Eine offengelegte Samba-Freigabe auf file1 (unter 10.0.0.30) kann Dateien für jemanden zugänglich machen, der den Dienst erreicht – ganz ohne Passwortknacken oder die Installation von Schadsoftware. Dieses Szenario ist für unser Labor aufschlussreich, da es verdeutlicht, warum Sicherheitstests bereits vor Beginn klare Grenzen benötigen. Wir untersuchen ausschließlich Systeme, die uns gehören oder für deren Überprüfung wir eine schriftliche Genehmigung haben; zudem dokumentieren wir, welche Daten durch den Dienst offengelegt wurden, damit der Eigentümer die Sicherheitslücke schließen kann.
Unsere festgelegte Umgebung ist das private Netzwerk 10.0.0.0/24. Kali unter 10.0.0.10 dient als Test-Workstation. web1 unter 10.0.0.20 ist ein Metasploitable-2-Zielsystem mit Diensten auf den Ports 21, 22 und 80, während file1 unter 10.0.0.30 Samba über die Ports 139 und 445 bereitstellt. Adressen außerhalb dieses Subnetzes sind nicht Teil der Übung, und das Labor enthält kein zum Internet hin exponiertes Zielsystem. Wir veranschaulichen die Art einer Schwachstelle und deren beobachtbare Auswirkungen, nicht jedoch einsatzbereite Exploits, die gegen andere Systeme verwendet werden könnten. Betrachten wir nun die Begrenzung, die sicherstellt, dass alle nachfolgenden Übungen innerhalb des vorgesehenen Rahmens bleiben:
Dieses Diagramm legt eine zulässige Richtung fest: von Kali zu den beiden genannten Labor-Zielen. Eine Anfrage an 10.0.0.30 ist zulässig (im Rahmen der Vorgaben), da file1 ein zugewiesenes Ziel ist; dieselbe Anfrage an eine unbekannte Adresse ist untersagt, selbst wenn der Dienst identisch erscheint.
Da die Netzwerkgrenze allein kein akzeptables Verhalten definiert, benötigen wir eine Vereinbarung über die Rules of Engagement (Einsatzregeln) – einen schriftlichen Vertrag, der festlegt, wer testen darf, welche Systeme getestet werden dürfen, wann Tests stattfinden dürfen und welche Methoden zulässig sind. Für diesen Kurs benennt die Vereinbarung web1 und file1, beschränkt die Aktivitäten auf 10.0.0.0/24 und definiert Kali als einzigen Ausgangspunkt für die Tests. Eine schriftliche Genehmigung unterscheidet eine kontrollierte Überprüfung von einem unbefugten Zugriff im Sinne von Gesetzen wie dem US-amerikanischen Computer Fraud and Abuse Act oder dem britischen Computer Misuse Act 1990. Dieser Kurs vermittelt technisches Wissen, keine Rechtsberatung.
Die Vereinbarung verhindert zudem, dass eine Übung für Anfänger schädliche Auswirkungen hat. Wir dürfen offengelegte Dienste identifizieren und gefahrlos beobachten, ob eine anonyme Samba-Auflistung einen Dateinamen preisgibt. Wir optimieren keine Payloads, umgehen keine Überwachungssysteme, etablieren keine Persistenz, beeinträchtigen nicht die Verfügbarkeit, führen keine massiven Passwort-Rateangriffe durch und speichern keine echten Zugangsdaten in unseren Notizen. Ein Test soll Beweise liefern, die von einem Verteidiger überprüft werden können, und keine unkontrollierten Änderungen verursachen, deren Behebung der Laborbetreiber übernehmen müsste.
Sicherheitsgrenze
Wenn eine Aktion Zugriff, Verfügbarkeit oder Persistenz über den vereinbarten Beobachtungsumfang hinaus verändert, sollte man innehalten und den Zustand dokumentieren, anstatt fortzufahren.
Jeder zulässige Schritt hinterlässt eine kleine Spur von Beweisen. Im Notizbuch werden der eingegebene Befehl, ein Zeitstempel, die Zieladresse und die relevante Ausgabe festgehalten. Wenn die Auflistung einer Freigabe backup.zip anzeigt, notieren wir diesen Namen sowie die Zugriffsbedingungen und fragen uns anschließend, welches Protokoll der Verteidiger die Verbindung aufzeichnen würde und welche Konfiguration den anonymen Zugriff verhindern könnte. Die folgende Tabelle unterscheidet zwischen nützlichen Beobachtungen und Aktionen, die über unsere Vereinbarung hinausgehen: