NSCS-2024-05-28

Layer 4

Ports

0-1023: Well-known: weltweit eindeutig
1024-49151 (0xC000): Registered Ports: teilweise registriert
bis 65536: Dynamic Ports: frei für temporäre verbindungen

UDP

Verbindungslos, keine Reihenfolge

TCP

Header-Felder

Source & Dest Port
Sequence Number: Identifizierung
Acknowledgement: Bestätigung, dass die Daten Empfangen wurden
Data Offset: Die Anzahl der 32-Bit-Blöcke des Headers, mind. 5 ohne options
Window Size: die Datenmenge die unbestätigt auf einmal gesendet werden darf
Checksum
Urgent Pointer: Mit Sequence Number genaue Position im Datenstrom (URG Flag)
Flags

Abbau

Fin Seq; ACK, FIN SEQ; ACK
Beide Hosts müssen sich das Verbindungsende gegenseitig erklären

Pen-Testing

Informationsbasis

Black-Box-Test: "Simuliert realistisch", infos müssen aus öffentlich zugänglichen Datenbanken kommen oder von außen erfragen

White-Box-Test: Angriff eines (Ex-) Mitarbeiters oder Externen Dienstleisters mit bestimmgen Kentnissen

Aggressivität

passiv scannen: gefundene Schwachstellen nicht ausnutzen
vorsichtig: Schwachstellen nur dann genutzt wenn System nicht beeinträchtigt wird
abwägend: Betrachtung der Erfolgschancen und Konsequenzen bei Schwachstellen
aggressiv: alle Schwachstellen ausnutzen

Umfang

Bei Erstmaligem test voller Umfang empfehlenswert -> Mehr aufwand
fokussiert: bestimmtes Teilnetz, System oder dienst, keine allgemeinen Hinweise zur Sicherheit
begrenzt: begrenzte Anzahl an Systemen, z.B. alle in der DMZ
vollständig: alle erreichbaren Systeme

Vorgehensweise

verdeckt: zum Testen von sekundären Systemen (Intrusion Detection), nicht direkt als Angriff erkennbar
offensichtlich: wenn verdeckt keine Reaktion

Technik

Netzwerkzugang: normal, typischer Angriff auch IP-basierte Pen-Tests
andere Kommunikationen: z.B. Telefon/Fax
physischer Zugang: unbefugter Zugang in die Gebäude
Social-Engineering: Mensch als schwächstes Glied der Kette

Ausgangspunkt

Die Meisten Angriffe kommen von außen, dabei werden z.B. die Firewall untersucht

Phasen eines Hacking-Angriffs

Informationsbeschaffung: auch Reconnaissance oder Footprinting, Basis für Fogeaktivitäten, Ziel ist so viele Informationen wie möglich zu erhalten ohne entdeckt zu werden, z.B.
1. Social Media Profile
2. Unternehmenswebsiten
3. Google Dorks (Hacking DB)
4. Spezialsuchmaschinen
5. DNS
Scanning: Schwachstellen Identifizieren:
1. Port Scanning, z.B. nmap, liste offener Ports
2. Vulnerability Scanning, z.B. OpenVAS, scannt ports und sucht nach schwachstellen in cves
3. Service Enumeration: auch nmap(skripte), genaue infos über dienste, versionen, configs, ...
4. networkmapping: nmap, topologie und struktur des netzwerks
5. OS Fingerprinting: nmap, bestimmung des Betriebssystems

OWASP Top 10

Broken Access Control (Ungeschützte Zugriffskontrolle): schlechte Zugriffsrechte
Cryptographic Failures (Kryptografische Fehler): unzureichende Verschlüsselung
Injection: schädliche Anweisungen in Programme einschleusen
Security Misconfiguration (Fehlkonfiguration): Unsichere Einstellungen
Vulnerable and Outdated Components (Veraltete Komponenten): mit bekannten Lücken
Identification and Authentication Failures (Fehlgeschlagene Identifikation und Authentifizierung): Schwächen in der Authentifizierungslogik
Software and Data Integrity Failures (Identifikation und Authenfifizierung): Unzureichende Maßnahmen für Updates und Daten, z.B. fehlende Signaturen
Security Logging and Monitoring Failures (bei Protokollierung und Überwachung)
Server-Side Request Forgery (SSRF): Server schickt unbefugt Anfragen an andere Systeme

VPN

IPsec:

Framework für Gesicherte Übertragung
Network-Schicht
Komplex und Unkomfortabel
OpenVPN:
Offen
Basiert auf ssl/tls
TCP/UDP
einfach, benutzerfreundlich
SSH:
Konsole
diverse Algorithemen
Tunneln anderer Protokolle
kann SOCKS
SOCKS
Proxy
keine verschlüsselung, SSH

hm

Surface Web:

Sichtbar
Suchmaschinen indiziert
Deep Web:
nicht sichtbar
nicht indiziert
kein DNS
spezieller Zugang
Dark Web:
Peer-to-Peer
Unsichtbar für Andere
Erfordert Einladung