník obejít autentizace, zničit data nebo volat zvláštní funkce a uložené procedury.

Abychom se ubránili tomuto útoku je potřeba hlavně kontrolovat data od uživatelů. Dále využívat uložené procedury, nachystané dotazy, zabezpečení databázového serveru a definovat uživatele, role, práva a triggery.

XSS

I při tomto útoku se využívá nedostatečné kontroly vstupu a cílem není samotná aplikace, ale její uživatelé. Útočník vloží do napadené webové stránky speciální spustitelný kód. Po navštívení této stránky uživatelem se tento kód spustí a mů-že dojít až k ovládnutí počítače.

Podstata útoku spočívá ve špatném zpracování HTML vstupu a výstupu, především ostrých závorek (<>) a několika dalších znaků (&, #), které mají v HTML zvláštní význam. Umožňuje nám to vložit skript do proměnné, zobrazit hodnoty cookies nebo vložit cizí kód pomocí značky img.

K obraně nám může pomoci odstranit nebo zakódovat všechny speciální znaky, které se mohou objevit na vstupu či výstupu, zakázání skriptovacího pří-stupu ke cookies pomocí použit í HTTP hlavičky HttpOnly. (5)

Reverzní inženýrství

V otázce bezpečnosti se jedná o pokročilou techniku nalézání chyb v softwaru, která spočívá v rozebrání programu a pr ozkoumávání zdrojového či binár ního kódu. Pro reverzní inženýrství existují automat izované nástroje nebo se využívá ruční analýzy. Další motivací pro tuto techniku může být posouzení schopnosti výrobce, vytvoření kompatibilního programu nebo komponenty, zjištění, zda program neobsahuje nějaké nezdokumentované funkce.

Automatická analýza zdrojového kódu usnadňuje nalezení známých pro-gramátorských chyb a měla by být jednodušší než analýza odpovídajícího binár-ního souboru. Samozřejmě automatická analýza nepřijde na všechny chyby, jen na ty známé. Poté je potřeba využít ruční analýzu, ovšem ta je náročnější a vyžaduje více schopnost í v programování. (10)

Prolomení hesel

Využívání hesel pr o přihlašování do systémů není velice bezpečné, ale je využí-váno nejvíce. Při dodržení základních pravidel se dá alespoň zvýšit bezpečnost přihlašování hesly.

Existují 4 bezpečnostní faktory:

 Něco, co identita zná – heslo

 Něco, co identita vlastní – bezpečnostní karta

 Něco, čím identita je – biometrika

 Něco, co identita dělá – styl podpisu

Pro bezpečné přihlašování by se mělo používat alespoň 2 faktorové přihlašování, např. otisk prstu a heslo. Ale ve většině případů se používá pouze heslo.

Nebezpečí používání hesel spočívá v jeho možném uhodnutí či odposlech-nutí. Je důležité, aby firemní politika týkající se hesel měla nastavené podmínky, které by uživatelé museli dodržovat. Zavést minimální délku hesla, a aby musela obsahovat malá a velká písmena, číslice nebo případně speciální znaky. Dalším problémem je zvolení vhodného uložení a přenos těchto hesel po síti. Je potřeba hesla neukládat v čitelné podobě, ale zašifrovat je např. pomocí hashovací funk-ce MD5, případně zvolit hashovací funkci s tzv. solí, která zašifruje dvě stejná hesla jako jiný řetězec znaků a je poté pro útočníka složitější ho dešifrovat. Dále je potřeba zabezpečit přenos tohoto hesla po šifrovaném kanále, aby nebylo možné ho odposlechnout.

Pro prolamování hesel existuje mnoho nástrojů, které využívají různé me-tody. Slovníkové útoky, kde už jsou připraveny v textovém souboru slova, podle různých kategorií, jako křestní jména, anglická slova atd. Útoky brutální silou, kde se zvolí rozsah znaků, které se mají zkoušet a délka hesla a znak po znaku program zkouší dané heslo. Hybridní útok, který kombinuje slov níkový útok s útokem brutální síly. (8)

Přetečení zásobníku

Při tomto útoku dochází k výjimce při přístupu k paměti, čímž nastává pád pro-gramu nebo spuštění nekorektní částí k ódu (kódu út očníka apod.). Výsledek tohoto je špatný běh aplikace a možné přepsání dalších zásobníků, proměnných a dat. (11)

Důsledkem tohoto útoku může nastat DoS útok. Dále se může útočníkovi podařit provedení kódu s oprávněním obyčejného uživatele anebo v nejhorším případě vykonání kódu s právy správce systému. (10)

Malware

Jedná se o škodlivý software, který se dá rozdělit do několika skupin.

Viry a červi

Tato havěť si je podobná, ale liší se způsobem šíření. Viry využívají toho, že se připojí již k nějaké existující aplikaci, a tímto se šíř í na další počítače. Červi ne-využívají třetích stran pro své šíření, ale mají vlastní kód, který se postará o na-kažení dalších systémů. Každopádně oba tyto ty py malwaru mají za cíl škodit a rozšířit se na co největší počet systémů.

Trojské koně

Podstata trojských koní spočívá v tom, že se schovají do systému jako aplikace, která ve skutečnosti dělá něco jiného. Obvykle se jedná o rootkit nebo zadní vrátka. Rootkit se skládá ze dvou částí – přenašeče a nák ladu. Přenašeč zneužije nějaké bezpečnostní chyby a spustí náklad, který se může přidat do jádra systé-mu a uklízet po sobě stopy v podobě úpravy jádra, skrývání souborů a adresářů, skrývání procesů, skrývání klíčů registru, odp oslech klávesnice a dalších. Po usazení v systému může na dálku vykonávat různé úkony, které dostane od svého velitele, např. rozesílat spam, útoky typu DDoS a také infekce dalších počítačů. Taková armáda ovládaných systémů se nazývá Botnet a při velkých počtech ovládnutých systémů můžou mít dalekosáhlé následky. Síla těchto zom-bie počítačů se dá v dnešní době i pronajímat zájemcům o různé aktivity a cena není nikterak velká. (5)

Penetrační testování

Penetrační testování (také zkráceně pen testing) je forma etického hack in-gu, která spočívá ve skenování sítě a hledání zranitelností s jejich následným využitím k napadení systému. Tato skutečnost se děje na základě dříve uzavřené smlouvy o provedení testů, kde majitel nebo vedoucí firmy kontaktuje některou z firem, která se touto problematikou zabývá, ohledně provedení těchto testů za účelem nalezení co největšího počtu chyb a vyhotovení závěrečné zprávy. Na základě této závěrečné zprávy si majitel firmy či vedoucí rozmyslí další kro-ky. Když se naleznou nedostatky, může buď zaúkolovat systémové administrát o-ry, aby uvedli tyto nedostatky do pořádku, nebo si najmout specializovanou fir-mu, která se stará o zabezpečení systémů. K této zprávě je také důležité přiložit nějaký důkaz o tom, že útok byl proveden úspěšně. Například snímek obrazov-ky, získaná hesla a další. Penetrační testování je také nedílnou součástí bezpe č-nostního auditu a ověření funkčnosti ISMS, kde hlavní roli hraje ve třetí fázi Kontroluj (Check).

