ماژول سه:
پس از پیدا کردن IP Address Range یک شبکه، با استفاده از Scanning، می توانیم سیستم های Live را پیدا کنیم، پورت های باز را بیابیم و به این ترتیب از سرویس های Run شده در آن شبکه را بدست آوریم.
بهترین ابزار برای Ping Scan، نرم افزار Nmap است. این نرم افزار بصورت Built-in در Kali وجود دارد و نسخه تحت ویندوز آن نیز، وجود دارد.
دستور Scan یک IP Address Range در Nmap:
Nmap -sn ۱۹۲٫۱۶۸٫۱٫۱-۲۵۵
این دستور همه سیستم های Live، به همراه MAC Address آنها و اینکه این سیستم ها متعلق به کدام Vendor هستند (با توجه به اینکه هر Vendor، دارای MAC Address مخصوص به خود می باشد) را نمایش می دهد و در پایان تعداد سیستم های Live را بیان می کند.
نکته: Zenmap، نسخه دارای GUI و گرافیکال Nmap است.
Port Scanning
پس از پیدا کردن سیستم های Live، باید ببینیم چه پورت هایی بر روی این سیستم ها باز است و در نتیجه چه سرویس هایی توسط آنها ارائه می گردد.
روش های مختلقی برای Scan وجود دارد اما تمامی Scan ها با Flag های TCP کار می کنند.
انواع Flag های TCP:
Sync——> آغاز کننده ارتباط
Ack——> پاسخ دهنده ارتباط
Fin——> پایان دهنده ارتباط
PSH——-> دستور به مقصد برای خالی کردن بافر به منظور ارسال دیتای جدید به مقصد
RST——-> Connection به دلیل نامعلومی قطع شد.
نکته: ارتباطات TCP با Three-Way Hand Shaking برقرار می گردد.
هنگامی که TCP Scan یا به عبارت دیگر Full Scan انجام می دهیم، Three way Hand Shaking به صورت کامل اتفاق می افتد.
حالت Sync scan، هنگامی اتفاق می افتد که A به عنوان آغاز کننده Scan، ACK را نفرستد.
از آنجاییکه Firewall، Sync Scan را به عنوان Connection ناقص می شناسد، معمولا” آن را Block خواهد نمود. لذا به منظور Scanning، همواره از Full Scan استفاده می نماییم.
در حالت Null Scan، هیچ Flag بر روی Packet آغاز کننده Scan، وجود ندارد به عبارت دیگر، تمامی Flag های آن، صفر است. هنگامی که Null Scan Packet، به مقصد می رسد، مقصد در پاسخ در یک Packet منظور ارسال کننده Packet را سوال می کند. با استفاده از همین Packet، می توانیم پورت های Up مقصد و سرویس های ارائه شده بر روی این پورت ها را تعیین کنیم.
نکته: Xmas Scan، FIN Scan و Null Scan مشابه هم هستند.
نکته: در سایت Nmap.org، توضیحات کامل در مورد استفاده از Nmap و تکنیک های Port Scanning وجود دارد.
سوئیچ های Nmap:
-sT برای TCP Scan (Full scan)
-sS برای Sync Scan
-sN برای Null Scan
-sX برای Xmas Scan
-sI برای Idle Scan
-sA برای Ack Scan
نکته: به صورت کاربردی تنها از سوئیچ –sT استفاده می شود و بقیه کاربرد لابراتواری دارند.
نکته: یک Host ممکن است به Ping پاسخ ندهد اما به Three-Way Hand Shake پاسخ خواهد داد.
در حالتیکه برای عبور Packet از Firewall مشکلی وجود داشته باشد، از سوئیچ –Pn استفاده می کنیم:
Nmap –Pn
نکته: استفاده از دکمه Space در هنگام Scan، وضعیت Scan را تا آن مرحله نمایش می دهد.
نکته: از نرم افزارهای Flooding برای حملات DDoS استفاده می گردد.
نکته: Nmap، پورت را به صورت Random، Scan می کند و Packet های Scan را با فاصله ارسال می کند. لذا Firewall مقصد مشکوک نمی شود.
