024#ITiTy IT Security - Andrzej Dyjak

I jeżeli wprowadzimy sobie taki logiczny podział tych domen bezpieczeństwa, to od nich możemy wejść do roli, które I wtedy, dla przykładu, w domenie appsecowej mielibyśmy ludzi, którzy zajmują się testowaniem bezpieczeństwa web aplikacji, ale nie tylko web aplikacji, bo to mogą być też aplikacje desktopowe czy mobilne. Może nie często, ale czasami błędnie nazywanych pentesterami, bo pentester nie musi testować tylko aplikacji, może testować też, a nawet najczęściej testuje również sieci, a może też testować po prostu korpsek, czyli bezpieczeństwo korporacyjne.

I, można powiedzieć, nagrodą za tę naukę, za to wyrzeczenie, które należy wykonać wbrew sobie, nagrodą za to jest to, że po prostu zaczynasz być bardziej efektywny w organizacji, zaczynasz lepiej przekonywać ludzi do swojego punktu widzenia i masz większy wpływ na faktyczne zmiany. Czyli w uproszczeniu, bo często takie coś ma miejsce, jeżeli jesteś np. pentesterem, To myślę, że każdy pentester zdaje sobie doskonale sprawę z sytuacji, w której przychodzi, testuje apkę czy kawałek sieci, po roku przychodzi i nagle się okazuje, że w zasadzie znajduje to samo, bo nikt nic nie wyprowadził. No nikt nic nie wyprowadził, dlatego że

Nie wiem, czy już hype na to minął czy nie, ale jeszcze tam ze dwa lata temu to każdy chciał być chyba pentesterem. Mógłbyś tutaj troszkę powiedzieć więcej, czym to w ogóle jest ten pentesting? Jasne. Czym jest pentesterka? Testy penetracyjne to generalnie jest jeden z rodzajów oceny bezpieczeństwa systemu IT. Najczęściej jest on mylony z oceną podatności. Niemniej jednak są to dwa różne Sposoby, w jaki możemy oceniać bezpieczeństwo systemu IT i przynajmniej w tym, w czym ja się specjalizuję, a ja, zapomniałem wspomnieć, ale specjalizuję się generalnie w bezpieczeństwie aplikacji szeroko pojętym, to przynajmniej w mojej działce

Cel jest trochę inny, bo chcemy spenetrować dany system, a jak już mówimy właśnie o tej penetracji, czyli takim typowym właśnie hakowaniu, wejściu do systemu i eskalacji, wchodzenia do kolejnych systemów, No to kurczę, trzeba przyznać, że brzmi to bardziej seksownie niż po prostu ocena podatności, gdzie znajdujemy jakąś podatność, mówimy, no kurczę, jest tu jakiś XSS i fajnie. No to wiadomo, dużo ciekawiej brzmi ten aspekt takiego hakowania. Pentesty to jest takie prawdziwe hakowanie. Może trochę nie aż takie jak red teaming, Ale jeżeli mówimy tylko o komputerach, tylko o systemach IT, no to to jest takie prawdziwe hakowanie i stąd wydaje mi się, że był taki i chyba dalej jest taki dość mocny hype właśnie na testy penetracyjne, na bycie pentesterem.

W chwili obecnej to się trochę zmienia, bo ten hype przesuwa się trochę właśnie w kierunku red teamingu, co według mnie jest nie do końca Nie chcę tutaj powiedzieć, czy to jest jakieś dobre czy złe, natomiast jest nie do końca optymalne, dlatego że red teaming, bycie red teamerem jest jeszcze bardziej zaawansowane niż bycie pentesterem, więc nie da się zacząć od zera i skończyć jako red teamer, nie wiem, powiedzmy w pół roku albo w rok, albo nawet półtora czy dwa. To jest pewna progresja, wskakujemy w bezpieczeństwo i za parę lat Idąc dalej schodami, odkrywając tą mapę, w końcu wskakujemy w pozycję red teamera, jeżeli to była nasza ścieżka, jeżeli to był nasz cel.

