Penetration Tester werden für Dummies E-Book

Robert Shimonski

• Herausgeber: Wiley-VCH GmbH
• Kategorie: Wissenschaft und neue Technologien
• Serie: ...für Dummies
• Sprache: Deutsch

Seitenzahl: 315

Veröffentlichungsjahr: 2022

Beschreibung

Pentests sind für Unternehmen unverzichtbar geworden, denn nur wer die Schwachstellen kennt, kann auch dagegen vorgehen. Robert Shimonski erklärt Ihnen in diesem Buch alles, was Sie brauchen, um selbst Pentests durchzuführen. Von den nötigen Vorbereitungen über Risikoanalyse und rechtliche Belange bis hin zur eigentlichen Durchführung und späteren Auswertung ist alles dabei. Versetzen Sie sich in Hacker hinein und lernen Sie, wo Unternehmen angreifbar sind. Werden Sie selbst zum Penetration Tester.

Leseprobe

Penetration Tester werden für Dummies

Schummelseite

Penetrationstest – oder kurz Pentests – dienen in vielen Unternehmen und Organisationen dazu, sicherzustellen, dass deren digitale Sicherheitskonzepte auch tatsächlich funktionieren. Pentests und Cybersicherheit sind komplizierte Themen und können einen durchaus erst einmal ziemlich einschüchtern. Auf dieser Schummelseite lernen Sie als allerersten Einstieg ein paar der wichtigsten Fachbegriffe kennen sowie die am häufigsten eingesetzten Testtools und eine Aufstellung von oft nachgefragten Sicherheitszertifikaten im Zusammenhang mit Penetrationstests.

PENETRATIONSTEST-TERMINOLOGIE

Um Pentests erfolgreich einzusetzen, müssen Sie erst einmal mitreden können. Hier haben Sie eine Liste von besonders gebräuchlichen Fachbegriffen:

Cybercrime: Ein Cybercrime zu begehen, bedeutet, kriminelle Handlungen wie Diebstahl – zum Beispiel Identitätsdiebstahl – oder Sabotage zu begehen und dabei Technologien wie Computersysteme oder Netzwerke einzusetzen. Hacker attackieren Systeme in der Regel, um sie mit krimineller Absicht für ihre eigenen Zwecke auszunutzen. Als ein »Ethical Hacker« machen Sie auf ganz legale Weise genau das Gleiche, nur eben mit guten, »ethischen« Absichten, denn sie möchten die Schutzsysteme stärken und nicht schwächen.Penetrationstest: Bei einem Penetrations- oder kurz Pentest versuchen Sie, auf einem Computersystem oder in einem Netzwerk Sicherheitslücken zu finden und diese auf legale und ethisch vertretbare Weise zu exploiten, um etwaige Schwachstellen in dessen Cybersicherheit aufzudecken. Es handelt sich dabei um ein ganzes Bündel von Aktivitäten, mit denen sich die Sicherheitsmaßnahmen eines Systems und ihre mögliche Umgehung analysieren lassen.Schwachstellenanalysebeziehungsweise Vulnerability Scanning: Um zu wissen, welche Exploits und Schwachstellen (»Vulnerabilitäten«) bestehen, müssen Sie einen Scan über das gesamte System, Netzwerk beziehungsweise die komplette Infrastruktur durchführen. Eine Schwachstellen- oder Risikobewertung ist die Analyse all dessen, was bei solch einem Scan zutage gefördert wird. Gewöhnlich werden die dazu benutzten Tools regelmäßig mit aktuellen Schwachstellendefinitionen versorgt, um möglichst schnell die momentan bekannten kritischen Punkte finden zu können.Reconnaissance: Bei der Reconnaissance (»Aufklärung«) geht es darum, Penetrationspunkte zu finden. Indem Sie Angriffsvektoren untersuchen, Ihr System überprüfen und mögliche Eintrittspunkte identifizieren, finden Sie potenzielle Schwachstellen, die im weiteren Verlauf genauer betrachtet werden müssen.Infiltration und Exfiltration: Eine Infiltration findet statt, sowie eine Penetration gelungen ist. Sie haben erfolgreich einen Zugang zu einem scheinbar sicheren System gefunden und dringen nun ein (vermutlich unentdeckt). Dies ist der Beginn eines umfassenden APT-Tests (Advanced Persistent Threat). Den Diebstahl von Informationen sowie der unerlaubte Transfer von Daten von einem angegriffenen System zurück in das eigene System nennt man Exfiltration. In- und Exfiltration zusammen sind fortgeschrittenen Phasen eines umfassenden Penetrationstests.Incident Handlingund Reaktionen: Die Reaktion oder Antwort auf einen Incident (»Vorfall«) sind die Maßnahmen, mit denen ein Team von Sicherheitsprofis auf unautorisierte Sicherheitsereignisse in einem geschützten System reagieren. Unter Incident Handling versteht man die Aktionen, mit denen das Team die Beweiskette sichert sowie die Bedrohung abmildert oder neutralisiert. Pentests erlauben es, Incidents zu finden, bevor man auf sie reagieren muss, sodass sie in einem »Risk Register« aufgelistet und künftig überwacht werden können.Risk Register Management: Risikobehandlung und -management sowie die Dokumentation von bekannten Risiken in einem »Risk Register« sind ein wichtiger Bestandteil ganzheitlicher Sicherheitsprogramme. Mit Penetrationstests können Sie bekannte Risiken identifizieren oder auch aus Ihrem Risk Register streichen – wenn Sie die Gefahr gebannt haben und ein Retest gezeigt hat, dass sie tatsächlich nicht mehr besteht.

