Cyber security -Metadologija penetracijskog testiranja

Pozdrav raja!

Da otvorimo prvu temu novom cyber Security podforumu

Za početak, ispod ću podijeliti metodologiju penetracijskog testiranja iz zvanične tend. dokumentacije uz male korekcije.

Naravno metodologija i obim testiranja zavise od klijenta sistema i definisanog opsega ali ovo su neke od najčešćih stavki koje se traže u praksi.

Možda nekome posluži kao koristan materijal a možemo i prodiskutovati o pojedinim fazama testiranja

Prvo definišemo pseg testiranja koji obuhvata tri vrste: Black-box, white-box ili grey-box


Od pen testera se traži sledeće c/p iz ten. dokumentacije:

• Znanje o ranjivosti i prijetnjama specifičnim za web aplikacije (na primjer, SQL injection, Cross Site Scripting, itd.) - svi testeri
• Znanje operativnog sistema servera - najmanje 1 tester
• Adekvatno znanje TCP / IP, SSL, TLS; HTTP, HTTPS mrežni protokoli i baze podataka - najmanje 1 tester
• Princip poznavanja programskog jezika koji se koristi u okviru web aplikacije - najmanje 1 tester
• Poznavanje sigurnosti i mrežnih uređaja (Firewalli, balansiranje opterećenja, ruter, IDS) - najmanje 1 tester
• Praktično poznavanje sigurnosnih skenera i uobičajenih haker alata - svi testeri
• Poznavanje osnova i standarda testa (npr. PCI-DSS, OWASP, OSSTMM, BSI-Pentesting Guide) - svi testeri
• Preferirano je da testeri poseduju važeće certifikate u vezi sa standardima koji se koriste.

Kriterij za izvođenje penetracijskog testiranja
Ovi kriterijumi trebaju biti uključeni u ugovor. Mrežna jedinica mora obavijestiti tim za testiranje prije nego što test počne ako je uspostavljen bar jedan od kriterijuma:

• Postoji poznat problem poricanja usluga unutar web aplikacije.
• Nema pouzdanih rezervnih kopija (uključujući zastarjele sigurnosne kopije).
• Postoji poznata nepouzdanost web aplikacije ili njegovog infrastrukturnog okruženja kada se pristupi na nestandardan način (npr. kroz skeniranje portova).
• Postojeće izmjene na web aplikaciji tokom perioda testiranja (npr. ažuriranja ili zakrpe).

Postoji interni i eksterni pen test. Što se tiče internog zavisi od klijenta, kada su u pitanju državne institucije pretežno se kod nas u regionu traži da dođete na lokaciju klijenta. Klijent je dužan osigurati laptop i pripremiti Kali Linux dok je ostatak posla na vama, od konfiguracije i instalacije potrebnih alata do pripreme okruženja za testiranje. Upravo se na toj pripremi često izgubi najviše vremena. Druga mogućnost je da vam klijent odobri korištenje vlastitog laptopa.

Klijent je također dužan da vam dostavi: [b]SPISAK POTREBNIH INFORMACIJA ZA POČETAK PENETRACIJSKOG TESTA

C/P
IP adrese: Eksterne (javno dostupne) i interne adrese (unutar lokalne mreže)
Mrežne adrese i infrastruktura IP adrese: Eksterne (javno dostupne) i interne adrese (unutar lokalne mreže).
Serveri i mrežna oprema: Fizički i virtualni serveri, mrežni ruteri, svičevi i storage uređaji (uz navedene IP adrese, uloge i operativne sisteme).
Sigurnosni uređaji: Firewall, IPS/IDS, SIEM, Backup sistemi i slično.
Računari i terminali: Desktop i prijenosni računari (laptopi) sa pripadajućim IP adresama i operativnim sistemima.
Periferni i ostali uređaji: Web kamere, printeri, skeneri, faks i All-In-One uređaji, IP telefoni, modemi, set-top box uređaji, kao i uređaji za evidenciju radnog vremena i barcode čitači.
Baze podataka i web portali: IP adrese i opis uloge.
Web, mobilne i desktop aplikacije: Linkovi/IP adrese, kratak opis uloge i testni korisnički računi (username i password) po potrebi.

