Diy Penetrationstests, um Ihr Netzwerk sicher zu halten

Die meisten IT-Profis kommen nur dann über einen bestimmten Tag hinweg, wenn sie davon ausgehen, dass ihre Netzwerke vor Hackern geschützt sind. Wenn Sie zu denen gehören, sind Sie wahrscheinlich zufrieden, dass alle Grundlagen vorhanden sind, sodass sich ein zufälliger Soziopath nicht einfach in Ihr Netzwerk einloggen, Ihre kritischen Informationen plündern, möglicherweise Malware einsetzen und dann gehen kann. Die Frage ist: Bist du sicher?

Um sicherzugehen, dass Ihr Netzwerk wirklich geschützt ist, müssen Sie es testen. Sie müssen sicherstellen, dass Ihre Betriebssysteme auf dem neuesten Stand sind, dass alle richtigen Anwendungspatches angewendet wurden und dass Sie keine leicht zu verletzenden Einstiegspunkte in Ihr Netzwerk haben. Dies ist zusätzlich zur Übung eines guten Netzwerkdesigns, bei dem nur Personen auf das zugreifen können, worauf sie zugreifen sollen, und das richtig segmentiert ist, damit jemand, der Ihren Perimeter durchbricht, nichts Schlechtes tun kann.

Kurz gesagt, Sie müssen sich selbst hacken lassen, damit Sie wissen, wo Ihre Schwächen liegen, und dann müssen Sie korrigieren, was diese (hoffentlich) White-Hat-Hacker gefunden haben. White-Hat-Hacker sind diejenigen, an die Sie sich wenden, wenn Sie die Qualität Ihres Netzwerkschutzes testen möchten, ohne echte Bösewichte oder Black-Hat-Hacker einzubeziehen. White-Hat-Hacker prüfen die Abwehrkräfte Ihres Netzwerks auf jede erdenkliche Weise und bewerten und protokollieren dabei Ihre Sicherheit. Das nennt man Penetrationstest oder "Pen-Test", und was viele IT-Experten nicht bemerken, ist, dass Sie nicht sofort einen teuren Profi einstellen müssen, um dies zu tun. Sie können die Grundlagen eines Penetrationstests selbst starten.

Aufgaben mit höchster Priorität für IT- und Sicherheitsexperten im Jahr 2018

(Bildnachweis: Statista)

"Das Wichtigste ist wirklich die Bewertung der Anfälligkeit, die Risikobewertung", sagte Georgia Weidman, Autorin von Penetration Testing: Eine praktische Einführung in das Hacken . Weidman ist außerdem Gründer und Chief Technology Officer (CTO) von Shevirah, einem auf Penetrationstests spezialisierten Sicherheitsunternehmen. "Diese werden übersehen. Unternehmen verschwenden viel Geld für Penetrationstests, wenn sie grundlegende Schwachstellen haben." Sie sagte, dass eine Organisation als Erstes grundlegende Schwachstellentests durchführen und die Schwachstellen dann beheben sollte, bevor sie mit den Penetrationstests fortfährt. "Penetrationstests sollten nicht Ihr erster Schritt sein", sagte sie.

Weidman schlug außerdem vor, sicherzustellen, dass Ihr Unternehmen die ersten Schritte im Bereich des Sicherheitsbewusstseins unternommen hat, einschließlich Schulungen zu Phishing und Social Engineering. Sie wies darauf hin, dass das sicherste Netzwerk immer noch durchdrungen werden kann, wenn jemand die Zugangsdaten preisgibt. Dies sind alles Dinge, die ein guter Penetrationstester prüfen würde, bevor er mit den eigentlichen Tests beginnt.

"Wenn sie daran interessiert sind, wie gut ihre Mitarbeiter für das Sicherheitsbewusstsein geschult sind, sollten Sie Ihren eigenen Phishing-Test einrichten", sagte Weidman. "Dafür muss man niemanden bezahlen, und das ist eine der größten Möglichkeiten, auf die sich die Leute einlassen." Sie sagte, Phishing auch über SMS und soziale Medien zu nutzen.

