Пенетрационо тестирање

Пенетрационо тестирање (енг. penetration testing), познато као пен тестирање или етичко хаковање, представља овлашћени сајбер напад на рачунарске системе и мреже. Циљ пенетрационог тестирања је откривање рањивости (грешака) система које би потенцијални хакери могли искористити у лоше сврхе као што је приступ бази података, крађа лозинки и идентитета и још много горе. Пенетрационим тестирањем се баве људи који се називају "Пенетрациони тестери" (енг. Penetration tester, Pen tester). У данашње време, велики број компанија је окренут пословању путем Интернета и све више и више се користи како међу компанијама и предузећима, тако и међу људима који користе разне услуге. Самим тим се појављују и криминалци који траже нове начине како би на илегалан начин доспели до ствари за које немају дозвољен приступ. То су такозвани хакери. Пенетрациони тестери су генерално хакери, али који се баве легалним хаковањем тако што добију дозволу од одређене компаније, предузећа или других да могу да пробају да продру у њихове системе и уколико успеју да пронађу било какве начине и грешке које могу довести до тога, они то требају пријавити како би се ти проблеми решили и како би сами подаци и системи били безбеднији.

Историја

Још давне 1965. године рачунарски стручњаци су упозоравали владу и бизнис да би све већа могућност рачунара да размењују податке и информације путем комуникационих линија неизбежно довела до покушаја да се продре у комуникационе линије и добије приступ тим подацима и информацијама које се размењују. На годишњој рачунарској конференцији (енгл. Joint Computer Conference), која се одржала 1967. године, окупило се више од 15 000 стручњака за рачунарску безбедност и расправљали о могућим проблемима који се могу десити комуникационим системима.

Идеја о тестирању рачунарских система како би се осигурао њихов интегритет се појавила код великих корпорација као што је на пример РАНД Корпорација (енгл. RAND Corporation) која је прва идентификовала ову претњу у комуникационим системима која и дан данас траје. Корпорација РАНД је у сарадњи са Агенцијом за напредне истраживачке пројекте (енг.ARPA) у САД, направила суштински извештај у коме се расправљало о безбедносним проблемима и предложеним политичким и техничким разматрањима која и данас представљају основу за мере безбедности. Из овог извештаја су затим владине организације почеле са стварањем тимова који ће се бавити тестирањм система и проналажењем рањивости како би их заштитили од злонамерног хаковања (енг. black hat hacking). Након првих напада системи сз веома брзо престали са радом и тада су дошли до закључка да се треба уложити много више како у безбедност самих система тако и у само пенетрационо тестирање ради даљих вршења тестова.

Методологија

Методологија пенетрационог тестирања представља начин на који је тест организован и извршен. Ове методологије не морају бити стриктне у смислу да се мора поштовати одређени начин рада, већ организације могу саме организовати по свом избору. У неким тренуцима ово може бити корисно зато што се тест не обавља увек на истим системима. То могу бити веб апликације, мобилне апликације, сервери, мреже и остало и зато је потребно користити различите алате и технике напада. Ипак поред свега тога постоје и методологије које су светски признате и користи их велики број организација. Неке од њих су:

• ОССТММ (OSSTMM - Open Source Security Testing Methodology Manual)
• ОВАСП (OWASP - Open Web Application Web Security Project)
• НИСТ (NIST - National Institute of Standards and Technology)

• ПТЕС (PTES - Penetration Testing Execution Standard)

ОССТММ

Представља једну од најпрепознатљивијих методологија пенетрационог тестирања у индустрији. Рецензирана је и одржава је Институт за безбедност и отворене методологије АЈСЕКОМ (енгл. ISECOM - Institute for Security and Open Methodologies). ОССТММ омогућава компанијама да прилагоде тестове својим потребама истовремено омогућавајући програмерима приступ сигурнијим деловима свог окружења за развој. ОССТММ садржи провере како би се осигурало поштовање прописа и закона. Са комбинацијом техничког правца, прилагодљивости за различите типове окружења и широком подршком за неколико типова организација, ОССТММ представља универзалну методу за пенетрационо тестирање.

