Как просканировать цель с помощью Nmap?

Рассмотрим сегодня всем известный и старый как мир инструмент для исследования сети.

Для тестового сканирования рассмотрим инструмент Metasploitable. Образ с уже подготовленными уязвимостями.

Скачиваем образ по ссылке https://sourceforge.net/projects/metasploitable/ в формате zip и извлекаем из архива.

Открываем VMware Workstation Pro – > Open a Virtual Mashine и выбираем файл конфигурации виртуальной машины Metasploitable.vmdk после чего запускаем виртуальную машину.

После загрузки компонентов и приветствия вводим login: msfadmin, password: msfadmin.

Затем необходимо убедиться, что был получен ip-адрес командой ifconfig. Полученный ip в данном случае 192.168.57.128. В случае если ip не был получен Вы можете прописать статический ip в etc/network/interfaces

Откроем веб форму по полученному ip через IE

После необходимо скачать клиент Nmap и поставить на хостовую (другую виртуальную) машину. В нашем случае ставим на Windows 10. https://nmap.org/download.html. При установке выбираем необходимые компоненты и устанавливаем. Удобнее конечно использовать дистрибутив Kali Linux, где многие необходимые тулзы для целей сканирования уже в составе.

Для начала проведем сканирование на обнаружение цели, отправив эхо-запрос и получив эхо ответ с помощью утилиты ping. Просканируем всю подсеть с 24 маской c помощью команды:

nmap -sP 192.168.57.0/24

В результате как мы видим наш хост пингуется, остальные 2 значения с ip-адресом это виртуальный свитч Vmware. Бывают ситуации когда межсетевой экран блокирует icmp, брандмауэр windows по умолчанию это делает, поэтому рассмотрим сканирование с отправкой TCP пакетов на конкретный хост , для этого введем команду

nmap -PT 192.168.57.128 -sn

–sn – флаг о том, что не нужно сканировать порты исследуемой цели

Далее рассмотрим сканирование портов с помощью TCP. Стоит отметить, что порты бывают в 3 состояниях открытый, закрытый и фильтруемый. Результат о статусе портов достигается c помощью направления пакета в заголовке которого указан флаг SYN, если порт открыт, то в ответ от цели, в соответствии с 3-х этапным построением TCP соединения, возвращается пакет в заголовке которого установлены флаги SYN и ACK. Если же порт закрыт то в ответ направляется пакет TCP с установленным флагом RST, этот флаг указывает на то, что попытка установки соединения отвергнута целью. Если порт фильтруется то мы не получаем ответа. TCP сканирование может быть скрытым (когда реализуется только 2 из 3х этапов TCP соединения, и оно не логируется) и полное TCP соединение.

Запустим для начала скрытое TCP сканирование с помощью команды:

nmap -sS 192.168.57.128

По результатам увидим открытые TCP порты

Теперь проведем TCP сканирование с полным установлением соедниния, введя команду

nmap -sT 192.168.57.128

Результаты по открытым портам и их службам схожими. Видим много интересных для нас открытых протоколов и работающих на них служб

Чтобы посмотреть версию работающего на различных службах программного обеспечения введем

nmap 192.168.57.128 -sV

Сканирование с помощью UDP достигается отправкой запроса (response) на порты, если в ответ приходит ответ (response), то это означает, что порт открыт. Если же в ответ на запрос (в udp нет флагов) поступает ICMP ответ тип 3 код 3 (цель недоступна) , значит порт закрыт. Если ответ не получен то порт фильтруется.

nmap -sU 192.168.57.128

Еще один интересный вид сканирования -с использованием скриптового движка. Хоть nmap и классифицируется как сканер сети, он имеет в своем арсенале функционал по поиску уязвимостей. Чтобы воспользоваться им введем команду:

nmap -sC 192.168.57.128

По результатам мы видим, например разрешен анонимный вход по FTP, ssh ключи, smtp команды доступные на исследуемой машине и т.д.

Для сканирования “на все” необходимо ввести команду

nmap -A 192.168.57.128

Выполнение команды займет значительное время и оказывает значительную нагрузку на исследуемую цель.

После сбора информации о системе производится анализ и оценка

Анализ сетевого трафика всегда был неотъемлемой частью работы любого сетевого инженера, администратора сети для выявления проблем работоспособности и конфигурации активного оборудования, а также специалистов по информационной безопасности для выявления аномальной сетевой активности вредоносного программного обеспечения.

