La metodologia di vulnerability assessment combina black box (nessuna conoscenza del sistema di destinazione) e l’approccio white box (conoscenza parziale del sistema). Test e analisi su più sistemi dovrebbero essere condotti per determinare il livello di accesso che un avversario potrebbe guadagnare.
Se un attacco ha successo, la vulnerabilità viene verificata e ulteriori azioni sono richieste per mitigare l’esposizione. In molti casi, gli exploit eseguiti non concedono il livello massimo di autorizzazioni a un attaccante. Essi possono invece permettere ai tester di comprendere meglio la rete testata e le sue potenziali vulnerabilità, o indurre un cambiamento nello stato di sicurezza della rete di destinazione.
Alcuni exploit permettono ai tester di aumentare i propri privilegi sul sistema o di ottenere l’accesso a delle risorse aggiuntive. Se ciò si verifica, altre analisi e ulteriori test sono necessari per determinare il vero livello di rischio, come ad esempio l’identificazione dei tipi di informazione che possono essere raccolti, modificati o rimossi dal sistema.
Nel caso in cui un attacco contro una vulnerabilità specifica si rivela impossibile, il tester dovrebbe tentare di sfruttare un’altra vulnerabilità scoperta. Se i tester sono in grado di sfruttare la vulnerabilità, è possibile installare più strumenti sul sistema di destinazione o di rete per facilitare il processo di test. Questi strumenti sono utilizzati per ottenere l’accesso a sistemi o risorse aggiuntive sulla rete, ed ottenere l’accesso alle informazioni sulla rete o organizzazione.
Il vulnerability assessment si concretizza in più fasi, che analizzerò brevemente.
Fase 1 – Comprensione dell’ambiente di test
Comprendere gli obiettivi di business e operativi dell’applicazione ivi incluse le operazioni, il flusso di lavoro e dei processi. Conoscere il tipo di sistema, il tipo di progettazione di rete e IP o le porte che sono esposte all’esterno.
Fase 2 – Network Discovery
Interrogazione dei registri di Dominio ed esecuzione di footprint per la raccolta di informazioni sulla rete e per individuare i server DNS
Tracing dei pacchetti IP e ICMP per i router, server e firewall per determinare la topologia della rete e identificare i sistemi critici, individuare gli host attivi, ottenere informazioni quali fusi orari del sistema e le dimensioni della sottorete.
Fase 3 – Identificazione delle vulnerabilità
Utilizzo di software di scansione delle porte per identificare eventuali porte o servizi aperti ( TCP e UDP) su dispositivi o server raggiungibili.
Collegamento alle porte che presentano servizi in ascolto utilizzando TCP e UDP tools per determinare il sistema operativo, le versioni del firewall e il tipo e la versione dei servizi di rete in uso.
Utilizzo di tools open source, di strumenti di penetration test commerciali e di tecniche per identificare le vulnerabilità specifiche o i maggiori punti di esposizione.
Fase 4 – Analisi delle vulnerabilità
Analisi delle vulnerabilità individuate per identificare le possibilità di sfruttamento e il tipo di metodologia di attacco.
Fase 5 – Segnalazione
Al termine delle 4 fasi verrà effettuata un’analisi approfondita dei risultati e una consultazione con il cliente per discutere i risultati preliminari e garantire che è stata condotta un’analisi approfondita.
A seguito della discussione, verranno consigliati approcci specifici per risolvere le vulnerabilità.
- Copertura
- Servizi non sicuri o vulnerabili
- Porte non necessarie o aperte
- Componenti software obsoleti
- Canali di comunicazione in chiaro
- Accessi non autenticati
- Accessi amministrativi non autorizzati
- porte di servizi database non autorizzate