OВАСП

ОВАСП конференција

Представља скуп стандарда и смерница за безбедност веб апликација и често је користе почетници у области пенетрационог тестирања. ОВАСП поседује и неколико сопствених ресурса за побољшавање безбедности веб апликација пружајући такође компанијама листу категорија рањивости веб апликација као и начине за њихово ублажавање и отклањање. ОВАСП садржи "листу", ОВАСП ТОП 10 (енг. Owasp Top 10), у којој се наводе 10 најпознатијих рањивости веб апликација, и не само то већ садржи и упутства и правила која помажу самом тестирању и начину рада. Ту спадају:

• Инјекција (Injection)
• Неисправна аутентификација (Broken Authentication)
• Излагање осетљивих података (Sensitive Data Exposure)
• КСМЛ екстерни ентитет (XML External Entity)
• Неисправна контрола приступа (Broken Access Control)
• Безбедносна погрешна конфигурација (Security Misconfiguration)
• Крос-сајт скриптинг (Cross-site scripting)
• Небезбедна десеријализација (Insecure Deserialization)
• Компоненете са познатим рањивостима (Components with Known Vulnerabilities)
• Недовољно евидентирање и праћење (Insufficent Logging and Monitoring)

Инјекција

Инјекција sе дешава када нападач успе да продре у неисправан програм у коме може да унесе сопствени злонамерни код који ће му омогућити приступ информацијама и подацима на илегалан начин. У ове нападе спадају: СКЛ инјекција (SQL Injection), Инјекција команди (Command Injection), ЛДАП инјекција (LDAP Injection) и ЦРЛФ инјекција (CRLF Injection).

Неисправна аутентификација

Неисправна аутентификација представља рањивости које нападачи користе како би се лажно представили као корисници на мрежи. Неисправна аутентификација се односи на две рањивости и то на управљање сесијама и управљање акредитивима. Оба су карактерисана као неисправна аутентификација зато што нападачи могу да користе било који начин да се представе као одређени корисник.

Излагање осетљивих податак

Излагање осетљивих података се односи на методе преноса података и информација које нису довољно заштићене. Хакери могу искористити те пропусте и доспети до разних приватних ствари. Шифровање података, токенизација и правилно управљање кључевима могу помоћи у смањењу ризика од успешног напада.

КСМЛ екстерни ентитет

ИКСМЛ екстерни ентитет представља врсту напада на апликацију која анализира ИКСМЛ улаз. Напад може довести до откривања осетљивих података, фалсификовање захтева на страни сервера, ускраћивања услуге и других утицаја на систем.

Неисправна контрола приступа

Ако ограничења приступа нису правилно подешена, нападачи то лако могу преокренути у своју корист. Са неисправном контролом приступа, неовлашћени корисници могу имати приступ осетљивим датотекама и системима а у неким случајевима и подешавањима корисничких привилегија.

Безбедносна погрешна конфигурација

Баш као и код неисправне контроле приступа, грешке код безбедносне конфигурације такође представљају велики проблем који нападачима може омогућити брз и лак приступ осетљивим подацима.

Крос-сајт скриптинг

Крос-сајт скриптинг представља честу рањивост код веб апликација. Заснива се на томе да нападачи са клијентске стране веб апликације „убаце” злонамерни код који се може извршити на серверу и тако добити одређене привилегије приступа.

Небезбедна десеријализација

Небезбедна десеријализација представља врсту рањивости у којој се користе непоуздани и неповерљиви подаци за нападе као што су ДоС (енг. Denial of Service), заобилажење аутентификације и друге. Серијализација је процес који претвара објекте у формате који се касније могу вратити у првобитне објекте. Десеријализација представља процес који узима податке из датотеке или мреже и од њих гради објекат.

Компоненте са познатим рањивостима

Компоненте са познатим рањивостима могу представљати велики проблем јер као што и само име каже, њихове рањивости су познате и врло лако се могу искористити, хаковати помоћи аутоматизованих алата. Пример може бити коришћење застарелог система који није ажуриран.

