[SEC] Welke securitytools, auditframeworks gebruiken jullie?

[Anoniem: 165232]

Welke IT security audit tools gebruiken julle.

Om het wat makkelijker te maken heb ik de volgende onderverdeling gemaakt.
Daarnaast heb ik de tools een cijfer gegeven voor het nut in de categorie
waarin ze horen. Graag hoor ik jullie ervaringen met deze tools en welke toosl jullie gebruiken:)

1) Complete audit frameworks
- Backtrack 9.0
- Samurai 6.0
- Nessus 6.5
- w3af 7.0

2) Information Gathering
- Maltego 8.0
- Metagoofil 8.5
- Whois32 6.0
- wikto 6.0
- dirbuster 8.5
- Visual route 5.5
- Profiel sites (hyves, cu2, myspace etc) *daar is nog geen tool voor:(
- Sam spade 4.0
- nslookup 5.5
- snmpwalk 6.0

3) Netwerk tools
- Nmap 10.0
- Hping 7.0
- Firewalk 7.0
- GFI languard 8.0
- Netcat 10.0
- tracert 6.0
- tcpdump 7.0
- angry ipscanner 7.0
- enum (Razor-team) 9.0

4) Vulnerability exploitating
- SQL ME [Firefox extentie] 8.0
- XSS ME [Firefox extentie] 8.0
- Access ME [Firefox extentie] 5.5
- Metasploit 8.0
- milworm_archief.zip (standaard c exploits voor basic dingen). 8.0

5) Password cracking
- Brutus 5.5
- Hydra 6.5
- L0pht 8.5
- Medusa 6.0
- Rainbowcrack 7.0
- Snadboy 6.5
- john the ripper 8.0

6) Escalation privilege's
- Cain and Abel 10.0
- Whireshark 6.0
- pwdump3 7.0
- lsadump 7.0

7) Wifi
- kismet 7.0
- airsnort 7.0
- airwalk 6.0

Geen categorie
- Paros 7.8

[Meauses]

Van deze lijst gebruik ik er eigenlijk maar drie:
Metasploit (waarvan de laatste versie volgens mij 3.2 is)
Backtrack (waarvan ze nu bij versie 4 beta zijn)
En sinds kort heb ik nessus geinstalleerd om mijn thuisnetwerk te scannen voor vulnerabilities.

Ik wil me vooral meer verdiepen in de technische kant van informatiebeveiliging en voor de uitvoering/testen hiervan hanteer ik metasploit en backtrack.

tip: Misschien handig om links bij de namen te zetten?

[LuckY]

Ervaring met nessus : Zeker een goed programma om mee te bekijken en kijken welke info je heb, elke bruteforce detection blokt hem wel.

Ik ben ook een fervent gebruiker van netscan.exe gewoon een executable waar je hele ranges mee kan scannen of hosts "Alive" zijn, er zit ook een portscan functionaliteit in. Alleen werkt deze niet goed.

Tevens heb ik ook een beetje met wireshark en cain and abel lopen spelen.


Tevens ook een leuk blogje : http://woutifier.tweakblogs.net/blog/1393/worm.html

[Meauses]

LuckyY schreef op maandag 16 februari 2009 @ 14:58:
Ervaring met nessus : Zeker een goed programma om mee te bekijken en kijken welke info je heb, elke bruteforce detection blokt hem wel.

Ik ben ook een fervent gebruiker van netscan.exe gewoon een executable waar je hele ranges mee kan scannen of hosts "Alive" zijn, er zit ook een portscan functionaliteit in. Alleen werkt deze niet goed.

Tevens heb ik ook een beetje met wireshark en cain and abel lopen spelen.


Tevens ook een leuk blogje : http://woutifier.tweakblogs.net/blog/1393/worm.html

netscan ken ik ook nog uit het verleden. Zeer simpele tool om inderdaad over ranges open poorten te scannen.

