Penetrationstestningens faser: från rekognosering till rapportering

Passiv rekognosering samlar information om målet utan att direkt interagera med dess system — genom offentliga källor som inte skapar loggar på målet. Källorna omfattar: WHOIS-poster (domänregistrering och kontaktuppgifter till registranten), DNS-poster, loggar för certifikattransparens (som avslöjar underdomäner), LinkedIn (anställdas namn, befattningar och använda tekniker), platsannonser (som avslöjar teknikstack och verktyg), Shodan/Censys (internetanslutna tjänster och öppna portar), GitHub-arkiv (källkod och autentiseringsuppgifter som råkat checkas in) samt Google dorking (platsspecifika sökningar efter känsliga filer och exponerade gränssnitt).

Aktiv rekognosering innebär direkt interaktion med målsystem för att samla information. Detta genererar loggar på målet och är av naturliga skäl mer störande än passiv rekognosering. Teknikerna omfattar portskanning (Nmap), tjänsteenumerering, försök till DNS-zonöverföring och bannerhämtning. Gränsen mellan rekognosering och skanning är otydlig — målet med rekognosering är informationsinsamling, medan skanning vanligtvis innebär identifiering av sårbarheter. Aktiv rekognosering kan dock utlösa IDS/IPS-larm och upptäckas av ett säkerhetsmedvetet mål, så testare balanserar noggrannhet mot diskretion utifrån uppdragets mål (testa detektering eller genomföra en obemärkt kompromettering).

Skanningsfasen identifierar systematiskt öppna portar, tjänster, programvaruversioner och kända sårbarheter på mål som ingår i omfattningen. I denna fas används verktyg som Nmap för tjänsteenumerering och Nessus/OpenVAS för sårbarhetsskanning. Penetrationstestaren granskar skannerresultaten manuellt och korrelerar fynden: en Apache-version som identifierats av Nmap kan motsvara kända exploateringar i CVE-databasen. Den här fasen omfattar även manuell sondering av webbapplikationer (med Burp Suite) och testning av autentiseringsmekanismer. Resultatet är en prioriterad lista över möjliga angreppsvägar att följa upp i exploateringsfasen.

Exploateringsfasen försöker utnyttja identifierade sårbarheter för att uppnå obehörig åtkomst, behörighetseskalering eller andra definierade mål. Exploateringen måste strikt hålla sig inom omfattningen och följa Rules of Engagement. Teknikerna omfattar exploatering av ouppdaterade sårbarheter (med Metasploit eller manuella exploateringar), autentiseringsattacker (lösenordsspridning, standardautentiseringsuppgifter och brute force), attacker mot webbapplikationer (SQL-injektion och exploatering av XSS) samt social engineering om detta har godkänts. Varje åtgärd måste dokumenteras med tidsstämplar: vad som gjordes, när det gjordes, vilket resultatet blev och vilket verktyg som användes. Denna dokumentation utgör bevisunderlaget för slutrapporten.

Efterexploatering börjar när den första åtkomsten har uppnåtts och undersöker hur långt en angripare skulle kunna utöka sin åtkomst. Aktiviteterna omfattar: behörighetseskalering (att få administratörs- eller root-behörighet från begränsad användaråtkomst), insamling av autentiseringsuppgifter (att extrahera hashvärden, biljetter eller klartextlösenord), lateral förflyttning (att komma åt andra system med hjälp av insamlade autentiseringsuppgifter), dataupptäckt (att identifiera känsliga data som är åtkomliga från den komprometterade positionen) samt upprättande av uthållighet (för att simulera långvarig APT-åtkomst). Målet är att visa den realistiska påverkan av den första komprometteringen — inte bara att ett system blev komprometterat, utan vad angriparen slutligen skulle kunna nå.

Pivotering använder en komprometterad värd som relä för att nå nätverkssegment som annars är otillgängliga för penetrationstestaren (t.ex. ett internt databas-VLAN som endast kan nås från applikationsservern). Metasploits kommando route add och SSH-tunnling (ssh -L för lokal vidarebefordran eller ssh -D för SOCKS-proxy) är vanliga pivotmekanismer. Pivotering visar om nätverkssegmenteringen verkligen är effektiv — ett välsegmenterat nätverk bör förhindra att en komprometterad DMZ-server når interna databaser, medan ett platt nätverk tillåter fri lateral förflyttning. Dokumenterade pivotvägar i rapporten visar exakt var luckor i segmenteringen finns.

När testningen är slutförd måste penetrationstestare städa upp genom att ta bort bakdörrar, konton och verktyg som de har installerat. Till skillnad från verkliga angripare är penetrationstestare enligt Rules of Engagement skyldiga att återställa systemen till deras tillstånd före testet. Åtgärderna omfattar: att ta bort skapade användarkonton, radera filer som placerats ut (payloads och verktyg), ta bort mekanismer för uthållighet (WMI-prenumerationer, schemalagda aktiviteter och registernycklar för autostart) samt bekräfta med kunden att alla testartefakter är borta. Bevarande av bevis sker parallellt: bevara alla skärmbilder, verktygsutdata, loggar och anteckningar i ett säkert format för rapportskrivning och eventuell juridisk användning.

Rapporten är den slutliga leveransen som motiverar uppdraget och driver åtgärdsarbetet. En välstrukturerad rapport innehåller: en sammanfattning för ledningen (riskbedömning, verksamhetspåverkan och de tre viktigaste fynden för ledningen); ett avsnitt med tekniska fynd (varje fynd med allvarlighetsgrad, beskrivning, bevis, steg för att återskapa problemet, verksamhetspåverkan och specifik vägledning för åtgärder); samt en bilaga med råa verktygsutdata och detaljerade tidslinjer. Rapporter klassificeras som konfidentiella — de innehåller tillräckligt med detaljer för att attacken ska kunna upprepas. Leveransen omfattar vanligtvis ett avrapporteringsmöte där penetrationstestteamet går igenom fynden och besvarar kundens frågor. God rapportering är det som skiljer professionella uppdrag från amatörmässiga skanningsutskrifter.

Security+ testar ofta skillnaden mellan passiv och aktiv rekognosering. Passiv rekognosering innebär att information samlas in från offentliga källor utan direkt kontakt med målsystemen — inga loggar skapas på målet. Exempel är att läsa WHOIS-poster, granska LinkedIn, söka i loggar för certifikattransparens och genomföra Shodan-sökningar. Aktiv rekognosering innebär direkt interaktion med målsystemen — portskanning, bannerhämtning och försök till DNS-zonöverföring. Aktiv rekognosering genererar loggar och kan utlösa IDS-larm. I ett verkligt uppdrag föregår passiv rekognosering den aktiva, så att en karta kan skapas innan någon detekterbar kontakt med målnätverket tas.

I den här lektionen lärde Ni Er att penetrationstestning följer en strukturerad livscykel med planering, rekognosering, skanning, exploatering, efterexploatering och rapportering, att passiv rekognosering använder offentliga OSINT-källor utan att skapa loggar på målet medan aktiv rekognosering interagerar direkt med systemen, samt att slutrapporten med sin sammanfattning för ledningen, sina tekniska fynd och sin specifika vägledning för åtgärder är den centrala leveransen som driver säkerhetsförbättringar. Härnäst utforskar vi CVSS-bedömning och hur åtgärder av sårbarheter ska prioriteras.