giovedì 16 dicembre 2010

Vulnerability Assessment

Si parla tanto e a sproposito di Penetration Test. Dal punto di vista della sicurezza IT, organizzata e non caciarona, condotta in modo "scientifico" e non occasionale, molto prima della "simulazione di attacco" (Penetration Test) vengono altre fasi, tutte molto importanti per arrivare ad una soluzione che "funzioni" quando serve.

Una di queste fasi (non certo la prima) si chiama Vulnerability Assessment (VA), ovvero scoprire e catalogare i punti deboli dell'infrastruttura IT sotto analisi (sia essa la rete, le applicazioni o altro). Spesso le operazioni di VA sulla rete e sulle applicazioni non sono facilmente scindibili, in quanto un'applicazione "in rete" si basa, appunto, sui meccanismi propri del funzionamento di una rete IP e dei suoi legami con Internet.

Per quanto riguarda un approccio metodologico, personalmente mi piace OSSTMM (ora disponibile la V.3). Per una linea guida circa i "tools" per VA soprattutto applicativo, consiglio "OWASP live CD" (vedi tutorial). Un'altra copiosa sorgente di "tools", più orientata a OS e Networking, è la distribuzione "BackTrack Linux" (più di 300 tools in totale).

Proprio da OWASP Live CD prendo una lista di "tools" tutti abbastanza interessanti (sul sito OWASP sono disponibili i link ai siti web originali di ogni tool):

1 OWASP WebScarab
2 OWASP WebGoat
3 OWASP CAL9000
4 OWASP JBroFuzz
5 Paros Proxy
6 nmap & Zenmap
7 Wireshark
8 tcpdump
9 Firefox 3
10 Burp Suite
11 Grenedel-Scan
12 OWASP DirBuster
13 OWASP SQLiX
14 OWASP WSFuzzer
15 Metasploit 3
16 w3af & GTK GUI for w3af
17 Netcats collection
18 OWASP Wapiti
19 Nikto
20 Fierce Domain Scaner
21 Maltego CE
22 Httprint
23 SQLBrute
24 Spike Proxy
25 Rat Proxy
26 Webshag

 
Un consiglio: non eseguite VA (né altre operazioni online) verso destinatari che non abbiano dato il loro assenso scritto per tali operazioni (e anche in questo caso, non si è del tutto incolpevoli...). Per esercitarsi è sufficiente una piccola LAN domestica, sconnessa da altre reti e da Internet.

Buona lettura.