Natomiast z pentestami jest trochę łatwiej, bo po prostu ogólny zakres tego, co mamy robić, jest trochę bardziej Natomiast, no tak, jest na to hype, no bo po prostu faktycznie hakujemy komputery tutaj nie jak Kevin Mitnick, chociaż trochę jak Kevin Mitnick, bo ludzi też hakujemy. Jakieś proste kampanie phishingowe jak najbardziej wchodzą w grę w pentestach. Okej, a jak tutaj ma się, bo rozumiem, że jeszcze tak zamykając ten wątek oceny podatności i tych pentestów, czy ocena podatności, jeżeli mamy taką zrobioną, może być tym pierwszym krokiem do właśnie wykonania pentestów, czy jak to?

Wiesz co, nawet powinna być pierwszym krokiem i owszem, korzysta się. Powinna być pierwszym krokiem i dlatego mówię, że jest takim podstawowym narzędziem, ponieważ zależy od kontekstu, ale można nawet po prostu na tym kroku się zatrzymać. Natomiast powinna być pierwszym krokiem, dlatego że na początku chcemy poznać same podatności. A dopiero potem, jak już kilka razy przejedziemy, przeoramy ten system i już wyleczemy na światło dzienne te proste właśnie podatności implementacyjne typu cross-site scripting, to dopiero wtedy chcemy zrobić faktyczny pentest, bo wtedy już nie mamy tych nisko wiszących owoców i chcemy się dowiedzieć, OK, czy jak wyeliminowaliśmy te nisko wiszące owoce, to czy pomimo tego da się skakować ten system?

Czy nie? I dlatego to jest taka progresja właśnie z oceny podatności, potem w pentesty, a potem jeszcze w red teaming. Nie każda organizacja tam trafi i dobrym właśnie punktem wyjściowym jest sama ocena podatności. Często gęsto można nawet po prostu na niej zakończyć, bo nie każdy potrzebuje pentesty, tak samo jak nie każdy potrzebuje ćwiczeń red teamingowych. Więc zgadza się, zgadza się Damianie i jest to świetny punkt startowy, który można potem popchać dalej i eskalować już, eskalować może nie odpowiednie słowo, ale przechodzić właśnie do pentestów. I często właśnie tak się dzieje na rynku. Okej, dobrze, to jeszcze, to chyba pamiętam takie hasło, w Twoim podcaście tak rzuciłeś, ale nie jestem pewny, bo to już jakiś czas temu słuchałem i nie wiem, gdzie to usłyszałem, albo właśnie u Ciebie w podcaście, albo jak rozmawiałeś u Tomka, właśnie czy, jeśli chodzi o to testowanie, czy powinno się testować na produkcji, czy na jakichś serwerach demo, no chyba

I w takim wypadku, jeżeli nie testujemy na produkcji albo Kopii produkcji 1 do 1, no to tak naprawdę nie jesteśmy w stanie powiedzieć, czy produkcja jest bezpieczna. No bo jeżeli ja przetestowałem, przeprowadziłem pentest na środowisku testowym, to ja nie jestem w stanie powiedzieć, że środowisko produkcyjne jest w 100% bezpieczne, bo ja testowałem zupełnie co innego. Natomiast jeżeli ja testowałem pod kątem podatności, robię ocenę podatności aplikacji, no to ja jestem w stanie powiedzieć, że no tak, ta aplikacja, ona nie będzie miała tej podatności, nieważne czy w środowisku produkcyjnym, czy w środowisku testowym, no bo podatność wynika z kodu. Oczywiście trochę upraszczam, bo zdarzają się takie przypadki krańcowe jakiejś podatności, która może wynikać z infrastruktury i dalej być wykryta w ocenie podatności.

I znowu tutaj nie... To jest bardziej spektrum, tu nie ma takich jasnych granic, ale te, można powiedzieć, definicje one wynikają z różnych cech różnicujących, o których mówiłem w tych swoich odcinkach podcastów i na podstawie tych cech można sobie wyłonić to, co nam się konkretnie przyda, co my wykonujemy, co chcemy wykonać, w zależności od tego, jaki cel chcemy Ale upraszczając, mówiąc tak, żeby bez wchodzenia w jakieś ezoteryczne przykłady, upraszczając, pentesty powinny się dziać na produkcji albo kopii środowiska 1 do 1 produkcyjnego. Natomiast ocena podatności? Spokojnie, może się dziać na środowisku testowym, wszystko będzie OK.

