Za varno omrežje opravite preizkus penetracije

Večina IT strokovnjakov se lahko poda vsak dan le ob predpostavki, da so njihova omrežja zaščitena pred hekerji. Če ste med njimi, ste verjetno prepričani, da so vse osnove na mestu, tako da se naključen sociopat ne more samo prijaviti v vaše omrežje, nabrati kritičnih informacij, morda posaditi nekaj zlonamerne programske opreme in nato zapustiti. Vprašanje je: Ste prepričani?

Edini način, da se prepričate, da je vaše omrežje resnično zaščiteno, je preizkusiti. Morate biti prepričani, da so vaši operacijski sistemi (OS) posodobljeni, da so bili uporabljeni vsi ustrezni popravki aplikacij in da v vašem omrežju nimate nobenih zlahka prekršenih vstopnih točk. To je poleg dobrega oblikovanja omrežja, ki ljudem omogoča le dostop do tistega, kar naj bi imeli dostop, in to pravilno razdeljeno, tako da nekdo, ki krši vaš obod, ne more storiti nič slabega.

Skratka, morali se boste zasušiti, da boste vedeli, kje so vaše slabosti, nato pa morate popraviti, kaj so našli tisti (upajmo) hekerji belega klobuka. Hekerji za bele klobuke so tisti, na katere se obrnete, ko želite preizkusiti kakovost zaščite omrežja, ne da bi pri tem sodelovali dejanski negativci ali črni klobuki. Hekerji za bele klobuke naredijo zaščito vašega omrežja na kakršen koli način, ocenjevanje in beleženje vaše varnosti na poti. Temu pravimo penetracijsko testiranje ali "testiranje peresa", česar se mnogi strokovnjaki IT ne zavedajo, da vam za to ni treba takoj najeti dragega profesionalca. Osnove penetracijskega testa lahko začnete sami.

Najvišje prednostne naloge za IT in varnostne strokovnjake v letu 2018

(Kreditna slika: Statista)

"Najpomembnejša stvar je resnična ocena ranljivosti, ocena tveganja, " je dejala Georgia Weidman, avtorica Penetration Testing: A Hands-on Introduction to Hacking . Weidman je tudi ustanovitelj in glavni tehnološki direktor (CTO) podjetja Shevirah, varnostnega podjetja, ki je specializirano za penetracijsko testiranje. "Ti jih spregledajo. Podjetja zapravijo veliko denarja na penetracijskih testih, ko imajo osnovne ranljivosti." Povedala je, da je prva stvar, ki jo mora narediti organizacija, opraviti osnovno testiranje ranljivosti in nato popraviti ranljivosti, preden se premakne na penetracijsko testiranje. "Penetracijsko testiranje ne sme biti vaš prvi korak, " je dejala.

Weidman je tudi predlagal, da vaše podjetje stori prve korake v ozaveščanju o varnosti, vključno z usposabljanjem o lažnem predstavljanju in socialnem inženiringu. Izpostavila je, da je še vedno mogoče prodreti v najbolj varno omrežje, če nekdo podeli poverilnice za dostop. To so vse stvari, ki bi jih dober preizkuševalec penetracije preveril, preden bi začel kakršno koli dejansko testiranje.

"Če jih zanima, kako dobro so njihovi zaposleni usposobljeni za varnostno ozaveščenost, potem postavijo svoj lastni test lažnega predstavljanja, " je dejal Weidman. "Nikomur vam ni treba plačati za to, in to je eden največjih načinov, da ljudje vstopijo." Povedala je tudi, da phishing uporablja tudi prek sporočanja z besedilom in družbenih medijev.

Preizkusite gesla

Weidman je dejal, da je naslednji korak preizkus gesla in sposobnosti upravljanja identitete vaše organizacije. "Prenesite šifre gesel Active Directory in jih preizkusite s preizkuševalci gesla. To počnemo pri penetracijskem testiranju, " je dejala.

Po besedah ​​Weidmana so pomembna orodja za testiranje gesla Hashcat in John Ripper cracker za geslo, za katera je dejala, da se pogosto uporabljajo pri penetracijskem testiranju. Povedala je, da jih lahko poleg preverjanja gesel iz Microsoftovega Azure Active Directory nanjušimo tudi po omrežju z uporabo analizatorja omrežnih protokolov, kot je Wireshark. Cilj je, da se prepričate, da vaši uporabniki ne uporabljajo enostavno ugibanih gesel, kot je "geslo", za svoje poverilnice.

Medtem ko pregledujete omrežni promet, poiščite ločljivost imena lokalnega omrežja za povezavo (LLMNR) in se prepričajte, da je onemogočena, če je mogoče. Weidman je dejal, da lahko šifre gesla zajamete s pomočjo LLMNR. "Poslušam v omrežju in dobim hashe, nato pa jih zlomim, " je dejala.

Preverite pristnost svojih strojev

Weidman je dejala, da ko enkrat razbije gesla, jih nato uporabi za preverjanje pristnosti s stroji v omrežju. "Morda bi bil lokalni skrbnik, ker so se vsi slikali enako, " je dejala. "Upajmo, da je skrbnik domene."

Ko Weidman pridobi skrbniške poverilnice, jih lahko nato uporabi s skrivnimi območji na napravi. Dejala je, da včasih obstaja sekundarna avtentikacija, zato bo morala tudi tista gesla zlomiti.

Weidman je rekel, da morate biti previdni, če naredite lastno testiranje penetracije. "Ko naredim penetracijsko testiranje, grem s poti, da ne bi ničesar zlomila, " je dejala in dodala: "Ni 100-odstotne gotovosti, da nič ne bo šlo narobe."

Izogibajte se nalaganju zlonamerne programske opreme

Weidman je dejala, da je eno zelo uporabno orodje za testiranje penetracije Metasploit brezplačna izdaja, vendar opozarja na nalaganje eksploziva iz interneta, ker bi lahko vsebovalo tudi zlonamerno programsko opremo. "Ne napadajte se po naključju, " je opozorila. Dejala je, da podvigi, ki so namenjeni testiranju, pogosto vsebujejo zlonamerno programsko opremo, ki vas napada.

• Najboljši upravljavci gesla za leto 2019 Najboljši upravljavci gesla za leto 2019
• Najboljša programska oprema za odstranjevanje in zaščito zlonamerne programske opreme za leto 2019 Najboljša programska oprema za odstranjevanje in zaščito zlonamerne programske opreme za leto 2019
• Najboljša zaščita pred podjetji za leto 2019 Najboljša zaščita pred podjetji za leto 2019

Mimogrede, Microsoft ponuja tudi orodje za oceno ranljivosti za Windows, imenovano Microsoft Security Compliance Toolkit v1.0, ki podpira Microsoft Windows 10, Windows Server 2012R2 in Office 2016.

Weidman svari pred mislijo, da je penetracija nekakšna globoka temna magija. Dejala je, da je namesto tega najprej potrebno zajeti osnove. "Vsi skočijo na penetracijsko testiranje, ker ima seksi ime, " je dejala. "Vendar je veliko vrednosti, če najdemo nizko viseče sadje in ga najprej popravimo."