|
|
|
Ethical Hacking
Positionierung:
Gezielter Auftragshackerangriff aus der Perspektive
eines Angreifers mit Skill Level «Hacker / Cracker».
Ethical Hacking ist die extremste Form der
technischen Sicherheitsüberprüfung. Unsere Security
Consultants versuchen gemäss präzise formuliertem Auftrag
auf elektronischem Weg in das Zielsystem (Komponenten in der DMZ
oder im LAN/WAN) einzudringen. Im Gegensatz zum Penetration
Test wird beim Ethical Hacking nur solange nach Sicherheitslücken gesucht, bis eine gefunden wird, welche es dem Tester erlaubt, das vordefinierte Ziel zu erreichen. Somit werden nicht zwingend alle Sicherheitslücken gesucht und dokumentiert. Ethical Hacking hat zum Ziel Design-basierte Sicherheitslücken wie beispielsweise suboptimale Trusts zwischen Systemen oder Mängel im Zonenkonzept aufzudecken und sie auszunutzen.
Ausserdem wird ein wesentlicher Bestandteil des Sicherheitskonzepts, nämlich die Reaktion des internen Security Teams/Equipments geprüft. Somit überprüft Ethical Hacking jene Bereiche, welche bei einem typischen Penetration Test nicht getestet werden.
Beim Ethical Hacking kommen je nach Projektziel verschiedene Ansätze zum Zug. Da das Design von Systemen und nicht die verwendete Software im Fokus liegt, sollte die Grösse des Untersuchungsobjekts ziemlich grosszügig bemessen werden.
| Shoot all |
Der Shoot all-Ansatz wird verfolgt, um das Sicherheitsrisiko und die Folgen zu ermitteln, falls ein zum Untersuchungsobjekt gehörendes System kompromittiert wird. Dabei werden mittels Exploiting Design-bedingte Sicherheitslücken ermittelt, indem alle zur Verfügung stehenden Ressourcen des kompromittierten Systems ausgenutzt werden. Dies kann mittels Post Exploitation-Techniken wie der Installation von Back Doors, der Nutzung von Tools, welche User-/Administratoren-Zugriffsinformationen auslesen, etc. erfolgen. Der Netzwerkverkehr wird analysiert, um aus dem Datenstrom Zugangsinformationen zu extrahieren. Die erlangten Informationen werden anschliessend verwendet, um von einem System im Netzwerk auf ein anderes - bis zu diesem Zeitpunkt noch als sicher geltendes System - zu springen. Beispiele möglicher Techniken: Hijacking Windows NT Access Tokens, Kerberos Credentials Hijacking, Verwendung von SSH Private Keys, UNIX TTY hijacking, etc.
|
| Capture the flag |
Der Capture the flag-Ansatz dient dazu, die Wahrscheinlichkeit einer erfolgreichen Kompromittierung eines zum Untersuchungsobjekt gehörenden Systems zu ermitteln. Obwohl das Ziel üblicherweise darin besteht, eine spezifische und kritische Komponente zu testen, eignet sich dieser Ansatz auch hervorragend, um die Reaktion des internen Security Teams im Falle einer Attacke zu testen. Da die Anzahl der sich im Untersuchungsobjekt befindlichen Systeme normalerweise gering ist, ist die Wahrscheinlichkeit, dass die Testaktivitäten getriggert werden, relativ gering. Vor Projektstart wird eine Flagge (= Daten, E-Mail, System, etc.) definiert, welche es innerhalb eines vorgegebenen Zeitfensters zu ergattern gilt. Die dabei zum Einsatz kommenden Techniken ähneln denen, welche beim Shoot all-Ansatz zum Einsatz kommen. Zudem werden oftmals Bots genutzt. Dieser Ansatz kommt nahe an eine echte Hackerattacke heran.