Výhod má penetrační testování mnoho. Poukáže na nedostatky v síti a do-nutí majitele tuto situaci řešit, a tím zlepšit bezpečnost systému, nicméně pene-trační testování může nějaké chyby přehlédnout a systém může být stále zrani-telný, proto je potřeba si uvědomovat, že po vykonání penetračního testu není systém nenapadnutelný.

Znalost prostředí a smlouva

Před započetím penetračního testování a sepsáním smlouvy je potřeba seznámit vedení firmy s průběhem testů, co testy obnáší, jaké části se budou testovat a co může při testování nastat za incidenty a jaká r izika hrozí. Poté se také rozhod-nout, zda testy provádět v pracovní době, nebo mimo ni.

Otázkou také je, s jakými znalostmi testovací tým do testování vstupuje. Existují tři základní varianty tohoto přístupu ke znalostem a nazývají se Black Box, White Box a Grey Box.

Tyto varianty se od sebe odlišují v míře vstupních informací, se kterými tým do testování vstupuje. Ve variantě Black Box testovací tým nedostane od firmy žádné informace o struktuře sítě a systému a musí si zjistit všechny informace sám. Oproti tomu při White Box dostane tým od vedení firmy nebo od adminis-trátorů informace, o které požádá. Popis struktury sítě, IP rozsahy, které se ve firmě používají, operační systémy, které běží buď na serverech, nebo na klient-ských stanicích a další. Grey Box je střední cesta mezi Black Boxem a White Bo-xem a u této varianty jsou vstupní informace testovacího týmu mírně omezeny.

Dalším krokem je sepsání bezpečné smlouvy a dokumentu, který bude po-pisovat veškeré útoky a testy. Tato smlouva je důležitá a slouží pro ochranu tes-tovacího týmu. Proto je vhodné ji nechat zkontrolovat právníkem se zaměřením na právo v oblasti IT. Podstatné také je, aby smlouvu ve firmě podepsal člověk, který má k tomuto úkonu pravomoc.

Red teaming

Red teaming je velice komplexní pr oces, který se skládá z více typů testů bez-pečnosti, které co nejvíce zmapují zranitelnosti v podniku ze všech úhlů a do větší hloubky . Pod red teaming spadá i penetrační testování. Dále se red team-ing podle požadavků podniku může zaměřit na sociální inženýrství, kontrolu fyzické bezpečnosti, testování IDS, testování vnitřních síťových aplikací, kontr o-lu fyzické bezpečnosti a další testy celkové bezpečnosti podniku. Také se dá ov ě-řit reakce zaměstnanců na bezpečnostní incident. Pro vykonávání takovýchto testů je potřeba si najmout kvalitní tým, který zaměstnává opravdové odborníky na bezpečnost.

Díky tomuto druhu testování se můžeme dozvědět o nedostatcích v podniku, které nám penetrační testování nesdělí a výhodou je také provádění testů bez vědomí zaměstnanců, a tím zachytit každodenní bezpečnostní zvyky , především nedostatky týkajících se lidských zdrojů. Lidský faktor stále patří me-zi největší bezpečnostní hrozby.

Systémové testy

Tyto testy se výrazně liší od penetračních testů a red teamingu. Jsou mnohem těžší na vykonávání, protože zde se nepoukazuje pouze na již známé chyby, ale je potřeba hledat i chyby nové. Proto je zapotřebí větších znalostí. Zaměřují se na konkrétní aplikaci nebo systém a celý rozsah je menší než u penetračního test o-vání.

Při těchto testech se u aplikace pozoruje, jak instalace pozmění konfiguraci stanice. Je důležité sledovat změny v registru, v inicializačních souborech, práva adresářů a souborů na Unix systémech anebo ACL na Windows.

OSSTMM

Jedná se o metodiku pro vykonávání penetračních testů. Celým názvem se nazý-vá Open Source Security Testing Methodology Manual (OSSTMM). První verze tohoto manuálu byla vydána v roce 2000 a momentálně je vydaná verze 3. Je udržována Institucí pro bezpečnost a otevřenou metodiku (ISECOM – Insti-tute for Security and Open Methodologies) a je vydávána pod svobodnou licencí. Tato metodika se dá také použít na audit, který je dostačující i pro požadavky větších podniků.

Pravidla závazku:

 Rozsah projektu

 Smlouva o mlčenlivosti

 Kontakt při stavu nouze

 Prohlášení o změně pracovního postupu

 Plán testování

 

Postup testování

 Výsledná zpráva (12)

Na počátku je potřeba definovat bezpečnostní test, který se skládá ze 7 kroků:

1. Určit, co je potřeba chránit. Určit aktiva podniku. Bezpečnostní mechanis-mus pro tyto aktiva spočívá v kontrole a určení mezí.

2. Identifikovat oblast, která se týká aktiv. Zahrnout také bezpečnostní me-chanismy a procesy nebo služby postavené na aktivech. Tato oblast se pov a-žuje za pracovní zónu.

3. Definovat všechno mimo pracovní zónu. Potřeba naše aktiva ponechat funkční. To může zahrnovat věci, které nemusíte být schopni přímo ovlivnit jako elektřinu, jídlo, vodu, vzduch, informace, legislat ivu, předpisy a věci, se kterými jste schopni pracovat jako s kolegy, dodavateli a tak dále. Také spočítat funkce, které udržují infrastrukturu schopnou provozu jako proce-sy, protokoly a nepřetržité zdroje. Toto se považuje za testovací rozsah.

4. Definovat jak rozsah ovlivňuje sám sebe a vnější prostředí. Logicky rozčle-nit aktiva uvnitř rozsahu podle směru působení jako např íklad z vnitřku ven, z venku dovnitř, z vnitřku dovnitř, z oddělení A do oddělení B a tak dá-le. Toto je označováno jako v ektory. Každý vektor by měl být ideálně oddě-lený test k zachování rozčlenění testu.

5. Identifikovat, které vybavení bude potřeba pro každý test. Uvnitř každého vektoru může vzájemné ovlivňování nastat na různých úrovních. Tyto úrov-ně mohou být klasifikovány mnoha způsoby, nicméně jsou zde klasifikov á-ny funkcemi jako 5 kanálů. Mezi kanály patří lidé, fyzické, bezdrátové, tele-komunikační a datové sítě. Každý kanál musí být odděleně testovaný pro každý vektor.

