Documentation<Précédent | Table des matières | Suivant>
11.2.3. Test de pénétration traditionnel
Un test de pénétration traditionnel est devenu un élément difficile à définir, beaucoup travaillant à partir de définitions différentes, en fonction de l'espace dans lequel ils opèrent. Une partie de cette confusion sur le marché est due au fait que le terme « test de pénétration » est devenu plus courant. utilisé pour le test de pénétration basé sur la conformité mentionné précédemment (ou même une évaluation de vulnérabilité) où, par conception, vous n'êtes pas en train d'approfondir l'évaluation car cela irait au-delà des exigences minimales.
Aux fins de cette section, nous écarterons ce débat et utiliserons cette catégorie pour couvrir les évaluations qui vont au-delà des exigences minimales ; des évaluations conçues pour améliorer réellement la sécurité globale de l'organisation.
Contrairement aux types d'évaluation discutés précédemment, les tests d'intrusion ne commencent pas souvent par une définition de la portée, mais plutôt par un objectif tel que « simuler ce qui se passerait si un utilisateur interne était compromis » ou « identifier ce qui se passerait si le organisation a fait l'objet d'une attaque ciblée par une partie malveillante externe. Un différenciateur clé de ces types d'évaluations est qu'elles ne se contentent pas de trouver et de valider les vulnérabilités, mais qu'elles exploitent plutôt les problèmes identifiés pour découvrir le pire des cas. Au lieu de vous fier uniquement à de lourds ensembles d'outils d'analyse des vulnérabilités, vous devez effectuer un suivi avec la validation des résultats en utilisant des exploits ou des tests pour éliminer les faux positifs et faire de votre mieux pour détecter les vulnérabilités cachées ou les faux négatifs. Il s'agit souvent d'exploiter
20https://www.pcisecuritystandards.org/documents/PCIDSS_QRGv3_2.pdf
vulnérabilités découvertes initialement, en explorant le niveau d'accès fourni par l'exploit et en utilisant cet accès accru comme levier pour des attaques supplémentaires contre la cible.
Cela nécessite un examen critique de l'environnement cible ainsi qu'une recherche manuelle, de la créativité et une réflexion originale pour découvrir d'autres voies de vulnérabilité potentielle et, en fin de compte, utiliser d'autres outils et tests en dehors de ceux trouvés par les scanners de vulnérabilité plus lourds. Une fois que cela est terminé, il est souvent nécessaire de recommencer l'ensemble du processus plusieurs fois pour faire un travail complet et complet.
Même avec cette approche, vous constaterez souvent que de nombreuses évaluations sont composées de différentes phases. Kali permet de trouver facilement les programmes pour chaque phase via le menu Kali :
• Collecte d'informations : dans cette phase, vous vous concentrez sur l'apprentissage autant que possible sur l'environnement cible. En règle générale, cette activité est non invasive et apparaîtra similaire à l'activité standard de l'utilisateur. Ces actions constitueront le socle de la suite de l'évaluation et devront donc être les plus complètes possible. de Kali La collecte d'informations category a des dizaines d'outils pour découvrir autant d'informations que possible sur l'environnement évalué.
• Découverte des vulnérabilités : cela sera souvent appelé « collecte d'informations actives », où vous n'attaquez pas mais adoptez un comportement utilisateur non standard pour tenter d'identifier les vulnérabilités potentielles dans l'environnement cible. C'est là que l'analyse des vulnérabilités évoquée précédemment aura lieu le plus souvent. Les programmes répertoriés dans le Analyse de vulnérabilité, Analyse des applications Web, Évaluation de la base de donnéeset Ingénierie inverse catégories seront utiles pour cette phase.
• Exploitation : Avec les vulnérabilités potentielles découvertes, dans cette phase, vous essayez de les exploiter pour prendre pied sur la cible. Vous trouverez des outils pour vous aider dans cette phase dans le Analyse des applications Web, Évaluation de la base de données, Attaques par mot de passeet Outils d'exploitation catégories.
• Pivotement et exfiltration : une fois l'ancrage initial établi, d'autres étapes doivent être franchies. Il s'agit souvent d'élever les privilèges à un niveau adéquat pour atteindre vos objectifs en tant qu'attaquant, de basculer vers d'autres systèmes qui ne vous étaient peut-être pas accessibles auparavant et d'exfiltrer des informations sensibles des systèmes ciblés. Se référer au Attaques par mot de passe, Outils d'exploitation, Reniflage et usurpationet Post exploitation catégories pour vous aider dans cette phase.
• Rapports : Une fois la partie active de l'évaluation terminée, vous devez alors documenter et rendre compte des activités qui ont été menées. Cette phase n'est souvent pas aussi technique que les phases précédentes, mais il est très important de s'assurer que votre client tire pleinement parti du travail effectué. Les Outils de reporting catégorie contient un certain nombre d'outils qui se sont avérés utiles dans la phase de rapport.
Dans la plupart des cas, ces évaluations seront très uniques dans leur conception, car chaque organisation fonctionnera avec des menaces et des actifs différents à protéger. Kali Linux constitue une base très polyvalente pour
ce genre d'évaluations et c'est là que vous pouvez vraiment profiter des nombreuses fonctionnalités de personnalisation de Kali Linux. De nombreuses organisations qui effectuent ce type d'évaluations maintiendront des versions hautement personnalisées de Kali Linux pour un usage interne afin d'accélérer le déploiement des systèmes avant une nouvelle évaluation.
Les personnalisations que les organisations apportent à leurs installations Kali Linux incluront souvent :
• Pré-installation de packages commerciaux avec informations de licence. Par exemple, vous pouvez avoir un package tel qu'un scanner de vulnérabilité commercial que vous souhaitez utiliser. Pour éviter d'avoir à installer ce package à chaque build, vous pouvez le faire une fois21 et faites-le apparaître dans chaque déploiement Kali que vous faites.
• Réseaux privés virtuels (VPN) de reconnexion préconfigurés. Ceux-ci sont très utiles dans les appareils laissés pour compte qui vous permettent d'effectuer des évaluations « internes à distance ». Dans la plupart des cas, ces systèmes se reconnecteront à un système contrôlé par l'évaluateur, créant un tunnel que l'évaluateur peut utiliser pour accéder aux systèmes internes. L'ISO Kali Linux de Doom22 est un exemple de ce type exact de personnalisation.
• Logiciels et outils développés en interne et préinstallés. De nombreuses organisations auront des ensembles d'outils privés, donc les configurer une fois dans une installation Kali personnalisée23 fait gagner du temps.
• Configurations du système d'exploitation préconfigurées telles que les mappages d'hôtes, le papier peint du bureau, les paramètres de proxy, etc. De nombreux utilisateurs de Kali ont des paramètres spécifiques24 ils aiment avoir peaufiné juste ainsi. Si vous envisagez de redéployer régulièrement Kali, il est tout à fait logique de capturer ces changements.