Etisk hackning
Ethical hacking och penetrationstest (pentest)
Att utföra en etisk hackning, pentest
Att gå in genom ytterdörren
Fysisk intrång är en attackfas som består av att en angripare, som på olika sätt, bryter sig in i företagslokaler. Målet med denna fas, är att få initial åtkomst till målet, särskilt om andra försök har misslyckats (phishing, nätfiske, IT-attacker), eller för att målet bara kan uppnås fysiskt, eller när det verkar få några svårigheter att uppnå det.
Fysiskt intrång är ofta försummad när det gäller IT-säkerhet, det erbjuder angripare att på ett effektivt sätt direkt komma åt ett företags IT-utrustning och att använda deras nätverksåtkomst för att utföra olika interna attacker.
Angriparen att ha direktåtkomst till alla internt tillgängliga resurser genom att kringgå alla omkretssäkerhetsåtgärder som finns (försvarslinjen mellan internet och företagets interna nätverk) bestående av nätverksbrandväggar, applikationsbrandväggar samt annan utrustning och konfigurationer som används för att förhindra att en angripare passerar gränsen.
Detta möjliggör att angripare får tillgång till användarnas fasta arbetsstationer, som i allmänhet har en lägre skyddsnivå än mobila arbetsstationer eftersom de anses vara mindre utsatta. Dessutom kan fysisk åtkomst till företagets servrar tillåta att angriparen tekniskt stänger av IT-säkerheten genom att sabotera hårdvaran.
Etisk hackning: Förberedelser för fysiska intrång
Hur går ni tillväga?
Ett målinriktat fysiskt intrång, som praktiserats av våra experter, innebär först en förberedelsefas. Denna fas är viktig, eftersom den maximerar chanserna att lyckas med uppdraget. Den består huvudsakligen av förverkligandet av scouting och insamling av information för att upptäcka ett maximalt antal inmatningsvektorer, detta möjliggör att justera inför de scenarier som kommer att förekomma. Internet är den viktigaste informationskällan vid detta skede.
Vi urskiljer tre huvudtyper av källor
OSINT (Open-Source Intelligence): Detta är all data som är fritt tillgänglig. Till exempel kan vi ange företagets institutionella webbplats, offentliga anbud – särskilt för bygg- eller säkerhetsprojekt – pressmeddelanden eller listan över företagets leverantörer.
SOCMINT (Social Media Intelligence): Detta är all data som finns tillgänglig på sociala nätverk. Användbar information som förekommer i företagets officiella konton och i de offentliga publikationerna av anställda (semesterdagar, foton av lokalerna under efterarbeten, foton av passeringskortet som erhölls första arbetsdagen, etc.).
GEOINT (Geographic Intelligence): Detta är den geografiska information som exponeras av webbplatser som OpenStreetMap, Google Maps, Geoportail etc. Dessa webbplatser tillåter hämtning av många vyer av målet, både flyg- och gatubilder, ibland även inuti lokaler. Detta tillvägagångssätt kompletteras vanligtvis med en eller flera fysiska undersökningar, direkt på plats och i närheten.
Vilken information letar vi efter?
Bland den insamlade informationen är följande:
- Lokalernas och omgivningens geografiska layout: Delas lokalerna med andra företag? Finns det tillgång till planlösningarna för lokalerna? Är lokalerna på en avlägsen plats? I ett affärsdistrikt? Hur många ingångar har byggnaden? Finns det en parkeringsplats, ett leveransområde, en företagsrestaurang?
- Säkerhetsåtgärder på plats: Finns det reception eller säkerhetspersonal? En grind? En individuell märkesläsare? Kameror? Ett exakt protokoll för besökare?
- Tjänsteleverantörer: Vilka tjänsteleverantörer har regelbunden tillgång till lokalerna (underhåll, distributörer, catering etc.)? Vad är deras timmar?
