De kwestie van beveiliging zal altijd een zeer belangrijke pijler zijn binnen een organisatie en in elke taak die we uitvoeren, aangezien de beschikbaarheid en integriteit van alle informatie die we behandelen ervan afhangt en onder onze verantwoordelijkheid valt.
Er zijn veel tools, protocollen en taken die we binnen onze rollen kunnen toepassen om beveiligingsverbeteringen in computeromgevingen te verbeteren of te implementeren, maar vandaag gaan we er twee in detail analyseren tools die essentieel zijn voor het scannen Y Verificatie van IP-adresbereik. Op deze manier kunnen we meer specifieke controle hebben over alle routering van ons netwerk.
De twee tools die we zullen bekijken zijn: Zmap Y NmapMaar waar zijn ze voor en hoe helpen ze onze rollen?
Solvetic geeft op een eenvoudige en diepgaande manier het antwoord op deze antwoorden.
Wat is ZmapZmap is een open source tool waarmee we: voer een netwerkscan uit om fouten en mogelijke storingen vast te stellen wat essentieel is voor een optimale werking en stabiliteit.
Een van de grote voordelen van Zmap is dat de scanner het snel kan, minder dan 5 minuten, wat de resultaten die we als beheerders of ondersteunend personeel moeten leveren aanzienlijk verhoogt.
Een van de voordelen van het gebruik van Zmap hebben we:
- Zmap kan de beschikbaarheid van de dienst monitoren.
- Zmap is multiplatform (Windows, Linux, Mac OS, etc) en helemaal gratis.
- We kunnen Zmap gebruiken om een bepaald protocol te analyseren.
- Zmap geeft ons de mogelijkheid om gedistribueerde systemen op internet te begrijpen.
Wanneer we Zmap uitvoeren, verkennen we het hele bereik van IPv4-adressen volledig, dus wanneer we de tool uitvoeren, analyseren we privé IPv4-adressen, dus we moeten heel voorzichtig zijn om geen handelingen plegen tegen de privacy van een organisatie of persoon.
Wat is NmapNmap (Network Mapper) is een krachtige tool die ons de mogelijkheid geeft om: de beveiliging van een netwerk controleren en ontdek computers die ermee verbonden zijn.
Deze tool kan worden gebruikt om penetratietesten, dat wil zeggen, om te valideren dat ons netwerk niet gevoelig is voor aanvallen door hackers.
Met Nmap hebben we een tool bij de hand die ons een snel scannen van grote netwerken of computers individu. Voor de analyse gebruikt Nmap IP-pakketten om te bepalen welke computers beschikbaar zijn op het netwerk, welke diensten deze computers bieden, welk besturingssysteem momenteel wordt gebruikt en welk type Firewall is geïmplementeerd en van daaruit de respectievelijke analyse maakt.
Een van de voordelen die we hebben bij het gebruik van Nmap hebben we:
- Detectie van apparatuur in realtime op het netwerk.
- Het detecteert de open poorten op deze computers, evenals de software en de versie van die poorten.
- Detecteer huidige kwetsbaarheden.
- Het detecteert het netwerkadres, het besturingssysteem en de softwareversie van elke computer.
- Het is een draagbaar hulpmiddel.
- Nmap is platformonafhankelijk (ondersteunt Windows, FreeBSD, Mac OS, enz.).
Verschillen tussen Zmap en NmapEr zijn enkele verschillen tussen de twee tools, die we hieronder noemen:
- Met Nmap kunnen we geen grote netwerken scannen, indien mogelijk met Zmap.
- Zmap voert de scan veel sneller uit dan Nmap.
- Nmap kan in grafische mogo worden gebruikt door de ZenMap-tool te downloaden.
- Met Nmap kunnen we meerdere poorten analyseren, terwijl we met Zmap een enkele poort kunnen analyseren.
- De dekking van Zmap is veel groter dan die van Nmap.
- Nmap handhaaft de status voor elke verbinding, terwijl Zmap geen status in de verbindingen handhaaft die de snelheid verhoogt.
- Nmap detecteert de verbroken verbindingen en stuurt de verzoeken door, Zmap stuurt alleen een pakket met verzoeken naar een bestemming die herbewerking vermijdt.
- Nmap is ontworpen voor kleine netwerkscanners of individuele computers, terwijl Zmap is ontworpen om het hele internetnetwerk in minder dan 45 minuten te scannen.
We merken op dat de verschillen tussen de ene tool en de andere opmerkelijk zijn en dat dit afhangt van de behoeften die we op dat moment hebben.
1. Hoe te gebruiken en te analyseren met Zmap
Voor deze analyse zullen we Ubuntu 16 gebruiken als het platform om te gebruiken Zmap.
Om Zmap te installeren gebruiken we het volgende commando:
sudo apt install zmap
We hopen dat alle pakketten zijn gedownload en geïnstalleerd om te beginnen met gebruiken Zmap op Ubuntu16.
