Newsgroup: it.comp.sicurezza.varie
Titolo: Penetration Test

Salve a tutti,
pensavo di avere un server con un buon gradodi sicurezza, finchè ho 
letto di Exchange 5.5 SPx che abilita il relay con quella cavolo di 
opzione "reroute"!!
A questo punto vi chiedo, esiste un buon doc pratico su come effettuare 
un penetration test su Windows2000,IIS ed Exchange??
Grazie a tutti!
bye

 effettuare un penetration test su Windows2000,IIS ed Exchange??
pen-test non e' una ricetta. Non si impara con un buon doc pratico.
Se proprio vuoi fare un test di vulnerabilita', puoi provare con
nessus e con tools simili, non mi chiedere come si fa perche' c'e' una
quintalata di documentazione su internet.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

Prendila dall'altro lato e scaricati le checklist dal sito di M$oft per W2k,
IIS ed Exchange...
Diciamo che si "impara" di più... :)
Ruben


 c'e' una quintalata di documentazione su internet.
Anche qui ci sarebbe da parlare, un "semplice" test con nessus
potrebbe anche dare un risultato del tipo "tutto ok" e fornire un falso
senso di sicurezza ... solo perchè (ad esempio) non sono state
verificate alcune vulnerabilità... nessus va bene come "test sui
generis" ma in ogni caso andrebbe "accoppiato" ad altri strumenti
ed ad un decente IDS (Snort ad esempio) in modo da avere una
analisi complessiva della "situazione"
In ogni caso, come regola generale, cerca di evitare l'uso di OWA
e se possibile non pubblicare direttamente exchange ma utilizza un
qualche tipo di SMTP "proxy" tipo ad esempio 
assp.sourceforge.net
tieni presente che la maggior parte degli "strumenti" forniti da exchange
sono pensati per un'utilizzo LAN o VPN, ossia su connessione protetta
(SSL e simile) e *non* per un'uso più o meno pubblico
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

Si dovrebbe prima studiare la procedura per un serio assessment, poi
studiare come fare tutti i pen test che si vogliono.
Spesso questo manca, allora il fighetto di turno lancia il solito nessus,
ISS o quello che ha e dice "c'è questo bug in questo sw" (grazie al piffero,
l'hai letto nel report!!! :) e poi però non sa fornire una seria consulenza
in modo globale al cliente.
Questo fa sminuire il lavoro dei professionisti o comunque di chi fa questo
seriamente.
Il cliente che subisce un danno nonostante il pen test fatto "dall'hacker"
di turno, si chiede che senso abbia pagare certe cose e la categoria ne
risente.
Imho.
Ruben

 wrote in message
news:bd6b6a$v1u$1...@newsreader.mailgate.org...


 Tu i pentest li fai completamente manuali?
conosco persone che non solo fanno pentest solo manuali, ma che 
addirittura per alcuni di questi scrivono appositamente del codice di 
test. il prezzo in euri di solito ha 5 zeri. e sai di chi parlo quindi.
un mayhem accaldato nel sottoscala
-- 
  Diplomazia: dire bravo cagnetto fino a che non trovi il bastone.
  Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
  SPP  wpage: 
http://www.spippolatori.com
  Key on 
pgp.mit.edu
 ID C7393613

 Quanti sono in grado di fare una cosa del genere? :-p
ne conosco non meno di 10 di cui 3 erano ubriachi come me sabato sera.
un mayhem che deve fare pipi'


> esiste un buon doc pratico su come effettuare un penetration test
Certo ... intanto .. inizia a procurarti ... vaselina,
guanti chirurgici, una camicia di forza ed un
bavaglio ... poi sicuramente qualcuno su questo
gruppo ti spiegherà meglio...
:-)

 me sabato sera.
Beh ... tutto dipende da cosa
intendi con "penetration test"
in ogni caso ... penso che il
fatto di essere "fuori" sia una
delle caratteristiche comuni
di chiunque faccia un certo
tipo di (rottura di ba...) lavoro
con clienti (rompicog...) bravi
e simpatici ed amministratori
di rete che sono (dei completi
idioti) competenti e molto (stro**)
disponibili :-)

 wrote in message
news:bd9i2p$qpqeq$1...@ID-127011.news.dfncis.de...