- Nätverk: Finns det nätverksuttag tillgängliga utanför lokalen? Är Wi-Fi tillgängligt från det omgivande området? Är det korrekt konfigurerat?
All denna information aggregeras sedan och används för att ställa in ett eller flera intrångsscenarier.
Förverkligandet av det fysiska intrånget
Fysiska intrångsmetoder kan indelas i tre kategorier. Dessa kategorier kompletterar varandra och måste kombineras för att maximera chansen att lyckas med ett uppdrag.
Den första kategorin gäller social hacking (eller social engineering) och är därför baserad på den mänskliga faktorn. Detta är den mest komplexa aspekten för ett företag att bemästra och är därför ofta det mest effektiva sättet att göra intrång in i de riktade lokalerna. Social hacking består i att lura företagets personalens vaksamhet för att inte väcka misstankar, eller till och med i bästa fall få hjälp från anställda. Till exempel, vissa framgångsrika scenarier innebär att man poserar som en IT-tjänsteleverantör som behöver tillgång till serverrummet för att kunna utföra en uppdatering.
Den andra kategorin, känd som fysisk hacking, består i att kringgå fysiska skyddsåtgärder. För detta finns det många tekniker för att dyrka upp lås för att öppna låsta dörrar eller skåp. Metoder för att inaktivera larm eller öppna nödutgångar utifrån används också. Den enklaste (men mest beprövade) tekniken är emellertid tailgating: angriparen utnyttjar en öppen dörr (eller en dörr som hålls upp som en artighet) av en anställd som har tillgång, särskilt när en anställd återvänder från en rast. Detta är särskilt effektivt, där det finns extra ingångar, där endast en person kan logga in och öppna dörren för en grupp kollegor.
Den sista kategorin är digital hacking. En av de viktigaste attackerna i detta område är att skapa en kopia av en anställds passeringskort. Beroende på vilken teknik som används kan det vara mycket prisvärt att klona ett kontaktlöst åtkomstkort (RFID) under en rimlig tid, med hjälp av en särskild utrustning som är gömd i en datorpåse, till exempel. Allt du behöver göra är att gå förbi målet (i en korridor eller ett tunnelbanetåg, i receptionen eller företagets utgång) för att få kortets data och sedan skapa giltig åtkomst till lokalerna.
Denna kategori inkluderar också alla logiska intrångstekniker som används efter en framgångsrik fysisk intrång. På nätverksnivå är det möjligt att placera ett implantat som ger fjärråtkomst till målets interna nätverk. Detta implantat kan, om det behövs, kringgå mekanismen för nätverksåtkomst (802.1x) tack vare det speciella Fenrir -projektet. På arbetsstationer och servrar kommer målet att vara att installera bakdörrar, tack vare olika sårbarheter vars utnyttjande möjliggörs tack vare den fysiska åtkomsten till maskinen:
• Olåsta och obevakade stationer.
• Ingen hårddiskkryptering.
• Brist på BIOS -skydd [1].
• DMA [2] attack.
• PXE -konfiguration som standard [3].
• Keyloggers för hårdvara, varav några överför fångade tangenttryckningar via Wi-Fi eller 4G etc.
Etisk hackning: Allt om fysiska intrång
Fysiskt intrång av experter hos Orange Cyberdefense
Fysiska intrångsrevisioner kan utföras som en separat pentest, pentetrationstest. Men de ingår vanligtvis i Red Teams tekniska granskningar som är ett effektivt sätt att få tillgång till ett företags IT-säkerhet och data.
Under en Red Team-operation angrips företaget av våra experter, som försöker bryta sig in med hjälp av realistiska tekniker som används av IT-brottslingar, under en period som kan sträcka sig från en till flera månader. En mängd vektorer används, till exempel utnyttjande av exponerade tjänster på internet, spear-phishing [4], telefonsamtal för att extrahera information från anställda eller fysisk intrång i lokalerna.