Wiesz co, nie. Tutaj myślę, że wszystko zostało wyjaśnione, a wręcz mózg powoli zaczyna parować. A jeszcze już tak domykając ten wątek tego pentestów, powiedzmy tego hakowania, tak biorąc to w cudzysłów, Jak można sobie to trenować w zaciszu domowym? Bo rozumiem, że próba wybijania się czy inaczej.

Czy nauka pentestów może się odbywać tylko w ramach organizacji, czy też można sobie stworzyć jakiś taki plac zabaw swój, w którym można by się tutaj pobawić i coś próbować działać? Czy można zdobyć doświadczenie, będąc kimś, kto nie ma jakiegoś doświadczenia komercyjnego? Czy samemu można, powiedzmy, ten swój skillset w tym temacie jakoś rozwijać?

I jeśli tak, jeśli masz takie jakieś informacje gdzie, to co byś tu mógł podpowiedzieć? Jak najbardziej można budować ten skillset samemu i nawet powiem, że dzisiaj jest łatwiej niż kiedykolwiek było. Natomiast jeszcze mała uwaga na marginesie. Tam wcześniej tak lekko może wspomniałeś, nie poszedłeś w tym kierunku, ale wyłapałem, zapaliła mi się lampka. Odradzam uczenia się pentestów na testowaniu systemów które nie należą do ciebie. To już nie są lata dziewięćdziesiąte, żeby takie zabawy uszły na sucho. Można sobie niepotrzebnie napaćkać w papierach, więc nie polecam robić takich rzeczy.

Najpierw sobie podzielmy w ogóle tak naprawdę czym się zajmuje Pentester. Jeżeli sobie znowu wykonamy taki podział logiczny, to jako Pentester, Pentesterka będziesz testować System IT. Z czego się składa system IT? Z jakichś kawałków infrastruktury i z jakichś usług. Te usługi to mogą być albo web aplikacje, albo aplikacje jakieś natywne, które pełnią rolę serwera. Czyli na przykład tutaj Apache to jest taka aplikacja natywna, która jest serwerem i serwuje content HTTP, serwuje web aplikacje. Może to robić sam, może to robić z wykorzystaniem jakichś dodatkowych silników, czy to PHP, czy Ruby etc. Więc tu mamy taką aplikację desktopową, następnie mamy web aplikację, która byłaby uruchomiona na takim przykładowo Apache z dodatkowo jakimś middlewarem pomiędzy, więc mamy web aplikację.

No i mamy na koniec dnia kawałki infrastruktury, czyli jakieś routery, jakieś switche, które tworzą jakieś vilany, które generalnie segmentują nam sieć i dzielą ją na mniejsze lub większe kawałki, które mają większe lub mniejsze uprawnienia. No i jako pentester twoim zadaniem najczęściej jest po prostu ocena bezpieczeństwa tych różnych kawałków, które możesz znaleźć w infrastrukturze. Może nawet nie tyle ocena bezpieczeństwa, tylko próba zhakowania tego systemu, dostania się głębiej, dostania się tam, gdzie nie powinieneś się dostać albo inni nie powinni się tam dostać. Twoim zadaniem jest dostanie się tam, ale inni nie powinni się tam dostać. Więc tu mamy, można powiedzieć, dwa kawałki.

Wulnhub. Tutaj nie ma problemu, ja ci potem podeślę jeszcze linki do tych stron, żeby wleciały do notatek i pewnie jeszcze mi się coś przypomni, jak będę je zbierał, więc słuchaczom polecam po prostu zajrzeć do notatek do tego odcinka. Okej, dobra. Zamykamy pentesty. Wszystko już mamy zabezpieczone, potestowane. Przechodzimy do tematu, który już trochę był też anonsowany, czyli bug bounty. Powiedz mi, czy jest jakieś jedno miejsce w sieci, które zbiera sobie te wszystkie bug bounty? I co to w ogóle jest to bug bounty? Gdzie szukać jakichś właśnie