Interessant blogbericht en ook leerzaam. Blijkt maar weer dat je door middel van 'sniffing' veel informatie kan krijgen van virussen of andere malicious software. Lijkt me erg leuk om dat zelf ook eens te proberen.
Zoiezo het opzetten van een honeypot lijkt me erg leuk. Alleen de risico's; verdere penetratie of het verliezen van de controle van de honeypot houden me wel tegen. Het penetratie probleem kan je natuurlijk oplossen door de honeypot in een DMZ te zetten, alleen moet je daar je netwerkarchitectuur weer voor aanpassen.

[LuckY]

Vlan's kom je aardig ver
Andere subnet erbij, en uitkijken of het geen netwerk aware worm is.
Dus eerst scannen zonder te openen en gaan onderzoeken

[Bor]

Backtrack vind ik geen compleet audit framework als bv Nessus dat is. Backtrack is een verzameling audit tools in de vorm van een live cd.

Hier gebruik ik vooral Nessus, default portscan tools (superscan ftw) voor het snelle werk, default tcpdump, Nmap voor het uitgebreidere werk, whireshark etc. In het verleden ook met Internet Security Scanner (ISS) gewerkt. Hiernaast Backtrack (ga niet alle tools opnoemen die daar op staan).

Voor Wifi gebruik ik meestal de eerder genoemde tools incl Netstumbler natuurlijk als ik onder Windows werk.

Ik heb een enkel keertje gewerkt met Nikto.

Op mijn lijstje om meer ervaring op te doen:
- Snort
- Netcat

[ Voor 65% gewijzigd door Bor op 17-02-2009 22:54 ]

[Bor]

Wat ik wel interessant vind is om te weten of jullie dergelijke tools alleen in de prive sfeer gebruiken of ook binnen het bedrijf? Het gebruik van tools van min of meer dubieuze afkomst is in veel bedrijven niet toegestaan. Ik merk om mij heen dat bedrijven vaak eerder geneigd zijn een commercieel product aan te schaffen dan bv iets als backtrack te gebruiken. Hoe zien jullie dit om je heen of in het eigen bedrijf? Zit er verschil tussen de tools die je prive gebruikt en zakelijk?

[Meauses]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 11:19:
Wat ik wel interessant vind is om te weten of jullie dergelijke tools alleen in de prive sfeer gebruiken of ook binnen het bedrijf? Het gebruik van tools van min of meer dubieuze afkomst is in veel bedrijven niet toegestaan. Ik merk om mij heen dat bedrijven vaak eerder geneigd zijn een commercieel product aan te schaffen dan bv iets als backtrack te gebruiken. Hoe zien jullie dit om je heen of in het eigen bedrijf? Zit er verschil tussen de tools die je prive gebruikt en zakelijk?

Ik weet toevallig dat nessus wordt gebruikt bij onze corp. audit afdeling. Dat idee wat je hebt klopt ook wel aardig inderdaad. Toch raar omdat dit soort tools misschien iets minder bieden, maar kosten wel beduidend minder. Ik denk vooral dat het te maken heeft met legal liability, wie ga je aanklagen als je een backdoor vindt in open source software zonder contract?

[Meauses]

Om dit topic nog even levend te houden

Wie hier heeft er ervaring met het uitvoeren/opzetten van penetration tests en kan helder uitleggen hoe dit proces in zijn werk gaat?
Wat ik voorzover weet is dat een scope wordt bepaald en de manier van testen (voor applicaties; white,grey en black box). Na de uitvoering gaan de resultaten/bevindingen natuurlijk naar het bedrijf toe in een rapport.

Wat ik graag wil weten is; hoe bepaalt men waarmee ze gaan testen, ik bedoel metasploit kan wel wat maar natuurlijk ook niet alles. En hoe selecteert men de aanvalsmethoden e.d.
Misschien dat iemand mij dat helder kan uitleggen?