...itd



Primjer izvještaja iskorištene ranjivosti visokog rizika:



Možda i kakvu obuku nekad organizujemo imam već podignute servere, konfigurisane alate pa da rokamo ako nekoga bude interesovalo

Editovat ću temu ubrzo ...

To eclipse samo ga przi

Edit: moze edukacija svakako beaposlicarim

Ovo meni izgleda kao c/p tendera za pen-test posao, ne bas metodologija.

Metodologija bi bila:

• koji su portovi otvoreni na masini
• sta slusa koji port
• sta se moze sa tim
• aplikacije -> lose tehnicke i biznis logic implementacije -> exploit (ovaj dio se za klijente samo uradi PoC)

Kojekakvi 'profesionalni pen testeri' sa kojima sam ja do sada imao dodira, koje njihove firme masno naplacuju, te koji su moje aplikacije pregledali ( vise "skenirali" ) nisu ni na 10% nivoa znanja da kazem (pravih) software inzinjera da odmah kazem ni sto se znace generalnog znanja od UDP / TCP / HTTP(S) itd protokola, preko razumijevanja common gresaka u setupu servera i aplikacije pa do aplikacije i pisanja samih exploita 'u divljini'.

Ali vremena se mijenjaju, sada bilo koji AI moze napisati exploit ili raditi cijeli posao iznad (daleko bolje nego covjek u prosjeku) pa vise ni to nije toliko zanimljivo kao sto je nekad bilo.

BTW tema ti ima krizu identiteta, prica na sva 3 jezika

Jeste dokument editovat ću temu ...

Slažem se da se vremena mijenjaju i da je AI dosta promijenio način rada u cyber securityju sve je poremetio. AI može pomoći u pisanju exploita, analizi koda i pronalaženju ranjivosti ali i dalje mislim da još uvijek ne može u potpunosti zamijeniti iskustvo i procjenu pentestera

Gotivio sam burp suite, wireshark, za bf bila je i hydra ako se ne varam. Pa metasploit i pivoting attack na windows, i po meni najjaci use rockyou.txt i kad vidis sta ljudi sve koriste za pw

Mi smo skoro imali pen test.

Uslov, mašina u Windows okruženju i novi user koji je “kompromitovan”

Mogu se samo pohvaliti da smo lateralne kretnje sveli na minimum, nisu mogli maći sa mašine.

Doduše, vendor aplikacije u conf fajlu drži enkriptovan pw od baze, i u kodu aplikacije drzi decrypting protokol, tako da si tu upali na QA i došli do system elevacije na bazi uz mogućnost injectinga

Al ono sve u svemu, kad se izuzmu stvari na koje ne mogu uticati, ko tvrđava unutra 🥇

Prije svega, svaka čast na trudu i volji da obradiš ovu temu. Pentesting mi je oduvijek djelovala kao interesantna oblast, ali je, uprkos radu u developmentu (~ 5 godina), ostao prilično nepoznat teren, kao i način na koji se sve to izvodi. Iz mog iskustva, uglavnom se to delegira van i nisam imao priliku da vidim šta su radili i kako, ali kao što FataL kaže, možda se od rijetkih može nešto i naučiti.

Na masteru sam imao priliku raditi s Nmapom i Maltegom, što mi je ostalo u sjećanju kao veoma zanimljivo iskustvo, ali je ostalo na tome.

Zanima me šta bi preporučio kao dobru početnu tačku za daljnje istraživanje oblasti? Jesu li TryHackMe i/ili Hack The Box i njihovi labovi dobar način ili postoje i neki drugi resursi koje vrijedi istražiti? Naravno, uz korištenje AI u cijelom tom procesu.

U svakom slučaju, pratim temu dalje

Za sve koji tek ulaze u cyber securityja i etičkog hakiovanja preporučio bih sljedeće materijale.



Odlične su početak za upoznavanje s osnovama, alatima i metodologijom penetracijskog testiranja i ima ih 10GB