HÄUFIG GENUTZTE TOOLS FÜR PENETRATIONSTESTS

Auf dem weiten Feld des Pentesting gibt es viele, viele Tools, die Sie einsetzen können. Einige wenige davon sind:

Nessus bildet die Grundlage der meisten Pentester-Toolkits. Sein Fokus liegt auf Schwachstellensuche und -bewertung. Sie können damit sehr schnell wunde Punkte und Exploits im digitalen Sicherheitssystem Ihres Unternehmens oder Ihrer Organisation finden. Anschließend wählen Sie andere Funktionen von Nessus oder auch von anderen Tools, um die möglichen Zugangspunkte näher zu untersuchen. http://www.tenable.com/Kali Linux ist Teil der Debian-basierten Linux-Distribution. Es wurde gezielt für Penetrationstests, Schwachstellenüberprüfungen und forensische Anwendungen entwickelt. Obwohl Sie das Toolset originär downloaden und in Ihrem Linux-System installieren können, ist es ebenso möglich und dazu bequemer, die Linux-Distribution in eine Virtual Machine (VM) zu installieren.

Kali ist ein Bundle von Tools, die so organisiert sind, dass Sie möglichst schnell und effektiv an das kommen, was Sie brauchen. Ursprünglich hieß es Backtrack (in den Gründungstagen von Offensive Security, in denen auch Kali Linux entstanden ist), und es hat sich mittlerweile zu einer der meistgenutzten Pentest-Anwendungen überhaupt entwickelt. http://www.kali.org/

Wireshark ist ein Tool, mit dem ein Analyst sich den Datenaustausch eines Systems ansehen und die vielfältigen Kommunikationswege im System nachvollziehen kann, einschließlich der möglicherweise unautorisierten Pfade. Es wird hauptsächlich dazu genutzt, um Datenpakete aus Ihrem Netzwerk abzufangen, und setzt voraus, dass Sie die darin enthaltenen Informationen verstehen. http://www.wireshark.org/Burpsuite ist ein Tool, welches sich hervorragend für das Testen von Webanwendungen und für Webtests im Allgemeinen eignet. Es ist beispielsweise möglich, mit Burpsuite den Datenverkehr im Browser umzuleiten und aktiv den Inhalt der Datenpakete zu manipulieren, bevor diese dann an den eigentlichen Zielempfänger weitergesendet werden. Abgesehen davon bietet das Tool auch noch weitere nützliche Features. https://portswigger.net/burpNmap ist ein Network Mapper oder Mapping-Tool, mit dem Sie ein Netzwerk oder eine Infrastruktur abbilden und untersuchen, um anschließend beim Pentesten die aufgefundenen potenziellen Exploits auszuprobieren. Sie können nach Abschluss der Untersuchung die Struktur des Netzwerks betrachten und etwaige Einfallstore für Hacker identifizieren und versiegeln. https://nmap.org/

ZERTIFIZIERUNGEN FÜR PENETRATIONSTESTS

Professionelle Organisationen und Firmen bieten sowohl Zertifizierungsprogramme nach Industriestandard als auch allgemeinere oder spezielle Zertifikate an. Ebenso gibt es Zertifizierungen, die an bestimmte anbieterspezifische Tools gebunden sind. Und natürlich gibt es auch Mischformen am Markt. Hier sehen Sie die populärsten Zertifikate und erfahren, wie Sie an diese kommen können:

CompTIA PenTest+: CompTIA PenTest+ ist ein praxisnaher Multiple-Choice-Test, der überprüft, ob Sie einen Penetrationstest mit Tools wie Nmap durchführen können. Er deckt auch andere Pentester-Fähigkeiten ab wie das Durchführen von Schwachstellensuchen oder Planung, Management und Ausführung von Targeted Assessments. Laut CompTIA schließt das PenTest+-Zertifikat ebenso Managementfähigkeiten für den Umgang mit Sicherheitslücken ein und nicht bloß deren probeweises Ausnutzen. http://www.comptia.org/EC-Council Certified Ethical Hacker (CEH): Die Prüfung für den Ehrentitel »Certified Ethical Hacker« (CEH) wird organisiert vom EC-Council und soll die Ethical-Hacker-Szene stärken und bekannter machen. Der Test ist anbieterunabhängig und prüft, wie gut man eine Sicherheitsbewertung durchführen und Schwachstellen auffinden kann sowie ob man Exploits und Pentests durchziehen, Angriffsvektoren identifizieren und lokalisieren, Penetrationen wie SQL Injections, Systemhacks, Packet Sniffing durchführen und Spuren verschleiern kann und auch in Reconnaissance fit ist. Weiterhin geht es um den Einsatz von Malware, webbasierte Attacken, Kryptografie-Attacken, Cross-Site-Scripting und vieles andere mehr. https://www.eccouncil.org/programs/certified-ethical-hacker-ceh/SANS GPEN: Zur Organisation SANS gehört eine Gruppe, welche die Global Information Assurance Certification (GIAC) durchführt. Die Zertifizierungen dieser Gruppe sind gut designt und testen nicht nur detailliert Ihre Fähigkeiten beim Pentesting, sondern auch, ob Sie diese in der realen Welt anwenden können. http://www.sans.org/http://www.giac.org/

Der Global Information Assurance Certification Penetration Tester (GPEN)

Penetration Tester werden für Dummies

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

1. Auflage 2023

© 2023 Wiley-VCH GmbH, Boschstraße 12, 69469 Weinheim, Germany

Original English language edition Penetration Testing For Dummies © 2020 by Wiley Publishing, Inc. All rights reserved including the right of reproduction in whole or in part in any form. This translation published by arrangement with John Wiley and Sons, Inc.

Copyright der englischsprachigen Originalausgabe Penetration Testing For Dummies © 2020 by Wiley Publishing, Inc. Alle Rechte vorbehalten inklusive des Rechtes auf Reproduktion im Ganzen oder in Teilen und in jeglicher Form. Diese Übersetzung wird mit Genehmigung von John Wiley and Sons, Inc. publiziert.

Wiley, the Wiley logo, Für Dummies, the Dummies Man logo, and related trademarks and trade dress are trademarks or registered trademarks of John Wiley & Sons, Inc. and/or its affiliates, in the United States and other countries. Used by permission.

Wiley, die Bezeichnung »Für Dummies«, das Dummies-Mann-Logo und darauf bezogene Gestaltungen sind Marken oder eingetragene Marken von John Wiley & Sons, Inc., USA, Deutschland und in anderen Ländern.