Det exakta datumet för intrånget kommuniceras i allmänhet inte till klientens team, för att upprätthålla överraskningseffekten och för att bäst utvärdera säkerhetsteam, kvaliteten på de processer som införts och deras efterlevnad under verkliga förhållanden. Målen fastställs i överenskommelse med klienten och varierar beroende på hans behov.
Vissa är ganska generiska, till exempel en enkel droppe av vårt nätverksimplantat eller USB som innehåller en viral belastning i lokalerna. Andra förfrågningar kan vara mer specifika som att attackera ett specifikt begränsat område som ett arkivrum eller ett datacenter, stjäla pappersdokument, återställa matematiska algoritmer etc.
Fysisk intrång: Exempel på utförda uppdrag
Här är några exempel på intrång som vi har utfört för våra kunders räkning.
Exempel 1: Inträngning underlättas av bristande omkretsstyrning.
Målet var att äventyra företagets IT-säkerhet som en del av ett Red Team-uppdrag. Efter detekteringsfasen försökte ett första intrång genom företagets parkeringsplats. Väl på plats, kunde auditören komma åt företagets datacenter via en olåst dörr som är tillgänglig direkt från parkeringen. Därifrån kunde han stanna tillräckligt länge för att äventyra hela IT-säkerheten, införa en bakdörr och lämna lokalerna oupptäckta.
Exempel 2: Inträngning underlättas av svag åtkomstkontroll och bristande personalbevakning. Efter en kort väntan vid företagets huvudingång kunde en auditör komma in i lokalen genom att följa en anställd (tailgating). Eftersom personalen i receptionen inte reagerade, trots avsaknaden av ett synligt passerkort kunde auditören röra sig fritt runt om i lokalerna, ta några bilder, placera och dölja ett nätverksimplantat vid en skrivare. Auditören kunde sedan lämna lokalen genom att använda samma metod. Trots dessa fysiska säkerhetsbrister upptäckte företagets IT-säkerhetsteam (kallat det blå laget) en attack från implantatet på nätverket några dagar senare. Utan deras vaksamhet hade detta korta intrång varit tillräckligt för att äventyra hela IT-säkerheten.
Exempel 3: Ett lyckad intrång genom att skapa en kopia av ett passerkort.
Efter att ha fått tillgång till receptionen i ett av målföretagets byggnader, utanför kamerornas filmfält och tack vare uppströms scouting, avlyssnade auditören några anställda med RFID -åtkomstmärken till företaget. Han presenterade sig som en tjänsteleverantör som var tvungen att utföra en verifiering av kortdateringar, korten som han därmed kunde kompromissa tack vare dedikerad utrustning.
Tack vare kartläggningen av information på sociala nätverk, kan dessutom det visuella kortet identiskt återges, vilket gör att våra team kan ha funktionella och realistiska kopior av passerkorten till lokalerna. Dessa kunde användas för att komma in i lokalerna, utan att väcka minsta misstanke och de begärda konfidentiella dokumenten återfanns. Väl på plats, komprometterade auditören även flera användarstationer med hjälp av attacken BadUSB [5]. Denna attack tillåter, med hjälp av en dedikerad USB-nyckel, att simulera ett tangentbord och att “skriva” med mycket hög hastighet en serie förprogrammerade kommandon.
Slutsats:
Som vi har sett, är möjligheten till ett fysiskt intrång baserat på fysiskt skydd, övervakning, förfaranden och deras korrekta respekt, men även medarbetarnas och leverantörernas medvetenhet.
För att undvika sådana fallgropar rekommenderas att ni ställer er själva följande frågor:
- Tror ni att en skadlig person kan komma in i dina lokaler utan godkännande?
- Vilka affärssystem och applikationer kan personen komma åt?
- Vilka hemligheter kunde personen samla ihop?
- Vilken påverkan kommer ert företag att få?
Orange Cyberdefense-experter kan hjälpa er att svara på dessa frågor och ge er råd om hur ni skyddar era lokaler. Tveka inte att kontakta våra experter!