Penetrationstestfaser: fra rekognoscering til rapportering

En struktureret penetrationstest følger en fastlagt livscyklus, der sikrer en grundig dækning, minimerer risikoen for produktionssystemer og giver handlingsrettede resultater. Det mest udbredte framework stammer fra PTES (standarden for udførelse af penetrationstest) og er tilpasset NIST's tilgang. Faserne er: planlægning og fastlæggelse af omfang, rekognoscering, scanning, udnyttelse, efterfølgende udnyttelse og rapportering. Hver fase bygger videre på den foregående — du kan ikke udnytte noget, du ikke har opdaget, og du kan ikke rapportere noget, du ikke har dokumenteret. Hvis faser springes over eller gennemføres for hurtigt, bliver vurderingerne ufuldstændige, og resultaterne upålidelige.

Planlægningsfasen fastlægger det juridiske og operationelle grundlag for opgaven. Vigtige leverancer omfatter: en underskrevet Statement of Work (SOW), der definerer mål og priser; et dokument med Rules of Engagement (RoE), som angiver godkendte mål, tidsvinduer, forbudte teknikker, nødkontakter og krav til datahåndtering; samt en tydelig definition af succeskriterier (hvad der regnes for at have nået målet). Omfanget skal defineres præcist for at forhindre udvidelse af omfanget (utilsigtet test af systemer uden godkendelse) og sikre, at vurderingen dækker de mest kritiske aktiver. Alle kommunikationskanaler og procedurer for eskalering fastlægges, før noget teknisk arbejde begynder.

Passiv rekognoscering indsamler oplysninger om målet uden direkte interaktion med dets systemer — ved hjælp af offentlige kilder, der ikke genererer logs på målet. Kilderne omfatter: WHOIS-poster (domæneregistrering og kontaktoplysninger på registranten), DNS-poster, logs over certifikattransparens (som afslører underdomæner), LinkedIn (medarbejdernavne, jobtitler og anvendte teknologier), jobopslag (som afslører teknologistak og værktøjer), Shodan/Censys (internetvendte tjenester og åbne porte), GitHub-repositorier (kildekode og legitimationsoplysninger, der ved en fejl er blevet committet) samt Google-dorking (stedsspecifikke søgninger efter følsomme filer og eksponerede grænseflader).

Aktiv rekognoscering indebærer direkte interaktion med målsystemer for at indsamle oplysninger. Det genererer logs på målet og støjer i sagens natur mere end passiv rekognoscering. Teknikkerne omfatter portscanning (Nmap), tjenesteoptælling, forsøg på DNS-zoneoverførsel og bannerindsamling. Grænsen mellem rekognoscering og scanning er uklar — målet med rekognoscering er informationsindsamling, mens scanning typisk indebærer identifikation af sårbarheder. Aktiv rekognoscering kan dog udløse IDS/IPS-advarsler og blive opdaget af et sikkerhedsbevidst mål, så testere afvejer grundighed mod diskretion ud fra opgavens mål (test af detektion eller diskret kompromittering).

Scanningsfasen finder systematisk åbne porte, tjenester, softwareversioner og kendte sårbarheder på mål inden for omfanget. I denne fase bruges værktøjer som Nmap til tjenesteoptælling og Nessus/OpenVAS til sårbarhedsscanning. Penetrationstesteren gennemgår scannerens output manuelt og sammenholder resultaterne: En Apache-version, som Nmap identificerer, kan matche kendte exploits i CVE-databasen. Denne fase omfatter også manuel afprøvning af webapplikationer (med Burp Suite) og test af godkendelsesmekanismer. Outputtet er en prioriteret liste over mulige angrebsveje, der skal forfølges i udnyttelsesfasen.

Udnyttelsesfasen forsøger at udnytte identificerede sårbarheder til at opnå uautoriseret adgang, privilegieeskalering eller andre definerede mål. Udnyttelsen skal holdes strengt inden for omfanget og reglerne for opgaven. Teknikkerne omfatter udnyttelse af uopdaterede sårbarheder (med Metasploit eller manuelle exploits), legitimationsangreb (password spraying, standardlegitimationsoplysninger og brute force), angreb på webapplikationer (SQL-injektion og XSS-udnyttelse) samt social engineering, hvis det er godkendt. Alle handlinger skal dokumenteres med tidsstempler: hvad der blev gjort, hvornår det blev gjort, hvad resultatet var, og hvilket værktøj der blev brugt. Denne dokumentation udgør evidensgrundlaget for den endelige rapport.

