Dokumentation11.5. Zusammenfassung
In diesem Kapitel werfen wir einen kurzen Blick auf Kalis Rolle im Bereich der Informationssicherheit. Wir haben die Bedeutung einer sauberen, funktionierenden Installation und den Einsatz von Verschlüsselung besprochen, bevor wir uns auf den Weg zum Außendienst machen, um die Daten Ihres Kunden zu schützen, und die Bedeutung einer rechtlichen Vertretung, um Sie und die Interessen Ihres Kunden zu schützen.
Die Komponenten der CIA-Triade (Vertraulichkeit, Integrität, Verfügbarkeit) sind die Hauptelemente, auf die Sie sich konzentrieren werden, wenn Sie ein System im Rahmen der Standardbereitstellung, -wartung oder -bewertung sichern. Diese konzeptionelle Grundlage hilft Ihnen bei der Identifizierung der kritischen Komponenten.
Komponenten Ihrer Systeme und den Aufwand und die Ressourcen, die es wert sind, in die Behebung identifizierter Probleme zu investieren.
Wir haben verschiedene Arten von Schwachstellen besprochen, darunter Dateieinschluss, SQL-Injection, Pufferüberläufe und Race Conditions.
Die Genauigkeit der Signaturen ist äußerst wichtig, um nützliche Ergebnisse der Schwachstellenbewertung zu erhalten. Je mehr Daten bereitgestellt werden, desto höher ist die Wahrscheinlichkeit, dass ein automatisierter signaturbasierter Scan genaue Ergebnisse liefert, weshalb authentifizierte Scans oft so beliebt sind.
Da automatisierte Tools zur Erkennung von Schwachstellen eine Datenbank mit Signaturen verwenden, kann jede geringfügige Abweichung von einer bekannten Signatur das Ergebnis und damit auch die Gültigkeit der wahrgenommenen Schwachstelle verändern.
Wir haben auch die vier Arten von Bewertungen besprochen: die Schwachstellenanalyse, Konformitätstest, klassischer Penetrationstestund der Anwendungsbewertung. Auch wenn jede Art der Beurteilung einen Kernsatz an Werkzeugen nutzt, überschneiden sich viele der Werkzeuge und Techniken.
Die Schwachstellenbewertung ist im Vergleich zu den anderen Bewertungsarten relativ einfach und besteht häufig aus einer automatisierten Bestandsaufnahme entdeckter Probleme in einer Zielumgebung. In diesem Abschnitt haben wir besprochen, dass eine Schwachstelle ein Fehler ist, der bei Ausnutzung die Vertraulichkeit, Integrität oder Verfügbarkeit eines Informationssystems gefährdet. Da sie signaturbasiert ist, ist diese Art der Bewertung auf genaue Signaturen angewiesen und kann falsch-positive und -negative Ergebnisse liefern. Die wichtigsten Tools für diese Art der Beurteilung finden Sie im Schwachstellenanalyse und Ausnutzungswerkzeuge Menükategorien von Kali Linux.
Compliance-Tests basieren auf von der Regierung und der Industrie vorgeschriebenen Anforderungen (wie PCI DSS, DISA STIG und FISMA), die wiederum auf einem Compliance-Framework basieren. Dieser Test beginnt normalerweise mit einer Schwachstellenbewertung.
Ein herkömmlicher Penetrationstest ist eine gründliche Sicherheitsbewertung, die darauf abzielt, die allgemeine Sicherheitslage eines Unternehmens auf der Grundlage bestimmter realer Bedrohungen zu verbessern. Diese Art von Test umfasst mehrere Schritte (gespiegelt in der Menüstruktur von Kali Linux) und gipfelt in der Ausnutzung von Schwachstellen und der Umstellung des Zugriffs auf andere Maschinen und Netzwerke innerhalb des Zielbereichs.
Anwendungsbewertungen (normalerweise White- oder Black-Box) konzentrieren sich auf eine einzelne Anwendung und verwenden spezielle Tools, wie sie beispielsweise in der Anwendung zu finden sind Webanwendungsanalyse, Datenbankbewertung, Reverse Engineering und Ausnutzungswerkzeuge Menükategorien.
Es wurden verschiedene Arten von Angriffen diskutiert, darunter: Denial of Service, der das Verhalten einer Anwendung stört und sie unzugänglich macht; Speicherbeschädigung, die zur Manipulation des Prozessspeichers führt und einem Angreifer häufig die Ausführung von Code ermöglicht; Webangriffe, die Webdienste mithilfe von Techniken wie SQL-Injection und XSS-Angriffen angreifen; und Passwortangriffe, die häufig Passwortlisten nutzen, um Dienstanmeldeinformationen anzugreifen.
Stichwörter
Ständige Änderungen der Zertifizierungen
Schulungen
