Tenable Info Day 2016 Best practice v testování zranitelností Viktor Tichý

1. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Bes t prac tic e v tes tov ání z ranitelnos tí
V i k t o r T i c h ý
1V 1 6 0 3 0 7

2. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Hledání nástroje na testování zranitelností pro penetrační testy
Qualys partner od roku 2004
Tenable partner od roku 2015
Konkurenční výhody RAC v oblasti zranitelností
Znalost procesu testování zranitelností
Zkušenosti RAC s testováním zranitelností

3. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Základní schéma testování

4. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Určuje průběh scanu
Ports scan
Credentials x Non-Credentials scan
Scan Zone
Repository
Schedule - četnost testování
Scan + Scan Policy

5. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Basic network scan
Základní politika - pro testování zranitelností
Nejdůležitější parametr - rozsah TCP/UDP portů
Ports scan

6. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Common ports
4,790 tcp/udp ports
Typicky pro testování uvnitř sítě
Možné nevýhody
− Na některých nestandardních portech jsou neočekávané služby
− Nejlépe provádět občas testování i full tcp/udp ports
All tcp/udp ports
Typicky pro internetová zařízení
V případě blokování některých portů (udp) neúměrně zvýšení
doby testování
Custom
Vlastní rozsah
Ports scan

7. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Non-Credentials scan
Testování bez autentizace
Nalezne pouze zranitelnosti viditelné po síti (hacker perspective)
Jednoduchá implementace scanů v organizaci
Credentials scan
Testování s autentizací
Obtížná implementace scanů v organizaci – potřeba vysoká práva !
Nalezne i zranitelností nezjistitelné testováním bez autentizace
Credentials x Non-Credentials scan
Poměr nalezených zranitelností při testování s autentizací
průměrně 2x -10x větší !

8. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Credentials x Non-Credentials scan

9. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Podporované typy autentizací

10. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Externí úložiště hesel
Testování s autentizací
Jsou nutné vysoká práva, nejlépe domain admin či root
Problém s důvěrou a odpovědností při ukládání hesel a přístupových informací
Řešení – použití externích úložišť pro autentizaci - CyberArk
Bezpečné nezávislé úložiště hesel
Auditovatelnost, oddělená správa od správy produktů Tenable
Možnost OTP, systém hesla automaticky změní po použití

11. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Síťové požadavky
„Neomezený“ přístup na cílová zařízení
Bez ACL mezi jednotlivými VLANy
Firewally s IDS/IPS funkcemi mohou ovlivňovat testy
Bezpečnostní požadavky
Zachovat oddělení jednotlivých bezpečnostních zón
Typicky DMZ x Server LAN x User LAN
Umístění scannerů
Tenable Security Center až 512 scannerů
Dělení příslušnosti ke scannerům - Zóny

12. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Způsoby testování z hlediska síťové dostupnosti

13. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
DMZ
Testování z internetu
− Zajímá nás, které porty jsou dostupné
− Kontrola správnosti nastavení firewallu
Testování uvnitř DMZ
− Testujeme všechny služby a zranitelnosti
− Nepotřebné služby zavřeme, odinstalujeme
Serverová LAN
Z klientské sítě
− Uživatele by měli mít dostupné pouze potřebné porty (80,443, win rpc)
Z serverové sítě (jiná VLAN)
Typicky DMZ x Server LAN x User LAN
Způsoby testování z hlediska síťové dostupnosti

14. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Odlišné výsledky z testování
Podle způsobu testování (s/bez autentizace)
Podle umístění scannerů
Problém se střídáním výsledku pro jiné typy testováním
Repository
Řešení – použít více Repository
Repository = databáze
Credentialed, Compliance
Internet, Internal apod..

15. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Obvyklá frekvence testování
Internet 1x denně až 1xtýdně
Testování ve vnitřní síti – 1x týdně
Doba šíření bezpečnostních problémů se zkracuje
Pro vysokou bezpečnost lépe testovat častěji, 1x denně
Nastupující trend – nepřetržité testování (PVS,LCE)
Problém, IT nemusí být schopno reagovat na kratší lhůty!
Četnost testování
Studie ukazuje, že u 50% nově publikovaných
zranitelností jsou zranitelnosti využity do 2 týdnů
pro únik dat (Verizon).

16. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Úrovně zranitelnosti
Info, Low, Medium, High, Critical
Critical zranitelnosti
Velké množství zranitelností je Critical !
Možné zúžení rozsahu
Je k dispozici exploit ?
CVSS Score/CVSS Vector
Úrovně zranitelností

17. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Metrika pro závažnost zranitelností
Jaké informace o dané zranitelnosti byly zveřejněny?
Je k dispozici exploit?
Je možné zneužití dané zranitelnosti odkudkoliv?
Je možné zneužít danou zranitelnost kdykoliv?
Je nutná nějaká součinnost?
Je náročné danou zranitelnost zneužít?
Remotely exploitable vulnerabilities get priority using CVSS
http://www.first.org/cvss/
KnowledgeBase - CVSS

18. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Access Vector - Odkud může být veden útok. A možnosti jsou: z internetu (network), ze sítě,
kde se nachází systém trpící danou zranitelností (adjacent network) nebo útočník musí mít
fyzický přístup k danému systému (local).
Access Complexity - Ke zneužití dané zranitelnosti již nemusí být splněny žádné podmínky,
není potřeba žádná součinnost (low), je nutné mít určité informace o systému, je potřeba
minimální součinnost ze strany oběti, jako je třeba kliknutí na odkaz (medium), útok je možné
realizovat jen za určitých podmínek, na určité konfiguraci a je nutné, aby oběť provedla několik
kroků (high).
Authentication - Ke zneužití zranitelnosti není nutný účet v systému (none), je nutné se
přihlásit (single), je nutné se přihlásit do systému i do aplikace (multiple).
Confidentiality impact - Zda zneužitím zranitelnosti dojde k získání citlivých
informací, a to všech dat, která se nacházejí v paměti nebo na disku (complete),
nebo jen části z nich (partial) anebo vůbec žádných (none).
Integrity impact, Availability impact
CVSS Metrika

19. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Implementace VM
Odlišný postup než po dosažení cílového stavu
V organizace není zavedeno pravidelné patchování => často velký počet zranitelností
Příklad: 1000 zařízení v LAN – často 100.000 zranitelností s různou mírou rizika
Dva možné postupy
Odstranění pouze Critical zranitelností, s expolitem
Odstranění všech vážných zranitelností (Critical+High)
Implementace

20. © 2 0 1 6 R i s k A n a l y s i s C o n s u l t a n t s
Zahlcení „adminů“
Obvykle velké množství zranitelností
Nesouhlas s nezávislou kontrolou jejich práce (pouze někde)
Konflikt bezpečnost x dostupnost
Instalace patchů není bez rizika
Dokud není bezpečnostní incident, obvykle pro management je stěžejní
dostupnost
Problém s „outsourcingem“, smlouvy obvykle neřeší včasné odstraňovaní
zranitelností / patchování
Vhodná východiska
Rozumné stanovení rozsahu, např. pouze zranitelnosti critical
Směrnice, která přesně vymezí rozsah odpovědnosti
Úprava smluv s dodavateli
Nejčastější problémy implementace

21. DĚKUJI ZA POZORNOST
Copyright © 2016 Risk Analysis Consultants, s.r.o.
tichy@rac.cz