web-dev-qa-db-ja.com

ペンテスト中に情報を整理する

現在、私はフルタイムのペンテスターに​​なるための道を進んでいます。つまり、私はCTFのチャレンジをたくさん行い、自分のためにセットアップされたラボを壊そうとしています。

私が現在直面している唯一の問題は、情報をどのように整理するかです。nmapスキャンからnetcatを介した手動テストまで、生データの束から始める傾向があります。

このすべての情報をきちんと整理する方法はありますか、またはこれを行うためのソフトウェアはありますか？ （私はすべてのテスト目的でkaliを使用しているので、そこに含まれている場合：ボーナスポイント）

penetration-testinformation-gathering
3
Paradoxis

保持するデータとその保持方法は、通常、個人の好みと、対象となる組織の要件によって異なります。そのため、ツールの推奨事項を使用して質問に直接回答するのではなく、使用するテストアプローチとOSにとらわれないいくつかのヒントを提供します。

  • 最も重要なのは、データを整理するためのプロセスを考えすぎないでください！肥大化したアプローチは、時間の経過とともに怠惰になることになります。今はそうは思わないかもしれませんが、1年間の継続的なテストと報告の後で、それにはだまされるでしょう。負担をかけないように、シンプルで簡単にしてください。
  • テストごとに個別のディレクトリを作成します。わかりやすい名前を付けます。評価番号もあるので、簡単に見分けられるようにしています。これらのテストディレクトリはすべて、「testdata」のような名前の単一の親ディレクトリの下に置いてください。簡単に聞こえますが、テストデータを3つの別々の場所に入れて、結果をこのように混ぜる人を見てきました。
  • 何をいつ何を行うかを記録します。このための簡単なスクリプトがあります。現在のディレクトリのログファイルにタイムスタンプを付けて行を追加するだけなので、ptlog started nmap on box 10.20.30.40と書きます[2017-09-04 14:07] started nmap on box 10.20.30.40をファイルに追加します。同じ方法を使用する必要はありません。タイムスタンプ付きのログを保持することが重要です。
  • 技術的なものだけをログに記録しないでください。クライアントとの会話の結果をログに記録します。特に、可用性の問題やスコープの変更が含まれる場合はログに記録します。誰といつ話したかを必ず伝えてください。誰かがあなたを騙そうとすることはまれですが、良いログは、たわごとがファンに当たったときの素晴らしい保険です。
  • Burp、Zaproxy、Maltego、Netsparker、またはプロジェクトや状態ファイルを使用する同様のツールを使用している場合は、ツールがクラッシュした場合やデータが失われないように、それらを早期に保存してください。げっぷはこれのための絶対的な悪夢でした。
  • Nmap、dirb、sslscan、ssl-cipher-suite-enumなどのツールを使用してデフォルトでコンテンツをstdoutに書き出す場合は、適切な出力設定を使用して結果をログに記録していることを確認してください（例：-oN、-oX in nmap）またはファイルにパイプアウトしています。ターゲットにちなんだ名前をファイルに付けます。何か間違ったことをしたにもかかわらずパケットを送信したり、スキャンをキャンセルする必要がある場合は、コマンドを再実行するときに元のログファイルを上書きしないでください。最初に古いログの名前を変更してください。
  • クライアントシステムからファイルをコピーする場合は、それらを独自のフォルダーに配置し、別のシステムのファイルと混同しないでください。これにより、本番環境にデータベースボックスがあり、UATまたは開発インスタンスにバックアップするように構成されているように見える理由を明らかにしようとしているときに、後で混乱を避けることができます。ファイル。また、ばかのように見えます。 （これが個人的な経験に基づいていることを確認も否定もできません）
  • BACK YOUR DATA UP。私はこれを十分に強調することはできません。クライアントと何らかの長期的な関わりをしていて、5週間のテストデータ全体を6週間のテストに失うと、深刻な事態に陥ります。多くの場合、再評価が必要になる可能性があります。これには、評価ウィンドウの終了に間に合うように完了できない変更リクエストが必要になる場合があります。これは、契約上義務付けられている評価を提供できない状況に組織を置き、それは法的な観点から完全にあなたの責任です。あなたの会社はおそらくあなたにバックアップソリューションを与えるでしょう、そして私はあなたがそれを頻繁に使うことを勧めます。
2
Polynomial

必要なものを正確に理解しているかどうかはわかりませんが、Kvasirはニーズに合ったツールであるように思えます。このツールのgithubページをチェックしてください： Kvasir

0
avhincu