[LuckY]

Hoever ik het begrijp terwijl ik het nog nooit in praktijk heb gebracht:
Eerst doe je een scan met _alles_ in nessus, hangt er erg vanaf wat je al weet wat er draait en wat niet met een poort scan, dit heeft voornamelijk te maken met bruteforce detection op linux dozen.
Hierna ga je met de resultaten (low/medium/high) aan de slag met metasploit om daar een bijpassend exploit methode bij te vinden.
Kijk hoe goed het werkt, dicht het en rapporteer het.
En incasseer

[BoGhi]

Iedere auditer heeft zijn eigen voorkeur t.a.v. te gebruiken tools. Mijn lijstje van tools die ik zo´n beetje altijd gebruik (ben pentester):
- dig
- nslookup
- whois
- nmap
- netcat
- openssl
- paros
- tamperdata FF plugin
- nessus
- nikto
- een all-in-one zoals Acunetix of Webinspect (beide duur)
- Google :-)

Verder invulling hangt af van wat je aantreft. Hoewel er voor grotere test vooraf een ´aanvalsplan´ wordt gemaakt stuur je de richting gaandeweg de test bij adhv de resultaten. Dus, vindt je een vermoedelijke kwetsbaarheid in SSL, dat breidt je daar het arsenaal wat uit, bv. met SSL-digger. Vindt je een kwetsbaarheid in een web-applicatie als sql-injectie of xss, dan ga je dat handmatig proberen te exploiten. De tools melden over het algemeen veel false-positives, vooral Nessus, nikto, en de high-level tools. In mijn omgeving wordt je niet geacht echt te exploiten, dus het houdt op bij een constatering, Metasploit gebruik ik alleen hobbymatig.

[Anoniem: 165232]

...

[ Voor 99% gewijzigd door Anoniem: 165232 op 23-05-2018 15:33 ]

[Meauses]

Het is al een stuk helderder
Thanks aan allen.

Wat ik me dan afvraag in hoeverre hebben jullie kennis van de tools, blijft het bij gewoon normaal use of verdiepen jullie je in bepaalde tools? En het gebruik van exploits, stel je hebt een mysql server gevonden, dan ga je op zoek naar exploits hiervoor, op basis van ervaring van vroeger zijn niet alle exploits gelijk te gebruiken en er bestaat natuurlijk het risico dat de sql server niet vuln. vanwege een bepaalde update of setting.
Hoe zit dat dan in elkaar?

En natuurlijk hoe hebben jullie die kennis van de tools/apps en technieken opgedaan?

[Anoniem: 165232]

...

[ Voor 99% gewijzigd door Anoniem: 165232 op 23-05-2018 15:32 ]

[BoGhi]

Anoniem: 165232 schreef op vrijdag 13 maart 2009 @ 16:45:
Daarom is het handig om een backdoor te plaatsen zodat je altijd kan bewijsen dat je er geweest ben).

Ik raad je af dit te doen, je kunt door dit soort acties lelijk in de problemen raken met je opdrachtgever. Gewoon schermprints maken, en/of logbestanden toevoegen.

[Anoniem: 165232]

...

[ Voor 99% gewijzigd door Anoniem: 165232 op 23-05-2018 15:32 ]

[BoGhi]

Meauses schreef op vrijdag 13 maart 2009 @ 17:47:
Wat ik me dan afvraag in hoeverre hebben jullie kennis van de tools, blijft het bij gewoon normaal use of verdiepen jullie je in bepaalde tools?

Bepaalde basis-tools moet je jezelf wel zo eigen maken dat je goed thuis bent in de mogelijkheden, bijvoorbeeld netcat, nmap en nessus. Verder vind ik het essentiëel dat je kunt programmeren in een of andere omgeving, bv. in python, perl of c, anders blijf je steken in de standaard dingen van de tooltjes, en dat is niet genoeg.