برای محدود نمودن Scan به یک یا چند Port محدود، از سوئیچ –p استفاده می شود:
Nmap –sT –p 80 192.168.1.0-255
Nmap –sT –p 80,443 192.168.1.0-255
Nmap –sT –p 80-85 192.168.1.0-255
Banner Grabbing
استخراج اطلاعات در مورد اینکه بر روی پورت باز، چه سرویسی ارائه می گردد، Banner Grabbing نامیده می شود:
Nmap -p 80 –sV www.noora.ir
Nmap –p 80 –sV (IP Address)
Nmap –sV (IP Address)
بطور مثال اگر خروجی این دستور IIS نسخه ۷٫۵ بود، مشخص می شود که سیستم عامل، Windows Server 2008 R2 است. لذا به دنبال آسیب پذیری این نسخه ویندوز و IIS خواهیم بود.
با اضافه کردن سوئیچ -O ، سیستم عامل Target نیز مشخص می گردد.
نکته: زدن بسترهای ویندوزی مشکل تر است.
نکته: برای Banner grabbing در فایرفاکس، یک پلاگین بنام wappalyzer وجود دارد که بر روی فایر فاکس نصب می شود و اطلاعات در مورد هر سایت بازدید شده را نمایش می دهد.
انجام عملیات Hardening سبب می گردد که اطلاعات کمتری از آن سایت نمایش داده شود.
نکته: با نصب یک Toolbar به نام netcraft در Firefox می توان اطلاعات مفیدی در مورد سایت های بازدید شده، Rank آنها و نیز پیشینه آنها بدست آورد. (با کلیک بر روی Site Report)
Vulnerability Scanning
به صورت کلی چند ابزار برای Scan نمودن Vulnerability ها وجود دارد. نرم افزار Nessus سیستم را scan می کند و آسیب پذیری های شبکه را گزارش می نماید.
از دیگر نرم افزارهای کاربردی در این زمینه می توان به Open VAS و GFI LAN Guard اشاره کرد. اما بهترین آنها، همان Nessus است.
نکته: هنگام نصب Nessus باید از VPN استفاده شود.
نکته: کتاب راهنمای Nessus به زبان فارسی وجود دارد و قابل تهیه است.
نکته: Nessus هم دارای نسخه ویندوز و هم دارای نسخه لینوکس است که بر روی Kali Linux نصب می شود.
نصب Nessus (با تشکر از سایت نت آموز)
پس از نصب اولیه مرورگر شما باز می شود تا ادامه نصب و پیکربندی را از طریق رابط مرورگر انجام دهید (توجه کنید که در حین پیکربندی و ادامه نصب هم بایستی از آیپی غیر از ایران استفاده کنید در غیر اینصورت با خطا مواجه می شوید) بر روی Click Here در صفحه بازشده در مرورگر کلیک کنید تا اتصال با رابط SSL برقرار شود . آدرس صفحه وب نرم افزار:
https://IP Address:8834
پس از کلیک با پیامی این چنین در مرورگر خود مواجه می شوید . من از گوگل کروم استفاده می کنم . این پیام ممکن است در مرورگرهای دیگر متفاوت نمایش داده شود . منظور از این پیام این است که شناسه SSL شما معتبر نیست و سیستم امنیتی مرورگر مانع از ادامه بارگذاری صفحات می شود . این مسئله برای ما اهمیتی ندارد زیرا ما نرم افزار را در شبکه خود تست می کنیم و نه از داخل شبکه خارجی . به منظور رفع این مشکل بر روی Advanced در پایین تصویر کلیک می کنم .
اکنون بر روی (Proceed to localhost (unsafe کلیک کرده تا به ادامه نصب بازگردیم .
با صفحه نصب نسوس مواجه می شوید . برای شروع نصب و پیکربندی بر روی Get Started کلیک نمایید .
برای مراحل بعدی نصب شما نیاز به یک کد فعال سازی دارید . به همین منظور به این آدرس رفته و بر روی Register Now کلیک نمایید .
