Netzwerk-und Systemsicherheit

Dieser Test besteht aus mehreren Stufen, die in der Übereinstimmung mit der OSSTMM ausgeführt werden.

Die benutzten Werkzeuge und Prozesse werden in den Penetration Testing Framework definiert.

Der Test wird aus der Sicht des potentiellen anonymen Angreifers aus dem Internet durchgeführt, welcher keine Informationen über die getestete Topologie und die getesteten Dienstleistungen hat.

Der eigentlicher Test erfolgt in drei Stufen:

1. Die erste Phase ist ein Scan (Auflistung) des gesamten Spektrum der TCP/UDP-Ports (1-65535) des aktiven Bestandteils (Server, Router im Internet / DMZ). Es ist möglich, einen speziellen Anti-IDS-Scan durchzuführen, bei dem die Möglichkeit der Erkennung des IDS sinkt (eignet sich für die Überprüfung der korrekten Funktionalität des IDS). Bei der Aufzählung werden TCP-SYN (Half-Open), TCP (full connect), TCP-Fragmente in umgekehrter Reihenfolge und UDP-Scan benutzt.
2. Gefundene Dienstleistungen, sowie Versionen von OS / IOS werden in der zweiten Phase identifiziert und mithilfe einer Reihe von spezialisierten Testprogrammen werden dann potenzielle Schwachstellen enthüllt. Zur gleichen Zeit werden anormale, verschlüsselte Protokolle (VPN) enthüllt und die Verwendung vom IPv6. Wenn es zu einer Enthüllung der VPN-Dienstleistungen (IKE-Hosts) kommt, werden die Version und der Typ der Ausführung analysiert, woraufhin potenzielle Schwachstellen identifiziert werden können.
3. Die dritte Phase besteht aus spezifischen Angriffen auf den Server mithilfe von frei verfügbaren Programmen (Nutzung der Skripte), um Fehler zu finden, sowie echten Bedrohungen und Schwachstellen zu überprüfen.

Jede enthüllte Dienstleistung wird detailliert für bekannte Schwachstellen geprüft, die zu Kompromittierung des Servers oder der Weitergabe vertraulicher Informationen führen können.

Die Prüfung beinhaltet:

• Überprüfung der Schwachstellen – ein Sicherheitsscan zur Erkennung der verfügbaren Schwachstellen in Dienstleistungen die während des Port-Scans identifiziert wurden
• Eindringen – ein Versuch die erreichbaren Verletzlichkeiten und die ungenügende Konfiguration auszunützen, um in andere Systeme und Anlagen einzudringen, sowie die Erhöhung der Benutzungsrechte und der Zugang zu Ressourcen
• Sammlung von Informationen – über das Zielsystem werden alle Informationen gesammelt, identifiziert und analysiert, einschließlich der Version des Web-Servers, der benutzten Module, der Programmierplattform, des WAF und der Access Points in der Applikation.
• Die Aufzählung und die Kartierung von Schwachstellen – mithilfe von Methoden und Techniken (speziell konstruierte HTTP-Anfragen) werden potentielle Schwachstellen identifiziert (es werden spezielle Sicherheitsscanner verwendet, “fault-injection proxies”, sowie auch die manuelle Überprüfung)
• das Nutzen der Schwachstellen – ein Versuch den Zugriff, mithilfe der Schwachstellen in der vorherigen Phase identifiziert, zu bekommen. Das Ziel ist es den Benutzer oder den Privilegierten (Administrator) Zugriff für die Applikation oder für das Betriebssystem zu bekommen. (Benützt werden spezielle “exploit” Skripten und “exploit” Systeme.)
• Prüfung der Mail-Server – neben der Prüfung von bekannten Schwachstellen in der konkreten Implementation der MTA-Server, werden auch mehrere detaillierte SMTP-Tests, realisiert um die “Relaying Probleme” der MTA-Server zu überprüfen. So werden alle Möglichkeiten des Missbrauchs vom SMTP-Server von dem potenziellen Spammer entdeckt, als auch der Widerstand des MTA-Server bei einer mögliche DoS-Attacke. Der Test deckt alle MX-Server für eine bestimmte Testdomäne ab. Gleichzeitig werden potenzielle ausnutzbare Schwachstellen der Anti-Virus- und der Anti-Spam-Implementierungen getestet.
• Testen der DNS-Zonen– neben der Prüfung von bekannten Schwachstellen in der konkreten Implementation der DNS-Server (Bind, Microsoft DNS-Server), wird ebenfalls die Zonenkonsistenz aller definierten DNS-Server getestet, sowie das Prüfen der Möglichkeiten des öffentlichen “zone transfer” und auch die Verletzlichkeit der DNS-“Caching” Angriffe usw. Zur gleichen Zeit werden auf jedem DNS-Server detaillierte Penetrationstests für die konkrete Domäne durchgeführt (auch außerhalb des Netzwerks des Kunden – in diesem Fall ist die Zustimmung des Betreibers notwendig).