Das vorliegende Werk wurde sorgfältig erarbeitet. Dennoch übernehmen Autoren und Verlag für die Richtigkeit von Angaben, Hinweisen und Ratschlägen sowie eventuelle Druckfehler keine Haftung.

Coverfoto: Tierney – stock.adobe.comKorrektur: Isolde Kommer

Print ISBN: 978-3-527-71794-1ePub ISBN: 978-3-527-82921-7

Über den Autor

Rob Shimonski (www.shimonski.com) ist ein erfahrener Unternehmer und mischt aktiv in der Business-Community mit. Rob ist Bestsellerautor und erfolgreicher Herausgeber mit über 25 Jahren Erfahrung beim Entwickeln, Produzieren und Vermarkten von Büchern, Magazinen und Zeitschriften. Bis heute hat Rob an über 100 Büchern mitgearbeitet, die immer noch erhältlich sind. Mehr als 25 dieser Bücher hat Rob geschrieben, sie handeln von Sicherheitsthemen wie Penetrationstests, Incident Handling, Cyberkrieg und dem Einsatz von fortschrittlichen Netzwerk-Sicherheits-Tools und -technologien. Er hat für viele große Organisationen und Konzerne gearbeitet, etwa das US-Militär, Microsoft, Cisco, die US-amerikanische National Security Agency (NSA) und Northwell Health. Rob ist darüber hinaus Veteran des US Marine Corps.

Als Teamchef, Techie, Security-Praktiker, Penetrationstester, Incident Responder/Handler und Netzwerkarchitekt hat Rob zahlreiche Projekte geleitet, bei denen es darum ging, sichere Firmenlösungen zu entwerfen, designen und implementieren. Seine Arbeit für Regierung, Militär, Gesundheitswesen und Tech-Firmen hat ihm nicht nur gezeigt, wie wichtig es ist, Systeme zu schützen, zu testen und im Falle von kritischen Incidents schnell und sinnvoll zu reagieren, sondern auch, was dabei alles auf dem Spiel steht. Rob hat zwei Jahrzehnte damit verbracht, sein Wissen auf reale Szenarien anzuwenden und dann an andere über Bücher, Videos und Artikel weiterzugeben.

Rob ist ebenso ein anerkannter Experte für die Analyse von Protokollen mit Tools wie Wireshark. Er hat viele Bücher über Protokollanalyse, -aufzeichnung und -dekodierung geschrieben. Als Technologie-, Krisen- und Sicherheitsexperte hat Rob Unternehmen dabei geholfen, Lücken in ihren Sicherheitssystemen zu finden und wirksam zu schließen, Incidents zu behandeln, proaktiv zu monitoren und ihnen vorzubeugen.

Einer der interessantesten Aufträge, die Rob als Penetrationstester erfüllt hat (und öffentlich machen konnte), wurde im Magazin Men's Health vorgestellt, nachdem der Mutterkonzern ihn beauftragt hatte, das Firmennetzwerk unentdeckt zu in- und exfiltrieren (https://www.menshealth.com/technology-gear/a19528048/protect-yourself-online/).

Widmung

Dieses Buch ist Dylan und Vienna gewidmet. Euch aufwachsen zu sehen und Teil eures Lebens gewesen zu sein, hat mich nachhaltig geprägt. Ich bin liebend gerne euer Dad – für immer und ewig.

Danksagung

Bücherschreiben ist ein Teamsport. Wer nicht selbst schon mal ein Projekt dieser Größenordnung in Angriff genommen hat, kann kaum in Worte fassen, wie 8–10 Monate im Flug vergehen und wie viele Menschen während dieser Zeit dazu beitragen, ein Buch noch besser zu machen als erträumt. Mein erstes »offizielles« Buch habe ich 1998 geschrieben. Es ist unglaublich, dass wir mittlerweile 2020 haben. Wie viele Verbindungen, Freundschaften und Partnerschaften seitdem entstanden sind … das ist wirklich erstaunlich!

Ich kann nicht genug dem Team danken, das mir geholfen hat, Penetration Tester werden für Dummies auf den Weg zu bringen – für ihren Glauben an das Projekt, ihre Unterstützung, ihren Rat und all ihre tatkräftige Mithilfe vom Anfang bis zum gar nicht bitteren Ende.

Nicole, Rebecca, Katie, Ashley, und Teddy – tausend Dank, dass ihr mir geholfen habt, ein besseres Buch zu schreiben. Dieses Dummies-Team ist eines der besten im Business! Dank, dass ihr mir die Gelegenheit zum Glänzen gegeben habt.

Ich möchte mich ebenso bei allen bedanken, die für mich als Mentor da waren, mit mir gearbeitet und Zeit mit mir verbrachten haben, entweder indem sie mich anleiteten oder indem ich sie anleiten durfte. Es ist wirklich sehr befriedigend, dass ich während meiner Zeit in IT und Business so viele großartige Menschen kennenlernen konnte. Ein ganz besonderer Dank geht an alle bei Northwell, die an meine Fähigkeiten geglaubt haben, und an alle, mit denen zusammenzuarbeiten ich die Ehre und das Privileg haben durfte.

Zum Schluss (und am allermeisten) danke ich meiner Familie. Ohne euch hätte ich nicht die Unterstützung gehabt, ein Buch in meiner Freizeit (wenn es denn so etwas gibt) zu schreiben. Ihr habt mich aufgemuntert und motiviert, als es schwierig wurde und die Hindernisse unüberwindlich schienen. Ihr seid mir wichtiger, als ihr euch vorstellen könnt.

Inhaltsverzeichnis

Cover

Titelblatt

Impressum

Über den Autor

Widmung

Danksagung

Einleitung

Über dieses Buch

Törichte Annahmen über Sie

Symbole in diesem Buch

Was (und wie) Sie nicht lesen müssen

Wie es jetzt weitergeht

Teil I: Die ersten Schritte

Kapitel 1: Die Rolle von Pentests in der IT-Sicherheit

Die Rolle von Penetrationstests

Zertifizierungen

Wie Sie sich die Grundlagen aneignen

Cyberkriminalität

Was Sie brauchen, um anfangen zu können

Pentest – wie und wann?