 wrote in message
news:bd9jhm$qj8s3$1...@ID-180886.news.dfncis.de...


 casa col modem a 33.6!!!!
era un 2504, che ho tuttora. ha fatto da router isdn nella casa in cui 
ho abitato dopo quella con il 33.6 e prima della attuale dove sta per 
arrivare una adsl.
pensa che quel router e suo fratello, se riesco a trovare un cavo 
back2back e 16 MB di ram per 2500 regalati o donati da amici verranno 
entrambi resi accessibili a chiunque per giocare un po'.
un mayhem che lancia il sasso anche qui ....


 wrote in message
news:bd9ldc$g0sh1$1...@ID-127011.news.dfncis.de...


 sono rimasto shokkato dai "profilattici" per il cunilinguus....
Uh ... beh se prendi quelli alla fragola o alla liquerizia
non sono neanche male ... ok "pina", salutami Ugo !!!

 wrote in message
news:bd9m91$qrt6v$1...@ID-180886.news.dfncis.de...


 magari quando divento ricco, ti faccio sto dono....
ne avevo fatto una, ma la banca d'italia ha detto che sono troppo esoso.
un mayhem perche' essere modesti quando si sa di essere i migliori (snoopy)


 obi, mi è morta  mariangela, c'è un posto libero.....ti va???
Naah ... ho da fare ... (vedi sotto) e poi scusa ... Filini non si presta
?!?


 wrote in message
news:bd9na9$qufrk$2...@ID-127011.news.dfncis.de...


> ...una pina che ha un pino...
Uhm ... scusa l'indiscrezione, ma
dov'è che ce l'hai 'stò Pino ? E...
ti dà fastidio quando cammini ?!?

 I miei complimenti.
Non intendo questo, intendo quello che ho scritto nel msq originale,
"Si dovrebbe prima studiare la procedura per un serio assessment, poi
studiare come fare tutti i pen test che si vogliono.....c'è questo bug in
questo sw" (grazie al piffero,
l'hai letto nel report!!! :) e poi però non sa fornire una seria consulenza
in modo globale al cliente."
ovvero che un pen test non è lanciare Nessus o simili. E' una procedura, va
dall'assessment allo studio per l'hardening fino all'hardening stesso.
Perchè fatto l'hardening il pen test fa svolto nuovamente.
E ti ricordo che la sicurezza è data dall'incrocio delle linee di massima
sicurezza con massima usabilità del sistema (
www.iss.net
).
"Il sistema più sicuro è quello spento", ma non utilizzabile :)
Il sistema che ti fa mettere 120 pwd (che non sono un sistema di sicurezza)
non è un sistema usabile, anche se acceso.
Ci sono dei compromessi che prevedono uno stusdio a priori di pura teoria e
che il lamerone che lancia nessus o iss al volo molto probabilmente
non sa.
Con il social engineering puoi ottenere dei dati che ISS non ti dà. Fatto
questo puoi entrare in una rete passando per la porta come tutti senza
nessus o iss
perchè le credenziali te lo permettono. E questo, se lanci solo iss o nessus
non te ne rendi conto, ma fa sempre parte di un pen test, perchè pen test è
un "test di penetrazione", il che non significa che per penetrare devi per
farza usare un exploit di qualche sw che sta girando da qualche parte.
Poi sono filosofie...
Ruben

 dava per certe, ma non era vero dopo i test....
Beh, questo per default! :))
Ruben

 fino all'hardening stesso.
Senza dimenticare di creare una "policy" per la sicurezza, altrimenti
fatto l'hardening e completate le verifiche, arriva il solito tizio con un
portatile, si connette alla LAN e poi attiva una bella connessione ad
internet via modem senza uno straccio di firewall/av .. a quel punto
tutto il lavoro fatto va a farsi benedire ... heh, spesso ci si dimentica
che "mettere in sicurezza" una LAN significa mettere in sicurezza
l'intero "perimetro" ed installare tutto il necessario in modo da avere
in ogni momento il controllo della situazione, altrimenti si finisce come
quel tipo che installa il portone blindato e poi lascia tutte le finestre
del piano terra spalancate ... senza uno straccio di antifurto ...

 wrote in message
news:bd9qmu$r0cs2$1...@ID-180886.news.dfncis.de...


