Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
CzęśćI
Pułapka
Kilkalattemu,będącjeszczenastudiach,współpracowałemzpewnąmiędzyna-
rodowąfirmąkonsultingowąjakoniezależnyaudytorsystemówIT.Byłatoduża
firma,któraświadczyłausługidoradczezwiązanezszerokorozumianymaudytem
teleinformatycznym,awtymztestamipenetracyjnymi.Zazwyczajcelemtakich
testów–nazywanychrównieżkontrolowanymiwłamaniami–jestzbadanieodporno-
ścidanegosystemulubsiecinaatakteleinformatycznyiwykryciepodatnościna
powszechnieznanezagrożenia.Firmabyładuża,więcmiaładużychklientów.Jednym
znichbyłaniemieckainstytucjawojskowazajmującasię–mówiącogólnie–rozwo-
jemnowychtechnologii.
Sprawawydawałasięprosta.MoimcelembyłodostaćsiędoichsiecizInter-
netu,niemającżadnejwiedzyojejbudowieikonfiguracji.Takietestynazywasię
zewnętrznymitestamitypublack-box.Dostałemjedynieodpowiednizakresadresów
IPorazkilkadokumentówupoważniającychmniedoprzeprowadzeniawłamania
iokreślającychzakresmoichuprawnień.Cociekawe,wśródtychpapierówniebyło
żadnychinstrukcjimówiącychotym,comogęrobićwsytuacji,gdybymjużsiętam
dostał.Byłotobardzonietypowe,gdyżklientzazwyczajchcesięzabezpieczyćprzed
ewentualnymwyciekieminformacjiizabraniapodsłuchiwaniasieci,kopiowania
plików,przeglądaniabazdanychitp.Niewiemczemu,alewtedyniezwróciłemnato
uwagi.Dowiedziałemsięrównież,żeorganizacja,którąmamzbadać,chceprzede
wszystkimsprawdzićswojemożliwościwzakresienietyleochronyprzedwłama-
niem,conamierzeniawłamywacza.Aletojużbyłanieoficjalnainformacja,którą
zawdzięczałemdobrymstosunkomzkierowniczkąmojegowydziału.Wobectego
postanowiłemniedaćsięnamierzyćinieprzeprowadzaćtestówzmojegodomowego
komputera,alewpinającsięgdzieśnamieście.
Testypenetracyjnetypublack-boxrozpoczynasięodzebraniainformacjioata-
kowanejsieci.Wszczególnościpolegatonaustaleniuadresówsieciowychoraznazw
domenowychprzydzielonychurządzeniom,któresięwniejznajdują;skanowaniu
portów,identyfikacjisystemówoperacyjnych,uruchomionychserwisówiusług
sieciowych.Wefekciepowstajemapatopologiibadanejsieci,którazawierawykaz
dostępnychurządzeńwrazzichadresamiorazlistąprogramów,którenanichdziałają.
Czasami,podwarunkiem,żetakijestzakrestestówpenetracyjnych,przeprowadzasię