مطابق تصویر زیر ثبت نام کنید تا یک کد فعال سازی به ایمیل شما ارسال گردد .
به ایمیل خود رفته و کد فعال سازی را دریافت نمایید .
به ادامه نصب بازگردید . یک نام کاربری و رمز عبور به دلخواه برای قسمت مدیریت نسوس انتخاب کنید و بر روی Next کلیک کنید .
اکنون در این صفحه کدفعال سازی که از طریق ایمیل دریافت نمودید را وارد کنید و بر روی Next کلیک نمایید . توجه داشته باشید که کد فعال سازی فقط برای یکبار و یک نصب اعتبار دارد .
ملاحظه می کنید که عضویت و ساخت کاربر انجام شد . به منظور دانلود و نصب پلاگین ها بر روی گزینه Next : Download Plugins کلیک نمایید . این مرحله بنا به سرعت اینترنت شما زمان بر خواهد بود پس تا پایان دانلود پلاگین ها صبر نمایید .
پس از دانلود پلاگین ها نصب آنها آغاز می گردد . این مرحله نیز بنا بر سرعت سیستم شما زمان بر خواهد بود
پس از پایان نصب با تصویری مشابه زیر مواجه خواهید شد . در این بخش نام کاربری و رمز عبوری که برای بخش مدیریت انتخاب کرده اید را وارد نمایید و بر روی Sign in کلیک کنید .
به بخش مدیریت نسوس خوش آمدید
به منظور شروع یک اسکن در نسوس بایستی ابتدا یک پالیسی تعریف نمایید . به همین منظور از قسمت بالای تصویر به بخش پالیسی ها رفته و سپس از قسمت سمت چپ بر روی New Policy کلیک نمایید .
در قسمت ویزارد پالیسی گزینه های مختلفی وجود دارد . به منظور سادگی کار ما در این آزمایش گزینهBasic Network Scan را انتخاب می کنیم . شما بعدا می توانید گزینه های دیگر را بنا به نیازهای شبکه خود تست نمایید .
در بخش اول ایجاد پالیسی نام , پدیداری و در صورت دلخواه توضیحی برای پالیسی خود تعریف کنید و بر روی Next کلیک نمایید .
در بخش دوم نوع اسکن را بر روی داخلیInternal قرار داده و بر روی Next کلیک نمایید .
در بخش سوم ایجاد پالیسی نام کاربری و رمز عبور کاربر ادمین شبکه را وارد نمایید . در صورتی که این آزمایش را در یک شبکه حقیقی دامین انجام می دهید , در بخش Domain دامین شبکه را وارد نمایید . بر روی Next کلیک نمایید تا پالیسی مورد نظر ایجاد شود . اکنون که پالیسی ایجاد شد به منظور ایجاد یک اسکن جدید از بالا به بخش Scans بروید و از سمت چپ بر روی New Scan کلیک نمایید .
در بخش ایجاد اسکن , نام اسکن , توضیح دلخواه , پالیسی ایجاد شده را انتخاب کنید . همچنین بایستی رنج آدرس آیپی شبکه خود را وارد کنید و آن را علامت دش – از هم جدا کنید . برای مثال من ۱۹۲٫۱۶۸٫۱٫۲-۱۹۲٫۱۶۸٫۱٫۱۰ را وارد کرده ام . این آدرس بنا به شبکه ای که در آن کار می کنید متفاوت است . می توانید تنظیمات دیگر اسکن که در برگه های Schedule Settings و Email Settings هست را به حالت پیش فرض رها کرده و بر روی دکمه Launch کلیک کنید تا اسکن آغاز گردد .
اسکن بنا به منابع شبکه زمان بر خواهد بود .
بر روی نام اسکن کلیک کنید تا جزییات اسکن در حال انجام را مشاهده نمایید .
پس از پایان اسکن بر روی سیستم مورد نظر کلیک کنید تا جزییات آسیبهای مشاهده شده در شبکه نمایان شود . ملاحظه می کنید که به صورت یک نمودار آسیب ها و دیگر اطلاعات با رنگهای مختلف نمایش داده شده است . برای مثال رنگ قرمز نشانه موارد حیاتی و آسیب های جدی است . به منظور دانلود و ذخیره اسکن بر روی گزینه دانلود کلیک نمایید.