6. Určit, jaké informace se chceme dozvědět z testů. Budou se testovat ovliv-ňování aktiv nebo také odezva z aktivního bezpečnostního opatření? Testo-vý typ musí být individuálně definovaný pro každý test. Je šest běžných ty-pů pojmenovaných jako Blind, Double Blind, Gray Box, Double Gray Box, Tandem a Reversal.

7. Ujist it se, že definovaný test je v souladu s pravidly závazku. Směrnice k za-jištění procesu pro řádný bezpečnostní test bez vytvoření nedor ozumění, špatné představy nebo nesprávného očekávání. (13)

Kanály

Jak už bylo řečeno, OSSTMM metodika obsahuje pět testovacích kanálů (oblas-tí), které jsou rozděleny do tří tříd. První třída, fyzická bezpečnost, obsahuje k a-nály lidské a fyzické. Druhá třída se nazývá spektrální bezpečnost a patří sem bezdrátové technologie. Třetí třída se týká komunikační bezpečnosti a řadí se sem telekomunikace a datové sítě.

Popis kanálů:

Lidé: zahrnuje lidský faktor komunikace, kde jejich vliv je fyzický nebo psychologický.

 Fyzický: fyzická bezpečnost testuje, kde je kanál povahy jak fyzické, tak i neelektrické. Zahrnuje hmotné elementy bezpečnosti, kde interakce vyžaduje fyzické úsilí.

 Bezdrátové technologie: zahrnuje všechnu elektronickou komunikaci, signály a vyzařování, které probíhá v elektromagnetickém spektru.

 Telekomunikace: zahrnuje všechny telekomunikační sítě, digitální i ana-logové, kde interakce probíhá při zakládání telefonních nebo tomu po-dobných síťových linek.

 Datové sítě: zahrnují všechny elektronické systémy a datové sítě, kde in-terakce probíhá při zakládání kabelových síťových linek. (13)

Testové typy

V metodice OSSTMM je uvedeno celkem šest různých typů, které se rozlišují podle množství informací, které testeři mají k dispozici o cíli a naopak jaké in-formace mají cílové systémy o testerech.

Obr. 3 Přehled testových typů

Testové typy:

 Blind: analytik zaměstná někoho, kdo nemá dřívější znalosti o obraně, aktivech nebo kanálech cíle. Cíl je připraven na audit, zná více do hloubky detaily auditu. Blind audit primárně testuje schopnosti ana-lytika.

 Double Blind: analytik zaměstná někoho, kdo nemá dřívější znalosti o obraně, aktivech nebo kanálech cíle. Cíl není informován více do hloubky o rozsahu auditu, testovaných kanálech nebo testovaných vektorech. Double blind testuje schopnosti analytika a připravenost cíle proti neznámým proměnným rozruchům. Tento test je také znám jako Black box nebo penetrační test.

 Gray box: analytik zaměstná někoho s omezenými znalostmi o obraně, aktivech a plnou znalostí kanálů. Cíl je připraven na audit, má pokročilé informace o detailech auditu. Gray box audit testuje schopnosti analyti-ka. Povaha testu je efektivnost. Také se tento test dá nazvat testem zra-nitelností.

 Double Gray box: analytik zaměstná někoho s omezenými znalostmi o obraně, aktivech a plnou znalostí kanálů. Cíl je seznámen s detailem rozsahu a časovým rámcem auditu, ale ne s testovanými kanály nebo testovanými vektory. Tento test zjišťuje znalosti analytika a připravenost cíle na neznámé proměnné. Znám také jako White box test.

 Tandem: analytik a cíl jsou připraveni na audit, oba mají detailní infor-mace o auditu. Tandemový audit test chrání a řídí cíl. Nemůže testovat připravenost cíle na neznámé proměnné. Pravá podstata testu je dů-kladnost analytika, protože má plný rozhled o všech testech a jejich od-povědí. Může být také označován jako Crystal box.

 Reversal: analytik zaměstná cíl s úplnými znalostmi jejich procesů a funkční bezpečnosti. Ale cíl neví nic o tom, jak, co a kdy analytik bude testovat. Pravá podstata tohoto testu je audit připravenosti cíle k neznámým proměnným a vektorům rozruchu. Také nazýván jako Red Team cvičení. (13)

ISSAF

Tuto metodiku zaštiťuje Open Information Systems Security Group (OISSG). Information System Security Assessment Framework (ISSAF) poskytuje podrobné informace jak vykonávat penetrační testy. Jedna z výhod této metodi-ky je, že vytváří rozdílné spojení mezi úlohami v rámci penetračních testů a je-jich nástrojů. Ačkoliv OSSTMM nenavrhuje použití určitých nástrojů během provádění testu, profesionální penetrační tester bude užívat většinu, ne-li všechny, nástroje užity v ISSAF, i když se bude řídit OSSMTT metodikou.

Metodika ISSAF se dělí na 3 fáze:

1. Plánování a příprava

Tato fáze zahrnuje kroky k výměně počátečních informací, plán a přípravu na test. Před započetím testování je potřeba podepsat smlouvu o provedení testu. Specifikovat testovací tým, přesná data, časy testů a další záležitosti.

Následující aktivity jsou zahrnuty v této fázi:

 Seznámení jednotlivců z obou stran

 Schůze k potvrzení rozsahu, přístupu a metodiky

 Souhlas s danými testy a úroveň eskalace

2. Hodnocení

Fáze druhá se rozděluje do více různorodých kroků a s větším ponořením do problematiky. Výhoda ISSAF metodiky je, že poskytuje podrobné infor-mace, např. obsahuje ukázky příkazů krok za krokem u programových ná-strojů, jak program rozběhnout. Během této fáze ISSAF rozděluje jednotlivé kroky do tzv. vrstev:

 Sběr informací

 Mapování sítě

 Identifikace zranitelností

 Penetrace

 Získání přístupu

 Získávání dalších informací pro další průnik

 Udržování přístupu

 Zakrytí stop

Vrstvy penetračního testu můžou být aplikovány na následující cíle: sítě, klienti, aplikace a databáze. Tyto cíle jsou popsány do dalších detailů.

V síťové bezpečnosti jsou popsány oblasti testování hesel, hodnocení zabez-pečení přepínačů, směrovačů, firewallů, IDS, VPN, SAN, bezdrátových sítí a dal-ších.

Klientské zabezpečení se soustředí na bezpečnostní problémy Unix/Linux systémů, Windows systémů, Novell Netware a na webové servery.

Zabezpečení aplikací se soustřeďuje na webové aplikace, útoky typu SQL Injection a také na audit zdrojového kódu a binárních souborů. Zabezpečení databází se prolíná i s bezpečností aplikací, protože mnoho aplikací komunikuje s databázemi.