Die ersten Schritte

Kapitel 2: Pentesting im Überblick

Die Ziele der Pentester

Scanning im Alltag

Wer die Hacker sind

Wie Hacker an Informationen kommen

Kapitel 3: Das Werkzeug zusammensuchen

Worauf Sie achten sollten

Nessus

Wireshark

Kali Linux

Nmap

Teil II: Angriffe und was man damit macht

Kapitel 4: Penetration und Exploit

Vektoren und die Kunst des Hackens

Typen von Penetrationsangriffen

Kryptografie und Verschlüsselung

Metasploit

Kapitel 5: Identitätsdiebstahl: der Mann in der Mitte und seine finsteren Freunde

Ihr Toolkit

Hineinhorchen, um Daten zu sammeln

Kapitel 6: Überschwemmen und lahmlegen: DoS/DDoS

Grundlegendes zum Toolkit

Denial of Service (DoS) verstehen

Buffer Overflow

Fragmentation Attacks

Angriff der Killerschlümpfe

Tiny Packet Attacks

Offensive Weihnachtsbäume

Kapitel 7: Malware für Destroy Attacks

Was das Toolkit hier bietet

Malware

Ransomware

Andere Formen von Destroy Attacks

Kapitel 8: Die Kontrollen umgehen: subversive Angriffe

Aus dem Toolkit geplaudert

Angriffsvektoren

Phishing

Spoofing

Malware

Teil III: Es geht los: Vorbereiten und testen

Kapitel 9: Einen Pentest vorbereiten

Logistik im Vorfeld

Das Benötigte zusammensuchen

Einen Plan haben

Plan B

Kapitel 10: Einen Penetrationstest durchführen

Attacke!

Pentests von innerhalb des Systems

Dokumentieren Sie jeden Schritt!

Weitere Methoden und Vektoren

Bewerten der Ergebnisse

Prävention

Teil IV: Der Pentest-Report

Kapitel 11: Reporting

Die Struktur eines Pentest-Reports

Wie Sie einen professionellen Report verfassen

Den Report präsentieren

Update des Risk Registers

Kapitel 12: Empfehlungen geben

Warum Empfehlungen so wichtig sind

Wie aus Bewertungen Empfehlungen werden

Netzwerke

Systeme

Empfehlungen für alle Systeme

Weitere Empfehlungen

Kapitel 13: Retesting

Die Vorteile des Retestings

Die sich wiederholende Natur von Pentesting und Retesting

Wann ist ein Retest fällig?

Was der Retest testet

Einen Pen-Retest durchführen

Teil V: Der Top-Ten-Teil

Kapitel 14: Zehn falsche Pentest-Mythen

Ethical Hacking ist immer das Gleiche

Wir können uns keinen Pentester leisten

Wir können einem Pentester nicht wirklich trauen

Wir trauen den Tools nicht

Pentests braucht man nicht oft zu machen

Pentests betreffen nur technische Systeme

Externe können keine guten Pentests machen

Pentest-Toolkits müssen standardisiert werden

Pentesting ist selbst nur ein Mythos

Ein guter Pentester braucht nichts mehr zu lernen

Kapitel 15: Zehn Tipps, wie Sie ein noch besserer Pentester werden

Hören Sie nie auf zu lernen

Stellen Sie sich Ihr persönliches Toolkit zusammen

Denken Sie über den Tellerrand hinaus

Denken Sie wie ein Hacker

Bringen Sie sich ein

Benutzen Sie eine Lab-Umgebung

Bleiben Sie informiert

Verfolgen Sie die technische Entwicklung

Machen Sie sich einen Namen

Kümmern Sie sich auch um die physische Security

Kapitel 16: Zehn Websites, auf denen Sie noch mehr über Pentesting erfahren

SANS Institute

GIAC Certifications

Software Engineering Institute

Ein Kessel Legal Penetration Sites

Open Web Application Security Project

Tenable

Nmap

Wireshark

Dark Reading

Offensive Security

Abbildungsverzeichnis

Stichwortverzeichnis

End User License Agreement

Tabellenverzeichnis

Kapitel 2

Tabelle 2.1: Ein Risk Register

Kapitel 13

Tabelle 13.1: Risk-Register-Einträge mit den Kommentaren des Pentesters

Illustrationsverzeichnis

Kapitel 1

Abbildung 1.1: Wie Sie im Tool Nessus einen IP-Bereich eingeben, den Sie scannen ...

Abbildung 1.2: Das OSI-Modell

Abbildung 1.3: Ein Blick in mit dem Tool Wireshark abgefangene Datenpakete, die e...

Abbildung 1.4: Das Log einer Cisco-Router-Firewall, das IP-Adressen und Ports auf...

Abbildung 1.5: Mit dem Framework Metasploit können Pentester auch Scans durchführ...

Abbildung 1.6: So können Sie Nessus bei der Bewertung von Sicherheitsmaßnahmen ei...

Kapitel 2

Abbildung 2.1: Ein Port-Scan mit der Nessus-Software

Abbildung 2.2: Nmap ist ein Tool, mit dem Sie einen Ping Sweep machen können.

Abbildung 2.3: Das in Windows 10 integrierte Antivirus-Programm Windows Defender

Kapitel 3

Abbildung 3.1: Ein typischer Output von Nessus (auf einem Windows-System)

Abbildung 3.2: So scannen Sie einen Router mit Nessus.

Abbildung 3.3: Auswählen eines Scan-Templates in Nessus

Abbildung 3.4: Ihr erster Nessus-Scan

Abbildung 3.5: Der Wireshark Network Analyzer

Abbildung 3.6: Wireshark starten und dann einsetzen

Abbildung 3.7: In die Datenbeute eintauchen

Abbildung 3.8: Traffic zwischen Endpoints

Abbildung 3.9: FTP-Zugänge mit Wireshark kontrollieren

Abbildung 3.10: tcdump aus dem Kali-Linux-Toolset

Abbildung 3.11: Auf Entdeckungsreise im Kali-Linux-Toolset

Abbildung 3.12: Nmap in der Kali-Linux-Umgebung

Abbildung 3.13: Eine Netzwerk-Map mit Nmap erstellen

Kapitel 4

Abbildung 4.1: Einen Social-Engineering-Angriff mit Kali Linux abwehren

Abbildung 4.2: Wählen Sie im Toolkit-Menü »Social-Engineering Attacks«.