Недовољно евидентирање и праћење

Недовољно евидентирање грешака и напада на систему могу довести до безбедносних ризика из разлога што се нападачи ослањају на недостатак праћења и спорије време решавања грешака. Овај проблем се може решити тако што ће се евиденција вршити чешће и надгледати сав рад на систему или мрежи.

НИСТ

Национални институт за стандарде и технологију - главни лого

Национални институт за стандарде и технологију представља главнз метролошку установу у САД, односно истраживачку агенцију која делује у оквиру федералног Министарства трговине. Основана је 1901. године са тадашњим именом Национални биро за стандарде а данашњи назив је добила 1988. године. НИСТ је одговоран за развој стандарда и смерница укључујићи минималне захтеве за обезбеђивање безбедности информација за све послове и агенције. НИСТ специјална публикација 800-115 садржи најболље праксе за спровођење интерне процесне безбедности.

ПТЕС

ПТЕС представља стандард који је развијен од стране стручњака за безбедност информација из различитих индустрија и наставља да се развија. Садржи се од минималне основе за пенетрационо тестирање па све до резултата који укључују извештај. Циљ самог стандарда је да обезбеди квалитетне смернице које ће помоћи при повећању квалитета пенетрационог тестирања. Стандардизација такође помаже организацијама да боље разумеју услуге које плаћају и пенетрационим тестерима даје тачна упутства шта да раде током теста. Према ПТЕС-у, пенетрационо тестирање се састоји од 7 фаза и то:

• Интеракција пре ангажовања
• Начин прикупљања
• Моделирање претњи
• Анализа рањивости
• Експлоатација
• Након експлоатације
• Извештавање

Интеракција пре анагажовања

Потребно је да пенетрациони тестери прикупе неопходне алате, оперативне системе и софтверске програме за почетак пенетрационог тестирања. Успешност теста зависи од алата који се користе као и од квалитета тестера који врше операцију.

Начин прикупљања

Организација пружа тестерима генералне информације али је потребно да тестери сами пронађу додатне информације из јавних извора. Овај корак је посебно користан код пенетрационог тестирања мреже.

Моделирање претњи

Моделирање претњи представља структуирани приступ идентификовања и приоритизације потенцијалних претњи систему.

Анализа рањивости

Од пенетрационих тестера се очекује да пронађу безбедносне ризике које представљају рањивости система. Анализа рањивости има за циљ да их пронађе пре него што их искористи неко други на злонамеран начин.

Експлоатација

Експлоатација представља искоришћавање, то јест нападање претходно пронађених рањивости. Зато је битно квалитетно извршити анализу рањивости.

Након експлоатације

Након што је експлоатација извршена, врши се даље нападање како би се утврдило колико далеко се може стићи (да ли може добити администраторске привилегије и слично).

Извештавање

У извештају је потребно да се наведу све рањивости које су пронађене, како су пронађене и како су искоришћене. Извештај треба да пружи организацији смернице како да учине систем безбеднијим и да среде рањивости које су пронађене.

Алати за тестирање

У данашње време постоји велики број програма који су бесплатни за коришћење и свима су омогућени. Велики број пенетрационих тестера користи софтверске програме (алате) који им помажу при тестирању. Ти алати могу бити направљени од стране индивидуалаца а могу и од организација. Сврха алата је да помогну тестеру да на ефикаснији и бржи начин изврши тестирање. Када би тестер сам морао да прави посебне алате за тестирање система сваки пут када се бави другачијим системом, цео процес би био превише дуг и опет је питање да ли би на крају био тачан и ефикасан. Ови алати су обично направљени од поузданих организација које се дуго баве тиме и признате су у свету. У алате спадају оперативни системи и софтверски алати.