Meauses schreef op vrijdag 13 maart 2009 @ 17:47:
En het gebruik van exploits, stel je hebt een mysql server gevonden, dan ga je op zoek naar exploits hiervoor, op basis van ervaring van vroeger zijn niet alle exploits gelijk te gebruiken en er bestaat natuurlijk het risico dat de sql server niet vuln. vanwege een bepaalde update of setting.
Hoe zit dat dan in elkaar?

Tijdens je scan probeer je vast te stellen welke versie er draait, en dan ga je op zoek naar bekende kwetsbaarheden voor die versie. Sommige high-level tools geven zelf die kwetsbaarheden al uitgebreid weer tijdens de scan. In een framework als bv MetaSploit vind je veel bruikbare exploits, als exploiten tenminste het doel is van je test.

[Anoniem: 294614]

BoGhi schreef op maandag 16 maart 2009 @ 10:56:
[...]


Ik raad je af dit te doen, je kunt door dit soort acties lelijk in de problemen raken met je opdrachtgever. Gewoon schermprints maken, en/of logbestanden toevoegen.

Als je met de klant hier goede afspraken over maakt heb je nergens last van. Je gaat sowieso niet zomaar een klant hacken voordat je duidelijk een contract stelt. Je bent immers bezig met inbreken.

[Anoniem: 294614]

Anoniem: 165232 schreef op zaterdag 14 maart 2009 @ 13:50:
Over sommige tools zijn zelfs complete boeken geschreven (bijv. NMAP). Beveiligingsexperts(CISSP, CISA etc) moeten ook een minimaal 60 (geloof ik) uur per jaar besteden aan het bijleren van nieuwe technieken dat kan door boeken lezen evenemten bezoeken en curssusen volgen.

Volgens wikipedia CISSP (ik kom het nergens tegen op de officiele site)

Na het behalen van het diploma kan men, door in een periode van 3 jaar 120 studiepunten (CPE Credits) te verkrijgen in een van de kennisgebieden en de jaarlijkse verlengingsbijdrage te betalen, de titel prolongeren.

[Equator]

Minimaal 20 per jaar, en over 3 jaar minimaal 120 CPE's..

Ga je een keer naar een conference waar je 4 uur rond hangt, dan zijn dat 4 CPE's.

De AMF (Anual Maintainance Fee) zit er ook weer aan te komen Maar och, ik wil het wel behouden, dus betalen we wel..

[Anoniem: 294614]

Equator schreef op dinsdag 17 maart 2009 @ 11:41:
Minimaal 20 per jaar, en over 3 jaar minimaal 120 CPE's..

Ga je een keer naar een conference waar je 4 uur rond hangt, dan zijn dat 4 CPE's.

De AMF (Anual Maintainance Fee) zit er ook weer aan te komen Maar och, ik wil het wel behouden, dus betalen we wel..

wat een onzin.. Moet je elk jaar een fee betalen om CISSP te blijven?

[Equator]

Yep, zo'n $ 80,-
Het geld is het niet.. Het (ISC)² regelt wel regelmatig events, e-Symposia etc.. Dat kost ook geld, en ze zijn verder een commerciele instelling.

[Anoniem: 294614]

Equator schreef op dinsdag 17 maart 2009 @ 12:19:
Yep, zo'n $ 80,-
Het geld is het niet.. Het (ISC)² regelt wel regelmatig events, e-Symposia etc.. Dat kost ook geld, en ze zijn verder een commerciele instelling.

Okee.. het feit dat ze events regelen is het wel waard, mits je daar dan gratis naartoe mag. Voor de rest krijgen ze denk ik al meer dan genoeg binnen van het examen zelf.

[Anoniem: 113297]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 11:19:
Wat ik wel interessant vind is om te weten of jullie dergelijke tools alleen in de prive sfeer gebruiken of ook binnen het bedrijf?

ik gebruik al wel eens fiddler2 op het werk voor ssl & webservices onderzoek.