Tests de pénétration de bricolage pour protéger votre réseau

La plupart des professionnels de l'informatique ne peuvent passer au travers d'un jour donné en supposant que leurs réseaux sont protégés contre les pirates. Si vous en faites partie, alors vous êtes probablement convaincu que toutes les bases sont en place, de sorte qu'un sociopathe aléatoire ne peut pas simplement se connecter à votre réseau, piller vos informations critiques, peut-être même installer un malware, puis s'en aller. La question est: êtes-vous sûr?

Le seul moyen de vous assurer que votre réseau est vraiment protégé est de le tester. Vous devez vous assurer que vos systèmes d'exploitation (SE) sont à jour, que tous les correctifs d'application appropriés ont été appliqués et que vous ne disposez d'aucun point d'entrée facilement enfreint sur votre réseau. Cela s'ajoute à une bonne conception du réseau, qui permet uniquement aux utilisateurs d'accéder à ce à quoi ils sont censés avoir accès, et qui est correctement segmentée afin que les personnes qui franchissent votre périmètre ne puissent rien faire de mal.

En bref, vous devez vous faire pirater afin de savoir où se trouvent vos faiblesses, puis vous devez corriger ce que ces hackers (avec un espoir) ont trouvé. Les hackers à chapeau blanc sont ceux vers lesquels vous vous adressez lorsque vous souhaitez tester la qualité de la protection de votre réseau sans impliquer de véritables méchants ou des hackers à chapeau noir. Ce que font les hackers, c'est explorer les défenses de votre réseau comme ils le peuvent, en évaluant et en enregistrant votre sécurité en cours de route. Cela s'appelle des tests d'intrusion ou "pen test", et ce que beaucoup de professionnels de l'informatique ne réalisent pas, c'est qu'il n'est pas nécessaire d'embaucher immédiatement un professionnel coûteux pour le faire. Vous pouvez commencer les bases d’un test de pénétration vous-même.

Les tâches les plus prioritaires pour les professionnels de l'informatique et de la sécurité en 2018

(Crédit image: Statista)

"La chose la plus importante est vraiment l’évaluation de la vulnérabilité, l’évaluation des risques", a déclaré Georgia Weidman, auteur de Penetration Testing: Une introduction pratique au piratage . Weidman est également le fondateur et le Chief Technology Officer (CTO) de Shevirah, une société de sécurité spécialisée dans les tests d'intrusion. "Ceux-ci sont négligés. Les entreprises gaspillent beaucoup d'argent en tests de pénétration, lorsqu'elles ont des vulnérabilités élémentaires." Elle a déclaré que la première chose à faire pour une entreprise est de réaliser des tests de vulnérabilité de base, puis de corriger les vulnérabilités avant de passer aux tests d'intrusion. "Les tests d'intrusion ne devraient pas être votre première étape", a-t-elle déclaré.

Weidman a également suggéré de s’assurer que votre entreprise a franchi les premières étapes en matière de sensibilisation à la sécurité, y compris une formation sur le phishing et l’ingénierie sociale. Elle a souligné que le réseau le plus sécurisé peut toujours être pénétré si quelqu'un donne les informations d'identification lui permettant d'accéder. Ce sont toutes des choses qu'un bon testeur de pénétration vérifierait avant de commencer tout test réel.

"S'ils sont intéressés par la formation de leurs employés en matière de sécurité, configurez votre propre test de phishing", a déclaré Weidman. "Vous n'avez pas à payer quelqu'un pour faire ça, et c'est l'un des moyens les plus efficaces pour les gens d'entrer." Elle a également recommandé d’utiliser le phishing par le biais de la messagerie texte et des médias sociaux.

Testez vos mots de passe

Weidman a déclaré que la prochaine étape consistait à tester les capacités de gestion des identifiants et des mots de passe de votre organisation. «Téléchargez les mots de passe hachés Active Directory et testez-les avec des testeurs de mots de passe. C'est quelque chose que nous faisons dans les tests d'intrusion», a-t-elle déclaré.

Selon Weidman, les outils importants pour les tests de mots de passe comprennent Hackcat et le pirate de mots de passe John the Ripper, qui, selon elle, sont couramment utilisés dans les tests d'intrusion. Elle a ajouté que, outre la vérification des mots de passe provenant de Microsoft Azure Active Directory, ils pouvaient également être détectés sur le réseau à l'aide d'un analyseur de protocole réseau tel que Wireshark. L'objectif ici est de vous assurer que vos utilisateurs n'utilisent pas de mots de passe faciles à deviner, tels que "mot de passe", pour leurs informations d'identification.

Pendant que vous examinez votre trafic réseau, vous devez rechercher la résolution de nom de multidiffusion par liaison locale (LLMNR) et vous assurer de la désactiver si possible. Weidman a déclaré que vous pouvez capturer les hachages de mots de passe en utilisant LLMNR. "J'écoute sur le réseau et récupère les hachages, puis je les casse", a-t-elle déclaré.

Authentifiez vos machines

Weidman a déclaré qu'une fois qu'elle a déchiffré les mots de passe, elle les utilise ensuite pour s'authentifier auprès des machines du réseau. "Il pourrait y avoir un administrateur local car ils ont tous la même image", a-t-elle déclaré. "J'espère qu'il y a un administrateur de domaine."

Une fois que Weidman a reçu les informations d'identification de l'administrateur, elle peut ensuite les utiliser pour accéder aux zones secrètes de la machine. Elle a dit que parfois, il y a une authentification secondaire alors elle aurait aussi besoin de déchiffrer ces mots de passe.

Weidman a déclaré que, si vous effectuez vos propres tests d'intrusion, vous devez être prudent. "Quand je fais des tests d'intrusion, je fais tout ce qui est en mon pouvoir pour ne rien casser", a-t-elle déclaré, ajoutant: "Il n'y a pas de certitude à 100% que rien ne se passera mal."

Évitez de télécharger des logiciels malveillants

Weidman a déclaré que l'édition gratuite Metasploit était un outil très utile pour les tests d'intrusion, mais elle met en garde contre le téléchargement d'un exploit depuis Internet, car il pourrait également contenir des logiciels malveillants. "Ne vous attaquez pas par accident", prévint-elle. Elle a déclaré que les exploits fournis à des fins de test contenaient fréquemment des logiciels malveillants susceptibles de vous attaquer.

• Les meilleurs gestionnaires de mots de passe pour 2019 Les meilleurs gestionnaires de mots de passe pour 2019
• Meilleur logiciel de suppression et de protection des logiciels malveillants pour 2019 Meilleur logiciel de suppression et de protection des logiciels malveillants pour 2019
• La meilleure protection Ransomware pour les entreprises 2019 La meilleure protection Ransomware pour les entreprises 2019

Incidemment, Microsoft fournit également un outil d'évaluation des vulnérabilités pour Windows appelé Microsoft Security Compliance Toolkit v1.0, qui prend en charge Microsoft Windows 10, Windows Server 2012R2 et Office 2016.

Weidman met en garde contre le fait de penser que la pénétration est une sorte de magie noire et profonde. Elle a dit qu’il était plutôt important de commencer par couvrir les bases. "Tout le monde se lance dans les tests d'intrusion car son nom est sexy", a-t-elle déclaré. "Mais il est très utile de trouver le fruit à portée de main et de le réparer en premier."