H8: Red Team - Slides - HOGENT

H8: red team 1 8.1 Taak van het red team 2 Taak van het red team Proberen inbreken Verdediging testen Zwakke punten blootleggen 3 Speaker notes Niet enkel in cyberspace: red team kan bijvoorbeeld in gebo...

H8: red team 1 8.1 Taak van het red team 2 Taak van het red team Proberen inbreken Verdediging testen Zwakke punten blootleggen 3 Speaker notes Niet enkel in cyberspace: red team kan bijvoorbeeld in gebouwen proberen binnenraken, papieren stelen, veiligheidscamera's onschadelijk maken... Legaal, en in dienst van de organisatie die ze aanvallen De verdediging wordt het "Blue Team" genoemd Deze legale hackers worden ook "White hat hackers" genoemd. Illegale hackers met slechte bedoelingen zijn "Black hat", en hackers die soms wetten negeren maar niet per se slechte bedoelingen hebben zijn "Grey hats" 8.2 De 5 fasen 4 De 5 fasen 5 Reconnaissance: Onopvallend informatie verzamelen Scanning and enumeration: Actief zoeken naar zwakke punten Gaining access: De gevonden zwaktes aanvallen Maintaining access: Zorgen voor manieren om later opnieuw in te breken Covering tracks: Zorgen dat het doelwit geen sporen terugvindt 6 Speaker notes Details in volgende subsecties Verschil reconnaissance en scanning & enumeration: Bij reconnaissance wordt zeer breed informatie verzameld, over alles dat mogelijk nuttig kan zijn. Bij scanning & enumeration wordt zeer specifiek ingezoomd op mogelijke aanvalspistes. Hierbij worden vaak specifieke tools gebruikt die zoeken naar bepaalde zwaktes, gebaseerd op de informatie uit de reconnaissance fase. Cybersecurity (dit vak): Intro fase 1 (reconnaissance) Intro fase 2 (scanning en enumeration) Oppervlakkig (nog niet genoeg technische kennis) Verder uitwerken in specialisatie System & network administration Meer technisch 2e jaar: Cybersecurity & Virtualisation Red team :aanvallen: 3e jaar: Cybersecurity Advanced Blue team: verdedigen 7 Speaker notes Reden: geavanceerde technieken hebben grondigere kennis (van oa. operating systems en netwerken) nodig, die we op dit moment nog niet hebben. 8.3 Fase 1: Reconnaissance 8 Reconnaissance Zo veel mogelijk informatie verzamelen (footprinting) Zo onopvallend mogelijk Doel: Het doelwit begrijpen Wie? Wat? Hoe? Waar?... Hoe beveiligen ze zich? Waar zit de waardevolle data?... De toekomstige aanval accurater maken door het aanvalsdomein te beperken 9 Speaker notes Enkele belangrijke vragen: Waar zit de waardevolle data? Hoe is de toegang tot die data beveiligd? Het aanvalsdomein kan bijvoorbeeld een IP-range zijn Deze data wordt vaak in een informatiedatabank opgeslagen, zodat het red team daar makkelijk aan kan en bijvoorbeeld verbanden kan leggen tussen verschillende bevindingen. Reconnaisance: types Passief Geen direct contact met het doelwit Anoniem Actief Wel direct contact met het doelwit Doelwit heeft informatie over aanvaller! Maar doelwit weet (normaal gezien / nog) niet dat die data gelinkt is aan een toekomstige aanval. Soms dunne grens: bv. website bezoeken 10 Speaker notes Voorbeelden passieve reconnaisance: Publieke bronnen (overheidsdata, kranten, social media,...) Aankomend/vertrekkend personeel in de gaten houden Voorbeelden actieve reconnaisance: Helpdesk bellen Werknemer om een naamkaartje vragen Solliciteren Een website bezoeken is in principe niet anoniem, de server van het doelwit heeft informatie over de aanvaller. Het is echter praktisch vaak niet mogelijk te achterhalen dat dit specifieke bezoek te maken had met een toekomstige aanval, zeker niet als de site door honderden gebruikers tegelijk bezocht wordt. Ook al doe je reconnaissance, je bent slechts een van de vele "onschuldige" bezoekers: je gaat op in de massa. We rekenen dit dus als passieve reconnaissance. Als je atypisch gedrag vertoont kan dit natuurlijk wel alarmbellen doen afgaan. SQL injectie proberen uitvoeren op een site is dus zeker geen passieve reconnaissance! Reconnaissance: Zoekmachines Gebruik niet enkel Google: verschillende zoekmachines hebben verschillende resultaten Bing, Yandex, Duckduckgo,... Gebruik operatoren om efficiënter te zoeken https://ahrefs.com/blog/google-advanced-search-operators/ Google Hacking Database 11 Speaker notes Let op! Elke zoekmachine heeft eigen specifieke operatoren. Reconnaissance: Openbare databanken Openbare databanken bevatten publiek beschikbare, maar soms zeer interessante, data. Voorbeelden: Nationale Bank België Belgisch staatsblad Vlaamse databanken en zoeksystemen 12 Speaker notes Voorbeelden van interessante data die kan voorkomen in publieke documenten: Adressen (ook e-mail) Namen van belangrijke personen Financiële data Ideaal voor phishing aanvallen! Reconnaissance: Vacatures Informatie over belangrijke (open) posities Informatie over gebruikte technologieën 13 Speaker notes Dit kan zowel op de site van het bedrijf zelf, als op algemene job-zoekertjes-sites zoals bv. Indeed, Jobat,.... Reconnaissance: Social Media Mensen delen vaak (onbewust) gevoelige informatie Locatie Afbeeldingen van beveiliginsmechanismen of sleutels Biometrische data, bijvoorbeeld in deze studie 14 15 Gespecialiseerde tools om informatie van sociale media te verzamelen: Online: Pipl, Maltego,... Commandline: bv. theHarvester, recon-ng,... 16 Speaker notes Hoewel we spreken van gespecialiseerde tools, is dit nog niet per se "scanning en enumeration". We zoeken gewoon algemeen naar bruikbare informatie. Natuurlijk kunnen we tijdens de Scanning & Enumeration fase wel specifiek op zoek gaan naar, bijvoorbeeld, zichtbare vingerafdrukken als we een bepaalde scanner willen omzeilen. Reconnaissance: e-mailadressen Eenvoudig met tools als bv. hunter.io 17 Reconnaissance: Websites De meeste organisaties hebben een website Bevat vaak veel informatie Contactgegevens Foto's (personeel, gebouwen) Structuur van het bedrijf Gebruikte technologie Netcraft, BuiltWith, Wappalyzer Met development tools/plug-ins (bv. F12 ) Soms beter om een hele website te downloaden Onopvallend experimenteren bv. met HTTrack 18 19 Reconnaissance: Whois Informatie over registratie domein whois.domaintools.com 20 Reconnaissance: DNS Vertaalt een domeinnaam (www.hogent.be) naar een ip-adres ( 193.190.173.135 ) Informatie over website, netwerk, infrastructuur Soms gevoelige informatie in slecht beveiligde DNS-servers Verschillende tools om info te achterhalen: nslookup , dig , dnsrecon , dnsmap ,... $ nslookup hogent.be Server: 127.0.0.53 Address: 127.0.0.53#53 Non-authoritative answer: Name: hogent.be Address: 193.190.173.135 21 $ dig hogent.be ; DiG 9.18.28 hogent.be ;; global options: +cmd ;; Got answer: ;; ->>HEADER