Test av penetrasjonstester for å holde nettverket ditt trygt

De fleste IT-fagfolk kan bare komme seg gjennom en gitt dag under forutsetning av at nettverkene deres er beskyttet mot hackere. Hvis du er blant dem, er du sannsynligvis fornøyd med at alle de grunnleggende elementene er på plass slik at en eller annen tilfeldig sosiopat ikke bare kan logge inn på nettverket ditt, plyndre den kritiske informasjonen din, kanskje plante skadelig programvare og deretter la være. Spørsmål er: Er du sikker?

Den eneste måten å være sikker på at nettverket ditt virkelig er beskyttet, er å teste det. Du må være sikker på at operativsystemene dine er oppdatert, at alle de riktige applikasjonsoppdateringene er brukt, og at du ikke har noen lett krenkede inngangspunkter i nettverket. Dette i tillegg til å øve på god nettverksdesign som bare lar folk få tilgang til det de skal få tilgang til, og som er riktig segmentert slik at noen som bryter omkretsen din ikke kan gjøre noe dårlig.

Kort sagt, du må få deg hacket slik at du vet hvor svakhetene dine er, og så må du fikse hva de (forhåpentligvis) hvite hathakkerne fant. White hat-hackere er de du henvender deg til når du vil teste kvaliteten på nettverksbeskyttelsen din uten å involvere faktiske skurkene eller black hat-hackere. Det hvite hat hackere gjør er å undersøke forsvaret av nettverket ditt slik de kan, rangere og registrere sikkerheten din underveis. Det kalles penetrasjonstesting eller "pennetesting", og det som mange IT-proffere ikke er klar over, er at du ikke trenger å ansette en dyr proff for å gjøre det. Du kan starte det grunnleggende i en penetrasjonstest selv.

Oppgaver med høyeste prioritet for IT- og sikkerhetsfagfolk i 2018

(Bildekreditt: Statista)

"Det viktigste er virkelig sårbarhetsvurdering, risikovurdering, " sier Georgia Weidman, forfatter av Penetration Testing: A Hands-on Introduction to Hacking . Weidman er også grunnlegger og Chief Technology Officer (CTO) av Shevirah, et sikkerhetsselskap som spesialiserer seg på penetrasjonstesting. "De blir oversett. Bedrifter kaster bort mye penger på penetrasjonstester, når de har grunnleggende sårbarheter." Hun sa at det første en organisasjon bør gjøre er å utføre grunnleggende testing av sårbarhet, og deretter fikse sårbarhetene før de går videre til penetrasjonstesting. "Penetrasjonstesting skal ikke være ditt første skritt, " sa hun.

Weidman foreslo også å sørge for at selskapet ditt har tatt de første skritt i sikkerhetsbevissthet, inkludert opplæring i phishing og sosial ingeniørfag. Hun påpekte at det sikreste nettverket fremdeles kan penetreres hvis noen gir fra seg legitimasjon for å få tilgang. Dette er alle ting som en god penetrasjonstester vil sjekke før du begynner på en faktisk testing.

"Hvis de er interessert i hvor godt de ansatte er opplært til sikkerhetsbevissthet, så sett opp din egen phishing-test, " sa Weidman. "Du trenger ikke betale noen for å gjøre det, og det er en av de største måtene folk kommer seg inn på." Hun sa også å bruke phishing gjennom tekstmeldinger og sosiale medier.

Test passordene dine

Weidman sa at neste trinn er å teste organisasjonens passord og identitetshåndteringsevner. "Last ned Active Directory-hash med passord og test dem med passordtestere. Det er noe vi gjør i penetrasjonstesting, " sa hun.

I følge Weidman inkluderer viktige verktøy for passordtesting Hashcat og John the Ripper passord cracker, som hun sa ofte brukes i penetrasjonstesting. Hun sa at i tillegg til å sjekke passord fra Microsoft Azure Active Directory, kan de også sniffes på nettverket ved å bruke en nettverksprotokollanalysator som Wireshark. Målet her er å sørge for at brukerne dine ikke bruker lett gjette passord, for eksempel "passord", som legitimasjon.

Mens du undersøker nettverkstrafikken din, bør du se etter Link-Local Multicast Name Resolution (LLMNR) og sørge for at den er deaktivert om mulig. Weidman sa at du kan fange opp passord-hash ved å bruke LLMNR. "Jeg hører på nettverket og får hasjene, og sprekker dem deretter, " sa hun.

Autentiser maskinene dine

Weidman sa at når hun har sprukket passordene, bruker hun dem for å autentisere med maskinene i nettverket. "Det kan være en lokal administrator fordi de alle ble avbildet det samme, " sa hun. "Forhåpentligvis er det en domeneadministrator."

Når Weidman får administratorbevis, kan hun deretter bruke dem til å komme seg inn i de hemmelige områdene på maskinen. Hun sa at noen ganger er det en sekundær godkjenning, så hun må også knekke passordene.

Weidman sa at hvis du gjør din egen penetrasjonstesting, så burde du være forsiktig. "Når jeg gjør penetrasjonstesting, går jeg ut av min måte å ikke bryte noe, " sa hun og la til, "Det er ingen 100 prosent sikkerhet for at ingenting kommer til å gå galt."

Unngå å laste ned skadelig programvare

Weidman sa at et veldig nyttig verktøy for penetrasjonstesting er den gratis utgaven av Metasploit, men hun advarer mot å laste ned en utnytte fra internett fordi den også kan inneholde skadelig programvare. "Ikke angrip deg selv ved et uhell, " advarte hun. Hun sa at utnyttelser som er gitt for testing ofte inneholder skadelig programvare som vil angripe deg.

• De beste passordadministratorene for 2019 De beste passordadministratorene for 2019
• Den beste programvaren for fjerning og beskyttelse av skadelig programvare for 2019 Den beste programvaren for fjerning og beskyttelse av skadelig programvare for 2019
• The Best Ransomware Protection for Business for 2019 The Best Ransomware Protection for Business for 2019

Forresten, Microsoft leverer også et sårbarhetsvurderingsverktøy for Windows kalt Microsoft Security Compliance Toolkit v1.0, som støtter Microsoft Windows 10, Windows Server 2012R2 og Office 2016.

Weidman advarer mot å tenke at penetrering er en slags dyp mørk magi. Hun sa at i stedet er det viktig å dekke det grunnleggende først. "Alle hopper til penetrasjonstesting fordi det har et sexy navn, " sa hun. "Men det er mye verdi å finne den lavthengende frukten og fikse den først."