ISSAF také počítá se sociálním inženýrstvím a zahrnuje i phishingové me-tody útoku a XSS.

3. Výsledná zpráva, úklid a odstranění agentů

Jedná se o poslední část a finální kroky v tomto procesu. Nejprve musíme odevzdat výslednou zprávu, která bude obsahovat výsledky našeho testová-ní a seznámit s těmito výsledky vedení firmy. Tato výsledná práce bude ob-sahovat: rozsah práce, užité penetrační nástroje, použité exploity, data a ča-sy testů, všechny výstupy nástrojů a exploitů, seznam identifikovaných zra-nitelností a doporučení k jejich odstranění, které budou organizovány podle závažnosti.

Posledním krokem je uklidit po sobě systémy, odstranit použité exploi-ty a uvést celý systém do původního stavu. (12)

Praktické provedení penetračních testů

Pro penetrační testování existuje mnoho nástrojů, které se liší kvalitou, zaměře-ním, dostupností, cenou a dalšími kritérii. Tyto nástroje se dělí podle jejich úče-lu.

Některé, jednodušší, pouze skenují zvolený rozsah IP adres a zvolený roz-sah portů a hledají, které z těchto portů jsou otevřené, a tedy potenciálním bez-pečnostním rizikem.

Další nástroje jsou určené pro identifikaci operačních systémů a síťových služeb, které mohou povědět i jaké verze těchto systémů jsou použity, díky če-muž může být ušetřen čas při výběru exploitu pro známou zranitelnost.

Některé nástroje zvládají prověřit síť, určit operační systémy, prohledat da-tabázi zranitelnosti a poté vypsat seznam zranitelných míst v seznamu a také vypsat, který exploit je na tuto zranitelnost vhodný a může i zobrazit informaci, který nástroj takovýto exploit obsahuje. Toto zvládá např. program Nessus.

Také jsou nástroje určené pro odposlech síťového provozu, který může od-chytnout i hesla do různých systémů, e-mailů, síťových aplikací, a tím zjednodu-šit průnik do daného systému.

Pokud se nepodaří hesla odchytit, mohou být použity programy pro prola-mování hesel, ať už pomocí slovníkového útoku nebo útoku typu brute force. Tyto programy se dají použít například na vzdálené síťové aplikace, ale takový útok může vzbudit podezření, pokud se jeden uživatel snaží přihlásit k účtu a zkouší 1 000 hesel za sekundu. Ale jsou i programy, které se dají použít napří-klad na heslem opatřené archivy, zde pokud se útočník dostane k archivu, tak na svém stroji může provádět útok a počet zkoušených hesel za sekundu je už omezující pouze výkonem tohoto stroje.

Mnoho nástrojů se také soustředí na bezdrátové sítě. S pomocí těchto pro-gramů lze prolomit zabezpečení bezdrátových sítí a pak odposlouchávat síťový provoz. Mezi zcela nevyhovující zabezpečení patří protokol WEP, kde na prolo-mení může stačit i pár minut, záleží na síle signálu sítě a na typu použitého úto-ku.

Pak existují komplexní nástroje pro testování, které mohou ušetřit mnoho času. Jedná se o programy, které oskenují síť, zjistí zranitelnosti v systému a nabídnou vhodný exploit pro využití této zranitelnosti a útočník dá příkaz k jeho napadení a nástroj systém napadne. Podle typu chyby může získat útoč-ník nadvládu nad celým strojem. Mezi takovéto programy patří Core Impact, Metasploit nebo CANVAS.

Použité nástroje

Nmap

Nmap je volně dostupný open source program, který se využívá pro prozkoumá-vání sítí a bezpečnostní audit. Mnoho systémových a síťových administrátorů tento nástroj využívá pro síťovou inventuru, monitorování klientů a k dalším činnostem.

Využívá surové IP pakety neobvyklými způsoby k určení, kteří klienti jsou dostupní na síti, jaké služby běží na klientech, jaké operační systémy běží na klientech, jaké firewally jsou použity a mnohé další vlastnosti.

Je navržen, aby zvládal prozkoumat velké sítě rychle, a pracuje dobře i na jednotlivé klienty. Velká výhoda je v dobře zpracované dokumentaci a ve vel-kém množství dostupných tutoriálů. Nmap je také dostupný na celé řadě ope-račních systémů. Patří mezi ně Linux, Microsoft Windows, Mac OS X, FreeBSD, Solaris a mnohé další.

Jeho použití je snadné, využívá příkazového řádku. A díky programu Zen-map, lze tento program ovládat pomocí grafického uživatelského rozhraní a lépe interpretovat výsledky skenování.

Obr. 4 Zenmap

Nessus

Tento nástroj od firmy Tenable Network Security se zaměřuje na skenování zra-nitelných míst v systému. První verze byla vydána roku 1998 a nyní je ve ver-zi 5.2. Tento program podporuje velké množství operačních systémů, mezi něž patří Microsoft Windows, Mac OS X, celá řada Linux systémů, Free BSD a Sola-ris. Instaluje se jako webová služba, která je přístupná z webového prohlížeče na lokální adrese a na portu 8834.

Celosvětově má přes 17 000 zákazníků a obsahuje přes 54 000 známých zranitelností a konfiguračních kontrol a každodenní aktualizace. Také zvládá skenování webových aplikací, detekci mobilních zařízení v síti a exportování záznamů.

Co se týče cen pořízení tohoto softwaru, jsou k dispozici dvě hlavní nabídky. První je pro domácí a nekomerční použití, kde se stačí zaregistrovat. Poskytuje samozřejmě méně funkcí, ale hlavní funkce skenování je dostupná a podporo-vaný rozsah skenování je 16 IP adres. Tento balíček služeb se nazývá HomeFeed a také nezahrnuje podporu a obsahové audity. Též existují verze pro charitativní organizace a pro školy.

ProfessionalFeed je pro komerční využití. Licence se dá pořídit na jeden až tři roky a poskytuje i zkušební verzi, která má omezený počet funkcí na 15 dní. Obsahuje podporu, neomezený počet kontrolovaných IP adres a mnoho dalších služeb, např. audity a vykonávat kontrolu SCADA systémů. Cena licence činí 1 500 dolarů na jeden rok a zahrnuje instalaci až na devět počítačů. Dá se také ušetřit koupí licence na dva či tři roky. (14)

Program obsahuje velmi intuitivní grafické rozhraní, které je i velmi pře-hledné. Na Obr. 5 můžeme vidět vytvoření nového testu. Vytvoření je velmi jed-noduché. Vyplníme název skenování, typ skenování – jestli budeme chtít spustit skenování okamžitě po vytvoření, nebo až později. Dále máme na výběr ze ske-novací taktiky, zde najdeme, zda se jedná o externí skenování sítě, interní ske-nování sítě, příprava pro audit dle standardu PCI-DSS anebo skenování webo-vých aplikací. Pak už stačí zadat rozsah IP adres a skenování může začít.