Анализ перехваченных пакетов безусловно требует от специалиста наличие глубоких знаний в области сетевых технологий, а также навыков работы с программным обеспечением анализаторов пакетов, таким например, как всем известный wireshark, так как необходимо знать синтаксис фильтров, уметь быстро находить интересующие протоколы и т.д.

Но гораздо сложнее это трафик перехватить, точнее установить оборудование для его перехвата.

Так как же перехватить трафик?

Как расположить и настроить оборудование для прослушивания ?

Предлагаю рассмотреть варианты расположения (подключения) оборудования для снифа в коммутируемой среде (перехват wi-fi канала рассмотрим в следующей статье).

Самым удобным способ является установка сниффера непосредственно на интересующем нас прослушиваемом хосте.

Однако часть трафика, весьма полезная для исследования, но не предназначенное конечному устройсву будет отбрасыватся сетевым интерфейсом и не передаваться на обработку в систему, а значит и захватить этот трафик для дальнейшего исследования мы не сможем. К такому трафику относятся широковащательный трафик в рамках работы коммутатора.

К примеру ARP запрос, который используют хосты для определения MAC-адреса, который соответствует определенному IP-адресу.

Зная IP, направляем ARP запрос с целью сопоставления IP-MAC всем устройствам внутри широковещательного домена.

Однако только искомый хост “заинтересован” в получении такого запроса, остальные хосты, как упомяналось выше, указанный пакет отбросят.

Для наглядности, с помощью Cisco Packet racer, рассмотрим как хост с IP-адрессом 192.168.1.2 направляет ARP запрос на хост 192.168.1.4.

Предварительно проверив, что ARP записей на 192.168.1.2 нет от слова совсем командой arp -a (удалить их можно с помощью arp -d) выолняем команду ping на 192.168.1.4.

Так как мы не знаем MAC адрес, то первончально направляем ARP запрос. Запрос приходит на коммутатор (cisco 2960), далее он направляется на все хосты, подключенные к коммутатору. После этого хост 192.168.1.3 отбрасывает указанный, а 192.168.1.4 соответственно отвечает.

Для того, чтобы захватывать весь поступающий траффик на 192.168.1.3 необходимо на сетевом интерфейсе включить смешанный режим раюоты. Это позволяют сделать программные компоненты Aircrack-ng, Wireshark, tcp dump  идр.

Когда нет возможности разместить анализатор трафика на целевом хосте помочь может концентратор.

В таком случае исследуемый хост и анализатор трафика в одном коммутируемом сегменте сети подключаются к одному концентратору.

В результате все поступающие и исходящие пакеты будут проходить по всем портам концентратора.

Так например, отправив пакеты с Host1 на Host2,  концентратор Hub0 направит их как на исследуемый Host2,  так и на анализатор пакетов Sniffer.

Отброс пакетов Sniffer’ом на картинке, обусловлен отключенным смешанным режимом работы сетевого адаптера.

Самым популярным способом перехвата трафика остается метод зеркалирование портов.

Для реализации этого метода необходимо чтобы коммутатор был управляемым, а также иметь физический или через удаленный ssh/Web-интерфейс доступ к нему.

Смысл заключается в том, чтобы принимаемый и отправляемый трафик устройства подключённого к порту коммутатора – зеркально направлялся на другой порт коммутатора, куда подключен анализатор трафика.

Так, подключившись, настроим коммутатор Сisco 2960 для зеркалирования трафика на портах fastEthernet 0/1 и fastEthernet 0/2 куда подключены host1 и host2 соответсвенно:

Switch>enable

Switch#conf terminal

Switch(config)#monitor session 1 source interface fastEthernet 0/1

Switch(config)#monitor session 1 source interface fastEthernet 0/2

И порт, на который будет зеркалироваться трафик, куда подключен анализатор пакетов :

Switch(config)#monitor session 1 destination interface f0/24

Проверим:

Switch#show monitor

Session 1

---------

Type                   : Local Session

Description            : -

Source Ports           :

Both               : Fa0/1,Fa0/2

Destination Ports      : Fa0/24

Encapsulation      : Native

Ingress      : Disabled

Итак направим пакеты от Host1 (192.168.1.1)  на Host2( 192.168.1.2) и видим, что они зеркалируются коммутатором наш снифер:

Открываем перехваченный ICMP пакет на снифере:

Указанные методы не лишены недостатков, а другие методы перехвата сетевого трафика – такие как заражение ARP-кэша и применение сетевых ответвителей рассмотрим в следующих статьях.

