PROVA DE QUE CONFIAR EM MÁQUINAS VIRTUAIS PARA PENTEST É SUICÍDIO PARA O PENTESTER PROFISSIONAL!
Senhores, boa noite, em plena madrugada vou escrever explicando e provando pela experiência que pentest se deve fazer de
computadores de fora da rede totalmente.
Muitos hackerS e professores, erroneamente ensinam que para saber se seu
computador
está protegido, você deve instalar uma máquina virtual, instalar um
sistema operacional e instalar neste ferramentas hackers para fazer o
pentest, ou então instalar uma distribuição de pentest como o backtrack
que eu inclusive sou fan e só uso ele. Basta testar com máquina virtual e
está tudo perfeito. Será?
Bem, vamos comparar a experiência que fiz e tive e tirem suas conclusões:
Pentest usando máquina virtual com backtrack 4 instalado.
Ferramentas hackers usadas:
Nessus
Nmap
Nbtscan
SMtpscan
DNSscan
Super Scan
entre outros!
Foi desativado o serviço de netbios, icmp, bloqueando com o comodo
firewall que é o melhor firewall do mundo na minha opnião para home
users todas as conexoes de entrada.
Instalado IDS valhala honey pot e SAX2 (excelente honeypot paga). Entre outras configurações de segunrança para o
windows 7 temos a seguir:
O resultado é que mesmo, com todo este arsenal, o IDS identificou o scanning dos scanners
Os scanners conseguiram se conectar as portas, mesmo estando ativado no
firewall para bloquear todas e quais conexões de entrada. No meu caso
apareceu aberta a porta 135 do serviço rpc e outras também com serviço
rpc. identificado o sistema operacional windows pelos scanners.
Agora, usando um outro computador, mas que está na mesma rede, usando um roteador, O RESULTADO, FOI O MESMO!
Agora, olha que fantástico!
Conectando meu computador alvo em meu modem.
E o computador para fazer o pentest em uma rede wireless. A máquina de ataque está em uma rede diferene aqui amigos!
TEMOS UMA ATAQUE REAL AQUI. NÃO É REDE VIRTUALIZADA E NÃO ESTÁ NA MESMA REDE.
Sabem qual foi o resultado?
Não consegue scannear com nmap, nem com nessus, nem com nada!
Não consegue se conectar absolutamente a nenhuma porta.
Não consegue saber qual sistema operacional está funcionando!
O IDS nem identificou nada, por que não houve
conexão!
O computador atacado estava com as mesmas configurações de antes. E nada
do ataque funcionar! Veja os procedimentos que usei para defender meu
sistema!
O firewall comodo, bloqueando todas as conexões de entrada além de outras regras mais rígidas.
Serviçoes de acesso remoto foram desativados.
Serviços de netbios desativados. Compartilhamento de arquivos desativado.
Em fim, nada de identificação.
Os scanners apenas conseguem saber se estou online, só isso, mas nada!
Desativando as defesasFazendo o ataque com o computador vulnerável para testar a efetividades de ferramentas sendo usadas sozinhas como o IDS.
Desativei o firewall, e ativei os serviços de net bios e todos os outros de acesso remoto e deixei só o IDS SAX2 e o valhala.
Consegui então scannear as portas 135 e outras de serviço rpc.
O VALHANA HONEYPOT, NÃO CONSEGUIU IDENTIFICAR O ATAQUE.
O SAX2 HONEYPOT CONSEGUIU! Parabéns!
A conclusão que podemos tirar disso tudo é que, o valhala, identifica
ataques de máquinas virtuais, mas de outro computador, se você for
atacado com stealth scan, ele não pega, e você naõ saberá que está sendo
invadido.
Muitas pessoas ficam iludidas com a eficiência do valhala por que TESTAM
COM MÁQUINA VIRTUAL PARA SABER SE ELE FUNCIONA. Mas na vida real é
diferente, a pergunta que devemos fazer é. será que em um ataque real de
outra rede, meu ids vão funcionar? Meu firewall vai bloquear?