Zmap gebruiken in Ubuntu
Om Zmap te gaan gebruiken, is het eerste commando dat van grote hulp zal zijn:
zmap -helpDie ons de volgende opties laten zien:
Vervolgens zullen we enkele manieren zien die we kunnen gebruiken Zmap in Ubuntu.
Zmap -pMet deze parameter kunnen we alle computers scannen die zich op TCP-poort 80 op het netwerk bevinden.
Naast deze parameter hebben we de mogelijkheid om het resultaat op te slaan in een tekstbestand, hiervoor gebruiken we de volgende syntaxis.
sudo zmap -p (Poort) -o (Bestandsnaam)
Zodra de analyse is verwerkt, zien we de resultaten in een tekstbestand voor hun respectievelijke editie. We kunnen de zoekopdracht beperken tot een reeks IP-adressen met behulp van de volgende syntaxis:
sudo zmap -p (Poort) -o (Text.csv) Bereik IP-adressenIn dit geval gaan we alle computers scannen die TCP-poort 80 gebruiken in het adresbereik 192.168.1.1
Zodra het proces is voltooid, zien we ons bestand in de thuismap van Ubuntu 16:
Sudo zmap -SDe parameter -S verwijst naar de bron of bron van de poort. We kunnen bijvoorbeeld de volgende syntaxis hebben:
sudo zmap -s 555 -S 192.168.0.1 62.168.1.0/16 -p 80In dit geval geven we aan dat de bronpoort die de pakketten zal verzenden 555 zal zijn en het bronadres 192.168.0.1 zal zijn.
Extra parameters om te gebruiken met ZmapEr zijn andere parameters die erg handig zijn bij het gebruik van Zmap en het weergeven van betere resultaten, dit zijn:
-BMet deze waarde kunnen we de snelheid in Bits per seconde definiëren die door Zmap wordt verzonden.
-enHiermee kunnen we IP-adressen definiëren door permutatie, dit is handig wanneer we Zmap in verschillende consoles en met verschillende adresbereiken gebruiken.
-RHet stelt ons in staat om de snelheid van pakketzendingen te definiëren die elke seconde zullen worden gemaakt.
-THet verwijst naar het aantal gelijktijdige threads dat Zmap zal gebruiken om pakketten te verzenden.
-sGeeft de bronpoort aan van waaruit de pakketten naar het bestemmingsadres gaan.
-SGeeft het bron-IP-adres aan van waaruit de pakketten voor de scan vertrekken.
-IVerwijst naar de naam van de netwerkinterface die voor de scan wordt gebruikt.
-MTest de modules die zijn geïmplementeerd met Zmap.
-XIP-pakketten verzenden (handig voor VPN's).
-GMet deze optie kunnen we het MAC-adres van de Gateway specificeren
-lHet stelt ons in staat om items in het gegenereerde bestand in te voeren.
-VGeef de Zmap-versie weer
Zmap-configuratiebestanden bewerken
In Zmap zijn er twee essentiële bestanden voor de bediening en bewerking van de Zmap-parameters.
Dit zijn:
/etc/zmap/zmap.confMet dit bestand kunnen we toolwaarden configureren, zoals scanpoorten, bandbreedte, enz.
Om het te bewerken kunnen we de VI- of Nano-editor gebruiken.
/etc/zmap/blacklist.confMet dit bestand kunnen we de lijst met IP-adresbereiken configureren die zijn geblokkeerd voor scannen om administratieve of privacyredenen.
Op dezelfde manier kunnen we een reeks adressen toevoegen als we willen dat ze niet door Zmap worden gescand.
Zoals we kunnen zien, biedt Zmap ons een breed scala aan opties voor het beheren van het scanproces voor computers en netwerken.
2. Hoe te gebruiken en te analyseren met Nmap
Om Nmap te installeren, in dit geval op Ubuntu 16, gebruiken we de volgende opdracht:
sudo apt install nmap
We accepteren het download- en installatieproces van de respectieve pakketten. Om de hulp van Nmap te raadplegen kunnen we het volgende commando gebruiken:
Nmap -help
Daar krijgen we toegang tot alle parameters die kunnen worden geïmplementeerd met Nmap.
De basisparameters om het scanproces te starten zijn als volgt:
- -v: Deze optie verhoogt het breedsprakigheidsniveau (Verbose).
- -TOT: Maakt OS-detectie, scriptscannen en traceerpad mogelijk.
We gebruiken bijvoorbeeld de volgende syntaxis voor Solvetic.com:
sudo nmap -v -A Solvetic.com
We kunnen informatie weergeven die zo belangrijk is als:
- TCP-poorten die zijn ontdekt op elke bestemmingscomputer met vermelding van het respectieve IP-adres
- Hoeveelheid van poorten om te analyseren, standaard 1000.