Obr. 5 Nessus: vytvoření nového testu

A na Obr. 6 můžeme vidět obrazovku, kde je seznam všech prováděných a už provedených testů. Zde k nim můžeme přistoupit a podívat se na výsledky da-ného testu.

Obr. 6 Nessus: seznam testů

Metasploit

Metasploit je open source nástroj, který se využívá k eploitaci systémů a poprvé byl vydán roku 2004. Dříve byl tento program k dostání zcela zdarma, ale po odkupu společností Rapid7 v roce 2009 se objevily i komerční verze, ale je to stále open source projekt.

K dispozici jsou 4 verze tohoto programu. Metasploit Framework, který je určen pro vývojáře a pro bezpečnostní výzkumníky. Poskytuje základní rozhraní příkazového řádku, ruční exploitaci a vkládání exploitů třetích stran. Tato verze je zdarma.

Druhá verze se nazývá Metasploit Community. Je také zdarma a je určena pro malé podniky a studenty. Obsahuje jednoduché webové rozhraní, správu dat a základní exploitaci.

Další verzí je Metasploit Express, která je určena pro bezpečnostní techni-ky. Tato verze již není zdarma, nová licence stojí 5 000 dolarů na rok a její rozší-ření na další rok stojí 1 750 dolarů. Kromě vlastností, které má i Metasploit Community, obsahuje základní penetrační testování, chytrou exploitaci, audit hesel a základní zprávy o penetračním testování.

Jako poslední je verze Metasploit Pro určená pro střední až větší bezpeč-nostní týmy. Poskytuje vlastnosti jako Metasploit Express a navíc zvládá pokro-čilé penetrační testování, automatizaci, zprávy a ověření rizik. Dále testování webových aplikací, průvodce bezpečnostním auditem, sociální inženýrství a API pro vlastní integraci. Je k dispozici zkušební verze na sedm dní.

Metasploit je dostupný pro Microsoft Windows od verze XP až po verzi Windows 7 a to včetně serverových systémů. Pro Linux systémy a v Kali Linux je i tento program předinstalovaný. (15)

Šikovný program je Armitage, který se využívá jako grafická nadstavba programu Metasploit a přináší další zajímavé vlastnosti a jednodušší ovládání Metasploitu. Obsahuje v sobě již Nmap s předdefinovanými typy skenů. Do Armitage se dá nahrát seznam hostů, který byl získán z jiných programů jako Nmap nebo třeba Nessus.

Při nalezení klientů se mohou zobrazit graficky jako graf. Když je klientů více, tak by to nebylo až tak moc přehledné a dají se vypsat do tabulky. Poté je možnost vybrat nějaký exploit a vyzkoušet ho ručně nebo zadat, ať program projede dostupné exploity a vybere vhodný, který by mohl napadnout klienta.

Když se podaří napadnout klienta, v grafu zčervená jeho ikonka s počítačem a objeví se blesky. Záleží na typu exploitu, ale pokud se podaří dostat například na příkazovou řádku, tak se vše ovládá z dolního panelu. Zde je také vidět od-chyt stisknutých kláves, pořízený snímek obrazovky a tak dále.

Je to určitě dobrý pomocník na penetrační testování a díky němu se dají ta-ké vytvářet výsledné zprávy a přehledy. Výhodou je snadné ovládání a také jeho dostupnost zdarma a je dostupný na platformách Linux, Microsoft Windows a Mac OS X. (16)

Obr. 7 Grafické rozhraní programu Armitage

Core Impact Professional

Tento produkt náleží firmě Core Security, která je na trhu bezpečnosti již přes 15 let. Jeho zákazníci pochází z řady odvětví, např. ze školství, energetiky, fi-nančnictví, vládní a vojenské organizace, zdravotnictví, telekomunikace anebo také technologické organizace a další. Mezi nejznámější patří např. NASA, Microsoft, Apple, Cisco, Juniper.

Tento nástroj se řadí mezi automatizované penetrační testování, který po-máhá testovat systémy proti reálným hrozbám. Obsahuje velké množství exploi-tů (v současné době až přes 1200) a databáze těchto exploitů je stále aktualizo-vána.

Core Impact Professional je určen pro profesionální penetrační testery, red teaming a IT oddělení, které mají v kompetenci i bezpečnostní odpovědnost v podniku.

Testy se dají zaměřit na webové aplikace, síťové systémy, koncové systémy, koncové uživatele, WiFi sítě a mobilní telefony.

Úroveň automatizace procesu penetračního testování se dá zvolit. Na výběr je např. průvodcem řízený Rapid Penetration Tests (RPT), který automatizuje mnoho testovacích úloh zaměřených na web, síťovou infrastrukturu, klienty a bezdrátové sítě. Dají se určit i pouze individuální systémy a určit, které exploi-ty na ně vyzkoušet. Je možné i kód exploitu upravovat podle svých představ a spouštět zcela vlastní exploity, které ale musí být naprogramovány v Pythonu.

Poskytuje výstupní zprávy testovacích aktivit, zranitelných systémů, ne-chráněných dat a doporučení, jak problémy vyřešit. Je zde možnost grafického zobrazení zprávy, které zobrazí slabé stránky. Můžeme si tyto zprávy vygenero-vat dle standardů PCI nebo FISMA a podle mnohých dalších standardů.

Jedná se o komerční produkt s cenou od 30 000 až do 60 000 dolarů. A tento program lze nainstalovat pouze na systémy Microsoft Windows od Win-dows XP Professional SP3 až po nové Windows 8. Na Windows 7 a Windows 8 jsou dostupné 32 bitové a 64 bitové verze.(17)

Díky získání školní licence pro naší univerzitu, byla možnost tento program zařadit do rozsahu programů pro testování.

Obr. 8 Hlavní obrazovka program Core Impact Professional

Topologie sítě

Testování proběhlo na vcelku jednoduché síti, kde útok byl prováděn z pohledu externího útočníka. Je tvořena klientem, serverem, linuxovým směrovačem, Cisco přepínačem, Cisco směrovačem a posledním aktivním prvkem je PC útoč-níka, který se podle situace v testech lišil.

Obr. 9 Topologie sítě

Hardwarová konfigurace aktivních prvků

Klient, server a linuxový směrovač byli provozováni na identických počítačích a jejich konfigurace se nelišila:

 Výrobce: HP

 Procesor: Intel® Core™2 Duo Processor E4300

 Operační paměť: 1,48 GB RAM

 Grafická karta: integrovaná

 Síťová karta: Realtek RTL8139 Family PCI Fast Ethernet NIC.

