Bewertung von Schwachstellen mit ethischen Hacks - Dummies

Im nächsten Schritt müssen Sie überprüfen, ob es sich um Schwachstellen in Ihrem System oder Ihrem Netzwerk handelt. Führen Sie vor dem Testen eine manuelle Suche durch. Sie können Hacker-Foren, Websites und Schwachstellen wie folgt recherchieren:

• Allgemeine Sicherheitslücken und Gefährdungen

• US-CERT Vulnerability Notes-Datenbank

• NIST National Vulnerability Database

Diese Seiten listen bekannte Schwachstellen auf - zumindest die formal klassifizierten. Sie sehen, dass viele andere Schwachstellen generischer Natur sind und nicht leicht klassifiziert werden können. Wenn Sie eine auf einer dieser Websites dokumentierte Sicherheitsanfälligkeit nicht finden können, suchen Sie die Website des Anbieters. Diese Seite enthält die Konsensliste der SANS Top 20 Vulnerabilities, die von der SANS-Organisation zusammengestellt und aktualisiert wird.

Wenn Sie Ihre potenziellen Schwachstellen nicht untersuchen und direkt in Tests einsteigen möchten, haben Sie zwei Möglichkeiten:

• Manuelle Bewertung: Sie können die potenziellen Schwachstellen bewerten, indem Sie Herstellen einer Verbindung zu den Ports, die den Dienst oder die Anwendung verfügbar machen und in diesen Ports herumstochern. Sie sollten bestimmte Systeme (z. B. Webanwendungen) manuell überprüfen. Die Schwachstellenberichte in den vorangegangenen Datenbanken offenbaren häufig, wie dies zu tun ist - zumindest im Allgemeinen. Wenn Sie viel freie Zeit haben, kann das manuelle Durchführen dieser Tests für Sie funktionieren.

• Automatische Bewertung: Manuelle Bewertungen sind eine großartige Möglichkeit, um zu lernen, aber für die meisten manuellen Schritte haben die Leute normalerweise keine Zeit.

Viele großartige Tools zur Bewertung von Schwachstellen testen Fehler auf bestimmten Plattformen (z. B. Windows und UNIX) und Arten von Netzwerken (entweder drahtgebunden oder drahtlos). Sie testen auf bestimmte Systemschwachstellen und konzentrieren sich speziell auf die SANS Top 20-Liste und das Open Web Application Security Project.

Versionen dieser Tools können die Geschäftslogik innerhalb einer Webanwendung abbilden. andere können Softwareentwicklern helfen, Codefehler zu testen. Der Nachteil dieser Tools ist, dass sie nur einzelne Schwachstellen finden. Sie korrelieren häufig keine Schwachstellen im gesamten Netzwerk. Das Aufkommen von Sicherheitsinformations- und Ereignisverwaltungssystemen (SIEM) und Schwachstellen-Managementsystemen ermöglicht es diesen Tools jedoch, diese Schwachstellen zu korrelieren.

Ein beliebtes ethisches Hacker-Tool ist ein Schwachstellenscanner namens QualysGuard von Qualys. Es ist sowohl ein Portscanner als auch ein Werkzeug zur Schwachstellenanalyse und bietet eine große Hilfe beim Schwachstellenmanagement.

QualysGuard ist ein Cloud-basiertes Tool, mit dem Sie einfach zur Qualys-Website navigieren, sich bei Ihrem Konto anmelden und die IP-Adresse der Systeme eingeben können, die Sie testen möchten. Qualys verfügt außerdem über eine Appliance, die Sie in Ihrem Netzwerk installieren können, um interne Systeme zu scannen. Sie planen einfach die Bewertung, und dann führt das System Tests durch und erstellt ausgezeichnete Berichte wie die folgenden:

• Ein Executive Report mit allgemeinen Informationen aus den Ergebnissen des Scans.

• Ein technischer Bericht über detaillierte Erklärungen der Sicherheitslücken und spezifische Gegenmaßnahmen.

  

Wie bei den meisten guten Sicherheits-Tools zahlen Sie für QualysGuard. Es ist nicht das least teure Tool, aber Sie bekommen das, wofür Sie bezahlen, besonders wenn es darum geht, dass andere Sie ernst nehmen, wenn Sie PCI DSS-Compliance für Ihr Unternehmen benötigen.

Mit QualysGuard kaufen Sie einen Block von Scans basierend auf der Anzahl der Scans, die Sie ausführen. Eine Alternative zu QualysGuard, auf die viele schwören, ist Rapid7s Nexpose, die zufällig eine kostenlose Version (Community Edition) zum Scannen von bis zu 32 Hosts hat.

Die Bewertung von Schwachstellen mit einem Tool wie QualysGuard erfordert Nachfolge-Know-how. Sie können sich nicht allein auf die Scanergebnisse verlassen. Sie müssen die von ihr gemeldeten Sicherheitsanfälligkeiten überprüfen. Studieren Sie die Berichte, um Ihre Empfehlungen auf den Kontext und die Kritikalität der getesteten Systeme zu stützen.