¯_(ツ)_/¯

Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.

В ходе аудита или разведки, а также, например при необходимости найти принтер в сети может помочь сетевой сканер.

Сегодня представляем Вам Advanced IP Scanner.

Что такое Advanced IP Scanner

Продукт бесплатен, имеет достаточно простой интерфейс и самое главное не требует установки.

Доступен как Windows так и на Linux.

Ранее мы уже упоминали этот инструмент:

• 8 лучших инструментов сканеров IP для управления сетью
• Контрольный список (чек-лист) наиболее важных тестов на проникновение

Качаем с сайта производителя, запускаем и выбираем язык, и жмем запустить без установки.

Далее выбираем интересующий пул IP-адресов или выбираем сканировать  подсеть этого компьютера.

После сканирования находим наш принтер и его ip:

И даже заходим в админку по http)))

Как использовать сетевой перехватчик трафика для дальнейшего анализа?

Перехват пакетов всегда был и будет одним важнейших инструментов сетевой безопасности , пентеста и взлома. Как эффективно использовать его с помощью многочисленных примеров Вам подскажет приведенное руководство.

В работе представлены примеры по поиску Cookies, соединений SSH, DNS и FTP -трафика, а также самое вкусное – переданные текстовые пароли.

Все эти действия автор проделывает в tcpdump, демонстрируя  многочисленные практические примеры использования захвата трафика (50 примеров) .

Скажем спасибо Даниэлю и делимся ссылкой:

https://danielmiessler.com/study/tcpdump/

Оцените недостатки безопасности своего центра обработки данных, прежде чем это сделают плохие парни!

Одной из многих новостей, которые мы слышим в современную цифровую эпоху, является кибератака.

Это мешает бизнесу, подрывает репутацию и наводит панику на конечных пользователей.

Как вы гарантируете, что ваша сетевая инфраструктура способна смягчить кибератаки?

Прошли те дни, когда вы полагаетесь на ежегодные или квартальные результаты испытаний на проникновение.

В нынешнюю эпоху вам требуется автоматическая симуляция атак на взлом (BAS), непрерывное сканирование активов и, конечно же, защита.

Благодаря следующим инструментам, которые позволяют имитировать реальную атаку на ваш центр обработки данных, вы можете просмотреть результаты и принять меры.

Самое приятное, что некоторые инструменты позволяют автоматизировать действия.

Готовы к худшему?

1 Infection Monkey

Запускаете ваше приложение в облаке?

Используйте Infection Monkey, чтобы протестировать свою инфраструктуру, работающую в Google Cloud, AWS, Azure или других площадках.

Infection Monkey – это инструмент с открытым исходным кодом, который можно установить на Windows, Debian и Docker.

Вы можете запустить автоматическую симуляцию атаки кражи учетных данных, неправильной конфигурации, скомпрометированных активов и т. д.

Некоторые из заслуживающих упоминания функций.

• Неинтрузивная симуляция атак, поэтому она не влияет на работу вашей сети
• Комплексный аудиторский отчет с практической рекомендацией по защите веб-серверов или другой инфраструктуры
• Низкая загрузка процессора и памяти
• Визуализируйте карту сети и атакующего

Если вы из CISO или из службы безопасности, тогда вам понравится отчет.

Это приложение бесплатно, так что попробуйте его уже сегодня.

2 Threatcare

Threatcare – эффективный инструмент для проверки контроля, выявления потенциальной угрозы и предоставления информации за считанные минуты.

Это кроссплатформенное приложение, которое может быть установлено в Windows или Linux в облачной или локальной среде.

Threatcare подражает тому, как хакер атакует вашу инфраструктуру, поэтому вы знаете, как расположены элементы управления безопасностью.

Некоторые функции, которые могут вас заинтересовать.

• MITER ATT & CK playbooks со всеми 11 тактиками
• Вы можете создать пользовательскую среду
• Актуальная отчетность
• Масштабируемость для удовлетворения потребностей роста бизнеса
• Вы можете начать использовать его с БЕСПЛАТНОГО плана запуска симуляции атаки.

3 NeSSi2

NeSSi2 – это инструмент с открытым исходным кодом, работающий на платформе JIAC.

NeSSi означает симулятор сетевой безопасности, чтобы вы могли догадаться, что он делает.