Na počítači útočníka, kde běžel Nmap, Nessus a Armitage s Metasploitem, byla hardwarová konfigurace následující:

 Výrobce: Asus

 Procesor: Intel® Core™2 Duo CPU T6500 2,10GHz

 Operační paměť: 4GB

 Grafická karta: NVIDIA GeForce G102M

 Síťová karta: Realtek RTL8168B/8111B Family PCI-E Gigabit Ethernet.

A hardwarová konfigurace počítače, na kterém byl nainstalovaný Core Im-pact Professional:

 Výrobce: Apple

 Procesor: Mobile, 2166 MHz

 Operační paměť: 2032 MB

 Grafická karta: Radeon X1600 (128 MB)

Síťová karta:Marvell Yukon 88E8053 PCI-E Gigabig Ethernet Control-ler.

Hardwarová konfigurace přepínače:

 Výrobce: Cisco

 Model: 2800

 Počet portů: 2x FastEthernet

 Verze OS:12.4.

A jako poslední hardwarová konfigurace směrovače:

 Výrobce:Cisco

 Model: Catalyst 3560, PoE-8

 Počet portů: 8x FastEthernet, 1x GigaEthernet

 Verze OS: 15.5.

5.2.2 Softwarová konfigurace aktivních prvků

Softwarová konfigurace klienta:

 Operační systém: Windows XP Professional

 Číslo servisního balíčku: 2

 Firewall: zakázán.

Softwarová konfigurace serveru:

 Operační systém: Windows 2008 Standard

 Číslo servisního balíčku: 2

 Firewall: povolen

 Role: souborové služby, tiskové služby, webový server (IIS)

 Vlastnosti: nástroje pro vzdálenou administraci serveru, telnet server.

Softwarová konfigurace linuxového směrovače:

 Operační systém: Fedora 18

 Firewall: podle situace.

Softwarová konfigurace útočníkova počítače, kde běžel Nmap, Nessus, Ar-mitage s Metasploitem:

 Operační systém: Linux Mint 14

 Firewall: Vypnut

 Software: Nmap 6.00, Nessus 5.2.1, Armitage 4.10.13, Metasploit 4.6.0

Softwarová konfigurace útočníkova počítače, kde běžel Core Impact Profes-sional:

 Operační systém: Windows XP

 Číslo servisního balíčku: 3

Firewall: Povolen

 Software: Core Impact Professional.

Průběh testování

Testování probíhalo ve čtyřech fázích. Každá fáze se lišila v použitých nástrojích a v nastavení iptables na linuxovém směrovači. Topologie se neměnila.

1. Dostupné nástroje a žádná pravidla na linuxovém směrovači

Jako první krok v této fázi byla pravidla iptables zcela smazána příkazem iptables s přepínačem „F“.

První nástroj, který byl použit, byl program Nmap. Bylo spuštěno in-tenzivní skenování a všechny TCP porty. Byl použit příkaz „nmap“ s přepínačem „p“, kterým se nastavuje rozsah kontrolovaných portů. Další přepínač „T4“, který nastavoval rychlost - čím větší číslo tím rychlejší. Roz-sah čísel je od nuly do pěti. Dále byl použit přepínač „A“, který umožňoval detekci operačního systému a jeho verze, skriptové skenování a použití tra-ceroute. Další použitý přepínač byl „v“, který umožňoval vykonávání více úloh v jednu chvíli. Nakonec přišel rozsah IP adres pro skenování, v tomto případě to byl rozsah 172.16.1.0/24.

Dalším použitým nástrojem byl program Nessus. Zde bylo zadáno, aby se test spustil okamžitě po jeho vytvoření. Politika skenování byla nastave-na na externí síťové skenování. A cíl byl zde stejný, opět rozsah 172.16.1.0/24, i když bylo provedeno zřejmě skenování pouze 16 adres, pro-tože je použita licence HomeFeed.

Posledním krokem v této fázi byl použit nástroj Armitage ve spojení s Metasploitem. V tomto prostředí byl na výběr mezi dvěma skeny. První je sken pomocí programu Nmap, který byl již popsán a druhý je MSF sken. Tentokrát použijeme MSF skenování. Před spuštěním skenování si program vyžádá informaci, který rozsah IP adres chceme skenovat, opět bylo zadáno 172.16.1.0/24. Po proskenování se v horním panelu zobrazí stanice, které byly nalezeny. Poté je možnost využít výstup ze skenování programu Nessus a podívat se, které exploity výstup doporučil pro napadení systému a použít tyto exploity ručně nebo zde je možnost provést nalezení možných útoků. Po provedení procesu nalezení útoků se při pravém kliknutí na stanici vy-skytne položka Attacks (Útoky) a zde jsou útoky, které by mohly fungovat pro napadení cílové stanice. Je možnost tyto útoky zkoušet postupně. Ale také se zde nachází položka Hail Mary. Použitím této funkce se vyzkouší exploit, zda zvládne napadnout cílovou stanici. Po úspěšně provedeném útoku, cílová stanice zčervená a objeví se kolem ní blesky. V menu se objeví další možnosti, co se dá se stanicí provádět.

2. Dostupné nástroje a nastavena pravidla iptables na linuxovém směrovači

V této fázi pouze došlo ke změně na linuxovém směrovači, kde byla nasta-vena pravidla iptables pro komunikaci. Pravidla byla nastavena pro vstupní (INPUT) pravidla na linuxový směrovač a výchozí politika byla nastavena na zahození paketů, povolen byl pouze protokol ICMP.

Pravidla pro předávání paketů (FORWARD). Výchozí politika byla na-stavena na zahození paketů. Dále pravidla pro povolení http a https přeno-sů, službu pro vzdálený přístup SSH, FTP přenos, provoz ICMP protokolu. Poslední pravidlo se vztahuje ke spojení, které je již vytvořené (ESTA-BLISHED) a ke spojení, které je sice nové, ale vztahuje se k některému, co už existuje (RELATED).

Pro odchozí (OUTPUT) provoz, byl ponechán výchozí stav, tedy vše povoleno. Přesné znění příkazů se nachází v příloze A.

3. Core Impact Professional a žádná pravidla na linuxovém směrovači

Po spuštění programu a jeho aktualizaci je potřeba vytvořit pracovní prostor, ve kterém se bude pracovat a zvolit heslo pro tento prostor. Vlevo v nabídce nalezneme celkově šest kroků.

Obr. 10 Přehled kroků při testování v programu Core Impact

První krok je shromažďování síťových informací. Po kliknutí se objeví průvodce tímto krokem. První okno se zabývá otázkou, jestli skenovat po-mocí programu Core Impact nebo použít výsledek skenování z aplikace třetí strany. Byl zvolen Core Impact.

