Video of the week

I've found this great video and I recommend you to watch if you are interested in wireshark and filtering methods

Nessus

Mam za zadanie zaznajomić się bliżej z serią systemów operacyjnych. Postanowiłem sprawdzić pod pewnym kątem czystą instalację systemu Windows Server 2003 i przekonać się na co można sobie pozwolić w przypadku błędnej (lub braku) konfiguracji OS'a. Do testu posłuży mi narzędzie team'u Sun - Virtual Box [ do wirtualizacji (nie mylić z emulacją) systemów operacyjnych ] oraz karabin automatyczny typu Nessus.

vb

Jak widać, mamy do dyspozycji aż 4 interfejsy sieciowe dla systemu gościa, które możemy podpinać np pod system gospodarza(równorzędne adresy), nat (system gospodarza nie widzi gościa), do sieci wewnętrznej bez dostępu do sieci zewnętrznej. Ustawienia sieciowe są z pozycji testu najważniejsze. Całość konfiguracji i późniejszej instalacji przed testem w tym momencie nie są ważne. Uruchamiamy maszynę..

2003

Mamy zainstalowany serwer Nessus'a 4.0 a także klienta GUI. Klient z którego korzystałem w 3.0 ustępuje miejsca interfejsowi web'owemu, choć nadal można z niego korzystać (jeśli ktoś jest przyzwyczajony lub chory na wszystko inne lub nowe). Nowy Nessus posiada już wcześniej dodanego przeze mnie użytkownika systemu, dołączyliśmy również wyjątek bezpieczeństwa certyfikatu 'self-signed' do Firefoxa i w końcu uruchomiliśmy serwer.

8834

 

 

Serwer nasłuchuje na porcie localhost 8834 więc i na taki się łączymy wpisując w przeglądarce:

https://127.0.0.1:8834/

nessus

 

Wita nas interfejs systemu w pozycji do loginu. Logujemy się migusiem i wybieramy politykę skanowania. Polityka skanowania to nasze 'widzi-misie' co do tego jak ma wyglądać sprawdzenie remote lub localhost'a. Jest całe mnóstwo opcji z którymi można zaznajomić się czytając guide'a ze strony projektu. Własną politykę ustawiłem już wcześniej i polecam przyjrzeć się procesowi tworzenia policy bliżej, żeby np:
- w pakiecie skanowania dla Windows'a nie znalazły się testy od FreeBSD
- jeśli posiadamy konta do specyficznych dla Nessus'a usług - skan będzie wydajniejszy jeśli będzie mógł zrobić dodatkowe testy(tam) z kontekstu localhost'a
- zdecydować czy zapychać pasmo w sieci na której aktualnie wykonujemy test
- zdecydować o zajętości zasobów systemowych dla skanera
- zastanowić się nad opcjami skanowania portów
- spróbować wiele innych opcji opisanych w dokumentacji Nessus'a

Okey, system gość uruchomiony więc odpalamy test Nessus'a:

scaninfo

 

Okey scanner is working, so we have to wait for results. Po paru minutach system stwierdza kilkanaście elementów architektury wpływających na bezpieczeństwo systemu. Mamy wśród nich dwa wskazania o charakterze wysokiego ryzyka.

Wykorzystanie słabości, które wskazał Nessus prowadzą bezpośrednio do przejęcia kontroli nad zdalnym hostem. Instalacja jest świeża i zapewne administrator wprowadzi odpowiednie zmiany i doinstaluje łaty ale problem znajduje się zupełnie gdzie indziej. Około 98% windowsow z którymi miałem nieprzyjemność znajdują się właśnie w takim stanie - czyli gotowe na oddanie się w obce ręce. Dziś nie produkuje się wirusów które psują - to się nie opłaca. Paradoksalnie jest to za duże ryzyko niepowodzenia całej misji. Dla wirusa dziś, im dłużej system jest stabilny tym lepiej, bo większa szansa na wypłynięcie z pod klawiatury cennych danych (druga szansa zainfekowania tego samego hosta może zbyt szybko się nie powtórzyć).

Podsumowanie: na the end niech będzie pytanie: czy Twój system działa bez zarzutu? Istnieje duże prawdopodobieństwo, że nie tylko dla Ciebie jest to powód do zadowolenia. Zaraz, zaraz - o czym właściwie informują nas te dwa screeny poniżej? Dla osoby mającej mniejsze lub większe pojęcie jest to informacja typu: "aha to już wiem jaki fragment kodu muszę wysłać aby załatwić usługę na tym porcie i dostać się do powłoki systemu - teraz poszukam kodu w internecie (po co wymyślać koło na nowo) a zaraz potem przejrze cały jego / jej dysk. Albo nie - użyję jego / jej maszyny jako bazy dla przetestowania serwera WWW firmy X. W logach ISP będzie jego IP, więc dla mnie oznacza to spokój a dla niego? Może jakaś wizytacja sił wyższych - tak czy inaczej mnie to już nie interesuje."