Powierzchnia ataku w wywiadzie zagrożeń

Powierzchnia ataku - kluczowe pojęcie w wywiadzie zagrożeń

• Tradycyjne modele wywiadu zagrożeń są niewystarczające, co doprowadziło do powstania nowego pojęcia: powierzchni ataku.
• Rozszerzony Wywiad Zagrożeń (XTI) tworzy powierzchnię ataku, skupiając się na konkretnej organizacji, generując spersonalizowane informacje.
• Powierzchnia ataku to zbiór wszystkich zasobów organizacji, które mogą być celem ataku.

Identyfikacja domen

• Główna domena organizacji to punkt wyjścia do tworzenia powierzchni ataku.
• Host.io pozwala na identyfikację powiązanych domen, w tym tych, które:
  • Są hostowane na tym samym adresie IP.
  • Hostują daną domenę.
  • Są hostowane przez tę samą domenę.
• Odwrotne wyszukiwanie Whois (narzędzia: viewdns.info, whoxy.com) umożliwia znalezienie powiązanych domen.

Elementy powierzchni ataku

• Powierzchnia ataku obejmuje:
  • Domeny
  • Poddomeny
  • Strony internetowe
  • Strony logowania
  • Aplikacje CMS
  • Technologie używane na stronach
  • Adresy IP
  • Bloki IP
  • Rekordy DNS
  • Adresy e-mail menadżerów wyższego szczebla
  • Aplikacje sieciowe
  • Systemy operacyjne
  • Numery kont bankowych
  • Kody SWIFT
  • Certyfikaty SSL
• Rekordy DNS i narzędzia takie jak host.io oraz Whois służą do identyfikacji tych elementów.

Znaczenie powierzchni ataku w wywiadzie zagrożeń

• Powierzchnia ataku jest kluczowa dla wywiadu zagrożeń, ponieważ zapewnia pełny obraz cyfrowego śladu organizacji.
• Pozwala na:
  • Identyfikację zapomnianych punktów końcowych lub poddomen.
  • Określenie aktywów wymagających ochrony.

Sprawdzenie i dodanie domen do inwentarza

• Domeny hostowane na tym samym serwerze nazw, co organizacja, są potencjalnie własnością organizacji.
• Rekordy DNS można sprawdzić za pomocą polecenia "dig" lub narzędzi online, np. dnslytics.com.
• Po weryfikacji, domeny te można dodać do inwentarza.

Znalezienie poddomen

• Istnieje wiele narzędzi do znajdowania poddomen, w tym SecurityTrails, Aquatone, Sublist3r i Assetfinder.
• Narzędzia te gromadzą dane z wielu źródeł, aby zapewnić kompleksową listę poddomen.

Znalezienie aktywnych stron internetowych

• Możliwe jest znalezienie aktywnych stron internetowych poprzez wysyłanie żądań HTTP/HTTPS do domen i poddomen i analizowanie odpowiedzi.
• Narzędzia takie jak "httpx" lub "httprobe" mogą zautomatyzować ten proces.

Znalezienie stron logowania

• Możliwe jest ręczne wyszukiwanie stron logowania lub za pomocą prostych skryptów w języku Python.
• Biblioteki "requests" i "BeautifulSoup" w Pythonie mogą być użyte do wyszukiwania wskazówek dotyczących stron logowania w treści zwróconej odpowiedzi.

Odpowiedzi na pytania dotyczące strony logowania

• "Logowanie" lub jego odpowiednik w innym języku nie jest obecny na stronie.
• Na stronie występują znaczniki "Form".
• W polu "Placeholder" pola wprowadzania danych występują wyrażenia takie jak "Nazwa użytkownika" i "Hasło".
• W tytule strony występuje "Logowanie" lub podobne wyrażenie.

Technologie używane na stronach internetowych

• Narzędzie Wappalyzer może być używane do wykrywania technologii używanych na stronie internetowej.
• Wykrywa:
  • System zarządzania treścią (CMS)
  • Bazę danych
  • Biblioteki używane na stronie.
• Alternatywne narzędzia do Wappalyzer:
  • "Whatruns"
  • "BuiltWith"
  • "Whatcms"
• Narzędzia te można używać jako dodatki do przeglądarki lub narzędzia online.
• Inny sposób wykrywania technologii:
  • Analiza kodu źródłowego strony.
  • Sprawdzenie ścieżek plików motywów i bibliotek podanych w kodzie (szczególnie w tagach skryptu).
  • Analiza nagłówka odpowiedzi zwróconej ze strony w konsoli programistycznej.

Adresy IP i bloki IP

• Adresy IP są ważnymi zasobami organizacji.
• Porty otwarte na adresach IP powinny być regularnie sprawdzane pod kątem zagrożeń.
• Bloki IP zawierają głównie adresy IP należące do organizacji.
• Możliwe jest ich identyfikacja poprzez:
  • Poszukiwanie wzorców w adresach IP uzyskanych z domen.
  • Sprawdzenie informacji Whois dla kolejnych adresów IP, aby sprawdzić, czy należą one do organizacji.
• Dodatkowa metoda wykrywania bloków IP:
  • Analiza danych z usług zbierania informacji o domenach, np. SecurityTrails lub Shodan.