Beginnt man sich mit dem Thema IT-Sicherheit und Penetrationstest auseinanderzusetzen, hört man schnell, dass es nicht ohne Linux geht. Mit Parrot OS und Kali Linux werden zwei Distributionen bereitgestellt, die sich vor allem an Penetrationstester richtet. Doch ist Linux für Pentesting wirklich Pflicht oder kann eher als Empfehlung angesehen werden?
Jetzt unser Whitepaper zur Active Directory Härtung kostenfrei herunterladen!
Das Active Directory ist die Achillesferse der IT-Infrastruktur.
Wir geben Ihnen 7 Hinweise, Empfehlungen sowie Tipps zur Härtung des Systems.
Linux für Pentesting – Empfehlung oder Pflicht?
Unter Linux fasst man häufig Betriebssysteme zusammen, die auf dem Linux-Kernel beruhen, der in den 1990ern von dem Finnen Linus Torvalds entwickelt wurde. Der Kernel ist die zentrale Einheit und Schnittstelle zwischen Software- und Hardwarekommunikation. Obwohl erst durch das Einbinden weiterer Softwarekomponenten um den Kernel ein vollständiges Betriebssystem entsteht, wird Linux meist synonym zu seinen Distributionen wie Ubuntu, Fedora, Arch oder Debian verwendet.
Daneben gibt es noch Derivate, die von bestimmten Distributionen abgeleitet und durch unterschiedliche Paketverwaltungssysteme gekennzeichnet sind. Die prominentesten Vertreter sind hierbei Debian-Derivate (z. B. Ubuntu und Kali Linux) und Red Hat Enterprise Linux Abzweigungen (z. B. CentOS und Oracle Linux). Während Debian-basierte Systeme das Advanced Packaging Tool (APT) verwenden, ist der RPM Package Manager in Red Hat eingebunden. Beide ermöglichen es mit ihren spezifischen Kommandos, Softwarepakete zu verwalten, zu installieren, zu aktualisieren oder zu löschen. Dies erlaubt eine umfangreiche und flexible Kontrolle über Programme und benötigte Bibliotheken.
Ein entscheidender Vorteil von Linux gegenüber anderen bekannten Betriebssystemen wie Windows oder macOS ist es, dass Linux der GNU General Public License unterliegt. Dies bedeutet, dass die Software frei verwendet und geändert werden kann. Dadurch ist es erlaubt, Linux-Distributionen mit bestimmten Eigenschaften und vorinstallierten Programmen zu entwickeln, sodass Linux z. B. für Pentesting optimiert werden kann.
Durch die stetig steigende Anzahl an Cyberangriffen spielt IT-Sicherheit eine immer ernstere Rolle. Um zu bestimmen, ob ein System oder Netzwerk sicher und robust ist, werden häufig Penetrationstests durchgeführt. Hierbei versucht man, dem Angreifer einen Schritt voraus zu sein, indem man aktiv durch simulierte Angriffe nach Sicherheitslücken sucht und diese ausnutzt. Dabei erkennt man, welche Schutzmaßnahmen bereits implementiert wurden und was die Stärken bzw. Schwächen des Systems sind. Penetrationstests können unter verschiedenen Betriebssystemen durchgeführt werden. Obwohl sich sowohl Windows als auch macOS eignen, wird in der Praxis häufig Linux für Pentesting verwendet, insbesondere die Distributionen Kali Linux, Parrot OS oder Black Arch aufgrund ihrer vorinstallierten Werkzeuge. Ein Penetrationstest kann in mindestens 4 Phasen gegliedert werden:
- Reconnaissance
- Schwachstellenanalyse
- Exploitation
- Berichterstattung
1. Reconnaissance
Die erste Phase ist die passive Informationsbeschaffung. Diese dient dazu, offen zugängliche Informationen zu sammeln, ohne direkt in Kontakt mit dem Ziel zu treten. Das umfasst zum Beispiel Suchmaschinenergebnisse, DNS-Einträge, Forenbeiträge und Social Media Profile von Mitarbeitern. Dies kann Aufschluss über eingesetzte Technik, interessante Dateien und IT-Rollen geben.
2. Schwachstellenanalyse
Bei der aktiven Informationsbeschaffung wird ein direkter Kontakt mit dem Ziel aufgebaut, indem man zum Beispiel herausfindet, welche Ports offen sind, welche Dienste laufen und welche Versionen diese besitzen. Das kann Sicherheitslücken und Eintrittstore erkennen lassen, die später ausgenutzt werden können. Hierfür eignet sich das bereits auf Kali Linux oder Parrot OS bereitgestellte nmap, ein Portscanner, mit dem zielgerichtet TCP und UDP Ports gescannt sowie Betriebssystem und Versionsnummern bestimmt werden können.