> Obi, nelle mutande!!!!
Si vabbč ... ma davanti o dietro :-) ??

 wrote in message
news:bdbm73$hso$1...@newsreader.mailgate.org...


 del piano terra spalancate ... senza uno straccio di antifurto ...
Infatti. E fare consulenza globale significa spiegare anche questo al
cliente
e a chi ti chiede info sulla sicurezza.
Purtroppo la "Security" non è un prodotto ma un concetto o, ancor meglio per
chi è del mestiere,
una filosofia. Purtroppo tanti cercano il prodotto da comprare (e glielo si
spiega...) e tanti da vendere (ed andrebbero
torturati :)).
Ciao!
Ruben

 alla conoscenza soggettiva di chi fa il pen-test.
Occhio che non chiedevo io la lista dei tool, era quello al quale ho
risposto! :)))
Ciao!
Ruben

 spiega...) e tanti da vendere (ed andrebbero torturati :)).
Solo torturati ?!?


> Quello che volevo dire con "prendila dall'altro lato etc"
Scusa ... ma prima si parla di "penetration test" poi
prosegui con "prendilo dall'altro lato" ... ekkekkaxx
stiamo parlando di informatica o di films porno :-) ?!?

 stiamo parlando di informatica o di films porno :-) ?!?
Si, beh, in effetti stiamo scivolando come tenore di discussione :)))
Ruben

 sull'attivita' svolta dall'altro.
Ok, ma non mi è chiaro chi pensi sia meglio che controlli il lavoro...
Discutiamone, ne uscirà qualcosa di buono :)
Ruben

 Spero di essermi capito meglio :-)
Io sicuramente l'ho fatto... :)))

 Sempre a scanso di equivoci ;-)
Si, condivido pienamente.
Ruben

 la tua pina pinomunito
Ciao pina... e se ti va passa ai links sotto a trovarmi c'è un
bel mucchio di bella gente ... e pochi (pochissimi) trolls :-)


 un altro per vedere se sei stato bravo"...
veramente io mi trovo spesso sia nella veste di tester che di testato e 
secondo me e' il meccanismo perfetto ai fini del servizio al cliente.
io sono umano e posso sbagliare. gli altri anche. che il cliente voglia 
essere sicuro della sua rete mi sembra piu' che lecito e non vedo 
perche' mi dovrei offendere se testano il mio lavoro. sono certo di 
averlo fatto al meglio. quindi sempre tranquillo. e se ho dimenticato 
qlcs ... sono umano pure io. infatti se trovo problemi nelle altrui 
installazioni cerco sempre di chiarire che chi ha fatto il lavoro non e' 
da linciare. esclusi alcuni rari casi. [1]
un mayhem che vuole rapportinare 1 pieno di benzina ed 1 treno di gomme 
ad un cliente raggiunto alla velocita' della luce.
[1] a quello che aveva preso una classe C intera pubblica, subnettata da 
manuale, tra seriali dei router e varie lan interne di tutte le filiali 
di una azienda. dal win9x dell'amministratore delegato al printer port 
dell'ultima filiale.


 da linciare. esclusi alcuni rari casi. [1]
Questo lo pensao anch'io, senza dubbio hai ragione.
Ma pensa ad un cliente che ti dice:
Tu farai l'hardening e LORO faranno il test sul TUO HARDENING.
Siamo sicuri che loro non si facciano (o si facciano, perchè no) scrupoli
a tirare fuori cose non vere o vere in parte o enfatizzino delle cavolate?
Poi che figura fate a vicenda davanti al cliente?
Non so ma non mi piace... due persone si, ma due aziende un po' meno...

 a tirare fuori cose non vere o vere in parte o enfatizzino delle cavolate?
ripeto. e' quel che mi succede spesso. in quanto ad enfatizzare 
cavolate, io non parlo, scrivo e porto documentazione. ed a parole sono 
spesso piu' bravo dei loro commerciali. a volte perche' so di cosa parlo 
:) (purtroppo  volte anche rispetto ai tecnici).
mi e' capitato solo un paio di volte di trovare qualcuno che ci 
provasse. non ha avuto molto successo. ma forse sono stato solo 
fortunato fino ad oggi.
un mayhem soddisfatti o rimborsati.


 dell'ultima filiale.
Certe volte ho l'impressione di conoscerti...
Bye, G.