Оперативни системи

Оперативни систем представља скуп програма и рутина одговорних за контролу и управљање уређајима и рачунарским компонентама, као и за обављање основних системских радњи. Оперативни системи који се најчешће користе при пенетрационом тестирању су:

• Кали Линукс (Kali Linux)
• БлекАрч (BlackArch)
• БекБокс (BackBox)
• Перот ОС (Parrot OS)

Кали Линукс

Кали Линукс - Офензив Секјурити

Кали Линукс представља дистрибуцију која је заснова на Дебијану (енгл. Debian). Дизајниран је првенствено за дигиталну форензику и пенетрационо тестирање. Велики број пенетрационих тестера га користи из разлога што поседује велики број програма (алата) који су специфично направљени за тај посао, и то око 600 алата. Развијен је од стране Мети Арони (енгл. Mati Aharoni) и Девон Кирнс (енгл. Devon Kearns) из Офензив Секјурити-а (енгл. Offensive Security) 2013. године. Отвореног је кода (open source) што значи да свако има приступ главном коду и може се подешавати према својим потребама. Слоган Кали Линукс-а је: "Што тиши постајеш, више можеш да чујеш".

БлекАрч

БлекАрч терминал

БлекАрч представља дистрибуцију која је заснована на Арч Линуксу (енгл. Arch Linux). Намењен је за пенетрационо тестирање и садржи велики број алата (2800 алата) који се могу инсталирати посебно или у групама и првенствено су намењни за сајбер безбедност. Дистрибуција је такође отвореног кода. Веома је сличан Кали Линуксу и Перот ОС-у.

БекБокс

БекБокс Линукс

БекБокс представља дистрибуцију за пенетрационо тестирање која је заснована на Убунту-у (енгл. Ubuntu). Главни циљ је да обезбеди алтернативни, веома прилагодљив систем са квалитетним перформансама. Укључује и велики број безбедносних алата за различите намене од анализе па све до експлоатације. Дистрибуција је такође отвореног кода и свима је омогућена на коришћење. Први пут се појавила 2010. године и наставља да се ажурира.

Перот ОС

Перот ОС представља Линукс дистрибуцију засновану на Дебијану. Развијен је 2013. године од стране Лоренца Фалетра (енгл. Lorenzo Faletra) који је члан Перот Дев тима (енг. Pаrrot Dev Team) и такође је отвореног кода. Дизајниран је стручњаке из области сајбер безбедности али се може користити и у дневне сврхе као и претходне дистрибуције. Не разликује се пуно од претходних дистрибуција, све имају исту намену и користе их људи који се баве истим областима.

Софтверски алати

Софтвер представља програм који говори рачунару на који начин треба да обави одређене команде. Постоји велики број софтверских алата који могу бити креирани од стране поузданих организација или индивидуалаца. Као што је раније речено, главна сврха алата је да помогну тестерима да на бржи и ефикаснији начин ураде тестирање одређеног система. Како се број алата све више повећава и алати се унапређују, тако и они сами бивају направљени да се могу користити уз минимално познавање рада. Понекад ово може бити корисно зато што тестери не морају да разумеју алат у детаље како функционише да би га користили, а са друге стране то може бити и лоше јер се може десити да користе алат а не знају шта тачно раде. Међу неке од најпознатијих софтверских алата спадају:

• Нмап (Nmap)
• Метасплоит Фрејмворк (Metasploit Framework)
• Брп Суит (Burp Suite)
• Еиркрек-енџи (Aircrack-ng)
• Вајршарк (Wireshark)
• Хешкет (Hashcat)
• СКЛ мап (SQL map)
• Несус (Nessus)
• Зап ОВАСП (Zap OWASP)
• Биф (BeEF)

Нмап резултат скенирања

Нмап

Нмап (енгл. Nmap) представља један од најпознатијих безбедносних алата за скенирање мреже. Користи се за откривање хостова и сервиса на рачунарским мрежама тако што шаље пакете жртви и анализира одговоре. Развијен је од стране Гордона Лиона (енгл. Gordon Lyon) 1997. године. Представља скраћеницу од Network Mapper. Алат је дизајниран за брзо скенирање великих мрежа али ради подједнако добро када се корсити и за један хост. Приликом скенирања добијају се основне информације као што су хостови који су доступни на мрежи, који сервиси су покренути на тим хостовима, који оперативни систем користе, које типове филтера користе и друге. Најинтересантнија информација је такозвана "табела занимљивих портова". У тој табели се налази број порта и протокол, назив сервиса и стање. Стање може бити отворено, затворено, филтрирано и нефилтрирано. Отворено стање значи да на датом рачунару постоји апликација која слуша на одређеном порту и чека конекцију. Затворено значи да тренутно не постоје апликације које слушају на тим портовима. Филтрирано стање значи да између нападача и жртве постоји уређај који блокира саобраћај, најчешће је то фајрвол (енг. firewall), и нмап не може рећи да ли је порт отворен или не.

