ECSA - EC-Council Certified Security Analyst

EC-Council Certified Security Analyst (ECSA)

Az etikus hekker munkájáról van elképzelésünk, de mit csinál a Security Analyst? Az ő feladata, hogy akár olyan biztonsági réseket és problémákat is felfedezzen, amire még nincs hackereszköz. Analizál. Felfedez. Kivitelez. Megelőz. (És dokumentál.)

Kik írják az exploitokat?
Ma már egyre jellemzőbb, hogy a biztonsági réseket biztonsági szakemberek fedezik fel, és hozzák a szoftvergyártók tudomására. Proof of concept kód bizonyítja, hogy a hiba például távoli kódfuttatást tesz lehetővé. A Security Analyst hibákat fedez fel, és proof of concept exploitot tud készíteni. Nem kell megijedni, ehhez nem kell programozónak lenni!

Ezen a tanfolyamon egy Zero Day Exploit életciklusát követjük végig a születéstől a haláláig, és hogy izgalmasabb legyen a tanfolyam, a hallgatók maguk fedezik fel és késztik el az eleddig ismeretlen támadókódot egy speciális eszköz, Fuzzer használatával (programozási ismeretre nincs szükség). Ezt követően az exploitot mindenki örömére begyűrjük a Metasploit Framework alá, és megnézzük, mi mindenre "jó" egy saját exploit.

Hogyan védekezzünk ismeretlen támadások ellen?
Vadonatúj, egyedi támadókódról lévén szó, a támadás kivédése nem tipikus feladat. Jó eséllyel sem a víruskeresők, sem más biztonsági rendszerek nem ismerik fel, ez ismét a Security Analyst feladata. Ha megtaláltuk, a támadás kivédésére IDS-rendszereket vetünk be. Egy megfelelő SNORT-szabály megalkotásával felfedezhetjük és blokkolhatjuk a vadonatúj támadás hálózati forgalmát.

A Security Analyst mindezt dokumentált módon teszi, ezért a biztonsági elemzés során az LPT és az OSSTM-módszertant hívjuk segítségül.

A tanfolyam forgatókönyve

1.       Egy képzeletbeli céghez az LPT és OSSTM módszertanokalapján elkészítjük a penetration teszt tervét. A vizsgálatot kívülről, az internet felől végezzük. „Tudván tudva”, hogy jelenleg nincsen ismert sérülékenység a vállalatnál, megpróbálunk mi magunk találni egy újat. Ezért készítünk egy fuzzert a cég egyik szolgáltatásának tesztelésére.

2.       A fuzzerrel megtalált hibát részletesen megvizsgáljuk debuggerben, majd megírunk egy ezt kihasználó exploitot (gyakorlatilag egy ügyes gépi kódú JMP utasítás lesz az egész J). Az elkészült exploitot a „könnyebb használhatóság” kedvéért átültetjük metasploit alá. Megnézzük, hogy ezen az egy hibán keresztül hogyan támadhatjuk meg egy eddig elérhetetlen gépet a belső hálózaton, és afelett is megszerezzük az uralmat.

3.       Ezután megvizsgáljuk, hogy hogyan javíthatjuk a cég biztonságát. Javaslatot teszünk a DMZ átalakítására valamint IDS bevezetésére. Az IDS-rendszeren létrehozunk egy megfelelő szabályt az általunk felfedezett újdonsült támadás ellen.

4.       A kapott eredményeket a módszertanok alapján dokumentáljuk.

Jó NetAcademiás szokás szerint az eredeti tananyagot picit felturbóztuk. A saját exploit írása eredetileg nem része a tananyagnak, de enélkül nem lenne kerek a történet. Íme egy néhány kockából álló dia a folyamat elmagyarázására: