Защита от хакеров корпоративных сетей
Шрифт:
Лично автор чувствует, что CORE-SDI обладает потенциалом для революционных преобразований в области тестирования на проникновение и поднятия планки сканирования уязвимости на новую высоту. Прошло некоторое время с момента озвучивания новых идей. По слухам, CORE-SDI близка к выпуску бета-версии своего инструментального средства. Как и любой другой, кто каждый год выполняет большое число тестов на проникновение, автор выжидает, наблюдая, что предложит CORE-SDI, поскольку заявленное ими инструментальное средство не только улучшит качество работы современных тестировщиков на проникновение, но и повысит ценность тестирования на проникновение
Резюме
Совместно используя коммерческие и свободно распространяемые приложения сканирования уязвимости, можно добиться поразительных результатов при выполнении тестов на проникновение. Инструментальные средства имеют собственные ограничения и поэтому не превращают оператора в эксперта. Поэтому читатель должен осторожно относиться к так называемым специалистам по тестированию на проникновение, которые в своих действиях целиком полагаются на автоматизированный инструментарий.
К некоторым ключевым моментам успешного использования автоматизированных инструментальных средств для тестирования на проникновение относятся следующие: осмысление функциональных возможностей и ограничений автоматизированного инструментария, то есть то, что он делает или не делает, глубокие познания в области уязвимости и знание условий, при наступлении которых ими можно воспользоваться в злонамеренных целях, способность распознать ошибочные результаты работы пользователей и выяснить, является ли система уязвимой.
Во время типичного теста на проникновение клиент генерирует ряд запросов. Некоторые из них будут способствовать скрытному проведению тестирования настолько, насколько это возможно, вплоть до уклонения от обнаружения тестирования системами обнаружения вторжения. Сканеры уязвимости нельзя использовать из-за того, что, как правило, они создают слишком большой шумовой трафик в сети и оставляют многочисленные следы в журналах регистрации.
Тестирование на уязвимости вне зависимости от того, является ли тест автоматизированным или нет, не относится к классу точных наук. Для проверки существования одной и той же уязвимости обычно есть несколько способов. К этому надо добавить и то, что некоторые производители искажают предоставляемые сведения о некоторых уязвимостях, для того чтобы увеличить число «выполняемых их программами проверок на уязвимости». В результате покупка сканера уязвимости превращается в запутанное мероприятие. Поскольку подобные программы недешевы, то к вопросу выбора сканера уязвимости следует подходить очень тщательно. Из сказанного вытекает следующее: будущее автоматизированных сканеров уязвимости и автоматизированного инструментария тестирования на проникновение выглядит обнадеживающим, потому что в этой области есть место для дальнейшего их усовершенствования и новаторства.
Конспект
Краткие сведения об автоматизированных средствах оценки безопасности
· Ни одно из автоматизированных средств сканирования не предлагает законченного решения.
· Опираясь на рекламную информацию, предоставляемую производителями о своих сканерах, примите собственное решение при покупке их программ, учитывая их производительность и практичность.
· Сканер Nessus – мощный свободно распространяемый инструментарий, который предоставляет возможности покупаемых за деньги коммерческих инструментальных средств.
Применение
· Современные автоматизированные инструментальные средства во время сканирования на самом деле не проникают в изучаемый хост. Они лишь проверяют хост на присутствие в нем возможных уязвимостей.
· Остерегайтесь ложных срабатываний и бойтесь упущений.
· Как правило, для получения наиболее достоверных результатов рекомендуется использовать комбинацию из нескольких инструментальных средств, как коммерческих, так и свободно распространяемых.
Случаи, когда инструментальных средств недостаточно
· Ни одно из автоматизированных инструментальных средств не является совершенным до такой степени, чтобы на него можно было полностью положиться.
· Твердое понимание уязвимостей и условий, при которых можно воспользоваться ими в злонамеренных целях, является обязательным.
· При наличии желания проникнуть в хост или внутреннюю сеть обязательно потребуются собственные скрипты и другой инструментарий.
Часто задаваемые вопросы
Вопрос: Существует ли в Интернете ресурс, на котором были бы перечислены все коммерческие и свободно распространяемые инструментальные средства сканирования?
Ответ: Хорошим, но немного устаревшим, является подготовленная Талискером (Talisker) страница «Сетевые вторжения» (Network Intrusion), расположенная по адресу www.networkintrusion.co.uk. Дополнительным ресурсом может послужить сайт Security Focus (www.securityfocus.com), на котором можно найти большой список различных инструментальных средств.
Вопрос: Какой коммерческий сканер уязвимости является для автора любимым? Ответ: Все зависит от среды и обязательств, принятых автором. Автор использовал и все еще использует большинство коммерческих программ, но наиболее часто он применяет сканеры IIS Internet Scanner и eEye Retina.
Вопрос: Разве коммерческие сканеры уязвимости не являются опорой для специалистов в области защиты, у которых на самом деле нет достаточных навыков или знаний о реальных проблемах защиты? Ответ: К сожалению, в области безопасности в настоящее время наблюдается наплыв людей и организаций, которые думают, что все, что нужно для того, чтобы стать консультантом в области защиты, – это автоматизированный инструментарий. Перед приемом на работу любого консультанта в области защиты просмотрите все его дипломы и рекомендации и основательно изучите их.
Вопрос: Какие инструментальные средства удаленного доступа могут быть использованы во время теста на проникновение как средство получения дальнейшего доступа с помощью уже скомпрометированного хоста? Ответ: В настоящее время для реализации сказанного нет общедоступного инструментального средства, кроме разве что сканера eEye Retina. Разработчики сканера eEye Retina утверждают, что он использует полученную в результате сканирования информацию для компрометации других хостов, чьи IP-адреса были определены перед началом сканирования. Новые инструментальные средства, разрабатываемые компанией CORE-SDI, будут также обладать такой возможностью, которая, кажется, выглядит вполне многообещающей.