10 инструментов для анализа безопасности сети

Экран 1. Ключи Enum

7. PsTools
Большинство администраторов знакомы с многочисленными инструментами и ресурсами компании Sysinternals. Для оценки безопасности очень полезен комплекс PsTools. Название комплекса происходит от ps (process listing), утилиты командной строки для UNIX. PsTools представляет собой набор инструментов, заполняющих пробелы в обычном инструментарии командной строки и комплектах ресурсов для Windows. PsTools особенно полезен для оценки безопасности и проникновения как на удаленные, так и на локальные компьютеры.
Проникнув через лазейку, очень удобно воспользоваться PsTools, чтобы дистанционно манипулировать системой и расширить атаку, в частности повысить уровень своих полномочий. Например, если удалось пробраться в систему и получить локальный административный доступ, но требуется повысить уровень полномочий до уровня администратора домена, который зарегистрирован в данный момент, с помощью PsTools можно выполнить такие операции, как удаленное завершение сеанса и уничтожение процесса.
PsExec — одна из лучших утилит комплекта PsTools. Благодаря ей пользователь с локальным административным доступом (через аутентифицированное сетевое соединение) может дистанционно запускать программы в системе. Очень эффективный прием — использовать PsExec для запуска cmd.exe на удаленной системе, что обеспечивает доступ к удаленной командной строке с административными полномочиями (PsExec не позволяет получить такие полномочия, их нужно приобрести каким-то другим способом). Более подробную информацию о PsExec можно найти в статье «PsExec», опубликованной в Windows IT Pro/RE № 6 за 2004 г.
Другие полезные программы — PsList для составления списка всех процессов, активных на удаленной системе, и PsKill, с помощью которой можно уничтожать отдельные процессы на удаленном компьютере. Более подробно об этих утилитах рассказано в статье «PsList и PsKill», опубликованной в Windows IT Pro/RE № 7 за 2004 г. Помимо оценки уровня безопасности, комплекс PsTools весьма полезен и прост для дистанционного выполнения многих административных операций из командной строки (вероятно, именно таким было основное намерение авторов). Комплекс PsTools (наряду со многими другими ресурсами) можно получить на Web-узле Sysinternals по адресу http://www.sysinternals.com/utilities.html.
8. Netcat
Netcat достаточно широко известен как средство открыть лазейки для доступа взломщика в систему (этап проникновения), но менее известны его возможности в качестве инструмента для привязки и оценки, а также выполнения других важных операций, составляющих традиционную процедуру оценки уровня сетевой безопасности. Он был разработан более десяти лет назад для UNIX и перенесен в Windows в 1998 г. Netcat — это расширение UNIX-команды
cat
с помощью которой можно организовать потоковую пересылку содержимого файлов на экран и с экрана, чтобы просматривать, изменять или объединять данные. С помощью Netcat можно читать и записывать данные из стандартных устройств ввода/вывода компьютера через сеть TCP/IP. В результате пользователь может работать с набором протоколов TCP/IP и читать/записывать данные через порты TCP и UDP.
Помимо организации лазеек, Netcat можно использовать для захвата заголовков (Telnet, SMTP и FTP), конвейеризации файлов и данных, сканирования портов, дистанционной привязки служб к портам и многих других задач. Мне кто-нибудь то и дело демонстрирует новые, неизвестные ранее способы применения Netcat. Чаще всего я использую данную утилиту для подключения к TCP-порту, чтобы попытаться извлечь из него какую-нибудь информацию, и обратной передачи приглашения командной строки с целевой системы.
Версию Netcat для Windows можно загрузить по адресу http://www.vulnwatch.org/netcat. Чрезвычайно подробное описание инструмента опубликовано по адресу http://www.vulnwatch.org/netcat/readme.html.
9. John the Ripper
Большинство администраторов наверняка слышали об инструменте для взлома паролей и аудита L0phtCrack, первоначально разработанном группой The Cult of the Dead Cow; в настоящее время владеет программой и совершенствует ее фирма @stake, недавно купленная компанией Symantec. Я предпочитаю John the Ripper, простой, эффективный инструмент разгадывания паролей, реализованный на многих платформах (в том числе на Windows), в основе которого лежит известный UNIX-инструмент Crack. С помощью John можно выявить характеристики и возможности системы, чтобы оптимизировать производительность. По моему опыту John предпринимает значительно больше попыток в секунду, нежели другие программы разгадывания паролей, в том числе L0phtCrack (считается, что LC5 — текущая версия L0phtCrack — значительно быстрее прошлых версий, но за нее приходится платить).
Кроме того, John не только раскрывает хешированные пароли Windows (LAN Manager и NT LAN Manager, NTLM), но и без дополнительной настройки взламывает любые пароли, в которых применяются шифротекст или форматы хеширования DES (standard, single, extended), MD5, Blowfish или Andrew File System (AFS). John в сочетании со словарным файлом (существует множество таких файлов, охватывающих практически все известные языки галактики — даже вуки и клингон) представляет собой незаменимый инструмент для взлома паролей и аудита (необходимый каждой компании, независимо от строгости ее политики). Утилиту John the Ripper можно получить по адресу http://www.openwall.com/john или http://www.securiteam.com/tools/3X5QLPPNFE.html.
10. Metasploit Framework
Простая в использовании платформа проникновения, содержащая описание новейших угроз, дополненная функциями автоматического обновления и расширяемая с помощью известного языка, такого как Perl. Однако небезопасно (и довольно безответственно) бесплатно предоставлять такие возможности кому попало — это просто подарок для начинающих хакеров (все равно что выставить ядерный чемоданчик на аукционе eBay). Однако нельзя не признать, что такой инструмент, как Metasploit Framework, очень пригодится специалистам по сетевой безопасности для эмуляции угроз.
Metasploit Framework появилась около двух лет назад как результат исследовательского проекта, возглавляемого известным специалистом по проблемам безопасности Х. Д. Муром. Цели проекта были отчасти благородными: углубить исследования в области безопасности и предоставить ресурс для разработчиков средств проникновения. Я использую Metasploit Framework (с некоторой осторожностью и после предварительного тестирования в лаборатории) в качестве инструмента проникновения для оценки уровня безопасности.
Metasploit — механизм на базе сценариев Perl, с помощью которого можно применять множество методов проникновения для различных платформ и приложений (на момент подготовки данной статьи известно более 75 способов проникновения, несущие 75 вариантов нагрузки, и это число увеличивается). Помимо набора методов проникновения через известные лазейки, Metasploit позволяет переслать в обнаруженную брешь конкретную программу. Например, проникнув в систему, не защищенную от SQL Slammer (см. выше раздел SQLRECON), можно выбрать способ манипулирования пораженной системой: создать соединение с помощью оболочки Win32 Bind, обратную посылку оболочкой Win32 Reverse, просто выполнить дистанционную команду, ввести вредную серверную DLL утилиты Virtual Network Computing (VNC) в пораженный активный процесс или применить другой метод. Metasploit Framework расширяется с использованием модулей Perl, поэтому можно подготовить собственные средства проникновения, включить их в инфраструктуру и воспользоваться готовой подходящей программой использования. На экране 2 показан удобный в применении Web-интерфейс Metasploit со списком методов проникновения.