Abbildung 4.3: In dieser Liste gehen Sie auf »Website Attack Vectors«.

Abbildung 4.4: Das Klonen einer Site erzeugt eine identische Replik.

Abbildung 4.5: Mit diesen Optionen habe ich die Site geklont.

Abbildung 4.6: Eine geklonte Google-Suchmaske – natürlich nur zum Pentesten!

Abbildung 4.7: Netzwerksegmente, die ein Vektor angreifen kann

Abbildung 4.8: Passwortknacken mit Metasploit

Abbildung 4.9: SSL-geschützte Daten mit Wireshark fangen

Abbildung 4.10: Der Quick Pentest Wizard von Metasploit Pro

Abbildung 4.11: Ein schneller Pentest mit Metasploit Pro

Kapitel 5

Abbildung 5.1: Pentesting mit der Burp Suite

Abbildung 5.2: Eine Drei-Schichten-Architektur

Abbildung 5.3: Ein Pentest mit Wireshark

Abbildung 5.4: Mit Wireshark erlauschte Datenpakete

Abbildung 5.5: Ein Karten-Skimmer an einem Geldautomaten

Kapitel 6

Abbildung 6.1: Mit Kali gegen disruptive Angriffe pentesten

Abbildung 6.2: So beginnt ein Angriff von außerhalb des Netzwerks.

Abbildung 6.3: Mit Kali T50 einen Überflutungsangriff auf einen Host starten

Abbildung 6.4: Der Linux-Befehl »top« inspiziert die Ressourcen.

Abbildung 6.5: So funktioniert ein DDoS-Angriff.

Abbildung 6.6: Der Buffer-Overflow-Angriff

Abbildung 6.7: Das Kali-Tool »fragrouter« ermittelt, wie leicht Sie anzugreifen s...

Abbildung 6.8: Smurf Attack: Ein manipulierter Ping Sweep führt zum DoS.

Abbildung 6.9: Wireshark erkennt eine Tiny Packet Attack.

Kapitel 7

Abbildung 7.1: Nessus bietet verschiedene Scans zum Vorbeugen gegen Destroy Attac...

Abbildung 7.2: Auf der Suche nach Hosts, die anfällig für bekannte Bedrohungen si...

Abbildung 7.3: Eine externer Vektor zerstört eine Datenbank.

Abbildung 7.4: Beispiel für einen Ransomware-Angriff

Abbildung 7.5: Endpoint Protection durch AV-Software

Kapitel 8

Abbildung 8.1: Das Menü »Information Gathering« von Kali

Abbildung 8.2: Ein Angriff mit Nmap gegen einen Router-/Routing-Device-Scan

Abbildung 8.3: Ein SYN-Scan sucht nach offenen Ports.

Abbildung 8.4: Mögliche Hosts und Ports erkennen

Abbildung 8.5: Weitere Fundstücke: MAC-Adressen und die Distanz in Network Hops

Abbildung 8.6: Interne und externe subversive Attacken folgen demselben Schema.

Abbildung 8.7: Eine Host-basierte AV-Software zeigt an, dass es ein Problem gibt.

Abbildung 8.8: Diese attackierte AV-Software kann nur noch durch direktes Eingrei...

Kapitel 9

Abbildung 9.1: Ein RACI-Chart zeigt Rollen und Verantwortlichkeiten.

Abbildung 9.2: Lernen Sie aus Ihren Erfahrungen!

Abbildung 9.3: Das Risk Register zurate ziehen

Abbildung 9.4: Jeder Angriffsvektor erfordert einen dazu passenden Plan.

Abbildung 9.5: Scan-Templates von Nessus

Abbildung 9.6: Tools mit Filtern feintunen

Kapitel 10

Abbildung 10.1: Eine WhoIs-Suche

Abbildung 10.2: Ein Ping von der Befehlszeile aus, um an nutzbare IP-Adressen zu ...

Abbildung 10.3: Das Router-Passwort mit Kali Xhydra knacken

Abbildung 10.4: Eine vorläufige Netzwerk-Map mit IP-Adressen

Abbildung 10.5: Das Netzwerk mit Nessus kartieren

Abbildung 10.6: Diese Netzwerk-Map wurde mit Nmap erstellt.

Kapitel 11

Abbildung 11.1: Ein Beispiel für eine Executive Summary

Abbildung 11.2: Die Dokumentation von Angriffsvektoren ist ein wesentlicher Besta...

Abbildung 11.3: Ein typischer Abschnitt über Tools, Methoden und Vektoren

Abbildung 11.4: Nehmen Sie wesentliche Berichte Ihrer Tools in Ihren Report auf.

Abbildung 11.5: Beispiel einer Report-Zusammenfassung

Kapitel 12

Abbildung 12.1: Was Nessus am ehesten angehen würde

Abbildung 12.2: Eine große Netzwerk-Map

Abbildung 12.3: Nicht benötigte Dienste wie Telnet deaktivieren

Abbildung 12.4: Einen Default-Port zu verändern, erhöht die Systemsicherheit.

Abbildung 12.5: Mit einer Firewall überwachen Sie, wer oder was hinein- und hinau...

Abbildung 12.6: Antivirus-Software ist immer noch ein sehr wirksamer Schutz gegen...

Abbildung 12.7: Nessus hilft auch, Probleme mit dem SMB-Protokoll im Netzwerk auf...

Abbildung 12.8: Mit SSL verschlüsseln

Abbildung 12.9: Speichern Sie Kopien Ihrer Logs!

Kapitel 13

Abbildung 13.1: Die Prozesse bei Pentest und Retest sind sehr ähnlich.

Abbildung 13.2: Prioritäten beim Retesting

Abbildung 13.3: Meine aktualisierte Dokumentation

Abbildung 13.4: Nessus zeigt Wege zur Minimierung von Risiken in der Web-Architek...