O SAX2 está de parabéns conseguiu identificar, mas quando eu coloquei o
firewall para bloquear todas as conexões de saída, ele nem identificou
por que o nmap e nessus não conseguem scannear nenhuma porta!
Com este relato inédito talvez, vocês aprendizes e até experientes,
sabem que para ver realmente se tudo está protegendo, e se o seu pc ou
rede está funcionando, É NECESSÁRIO FAZER O PENTEST DE UMA REDE
TOTALMENTE DIFERENTE DA SUA, DE OUTRO COMPUTADOR!
Por que é necessário simular um ataque real para testar sua segurança!
Muitos vídeos no you tube os ataques são à máquinas virtuais, mas na realidade, sem ser com máquinas virtuais não funcionam!
E as vezes um tipo de defesa de firewall funcionam na simulação de
máquinas virtuais, mas quando o ataque é feito de outra rede os
firewalls não funcionam! Ou o mesmo acontece para IDS, como aconteceu
com o valhala que não identificou o ataque onde as portas scannear
apareceram no scanner nmap e nessus, mas o valhala não identificou. E eu
testei com scan invisível, com agressivo que é facilmente
identificável. Mas nada do valhala funcionar!
OUTROS DETALHES ALARMANTES!
Configurei o
FIREWALL DO WINDOWS, DA SYMANTEC OU NORTON, E OUTROS
Programei eles para bloquear todas as conexões de entrada.
Fiz o mesmo ataque e:
O nmap e nessus identificou as portas!
COMO É QUE VOCÊ MEU AMIGO PAGA R$ 100 POR ANO POR UMA DROGA DESSA!
O comodo firewall que é grátis, só permitiu que o nmap e nessus
identificasse meu computador alvo como online, só isso, nada de nenhuma
porta, nada de nenhum serviço, nada de identificação de sistema
operacional algum. FANTÁSTICO SIMPLESMENTE É GRATUITO!
CONCLUSÃO
Se quer ser um hacker, e fazer pentest, compre e tenha dois computadores
e use redes totalmente isoladas umas das outras. NÃO USE MÁQUINAS
VIRTUAIS POR QUE O TESTE PODE SER ENGANOSO! Me agradeçam pois muitos
iniciantes pensam que máquinas virtuais simulam igualmente um ataque
real. TOTALMENTE ERRADO ISSO, E TEM GENTE ENSINANDO ISSO POR TODO O
LUGAR! EU JÁ CAI NESTE CONTO, MAS AGORA ANIQUILAR ESTA MIRAGEM QUE
ENGANA VÁRIOS PROFISSIONAIS DE SEGURANÇA!
Faça o pentest, para testar todos as ferramentas.
Eu scannei com o firewall ativado para testar o firewall.
Depois sem o firewall para saber o que acontecia, mas com o ids ligado
para ver se ele funciona mesmo, E o valhala, por exemplo não passou no
teste e eu não uso aquilo mais!
Scanneei de novo, sem nada ativo para saber que portas aparecem , para
saber se algum serviço que desativei, aparece no scan, POIS ASSIM
SABERIA QUE NÃO FUNCIONOU A DESATIVAÇÃO E ENTÃO RESOLVERIA O PROBLEMA.
Então, senhores, queREm ser um pentesters? TENHA DOIS PCS, E DUAS REDES
ISOLADAS ONDE VOCÊ USA CADA COMPUTADOR EM CADA UMA ISOLANDO-OS, PARA
ATACAR DE VERDADE E COM BRUTALIDADE. SÓ ASSIM, PODERÁ GARANTIR A
SEGURANÇA!
NÃO SIMULE NADA, ATAQUE DE VERDADE! MÁQUINAS VIRTUAIS E USAR A MESMA REDE MASCARAM O PENETRATION TEST!
Amigos hackers, é com enorme prazer que lhes passo esta informação pois compartilhar o bem com vocês é a minha missão.