Основное внимание уделяется проверке алгоритмов обнаружения вторжений, сетевого анализа, автоматических атак на основе профилей и т. д.

Он требует Java SE 7 и MySQL для настройки и запуска.

4 CALDERA

Инструмент эмуляции противника.

CALDERA поддерживает только сеть Windows Domain.

Он использует модель ATT & CK для тестирования и воспроизведения поведения.

Кроме того, вы также можете попробовать Metta от Uber.

5 Foreseeti

securiCAD от foreseeti позволяет виртуально атаковать вашу инфраструктуру для оценки и управления подверженностью риску.

Он работает в трех простых концепциях.

• Создайте модель – добавьте, что все (сервер, маршрутизатор, брандмауэр, службы и т. Д.) Вы хотите проверить
• Смоделируйте атаку – чтобы узнать, когда и когда ваша система сломается
• Отчет о рисках – на основе данных моделирования будет создан действенный отчет, который вы сможете реализовать для снижения общего риска

securiCAD – это готовое к использованию решение для предприятий.

Стоит попробовать посмотреть, как это работает.

6 AttackIQ

AttackIQ – одна из популярных масштабируемых платформ для проверки безопасности, позволяющая повысить безопасность вашего центра обработки данных.

Это наступательно-оборонительная система, чтобы помочь оператору безопасности учиться как действуют “Рэд тим”.

Платформа интегрирована с жизненно важной структурой – MITER ATT & CK.

Некоторые из других функций.

• При поддержке исследовательской группы AttackIQ и лидера индустрии безопасности
• Настройте сценарий атаки, чтобы имитировать реальные угрозы
• Автоматизируйте атаки и получайте постоянный отчет о состоянии безопасности
• Легкие агенты
• Работает на основной операционной системе и хорошо интегрируется с существующей инфраструктурой
• Они предлагают две недели БЕСПЛАТНО пробную версию, чтобы попробовать свою платформу. Попробуйте посмотреть, насколько хорошее ваше состояние инфраструктуры.

7 SCYTHE

Узнайте, где ваша организация находится под угрозой безопасности.

Платформа Scythe получила мощный и простой в использовании рабочий процесс для создания и запуска реальной кампании по киберугрозам.

С помощью данных вы можете анализировать конечные точки безопасности в режиме реального времени.

Scythe предлагается как модель SaaS или локально.

Будь вы красная, синяя или фиолетовая команда – это подходит всем.

8 XM Cyber

XM Cyber предлагает автоматизированное расширенное решение для моделирования устойчивых угроз (APT).

Оставайтесь впереди атакующего.

XM Cyber предлагает автоматизированное расширенное решение для моделирования устойчивых угроз (APT). Оставайтесь впереди атакующего.

Вы можете выбрать цель для запуска и настроить текущие атаки и получить приоритетный отчет об исправлении.

Некоторые основные моменты об инструменте.

• Настройте сценарий атаки в соответствии с потребностями
• Визуализируйте путь атаки
• Современные методы атаки
• Рекомендации по передовому опыту и политике

Заключение

Управление рисками информационной безопасности организации является сложной задачей, и я надеюсь, что вышеупомянутые инструменты помогут вам внедрить средства управления мирового класса для снижения подверженности риску.

Большинство из перечисленных инструментов предлагают бесплатную пробную версию, поэтому лучше всего попробовать, как они работают, и выбрать ту, которая вам понравится больше всех.

Мы должны обновить систему, чтобы минимизировать время простоя и устранить проблемы.

Это одна из обычных задач администратора Linux для исправления системы один раз в месяц или максимум 90 дней.

В основном инфраструктура поставляется с тестами, разработками, QA a.k.a Staging & Prod средами.

Первоначально мы будем разворачивать патчи в тестовой среде, и соответствующая команда будет следить за системой в течение недели, после чего они выдадут отчет о состоянии, хороший или плохой.

Если это будет положительным результатом, мы перейдем к другим средам.

Если все будет хорошо, то, наконец, мы будем исправлять производственные серверы.

Многие организации готовятся к исправлению всей системы. я имею в виду полное обновление системы.

Это общий график исправлений для типичной инфраструктуры.

В некоторой инфраструктуре может быть только производственная среда, поэтому они не должны готовиться к полному системному обновлению, вместо этого они могут обойтись  патчем безопасности, чтобы сделать систему более стабильной и безопасной.

