DKCERT Scanningstjenesten

Transkript

1 DKCERT Scanningstjenesten 5/ DKCERT Bjarne Mathiesen Schacht

2 Scanningstjenesten i tal 2015 starter Scanningstjenesten i sin nye form Samtlige Universiteter bliver scannet i løbet af året Jan Feb Mar Apr Maj Jun Jul Aug Sep Okt Nov Dec 2

3 Scanningstjenesten i tal 2016 efter sommerferien introduceres Intern scanning Året 2016 indtil d.d Jan Feb Mar Apr Maj Jun Jul Aug Sep Okt Nov Dec 3

4 Scanningstjenesten i tal 2016 efter sommerferien introduceres Intern scanning Året 2016 indtil d.d Jan Feb Mar Apr Maj Jun Jul Aug Sep Okt Nov Dec 4

5 Scanningstjenesten i tal 2016 efter sommerferien introduceres Intern scanning Året 2016 indtil d.d Jan Feb Mar Apr Maj Jun Jul Aug Sep Okt Nov Dec 5

6 Scanningstjenesten i tal 2015 blev der udført 51 scanninger fordelt på samtlige universiteter IP adresser blev scannet i er der indtil i dag blevet udført 60 scanninger, og der mangler stadig 3 universiteter IP adresser er foreløbigt blevet scannet i

7 Scanningstjenesten i tal Top 5 kritiske sårbarheder: PHP unsupported version Unsupported Operating System (Windows & *Nix) OpenSSL not latest version SSL configuration error (encryption allowed & DROWN) Unsupported web server 7

8 Det kan DKCERT InternScanner Udføre sårbarhedsscanninger på netværkssegmenter, der ikke er tilgængelige fra forskningsnettet. Sårbarhedsscanne maskiner, som befinder sig på interne netværk. Dog skal scanneren kunne skabe SSH-forbindelse (port 22) til DKCERTs scannermiljø (IP: ). Oprette forbindelse til DKCERT - kan ikke kontaktes udefra. Konfigureres via DHCP eller med fast IP-adresse (2 netkort). Kan i fremtiden også benyttes til andre scanninger fx. NMAP eller Wi-Fi-scan. Efter endt scanning flyttes data til DKCERTs scanningsmiljø for analyse og rapport. 8

9 Opsætning DKCERT kan benytte SSH Gateway til at "fjernstyre" InternScanner, når den opretter forbindelse via SSH. FSKNET SSH certificat og brugernavn/password skal benyttes for at skabe forbindelsse Ukendt firewall set med DKCERTs øjne Firewall InternScanner SSH gateway Nessus Enterprise Scanner InternScanner forsøger at skabe en SSH forbindelse ud mod DKCERTS SSH gateway ( ) SSH gateway har lov til at skabe forbindelse til Nessus Enterprise, og kan forwarde forbindelsen fra InternScanner Nessus Enterprise kan kun modtage forbindelser fra SSH gateway og DKCERTS interne netværk 9

10 Det kan I bruge InternScanner til InternScanner kan for eksempel løse disse opgaver: Sårbarhedsscanning internt af servermiljø ved at placere scanneren på samme segment som serverne. Formål: Finde sårbarheder på serverne, der ikke kan ses gennem firewall. Afdække hvilke muligheder en angriber får, hvis en maskine bliver kompromitteret på dette segment. Sårbarhedsscanning fra et segment til et andet Formål: Se hvilke sårbarheder og services, der er tilgængelige på tværs af netværkssegmenter. 10

11 Det kan I bruge InternScanner til NMAP-scanning fra et netværkssegment til et andet Formål: Teste firewall-regler eller få en liste over tilgængelige services. Tilslutning til Wi-Fi-netværk og scanning af internt netværk Formål: Hvilke sårbarheder eller services findes fra netværket? Placering af scanneren i de studerendes netværkssegment og foretage en scanning mod administrationsnetværket. Formål: Se, hvilke tjenester studerende kan tilgå. 11

12 Det kan I bruge InternScanner til En scanning af et netværkssegment for at identificere skygge-it Formål: Få en oversigt over hvilke styresystemer og services der kører i et givent netværkssegment. Et netværkssegment scannes for bestemte porte eller services Formål: Finde maskiner der ikke overholder de gældende regler. Har I fået inspiration til en anden mulighed, så kontakt DKCERT og hør om mulighederne. 12

13 Fysisk eller virtuel InternScanner DKCERT leverer InternScanner på to måder: En fysisk computer sendes til den adresse, hvor scanningen skal udføres. Her tilsluttes den som foreskrevet og en scanning aftales med DKCERT. En virtuel maskine kan downloades og konfigureres til det netværk, som der skal scannes fra. Når den virtuelle maskine kan skabe forbindelse til DKCERT, har vi mulighed for at installere licens til scanneren, så I kan indgå en sårbarhedsscanningsaftale med DKCERT. 13

14 Rapportering DKCERT tilbyder Nessus-sårbarhedsscanning eller NMAP-scanning. En NMAP-scanning resulterer i en Excel-rapport med lister over de porte, som er tilgængelige på de scannede IP-adresser. En Nessus-sårbarhedsscanning resulterer i en rapport samt Excel-fil med alle de observationer og sårbarheder, scanningen har fundet. 14