Gerade Funde von veralteter und ungepatchter Software sind hier kritisch. Schwachstellen-Scanner wie Nessus und OpenVAS haben zudem den Vorteil, dass sie umfangreiche Ergebnisse mit Identifikation und Klassifizierung von Sicherheitslücken liefern. Diese Scanner sind meist nicht mit eingebunden und können plattformunabhängig installiert werden. Die Paketverwaltungssysteme auf Linux erleichtern jedoch den Umgang.
3. Exploitation
Bei der Exploitation-Phase geht es um das direkte Angreifen des Systems und Ausnutzen gefundener Schwachstellen. Da es sich bei den Ergebnissen von Vulnerability Scannern auch immer wieder um einen Fehlalarm handeln kann, sollte die manuelle Suche nach Sicherheitslücken nicht vernachlässigt werden. Verschiedene Schwachstellen können für bestimmte Angriffe ausgenutzt werden, zum Beispiel SQL Injection, Cross-Site Scripting (XSS) oder Buffer Overflows.
Hierzu empfiehlt sich die Verwendung der vorinstallierten Tools in Kali Linux oder Parrot OS, wie z. B. sqlmap, XSSer oder das umfangreiche Metasploit Framework. Ziel ist es, zu prüfen, ob und inwieweit man Kontrolle über das System gewinnen kann, d. h. kann man Administratorrechte erlangen, sensible Dateien finden, in weitere Systeme eindringen oder eine Hintertür installieren.
4. Berichterstattung
In der letzten Phase werden die Ergebnisse und Schritte protokolliert, sodass nachvollziehbar ist, was getan wurde und welche Stärken und Schwächen gefunden wurden. Dabei sollte zum einen eine kurze und verständliche Zusammenfassung für den Auftraggeber und zum anderen ein detaillierter und technischer Bericht an das IT-Personal verfasst werden. Letzteres sollte rekonstruierbar sein und Wichtiges in Screenshots festgehalten werden. Kali beinhaltet das Reporting Tool dradis, jedoch eignet sich auch ein einfaches Textprogramm, um persönliche Notizen zu verwalten.
Erkennen Sie zuverlässig Phishing E-Mails?
Jetzt das AWARE7 Phishing Quiz absolvieren
und das eigene Wissen überprüfen!
Linux für Pentesting – Unser Fazit
Alle auf Kali und Parrot OS bereitgestellten Tools, können auch auf anderen Linux-Distributionen installiert werden und die Mehrzahl ist auch für andere Betriebssysteme erhältlich. Jedoch bietet Linux für Pentesting eine bequeme Nutzung und Übersicht durch die Gliederung der Programme nach Kategorien, die sich nach den Pentestingphasen orientieren. Des Weiteren lassen sich auch oftmals lightweight Versionen (z. B. Kali Light) herunterladen, deren installierte Softwarepakete kompakter sind und sich so auch auf einem Raspberry Pi oder älterer Hardware bedienen lassen.
Das Merkmal der freien Software hat zudem den Vorteil, dass diese Betriebssysteme, anders als moderne Windowsversionen oder macOS, ohne Erwerb einer bestimmten Lizenz in virtuellen Maschinen ausgeführt werden können. Virtuelle Maschinen (VM) ermöglichen es, ein Gastbetriebssystem auf dem physischen Host zu simulieren. Linux für Pentesting in einer VM ist ideal, ohne in den meisten Fällen das Risiko eingehen zu müssen, Datenverluste oder sonstige Schäden des Hauptbetriebssystems zu erleiden. Denn sollte eine VM korrumpiert sein oder nicht mehr gebraucht werden, kann sie einfach gelöscht oder eine Kopie für später angelegt werden.
Linux bietet zudem oft einen besseren Schutz vor Schadsoftware durch den geringen Marktanteil an Desktopsystemen sowie Transparenz und Kontrolle durch Open Source Software. Außerdem wird das System und die Tools nicht durch zusätzlichen Traffic der Windows Updates belastet. Anders als macOS sind die meisten Linux-Distributionen einschließlich Linux für Pentesting zudem frei verfügbar. Linux eignet sich daher als hervorragende Plattform zum Lernen und Ausführen von Penetrationstests.
Hat Ihnen der Beitrag gefallen? Gerne benachrichtigen wir Sie, wenn wir einen neuen Beitrag veröffentlicht haben. Tragen Sie jetzt Ihre E-Mail-Adresse ein. Für Sie entstehen keine Kosten.