Abbildung 13.5: Ein neues Netzwerk-Mapping zeigt neue Probleme auf.

Abbildung 13.6: Nmap einsetzen, um einen Exploit bei NTP auszunutzen

Kapitel 14

Abbildung 14.1: Statistische Daten zur Cyberkriminalität in den USA (nach

statist

...

Abbildung 14.2: Die Bug-Fix-Liste von Wireshark

Abbildung 14.3: Ein Testprogramm

Kapitel 15

Abbildung 15.1: VM-Virtualisierung mit Kali

Abbildung 15.2: Haben Sie immer einen Plan B!

Abbildung 15.3: Ein kleines Lab-System

Kapitel 16

Abbildung 16.1:

SANS.org

Abbildung 16.2: Die GIAC-GPEN-Zertifizierung

Abbildung 16.3: Die laut OWASP zehn größten Web-App-Risiken

Abbildung 16.4: Der Download von Nessus

Abbildung 16.5: Projekte von Offensive Security

Orientierungspunkte

Cover

Titelblatt

Impressum

Über den Autor

Inhaltsverzeichnis

Einleitung

Fangen Sie an zu lesen

Abbildungsverzeichnis

Stichwortverzeichnis

End User License Agreement

Seitenliste

1

2

3

4

7

8

9

10

19

20

21

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

71

72

73

74

75

76

77

78

79

80

81

82

83

84

85

86

87

88

89

91

92

93

94

95

96

97

98

99

100

101

102

103

104

105

106

107

108

109

110

111

112

113

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

169

170

171

172

173

174

175

176

177

178

179

180

181

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

231

232

233

234

235

236

237

239

240

241

245

246

247

248

249

250

251

Einleitung

Willkommen bei Penetration Tester werden für Dummies! Es ist mein Ziel, Sie auf das Pentesting-Gleis zu setzen – und Ihnen zu zeigen, warum Pentests ein so aktuelles Thema für alle sind, die mit Sicherheit in der Informationstechnologie zu tun haben. Dieses Buch stellt Ihnen die Pentest-Tools vor, mit denen Sie Sicherheitslücken auffinden, testen, analysieren und kommunizieren können.

Selbst die kompliziertesten Sachverhalte möchte ich für Sie in kleine, leicht verdauliche Bröckchen herunterbrechen, um Sie ganz sachte mit den Details des Pentest-Geschäfts vertraut zu machen. Und Ihnen verständlich zu machen, warum das so wichtig ist und wie die Hacker, welche Ihr System angreifen, dabei vorgehen. Ihre Aufgabe als Pentester ist es, Systeme zu testen, Risiken zu identifizieren und diese zu beheben, bevor die Hacker die Schwachstellen ausgenutzt haben.

Es braucht jemanden mit Hackertalent, um die entscheidenden Schwächen zu finden, die eine Organisation anfällig für Hackerangriffe machen. Die Themen in diesem Buch zielen darauf ab, IT-Profis auf verschiedenen Ebenen mit den Grundbegriffen des Penetrationstestens ausrüsten.

Über dieses Buch

Eine der wichtigsten Motivationen für mich, dieses Buch zu schreiben, besteht darin, Ihnen ein Grundverständnis von Angriffen, Vektoren, Schwachstellen, Mustern und Pfaden zu vermitteln, welche Hacker nutzen, um sich in Ihre Netzwerke und Systeme einzuschleichen. Penetrationstests dienen dazu, auf genau diesen Pfaden zu wandeln, damit die Sicherheitsprofis sie erkennen und blockieren oder überwachen können, bevor die Hacker davon Wind bekommen.

Bei der Arbeit an diesem Buch verwende ich eine Windows-Workstation und, wo nötig, Linux-Tools, die auf einer Virtual Machine laufen. Ich habe mich dazu entschieden, da die meisten Anfänger auf genau diese Weise ihre ersten Schritte in der Pentest-Welt machen. Sie können beim Lesen und Bearbeiten dieses Buchs jede unterstützte, halbwegs aktuelle Windows-Version ab Windows 7 verwenden. Sie benötigen außerdem noch eine Verbindung zum Internet.

Erfahrene Pentester arbeiten vermutlich auf einem nativen Linux-System wie zum Beispiel Ubuntu, das ist für Sie im Moment aber noch nicht zwingend notwendig.

Wenn Sie normalerweise auf einem Linux- oder Apple-System arbeiten, können Sie – mit ein paar Modifikationen hier und da – im Prinzip genauso vorgehen wie hier im Buch beschrieben.

Törichte Annahmen über Sie

Beim Schreiben dieses Buches habe ich angenommen, dass Sie in der IT arbeiten und zur Security wechseln wollen. Für solche Menschen ist dies das Buch der Wahl, um Informationen über Angriffsziele zu sammeln, die Planung von Tests zu erlernen und Best-Practice-Verfahren für Analyse, Entschärfung und Reporting von Schwachstellen zu entdecken.

Vielleicht sind Sie noch Berufsanfänger oder schon etwas länger im Geschäft, vielleicht auch schon Manager oder in einer Führungsposition, haben Ihre Erfahrungen jedoch bisher überwiegend auf anderen Gebieten gesammelt. So oder so möchten Sie gerne wissen, wie sich Penetrationstests in das »Big Picture« einfügen. Dabei werden Sie sehen, dass ich auch einfache Konzepte erkläre, um die Dinge im größeren Kontext der Computer-Sicherheitsarchitektur und -philosophie einzuordnen.

Symbole in diesem Buch

Im ganzen Buch nutze ich die bekannten, Dummies-typischen Symbole, um Ihre Aufmerksamkeit auf spezielle Informationen zu lenken. Dies sind die Symbole von Penetration Tester werden für Dummies:

Dieses Symbol sehen Sie immer dann, wenn ich Ihnen eine Methode oder einen Trick zeige, womit Sie die Dinge einfacher machen und Zeit sparen können. Darauf möchten Sie sicherlich nicht verzichten, also lesen Sie diese Stellen unbedingt, egal was sonst auf der Seite steht.