We kunnen de voortgang van de scan zien en zodra we het proces hebben voltooid, zien we het volgende:
We kunnen een volledige samenvatting van de uitgevoerde taak zien. Als we een snellere scan willen, gebruikt u gewoon de volgende syntaxis:
nmap IP_adres
We kunnen een samenvatting zien van het aantal poorten dat gesloten is en hoeveel er open zijn in het bestemmingsadres.
Parameters voor gebruik met NmapEnkele van de parameters die we met Nmap kunnen implementeren en die van grote hulp zullen zijn bij het scannen en monitoren, zijn de volgende:
-NSDeze parameter maakt een scan van de TCP-poorten zonder dat u een bevoorrechte gebruiker hoeft te zijn.
-H.HHet is een TCP SYN-scan, dat wil zeggen, het voert de scan uit zonder een spoor achter te laten op het systeem.
-sADeze parameter gebruikt ACK-berichten om het systeem een antwoord te geven en zo te ontdekken welke poorten open zijn.
-zijnDeze parameter scant de UDP-poorten.
-sN / -sX / -sFHet kan verkeerd geconfigureerde firewalls omzeilen en de services detecteren die op het netwerk worden uitgevoerd.
-sPDeze parameter identificeert de systemen die zich stroomopwaarts op het doelnetwerk bevinden.
-ZWDeze optie identificeert de protocollen op een hoger niveau op laag drie (netwerk).
-sVMet deze optie kunt u bepalen welke services zijn geopend door poorten op het doelsysteem.
Naast deze parameters kunnen we het volgende opnemen, zodat de scanproces is efficiënt:
-NVoert geen DNS-conversies uit
-BBepaalt of het doelteam kwetsbaar is voor "bounce-aanvallen"
-vvHiermee kunt u gedetailleerde informatie over de console krijgen.
-FHet maakt fragmentatie mogelijk, wat het moeilijker maakt om door een firewall te worden gedetecteerd.
-AanHet stelt ons in staat om een rapport te genereren.
-PODeze optie voorkomt pings naar het doel voordat de analyse wordt gestart.
Voor dit voorbeeld hebben we de volgende regel gemaakt:
nmap -sS -P0 -sV -O hostnaamWaarbij we de hostnaam vervangen door de naam van de website of het te analyseren IP-adres. Het verkregen resultaat is het volgende:
Daar kunnen we zien dat Nmap het besturingssysteem, open en gesloten poorten, enz. heeft gedetecteerd.
Extra opties om te gebruiken met Nmap
Er zijn enkele belangrijke hulpprogramma's die we met Nmap kunnen gebruiken, zoals:
Ping een reeks IP-adressenVoor deze taak pingen we de adressen uit het bereik 192.168.1.100 tot 254, hiervoor voeren we het volgende in:
nmap -sP 192.168.1.100-254
Lijst met servers met open poorten ophalenOm deze lijst te verkrijgen, gebruiken we de volgende syntaxis, waarbij we als voorbeeld een reeks adressen 192.168.1 nemen.*:
nmap -st -p 80 -oG - 192.168.1 * | grep open
Maak gescande lokvogels om detectie te voorkomenDit is erg belangrijk, want als we worden gedetecteerd, kan het hele scanproces verloren gaan, maar we moeten ook verantwoordelijk zijn voor de scan, omdat we ons herinneren dat deze niet in verboden netwerken kan worden gebruikt.
Hiervoor gebruiken we deze syntaxis als voorbeeld:
sudo nmap -sS 192.168.0.10 -D 192.168.0.1
Scan meerdere poorten tegelijkWe kunnen tegelijkertijd meerdere poorten op een doelcomputer scannen, in dit geval zullen we poorten 80, 21 en 24 van het IP-adres 192.168.1.1 scannen, het resultaat is het volgende:
We kunnen in realtime zien welke actie de poort uitvoert.
Gebruik de FIN-analyseDeze analyse stuurt een pakket naar de doelcomputer met een vlag, of FIN-vlag, om het gedrag van de firewall te detecteren voordat een diepgaande analyse wordt uitgevoerd, hiervoor gebruiken we de parameter -sF.
Voor dit geval gebruiken we de volgende regel:
sudo nmap -sF 192.168.1.1
Controleer de versie van de doelcomputerVoor deze informatie gebruiken we de -sV-parameter die de softwareversie retourneert die op dat moment op de doelcomputer wordt uitgevoerd.
We hebben gezien hoe deze twee tools een grote hulp zullen zijn voor de hele taak van: scannen en analyseren van het communicatieproces met de doelteams. Auditanalyses zijn altijd nodig, ongeacht het systeem, of het nu Windows, Windows Server, Linux, Mac enz. We zullen deze informatie blijven uitbreiden.
Kwetsbaarheidsanalyse met OpenVAS