Метасплоит Фрејмворк

Метасплоит терминал

Метасплоит Фрејмворк (енгл. Metasploit Framework) је алат за развој експлоатацијског кода као и извршавање истог на удаљеном рачунару. Развијен је од стране компаније Рапид7 (енг. Rapid7). Дизајниран је тако да омогућава стручњацима и пенетрационим тестерима на коришћење велики број експлоита (exploit), пејлоада (payload), енкодера (encoder), НОП генератора (NOP generator) и алата за извиђање (reconnaissance). Колико је сам алат моћан, толико је и једноставан за коришћење, потребно је само познавати шта треба користити при нападима. Могуће је користити га на Линукс (Linux), Мек (Mac) и Виндовс (Windows) оперативним системима. Код избора експлоита и пејлоада битно је да познајемо неке информације о мети као што је верзија оперативног система и мрежна услуга и за то се може користити алат који је претходно наведен, нмап. Поседује базу од око 1000 експлоита. Сам напад на мету се може врло лако и брзо покренути тако што се изабере одговарајући експлоит, изабере се мета, у овом случају ИП адреса (енгл. IP address), унесу још додатне информације које су неопходне као што је порт, лозинка и друге и напад може бити покренут одговарајућом командом.

Брп Суит

Брп Суит

Брп Суит (енгл. Burp Suite)) представља скуп алата који се користе за пенетрационо тестирање веб апликација. Развије је од стране компаније по имену Портсвигер (енгл. Portswigger). Брп Суит има за циљ да буде скуп алата све у једном. Један је од најпопуларнијих алата међу пенетрационим тестерима. Веома је једноставан за коришћење и поседује графички интерфејс што га чини јос привлачнијим. Доступан је у 3 верзије и то: бесплатна верзија која је доступна свима, професионална верзија која се наплаћује 399 долара годишње и верзија за предузећа која се наплаћује 3999 долара годишње. Алати који од који се састоји су: паук (Spider), прокси (Proxy), уљеѕ (Intruder), репитер (Repeater), секвенцер (Sequencer), декодер (Decoder), екстендер (Extender) и скенер (Scanner).

Еиркрек-енџи

Еиркрек-енџи лого

Еиркрек-енџи (енгл. Aircrack-ng) је један од најпознатијих алата за тестирање бежичне локалне мреже. Алат се може користити у Линукс, Мек и Виндовс оперативним системима. Може радити са било којим контролером бежичног мрежног интерфејса чији драјвер подржава. Алат се може користити за праћење и ослушкивање саобраћаја на мрежи. Еиркрек-енџи представља део пројекта Еиркрек. Такође се користи и за крековање лозинки са ВПЕ (WPE), ВПА (WPA) и ВПА2-ПСК (WPA2-PSK) заштитом.

Вајршарк

Вајршарк лого

Вајршарк (енгл. Wireshark) је пакет анализатор отвореног кода. Користи се за решавање мрежних проблема, анализу, развој софтвера и комуникационих протокола. Први пут се појавио 1998. године од стране Вајршарк тима (енгл. The Wireshark team). Раније је био познат под именом Етерал али је касније, 2006. године промењено у Вајршарк. Пакети које Вајршарк прикупља могу администраторима пружити информације о томе одакле пакет долази (мисли се на адресу долазног пакета), где пакет одлази (за коју адресу је пакет намењен), време преноса, тип протокола који се користи и подаци заглавља. Ове информације могу бити корисне за процену безбедносних догађаја и решавање проблема са мрежним безбедносним уређајима.