Wenn Sie auf dieses Symbol stoßen, wissen Sie, dass hier etwas steht, was Sie sich merken sollten – oder etwas, was ich an anderer Stelle bereits angesprochen habe. Oft handelt es sich dabei auch um Ratschläge, wie Sie sich Probleme vom Hals halten können.

Hier müssen Sie wirklich aufpassen! Das Symbol weist auf Dinge hin, deren Tun beziehungsweise Unterlassen Sie in juristische Schwierigkeiten bringen könnte (wie zum Beispiel einen Pentest bei jemandem durchzuführen, der Ihnen dies nicht erlaubt hat).

Manchmal verbreite ich mich auch über ziemlich ausgefallene technische Details, die zwar interessant sind, aber vermutlich nicht für jeden. Sie können solche Passagen auch ignorieren, ohne dass Ihnen etwas Wichtiges oder Hilfreiches entgeht.

Was (und wie) Sie nicht lesen müssen

Dieses Buch ist so geschrieben, dass Sie es nicht notwendigerweise an einem Stück vom Anfang bis zum Ende durcharbeiten müssen. Wenn Sie beispielsweise bereits mit den Grundlagen des Pentestings vertraut sind, können Sie vermutlich den ersten Teil schadlos überspringen. Den zweiten Teil brauchen Sie nicht zu lesen, wenn Sie bereits ein gutes Händchen für die verschiedenen Angriffswege und Pentesting-Tools haben. Die »Techniker«-Symbole sind, wie gesagt, nur für Tech-Freaks wirklich lebensnotwendig, für allen anderen sind sie eher »nice to know«. Wenn Ihre wertvolle Zeit knapp bemessen ist und Sie grundsätzlich auf einer »Need-to-know«-Basis leben, müssen Sie diese Textelemente nicht lesen.

Wie es jetzt weitergeht

Wenn Sie noch ganz neu in der Welt der Penetrationstests sind, empfehle ich Ihnen, wirklich direkt bei Kapitel 1 zu beginnen. Haben Sie schon einmal etwas von den Basics gehört – der Rolle von Pentestern, Hackertypen, Angriffspfaden und so weiter – und wollen jetzt Ihre Fähigkeiten verfeinern, gehen Sie direkt zu Teil 3, wenn Sie sich besonders für die Testdurchführung interessieren, oder Sie blättern zu Teil 4, wenn Sie das Reporting näher kennenlernen wollen.

Suchen Sie Informationen zu einem ganz bestimmten Tool oder Angriffstyp? Konsultieren Sie das Inhaltsverzeichnis oder den Index am Ende des Buchs und Sie werden direkt zu den jeweils relevanten Stellen geleitet. Fortgeschrittene Leserinnen und Leser werden sich vielleicht auf diese Weise an das Buch machen und alles erfahren, was ihnen bisher noch gefehlt hat.

Natürlich empfehle ich Ihnen den Top-Ten-Teil und dort besonders Kapitel 15 und 16, denn lebenslanges Lernen ist für jede und jeden von uns der Weg der Wahl, wenn wir exzellente Pentester werden und vor allem bleiben wollen.

Je mehr Sie auf diesem Gebiet studieren, lesen und arbeiten, desto mehr werden Sie lernen. Viele Dinge werden Sie mit der Zeit richtig gut beherrschen … doch die Technologie wird sich bis dahin vielfach verändert haben! Auf dem sehr lohnenswerten Weg des lebenslangen Lernens ist das Ziel, ein exzellenter Pentester zu werden, ein ganz besonderer Auftrag!

Teil I

Die ersten Schritte

IN DIESEM TEIL …

In die Welt der Penetrationstests eintauchen, indem Sie die notwendigen Fähigkeiten und Zertifikate erkundenErfahren, was für Typen von Hackern es gibt, was Ihre Aufgabe als Pentester ist und was die Grundlagen von Scan Maintenance sindBeginnen, Ihr Pentesting-Toolkit zusammenzustellen

Kapitel 1

Die Rolle von Pentests in der IT-Sicherheit

IN DIESEM KAPITEL

Das Pentest-Universum erforschenWelche Tests und Zertifizierungen brauchen Sie?Verstehen, was Pentester können müssenCyberkriminalitätIhr erster Penetrationstest

Penetrationstests – oder kurz Pentests – sind eine der heißesten Fertigkeiten, die ein IT-Profi braucht. Während Hightech immer größere Teile der Welt bestimmt, wird die Frage nach ihrer Sicherheit immer dringlicher. Firmen und Organisationen suchen händeringend nach Fachleuten mit Cybersecurity-Hintergrund, die in der Lage sind, Pentests durchzuführen.

Als Pentester brauchen Sie ein solides Verständnis davon, wie ein krimineller Hacker Zugang zu Ihrem System bekommen kann und wie er seine Attacken ausführt. Keine Angst, ich begleite Sie auf diesem Weg durch Angriffsszenarien und die Vorstellungswelt der Hacker. Sie müssen tatsächlich genauso wie ein Hacker denken lernen, um ein guter Pentester zu werden, weshalb diese auch White Hats (»weiße Hüte«) oder Ethical Hackers genannt werden. Wenn jemand vielleicht doch keine ganz blütenweiße Weste hat, aber auch keine wirkliche kriminelle Energie entwickelt, spricht man auch von einem Grey Hat (»grauer Hut«). Mehr dazu in Kapitel 2.

Ich werde Ihnen auch alles nahebringen, was Sie über Sicherheitslücken wissen müssen sowie über die Tools, Techniken und Skills, welche die heutige Elite der Penetrationstester Tag für Tag einsetzt, um das Vermögen ihrer Unternehmen oder Auftraggeber zu schützen.

All dies und mehr wird in diesem Buch an die Reihe kommen, doch in diesem Kapitel beginne ich zunächst einmal buchstäblich bei null: Zuerst betrachten wir die Rolle, die ein Pentester in einer Firma spielen kann. Dann kommen wir zur Wichtigkeit von Zertifizierungen und was man dafür können muss. Zum Schluss gibt es noch ein paar Abschnitte darüber, wie Sie es am geschicktesten anstellen, ein kompetenter und nachgefragter Pentester zu werden.