Obr. 11 CORE Impact: výběr skenování

Dále se dotazuje na použití IPv4 nebo IPv6 adresace, kde byla zvolena první možnost. Další okno se týká adresního prostoru, kam bylo zadáno 172.16.1.*/24. Následně je tu typ skenování a výběr mezi variantami rychlý, detailní nebo uživatelský. Zde byl vybrán detailní.

Obr. 12 CORE Impact: volba typu skenování

Další krok je ve zvolení, co se bude skenovat. Na výběr jsou služby, bannery, icmp, DNS zóna, služby síťových zařízení a proxy. Poslední krok je nastavení, jestli se jedná o externí nebo o interní test. Zde byl zvolen exter-ní. Nastavení je dokončené a skenování se spustí.

Obr. 13 CORE Impact: výběr, co se bude skenovat

Po skončení skenování a objevení hostů na síti nastane přechod ke kroku dvě. Druhý krok se nazývá útok a penetrace. Po odkliknutí tohoto kroku se opět zobrazí průvodce jako v prvním kroku. První obrazovka se tý-ká hostů, kteří budou kompromitováni. V dalším okně se vybere útočná me-toda a zde bylo zvoleno: spuštění exploit modulů k identifikování využití zranitelností.

Obr. 14 CORE Impact: výběr útočných metod

Další krok se týká výběru, ve kterém jsou zvoleny exploity, které se ma-jí použít. Jsou zde tři položky, mezi něž patří exploity, které mohou způso-bit nedostupnost služby, dále, jestli budou spouštěny další exploity, i když je systém už napaden a poslední možnost je, zdali se budou používat exploi-ty, jejichž spuštění může trvat dlouhou dobu. Byla zde zvolena možnost jedna a dvě.

Obr. 15 CORE Impact: výběr kritérií pro exploity

Další nastavení se týká toho, odkud bude pocházet spojení, zde bylo vybráno spojení z cíle. Dále je tu možnost nastavit, jestli je potřeba se vy-hnout odhalení antivirem nebo IDS/IPS systémy. Ani antivir, ani tyto sys-témy se v testované síti neobjevují, takže tyto volby zůstanou nevybrané. Dále je zde výběr použití šifrování. Poslední volbou ve druhém kroku je, zda je zájem spouštět nějaké akce po úspěšném napadení systému. Je zde mož-nost si vybrat nějaký modul ke spuštění, pořízení snímku obrazovky, poku-sit se o získání hesel k uživatelským účtům a provést další akce.

Krok tři spočívá ve shromažďování informací na lokální úrovni. Pro ví-ce informací je potřeba úspěšně nasazeného agenta na počítačích. Ten poté umožní získávat různé další podrobné informace, jako uživatelská jména nebo e-mailové kontakty.

Krok čtyři se týká získání vyšších práv pro agenta na cílovém systému. Díky tomu pak může získávat více údajů, podrobnější informace a spouštění různých dalších kódů útočníka.

Předposledním krokem je vyčištění systémů. Zbavení všech nasaze-ných agentů na cílových systémech a zametení všech stop.

Jako poslední krok je vygenerována zpráva o postupu a výsledcích pe-netračního testování. Které exploity byly použity, jaké systémy kompromi-továny, jaké informace zjištěny a ostatní údaje týkající se testování.

4. Core Impact Professional a nastavena pravidla iptables na linuxovém smě-rovači

V této fázi byla upravena pravidla na linuxovém směrovači oproti třetí fázi a jsou nastavena stejně, jak byla popsána ve druhé fázi. Všechna nastavení Core Impactu byla použita jako ve třetí fázi.

Výsledky

V této podkapitole budou uvedeny výsledky jednotlivých fází v pořadí, jak odpo-vídají popisu z předchozí podkapitoly.

1. Dostupné nástroje a žádná pravidla na linuxovém směrovači

Na řadu jako první přichází nástroj Nmap. Z jeho skenování byly získány zajímavé informace ohledně cílových hostů

Našel celkově tři hosty, což je 100% úspěšnost.

U linuxového směrovače, který se nacházel na IP adrese 172.16.1.1, ob-jevil pouze jeden otevřený port, port 111, který slouží pro poskytování in-formací mezi Unix systémy. Nmap se nepodařilo zjistit, co za systém, se schovává pod touto IP adresou.

U hosta na IP adrese 172.16.1.2 byl úspěšnější. Zjistil, že se jedná o ope-rační systém Microsoft Windows XP se servisním balíčkem buď 2, nebo 3 anebo o Windows Server 2003. Také zjistil, že tento klient má otevřeny tři porty, a to porty 135, 139 a 445. Tyto porty bývají na těchto systémech velmi často napadány.

Tab. 1 Výstup portů z programu Nmap pro IP adresu 172.16.1.2

U posledního nalezeného hosta na IP adrese 172.16.1.10 chybně určil, že se jedná o Microsoft Windows 7 Professional, jednalo se zde o Microsoft Win-dows Server 2008. Chyba zřejmě nastala proto, že tyto operační systémy patří do stejné generace a v síťovém provozu se chovají velmi podobně. Dále zde našel 6 otevřených portů, jejichž přehled je uveden v Tab. 2.

Tab. 2 Výstup portů z programu Nmap pro IP adresu 172.16.1.10

Výsledky skenování programu Nessus pro IP adresu 172.16.1.1 byly pouze informativního charakteru a nenalezl žádnou závažnější chybu. Celkově těchto informačních položek bylo 12 a týkaly se např. skenování portů, tra-ceroute nebo identifikace operačního systému, kde správně zjistil, že se jedná o Linuxový systém.

Pro IP adresu 172.16.1.2 získal celkově 19 záznamů. Z těchto 19 zázna-mů se 17 týkalo pouze informativních záležitostí, které se dají využít pro rozhodování dalších kroků. Našel ale i dvě zranitelná místa. Jedna zranitel-nost byla klasifikována jako středního rizika a týkala se samby a umožňova-la útok typu man-in-the-middle. Informovala o tom, že podepisování spo-jení na SMB serveru není povoleno. Další zranitelnost měla označení MS06-035 a byla klasifikována jako zranitelnost vysokého rizika. A ozna-muje o možnosti využití této chyby útočníkem a spouštět vzdálený kód s administrátorskými právy.

O IP adrese 172.16.1.10, kde sídlil server, bylo nalezeno nejvíce infor-mací. 33 záznamů mělo informativní charakter. Dále se tu opět objevila zranitelnost v podobě nepovoleného podepsání spojení. A hlavní zranitel-nost, která byla klasifikována jako kritická, byla označena kódem MS09-050 a umožňovala útočníkovi převzít vládu nad portem 445 a spustit na serveru libovolný kód útočníka.