Efterfølgende udnyttelse begynder, når den første adgang er opnået, og undersøger, hvor langt en angriber kunne udvide sin rækkevidde. Aktiviteterne omfatter: privilegieeskalering (opnåelse af administrator-/root-adgang fra begrænset brugeradgang), indsamling af legitimationsoplysninger (udtræk af hashes, billetter eller adgangskoder i klartekst), lateral bevægelse (adgang til andre systemer ved hjælp af indsamlede legitimationsoplysninger), dataopdagelse (identifikation af følsomme data, der er tilgængelige fra den kompromitterede position) samt etablering af vedvarende adgang (for at simulere en APT's langsigtede adgang). Målet er at vise den realistiske effekt af det første kompromis — ikke blot at ét system blev kompromitteret, men hvad angriberen i sidste ende kunne få adgang til.

Pivotering bruger en kompromitteret vært som relæ til at nå netværkssegmenter, der ellers er utilgængelige for penetrationstesteren (f.eks. et internt database-VLAN, som kun kan nås fra applikationsserveren). Metasploits kommando route add og SSH-tunneling (ssh -L til lokal videresendelse eller ssh -D til SOCKS-proxy) er almindelige pivotmekanismer. Pivotering viser, om netværkssegmentering reelt er effektiv — et velsegmenteret netværk bør forhindre en kompromitteret DMZ-server i at nå interne databaser, mens et fladt netværk tillader fri lateral bevægelse. Dokumenterede pivotstier i rapporten viser præcist, hvor segmenteringshullerne findes.

Når testen er afsluttet, skal penetrationstestere rydde op — de skal fjerne bagdøre, konti og værktøjer, som de har installeret. I modsætning til virkelige angribere er penetrationstestere forpligtet af reglerne for opgaven til at gendanne systemerne til deres tilstand før testen. Oprydningen omfatter: fjernelse af oprettede brugerkonti, sletning af placerede filer (payloads og værktøjer), fjernelse af mekanismer til vedvarende adgang (WMI-abonnementer, planlagte opgaver og registry run keys) samt bekræftelse med kunden af, at alle testartefakter er væk. Sikring af evidens foregår parallelt: Opbevar alle skærmbilleder, værktøjsoutput, logs og noter i et sikkert format til rapportskrivning og eventuel juridisk reference.

Rapporten er den vigtigste leverance, som begrunder opgaven og danner grundlag for udbedring. En velstruktureret rapport indeholder: et resumé til ledelsen (risikovurdering, forretningsmæssig påvirkning og de tre vigtigste resultater for ledelsen); et afsnit med tekniske resultater (hvert resultat med alvorlighedsgrad, beskrivelse, evidens, trin til genskabelse, forretningsmæssig påvirkning og specifik vejledning i udbedring); samt et appendiks med råt værktøjsoutput og detaljerede tidslinjer. Rapporter klassificeres som fortrolige — de indeholder tilstrækkelige detaljer til at gentage angrebet. Leveringen omfatter typisk et debriefingmøde, hvor penetrationstestteamet gennemgår resultaterne og besvarer kundens spørgsmål. God rapportering er det, der adskiller professionelle opgaver fra amatøragtige scannerudtræk.

Security+ tester ofte forskellen mellem passiv og aktiv rekognoscering. Passiv rekognoscering indebærer indsamling af oplysninger fra offentlige kilder uden direkte kontakt med målsystemer — der oprettes ingen logs på målet. Eksempler er læsning af WHOIS-poster, gennemgang af LinkedIn, forespørgsler i logs over certifikattransparens og kørsel af Shodan-søgninger. Aktiv rekognoscering indebærer direkte interaktion med målsystemer — portscanning, bannerindsamling og forsøg på DNS-zoneoverførsel. Aktiv rekognoscering genererer logs og kan udløse IDS-advarsler. I en virkelig opgave kommer passiv rekognoscering før aktiv rekognoscering, så der kan opbygges et kort, før der skabes kontakt med målnetværket, som kan registreres.

I denne lektion har du lært, at penetrationstest følger en struktureret livscyklus med planlægning, rekognoscering, scanning, udnyttelse, efterfølgende udnyttelse og rapportering, at passiv rekognoscering bruger offentlige OSINT-kilder uden at oprette logs på målet, mens aktiv rekognoscering interagerer direkte med systemer, og at den endelige rapport med sit resumé til ledelsen, tekniske resultater og specifikke vejledning i udbedring er den vigtigste leverance, der driver sikkerhedsforbedringer. Dernæst gennemgår vi CVSS-scorer og prioritering af udbedring af sårbarheder.