Die Rolle von Penetrationstests

In der Cybersecurity gibt es eine Unmenge von Namen für alle, die dort mit guten oder bösen Absichten unterwegs sind. Wenn Sie neu auf dem Gebiet sind, kann das mehr als verwirrend werden. Um alle Unklarheiten zu beseitigen, widme ich diesen Abschnitt der Beschreibung der guten Leute, die die Pentests durchführen, und deren Aufgaben. (In Kapitel 2 kommen dann die Bösen dran.)

Die primäre Aufgabe eines Penetrationstesters ist es, kontrolliert beziehungsweise »ethisch« in Computersysteme einzudringen. Der Rahmen wird zuvor im sogenannten Scope abgesteckt. In ihm wird festgehalten, was der Pentester sich genau anschauen darf, wie er vorgehen darf und vor allem, was er nicht darf. Ein professioneller Pentester versucht dabei aktiv, die vorhandenen Sicherheitsvorrichtungen und -einstellungen zu umgehen. Auf diese Weise kann er zeigen, wie verwundbar ein Betriebssystem, eine Webanwendung oder ein Unternehmensnetzwerk sind. Zwar wird es letztendlich in die Verantwortung anderer Leute fallen, mit den gefundenen Problemen umzugehen. Aber der Tester wird zum Abschluss seiner Untersuchung auf jeden Fall einen umfassenden Bericht schreiben, in dem er jeden seiner Schritte und seine Ergebnisse detailliert dokumentiert. So werden dann seine Auftraggeber von ihm auch entsprechend fundierte Vorschläge erwarten. Damit beschäftigen wir uns in Kapitel 12.

Sie benötigen unbedingt eine offizielle Erlaubnis, um einen Penetrationstest durchzuführen. Selbst wenn Sie extra engagiert wurden, um für Ihren Auftraggeber Pentests zu machen, brauchen Sie möglicherweise Extragenehmigungen für einige besonders kritische Aktivitäten. Kapitel 9 beschäftigt sich mit diesem Thema.

Crowdsourcing

In dem Maße, wie Big Data als Konzept an Bedeutung gewinnt und die IT-Systeme immer größer und komplexer werden – besonders wenn immer mehr Unternehmen in die Cloud wandern und Lösungen outsourcen –, wird es dringlicher und dringlicher, so viele Ressourcen wie möglich für die Systemsicherheit zu mobilisieren, um den immer neuen Risiken und Bedrohungen begegnen zu können. Und weil die Konzerne immer mehr auf massiv parallele Rechnerverbünde und virtualisierte Systeme mit neuartigen Architekturen setzen, gibt es eine große Menge an Gelegenheiten, in denen die globale Community der guten Ritter, das heißt, die der White-Hat-Hacker, ihre segensreiche Tätigkeit entfalten kann.

Crowdsourcing ist grundsätzlich eine Form der Zusammenarbeit von (IT-)Experten, bei der gruppenbasierte Teams von Enthusiasten (die durchaus gleichzeitig Experten sein können) gemeinsam Aufgaben lösen, die traditionell firmenintern bearbeitet werden. Das funktioniert in der Regel über das Internet und kommt auch im Bereich der IT-Sicherheit vermehrt zum Einsatz. Mithilfe von Pentests können Experten die Firmensysteme dann in gemeinsamer Arbeit in ganz ähnlicher Weise untersuchen, wie es herkömmliche Security-Teams tun würden. Eine crowdgesourcte Pentestergruppe könnte mit der gleichen Art von Probeangriffen beauftragt werden wie ein konventioneller Consultant.

Crowdgesourctes Pentesting läuft im Prinzip genauso wie jedes andere Crowdsourcing: Sie setzen eine große und sehr vielfältige Basis von Ressourcen, Wissen und Fähigkeiten ein, um ein besseres Ergebnis zu bekommen. Wenn Sie hierbei allerdings Bedenken wegen Ihrer Privatsphäre oder juristischen Problemen haben, wenden Sie sich besser an den Cybersecurity-Consultant Ihres Vertrauens.

Crowdsourcer finden Sie zum Beispiel auf Websites wie www.hackerone.com. Dort können Sie entweder Ihre Fähigkeiten in die Schwarmintelligenz der weißen Hüte einfließen lassen oder aber deren Hilfe selbst in Anspruch nehmen.

Firmeneigene Sicherheitsprofis

Sie haben als Unternehmen grundsätzlich zwei Optionen: Entweder verlassen Sie sich auf Ihre eigenen IT-Sicherheitsleute oder Sie heuern externe Consultants an (auf diese gehe ich im nächsten Abschnitt ein). Firmeneigene Profis finden Sie in der Regel in Konzernen und staatlichen Institutionen, die eigene Abteilungen mit erfahrenen Pentestern beschäftigen. Für kleinere Einheiten ist so etwas oft entweder zu teuer oder ihre Systeme sind nicht komplex genug, um eigene Experten auszulasten. Manchmal werden dort Pentests und andere Sicherheitsmaßnahmen von einem Systemadministrator, einem Network Engineer oder anderen IT-Kräften nebenher erledigt.

Ein Angestellter, der speziell für die (Cyber-)Sicherheit von Vermögen, Interessen und Ansehen einer Firma verantwortlich ist, wird oft Security Analyst genannt. Dies ist dann in der Regel ein Vollzeitjob. Das Aufgabenprofil kann im Detail eine sehr große Bandbreite an Security-Funktionen, Fähigkeiten und eingesetzten Tools abdecken.

Je nach Organisation und ihrer konkreten Stellung darin können Security Analysts auch andere Berufsbezeichnungen führen:

Chief Information Security Officer (CISO)

Security Architect

Security Engineer

Security Operations Staff

Risikoanalyst

Forensics Technician

Security Practitioner

Es gibt ganz offensichtlich eine ganze Menge von verschiedenen Tätigkeiten und Aufgaben in der IT-Sicherheit, aber alle beschäftigen sich auf irgendeiner Ebene mit der Analyse von Sicherheitsproblemen.