Testen Sie Ihre Passwörter

Weidman sagte, dass der nächste Schritt darin besteht, die Kennwörter und Identitätsverwaltungsfunktionen Ihres Unternehmens zu testen. "Laden Sie Active Directory-Hashes von Passwörtern herunter und testen Sie sie mit Passworttestern. Das tun wir beim Penetrationstest", sagte sie.

Laut Weidman gehören zu den wichtigen Tools für das Testen von Passwörtern Hashcat und John the Ripper, von denen sie sagt, dass sie häufig beim Penetrationstest verwendet werden. Sie erklärte, dass Kennwörter nicht nur aus Microsoft Azure Active Directory überprüft werden, sondern auch mithilfe eines Netzwerkprotokollanalysators wie Wireshark im Netzwerk abgerufen werden können. Das Ziel hierbei ist es, sicherzustellen, dass Ihre Benutzer keine leicht zu erratenden Kennwörter wie "Kennwort" für ihre Anmeldeinformationen verwenden.

Während Sie Ihren Netzwerkverkehr untersuchen, sollten Sie nach der Link-Local Multicast Name Resolution (LLMNR) suchen und sicherstellen, dass sie nach Möglichkeit deaktiviert ist. Weidman sagte, dass Sie Passwort-Hashes mit LLMNR erfassen können. "Ich höre im Netzwerk zu, hole die Hashes und knacke sie dann", sagte sie.

Authentifizieren Sie Ihre Maschinen

Weidman sagte, dass sie, sobald sie die Passwörter geknackt hat, diese verwendet, um sich bei den Rechnern im Netzwerk zu authentifizieren. "Möglicherweise gibt es einen lokalen Administrator, weil sie alle gleich abgebildet wurden", sagte sie. "Hoffentlich gibt es einen Domain-Administrator."

Sobald Weidman die Administratoranmeldeinformationen erhält, kann sie diese verwenden, um in die geheimen Bereiche des Computers zu gelangen. Sie sagte, dass es manchmal eine sekundäre Authentifizierung gibt, so dass sie auch diese Passwörter knacken müsste.

Weidman sagte, wenn Sie Ihre eigenen Penetrationstests durchführen, sollten Sie vorsichtig sein. "Wenn ich Penetrationstests durchführe, bemühe ich mich, nichts zu beschädigen", sagte sie und fügte hinzu: "Es gibt keine hundertprozentige Gewissheit, dass nichts schief gehen wird."

Vermeiden Sie das Herunterladen von Malware

Weidman sagte, dass ein sehr nützliches Penetrationstest-Tool die kostenlose Version von Metasploit ist. Sie warnt jedoch davor, einen Exploit aus dem Internet herunterzuladen, da er auch Malware enthalten könnte. "Greife dich nicht aus Versehen an", warnte sie. Sie sagte, dass zu Testzwecken bereitgestellte Exploits häufig Malware enthalten, die Sie angreifen wird.

• Die besten Passwortmanager für 2019 Die besten Passwortmanager für 2019
• Die beste Software zum Entfernen und Schutz von Malware für 2019 Die beste Software zum Entfernen und Schutz von Malware für 2019
• Der beste Ransomware-Schutz für Unternehmen im Jahr 2019 Der beste Ransomware-Schutz für Unternehmen im Jahr 2019

Im Übrigen stellt Microsoft auch ein Tool zur Schwachstellenbewertung für Windows zur Verfügung, das Microsoft Security Compliance Toolkit v1.0, das Microsoft Windows 10, Windows Server 2012R2 und Office 2016 unterstützt.

Weidman warnt davor zu denken, dass das Eindringen eine Art tiefe dunkle Magie ist. Sie sagte, dass es stattdessen wichtig sei, zuerst die Grundlagen zu besprechen. "Jeder springt zum Penetrationstest, weil er einen sexy Namen hat", sagte sie. "Aber es ist sehr wertvoll, die niedrig hängenden Früchte zu finden und sie zuerst zu reparieren."