نکته: رنگ قرمز بدان معناست که می توان از سیستم Shell گرفت. (یعنی به خط فرمان سیستم که در ویندوز CMD و در لینوکس Terminal است، دسترسی پیدا کرد)
از ابزارهای Attack میتوان از MetaSploit و core Impact نام برد که با استفاده از آسیب پذیری های کشف شده توسط Nessus، می توان با استفاده از Exploit های این نرم افزار ها به این آسیب پذیری ها Attack نمود.
MetaSploit تنها framework رایگان Exploit می باشد.
NOC: Network Operation Center مرکزی است که در یک شبکه با هدف: اطمینان از روشن بودن ، فعال بودن و سرویس دهی منابع و سرویس های اطلاعاتی بر اساس SLA های موجود سازمان (Service Level Agreement یا تفاهم نامه سطح خدمات از قبیل: کیفیت، زمان های برقراری خدمات، سطح پایداری، درجه اطمینان سرویس، زمان های مجاز وقفه در ارایه خدمت و سایر نکات مرتبط) راه اندازی می گردد. از تکنولوژی های مورد استفاده در این زمینه می توان از: SCOM و SCCM و SCSM مایکروسافت در کنار هم نام برد.
SOC: Security Operation Center مرکزی است که در یک شبکه با هدف: حفاظت ، شناسایی ، عکس العمل نشان دادن و بازیابی سرویس ها و منابع اطلاعاتی بر اساس زمان پاسخ موجود در SLA ها راه اندازی می گردد.
ساختار SOC ها و NOC ها تا حدود زیادی شبیه به هم است ، هر دو دارای Call Center ، سیستم های مانیتورینگ و تیم incident response هستند. هم در SOC ها و هم در NOC ها شما فرآیند و ها و رخدادها را مانیتور می کنید و در صورت بروز مشکلات در برابر آنها عکس العمل نشان می دهید. یک نکته بسیار مهم که وجه تمایز SOC و NOC می باشد این است که برای اینکه شما بتوانید یک کارشناس NOC داشته باشید تخصصی در حوزه شبکه کفایت می کند اما در صورتیکه بخواهید به عنوان کارشناس SOC فعالیت کنید باید مهندس یا کارشناس امنیت اطلاعات باشید و دانش امنیتی لازمه یک SOC Specialist است. ابزارها و تکنیک هایی که برای آنالیز در SOC ها و NOC ها هم استفاده می شود متفاوت است و از خروجی هر کدام از این ابزارها بر حسب نوع ساختار خروجی متفاوتی بیرون می آید. برای مثال ممکن است یک NOC Analyst یک رویداد یا Event در شبکه را به عنوان یک مشکل سخت افزاری تشخیص دهد اما همان رویداد برای یک SOC Analyst به عنوان تلاش برای خرابکاری در سیستم های سخت افزاری تعبیر شود. در مثالی دیگر فرض کنید پهنای باند مصرفی سازمان برای یک کارشناس NOC به عنوان یک ابزار است که بایستی دسترسی پذیری بالایی داشته باشد ، برای یک NOC Analyst مشکلات در این ساختار صرفا باید برطرف شوند اما برای یک SOC Analyst باید صورت مسئله حل شود که چه چیزی باعث بروز اختلال شده است ؟ کی اختلال ایجاد شده است و نوع ترافیک و منبع آن از کجا بوده است ؟ این نزدیکی زیاد و شباهت کاری SOC و NOC باعث شده است که سازمان های امروزی پروژه های SOC خود را با NOC آمیخته کنند تا سرعت و هزینه ها را تا جای ممکن کاهش دهند ، در واقع یک SOC شامل یک NOC نیز می تواند باشد. معمولا یک سازمان سعی می کند هزینه های خود را تا حد ممکن کاهش دهد بنابراین سعی در ایجاد یک تیم واحد برای فرآیند های SOC و NOC می کند.