Tab. 3 Výstup závažnějších zranitelností z nástroje Nessus

Poslední z trojice testovaných nástrojů, Metasploit, si ve skenování vedl velmi dobře. Detekoval všechny hosty na skenovaném rozsahu a správně určil operační systém i s číslem servisního balíčku u klienta a serveru. U směrovače pouze určil, že se jedná o linuxový stroj, více detailů o operač-ním systému nezjistil.

Na linuxovém směrovači, stejně jako Nmap, zjistil otevřený port 111. Při spuštění procesu pro nalezení útoků našel pouze 3 přípustné exploity. Při akci Hail Mary se ale žádný exploit do systému nedostal.

U klienta Microsoft Windows XP objevilo skenování stejné porty jako Nmap, takže porty 135, 139 a 445. Na tento operační systém nalezl Meta-sploit 21 exploitů, ale při akci Hail Mary se také žádný neuchytil. Zde byl použit výstup ze skenování pomocí programu Nessus a byl použit ručně ex-ploit s označením MS06-035 a s payloadem bind_tcp. Tato operace pro-běhla úspěšně a byl získán plný přístup s administrátorskými právy k cílové stanici. Naskytla se možnost získat snímek obrazovky, odchytávat stisknuté klávesy, připojit se na příkazový řádek, procházet soubory a také přístup k ARP tabulce počítače. Po prozkoumání možností, které napadení umožni-lo, postačuje na ikonku počítače kliknout pravým tlačítkem a vyhledat po-ložku Kill a exploit se z počítače uklidí.

U serveru skenováním Metasploitem bylo objeveno méně otevřených portů než u skenování Nmapem. Zjistil otevřené porty 80, 135, 139, 445. Při procesu hledání útoků bylo nalezeno velké množství exploitů. Celkem 192. Bohužel, ani tady se při použití Hail Mary žádný automaticky nechytil. Byl použit opět výstup skenování programu Nessus a exploit MS09-050. Zde bylo ověřeno, že profesionální penetrační tester si musí být zcela jist, co za exploity spouští a jaký to může mít dopad na cílový systém. Při použití tohoto exploitu a po spuštění na serveru se objevila modrá obrazovka smrti (BSOD) a systém se restartoval. A musel se restartovat rovnou 2x, protože po prvním restartování se systém nerozjel. Tato akce by stála za odstávkou serveru a možnou ztrátou drahocenných dat. Je proto důležité vědět, co se může stát.

2. Dostupné nástroje a nastavena pravidla iptables na linuxovém směrovači

Poté co byla nastavena pravidla iptables, webový server byl nadále dostup-ný mimo síť, ale sdílení souborů již dostupné nebylo, a to se stalo pro vý-sledky rozhodující.

Nmap pro IP adresu 172.16.1.1 zjistil, že všechny porty jsou filtrovány. Nezískal žádné upřesňující informace o operačním systému a nedetekoval ho.

U hosta s IP adresou 172.16.1.2 zjistil, o který operační systém by se mohlo jednat a rozhodoval se mezi Microsoft Windows 2000, XP a 2003. Dále zjistil, které porty běží na tomto počítači a jaký mají stav. Tyto infor-mace jsou popsány v Tab. 4.

Tab. 4 Informace o portech dostupných na 172.16.1.2

Pro IP adresu 172.16.1.10 zjistil, že je zde funkční port 80 a funguje zde služba Microsoft IIS http 7.0. Co se týče detekce operačního systému, tak se rozhodoval mezi Microsoft Windows Vista, 2008 a Windows 7.

Program Nessus o IP adresách 172.16.1.1 a 172.16.1.2 zjistil pouze skromné a nezásadní informace, v podstatě je pouze detekoval. Ale o 172.16.1.10 zjistil více informací a přesně určil, o který operační systém se jedná a další pouze informativní data. Ani na jednom hostu nenašel žád-né zranitelnosti.

Skenování programem Metasploit neobjevilo linuxový směrovač. Kli-enta a server detekoval, ale ani u jednoho nedokázal určit operační systém. U serveru objevil pouze jeden funkční port a to port 80 a zjistil, že tam běží služba Microsoft IIS verze 7.0. Jelikož linuxový směrovač vůbec nedeteko-val a u klienta nezjistil žádné porty, služby, ani operační systém, Metasploit nenašel žádné exploity, které by mohl na tyto systémy použít. Oproti serve-ru bylo nalezeno 171 exploitů, které se daly vyzkoušet, ale ani jeden se bo-hužel proti systému neuchytil. V této fázi tedy napadení bylo neúspěšné.

3. Core Impact Professional a žádná pravidla na linuxovém směrovači

Program Core Impact Professional při skenování sítě objevil 3 hosty. U Li-nuxového směrovače nepoznal, o který systém se jedná.

Klienta správně detekoval jako systém Microsoft Windows XP se ser-visním balíčkem 2. Byly zde nalezeny tři otevřené porty, tři spuštěné služby a proti systému bylo použito celkem 8 exploitů, z toho jeden byl úspěšný. Použitý exploit měl označení MS08-063. Dokázal převzít naprostou kontro-lu nad systémem a útočníkovi umožňoval využít příkazový řádek, spouštět další kódy, pořídit snímek obrazovky, procházet soubory a mnohé další ak-ce.

Tab. 5 Přehled spuštěných a úspěšných exploitů na klientu Windows XP

Na serveru zjistil, že se jedná o Microsoft Windows 2008 se servisním balíčkem 2. Bylo zde zjištěno 12 otevřených tcp portů a pět služeb. Zde byl vyzkoušen pouze jeden exploit a hned byl úspěšný. Jednalo se o exploit SMB Identity Verifier a označení zranitelnosti bylo NOCVE-9999-5523 SMB Identity Verifier. Opět zajistil nadvládu nad systémem, kde umožnil spustit další kód, pracovat s příkazovým řádkem a další akce.

4. Core Impact Professional a nastavena pravidla iptables na linuxovém smě-rovači

Při skenování v této fázi Core Impact objevil 3 hosty. Linuxový směrovač opět nerozpoznal. Klienta také nerozpoznal, protože při skenování bez na-stavených iptables zjišťoval operační systém pomocí služby SMB a ta je nyní filtrována. Rozpoznal pouze server, ale ne zcela přesně. Označil ho jako je-den z následujících operačních systémů: Microsoft Windows Vista se ser-visním balíčkem 0 nebo 1, Windows Server 2008 se servisním balíčkem 1 nebo jako Windows 7.

V kroku dvě, kde byl přechod k útoku, byli vybráni všichni tři hosti. Byl přeskočen linuxový směrovač a Windows XP klient. Tohoto kroku bylo do-cíleno tím, že při skenování je nerozpoznal a nevěděl, jaké exploity by mohl použít.

Tab. 6 Některé služby a jejich stav na IP adrese 172.16.1.2