Поскольку Arch Linux и ее производные дистрибутивы находятся под релизом rolling, обновление можно считать всегда актуальными, так как всегда используются последние версии пакетов программного обеспечения.

В некоторых случаях, если вы хотите обновить патч безопасности самостоятельно, вам необходимо использовать инструмент arch-audit для определения и исправления проблем безопасности.

Что такое уязвимость?

Уязвимость является брешью безопасности в программном обеспечении или аппаратных компонентах (прошивка).

Это недостаток, который может оставить систему открытой для атаки.

Чтобы смягчить этот момент, мы должны это исправлять , как для приложения, так и для оборудования, это может быть изменение кода или изменение конфигурации или изменение параметров.

Что такое Arch-Audit Tool?

Arch-audit – это инструмент, такой же как pkg-audit для системы Arch Linux.

Он использует данные, собранные удивительной командой Arch Security.

Он не будет проверять и находить уязвимые пакеты в вашей системе, такие как yum -security check-update & yum updateinfo, и он просто проанализирует страницу https://security.archlinux.org/ и отобразит результаты в терминале.

Таким образом, он будет показывать точные данные.

Команда Arch Security Team – это группа добровольцев, целью которой является отслеживание проблем безопасности в пакетах Arch Linux.

Все проблемы отслеживаются на контролерах безопасности Arch Linux.

Команда ранее была известна как группа мониторинга Arch CVE.

Миссия команды Arch Security – способствовать повышению безопасности Arch Linux.

Как установить инструмент arch-audit в Arch Linux

Инструмент arch-audit доступен в репозитории сообщества, поэтому вы можете использовать диспетчер пакетов Pacman для его установки.

$ sudo pacman -S arch-audit

Запустите средство arch-audit, чтобы найти открытые уязвимые пакеты в дистрибутивах на основе Arch.

$ arch-audit

Package cairo is affected by CVE-2017-7475. Low risk!

Package exiv2 is affected by CVE-2017-11592, CVE-2017-11591, CVE-2017-11553, CVE-2017-17725, CVE-2017-17724, CVE-2017-17723, CVE-2017-17722. Medium risk!

Package libtiff is affected by CVE-2018-18661, CVE-2018-18557, CVE-2017-9935, CVE-2017-11613. High risk!. Update to 4.0.10-1!

Package openssl is affected by CVE-2018-0735, CVE-2018-0734. Low risk!

Package openssl-1.0 is affected by CVE-2018-5407, CVE-2018-0734. Low risk!

Package patch is affected by CVE-2018-6952, CVE-2018-1000156. High risk!. Update to 2.7.6-7!

Package pcre is affected by CVE-2017-11164. Low risk!

Package systemd is affected by CVE-2018-6954, CVE-2018-15688, CVE-2018-15687, CVE-2018-15686. Critical risk!. Update to 239.300-1!

Package unzip is affected by CVE-2018-1000035. Medium risk!

Package webkit2gtk is affected by CVE-2018-4372. Critical risk!. Update to 2.22.4-1!

Вышеприведенный результат показывает статус риска уязвимости, такой как низкий, средний и критический.

Показать только уязвимые имена пакетов и их версии.

$ arch-audit -q

cairo

exiv2

libtiff>=4.0.10-1

openssl

openssl-1.0

patch>=2.7.6-7

pcre

systemd>=239.300-1

unzip

webkit2gtk>=2.22.4-1

Показать только те пакеты, которые уже были исправлены.

$ arch-audit --upgradable --quiet

libtiff>=4.0.10-1

patch>=2.7.6-7

systemd>=239.300-1

webkit2gtk>=2.22.4-1

Чтобы перепроверить приведенные выше результаты, я собираюсь протестировать один из пакетов, указанный выше в https://www.archlinux.org/packages/, чтобы подтвердить, что уязвимость все еще открыта или же исправлена.

Да, он исправлен и опубликован обновленный пакет в репозитории.

Чтобы вывести только имена пакетов и связанные с ними CVE.

$ arch-audit -uf "%n|%c"

libtiff|CVE-2018-18661,CVE-2018-18557,CVE-2017-9935,CVE-2017-11613

patch|CVE-2018-6952,CVE-2018-1000156

systemd|CVE-2018-6954,CVE-2018-15688,CVE-2018-15687,CVE-2018-15686

webkit2gtk|CVE-2018-4372