Хешкет

Хешкет (енгл. Hashcat) је један од најпопуларнијих и најмоћнијих алата који се користи за разбијање-проваљивање лозинки. Данас се велики број лозинки пре складиштења у неку базу података хешује, то јест заштићују се неким алгоритмом. Хешкет такође поседује велики број алгоритама за хешовање на које може извршити напад. Неки од најпознатијих алгоритама за хешовање су МД4, МД5, СХА-1, СХА2-256, СХА2-512, ЛМ и тако даље. Алат је веома брз и ефикасан и то је један од разлога зашто је најкоришћенији како у легалне сврхе тако и у илегалне. Лако се користи и може се бесплатно преузети. Састоји се од неколико типова за напад на лозинке и користи се тако што се напади и алгоритми наводе у виду бројева који су дефинисани као модови помоћу којих бирамо врсту напада.

СКЛ мап

СКЛ мап лого у терминалу

СКЛ мап (енгл. SQL map) је алат отвореног кода која аутоматизује процес откривања и искоришћавања рањивости у СКЛ инјекцији и преузимању база података. Један је од најбољих алата за извођење напада СКЛ инјекцијом. Поред аутоматизације процеса за тестирање рањивости, понекад се може искористити и за експлоатацију тих рањивости. Најчешће се користи за веб сајтове где је потребно да се обезбеди адреса сајта (УРЛ) и одређени параметар како би се тестирање утврдило. У Кали Линуксу се обично налази као већ инсталирани алат али је и могуће преузети га бесплатно. Базиран је на пајтон (енгл. Python) програмском језику. Многи кажу да је СКЛ мап Метасплоит за СКЛ инјекције.

Несус

Несус лого

Несус (енгл. Nessus) је алат који се користи за скенирање и претраживање било каквих рањивости на рачунару који је повезан на интернет и које би злонамерни хакер могао искористити. Ради тако што покреће око 1200 провера на датом рачунару, тестирајући да ли се неки од ових напада може искористити или на неки други начин нанети штету. Алат није комплетан и не треба се у потпуности ослањати на њега али ипак може много помоћи када се ради о откривању рањивости. Предност је такође што уз откривене рањивости нуди и најбоље солуције за решавање проблема. Написан је у програмском језику Ц (енг. C). Бесплатно се може преузети и отвореног је кода.

Зап ОВАСП

Зап ОВАСП почетна страна при отварању алата

Зап (енгл. Zed Attack Proxy) је алат отвореног кода који се користи као безбедносни скенер за веб апликације. Припада ОВАСП-у и намењен је како почетницима у пенетрационом тестирању тако и професионалцима. Састоји се од 2 макросекције. Прва секција је аутоматизовани скенер који идентификује рањивости и обавештава о свим детаљима које је открио. Друга секција је прокси сервер и као такав може пратити и манипулисати свим саобраћајем који пролази кроз њега укључујући и саобраћај који пролази кроз хттпс (енг. https) протокол. Алат је доступан на бројним оперативним системима (Линукс, Виндовс...). Написан је у програмском језику Јава (енгл. Java).

Биф

Биф (енгл. BeEF) скраћено од Browser Exploitation Framework је моћан алат за пенетрационо тестирање који се фокусира на веб претраживаче. Може се користити и за искоришћавање рањивости у виду крос-сајт скриптинга. За разлику од других алата који се могу користити у друге сврхе, Биф је наменски креиран за пенетрационо тестирање. У Кали Линуксу се налази као већ инсталиран алат али се може и накнадно преузети уколико је потребно. Отвреног је кода и написан је у програмским језицима ЈаваСкрипт (енгл. JavaScript) и Раби (енгл. Ruby).

Литература

• НИСТ (2008), Карен Скарфоне, Аманда Коди, Ангела Оребот. "Технички водич за безбедност информација и процена"
• OВАСП, Матео Мучи, Ендру Милер. "ОВАСП водич за тестирање"
• Филип Вајл, Ким Крувли. "Започети каријеру као етички хакер"

Спољашње везе

• Званични сајт ОВАСП-а
• Званични сајт НИСТ-а
• Званични сајт Кали Линукса
• Званични сајт Офензив Секјурити-а
• Званични сајт БлекАрч-а
• Званични сајт Перот ОС-а
• Званични сајт Нмап-а
• Званични сајт Метасплоит Фрејмворк-а
• Званични сајт Вајршарк-а
• Званични сајт Брп Суит-а