|
Der Kunde definiert den Informationsgrad beider Parteien (Tester und Administratoren/Anwender der zu testenden Systeme):
| Double Blind |
Die Tester erhalten vorweg keinerlei Informationen über die zu prüfenden Systeme und die Administratoren/Anwender der zu prüfenden Systeme werden nicht über den anstehenden Audit informiert. Dies ist der realistischste Ansatz.
|
| Blind |
Die Administratoren/Anwender der zu prüfenden Systeme werden nicht über den anstehenden Audit informiert. Ziel ist es, die Reaktion des Security Teams des Kunden zu testen.
|
| Black Box |
Die Tester erhalten vorweg keinerlei Informationen über die zu prüfenden Systeme. Die Administratoren/Anwender der zu prüfenden Systeme werden über den anstehenden Audit informiert. Ziel ist es, Sicherheitslücken aufzuspüren und auszunutzen. |
| White Box |
Die Tester erhalten vorweg detaillierte Informationen über die zu prüfenden Systeme. Die Administratoren/Anwender der zu prüfenden Systeme werden über den anstehenden Audit informiert. Ziel ist die Simulation einer Attacke mit Insiderwissen.
|
| Gray Box |
Die Tester erhalten vorweg teilweise Informationen über die zu prüfenden Systeme. Die Administratoren/Anwender der zu prüfenden Systeme werden über den anstehenden Audit informiert. Ziel ist die effiziente Projektdurchführung, indem verhindert wird, dass wertvolle Projektzeit verschwendet wird.
|
Je nach Auftrag werden vor den eigentlichen
Angriffen die gleichen Informationskanäle genutzt, die auch
Hacker nutzen (z. B. Social Engineering, Dumpster Diving, Foot-
und Fingerprinting). Der Grossteil der Arbeit ist Brainwork, d.h.
es können nur begrenzt Tools eingesetzt werden. Der Funktionsumfang des Basismoduls Ethical Hacking kann mit diversen optionalen Ergänzungsmodulen modular erweitert werden.
Da die Qualität und die Aussagekraft dieser Aktivität
direkt von den Rahmenbedingungen inkl. dem zur Verfügung stehenden
Projektbudget abhängt, wird vor Projektstart vereinbart, wie
viel Zeit für das Ethical Hacking aufgewendet werden
soll und welche Methoden erlaubt sind. Zum Schluss werden das Vorgehen,
die erzielten Ergebnisse und empfohlene Gegenmassnahmen zur Schliessung
aufgedeckter Sicherheitslücken umfassend (als Option OSSTMM-konform) dokumentiert.
Die OneConsult GmbH ist ISECOM
Licensed Auditor (ILA), Platinum Level und ISECOM Partner (Accredited Trainer). Unsere Security Consultants
sind von ISECOM in verschiedenen Spezialisierungsrichtungen zertifiziert
(OPST = OSSTMM Professional Security Tester, OPSA = OSSTMM Professional
Security Analyst, OSSTMM-Trainer). Dies garantiert eine seriöse und fundierte
Durchführung der Tests und eine aussagekräftige Dokumentation
der Ergebnisse.
Bemerkungen
- Unsere Security Consultants kennen und
beherrschen die Methoden und Tricks der Hacker.
- Es werden nur Systeme untersucht, welche
unter direkter Kontrolle des Auftraggebers stehen.
- Je nach Auftrag setzen unsere Security
Consultants dabei auch speziell für diese Aufgabe entwickelte Exploits und
Test-«Trojaner» (z. B. OneConsult®
Pandora PRO) ein.
- Beim Ethical Hacking wird vom
Auftraggeber meistens nur das Ziel (z. B. Speichern einer vordefinierten
Datei auf einem Server im LAN oder WAN oder das Remote-Administrieren
eines PCs im LAN via Internet), nicht aber der Weg zum Ziel vorgegeben.
Haben wir Ihr Interesse geweckt? Gerne beantworten
wir Ihre Fragen in einem unverbindlichen Gespräch oder senden
Ihnen weitere Informationen. Wie Sie uns erreichen können,
erfahren Sie hier.
Weiterführende Informationen
|  |
