Red Team内部監査のためのツールステルスの重要性
フォーチュン500企業のオフィスビルのモップクローゼットに閉じ込められたホワイトボックスまたはレッドチームの監査の内部段階に入ると、最後に必要なものがBurp SuiteはportswiggerDOTcomに接続して、すべての「セーフブラウジング」や「自己修復」など、Webブラウザによって生成されたノイズの多いトラフィックをチェックしようとしています...
このタイプのノイズを軽減するために、ペンテスターは何をしますか？前述のいくつかは簡単に十分に処理されますが、他のもの、たとえばBurpの例はそれ自体ではフィルタリングできません（そのトラフィックはプロキシーでトラップできないため、ドメインをHOSTSファイルに追加しても何も起こりません）。
最新のアップデートなどを入手できることは非常に便利ですが、これはさまざまなタイプのテストで機能するものではないことは間違いありません。最も可能性が高いのは、おっしゃるように「ステルス」テストと、ネットワークの外部に接続がないテストです。
解決策は、必要なものすべてが付属するようにすることです。テスト用ラップトップ上のすべてのツールとスクリプト、または自分の物理的なキットを現場に持ち込むことが許可されていないテストの場合は、社内のセキュリティチームにツールを送付して確認します。テストマシンにインストールします。
必要なツールのリストは経験を積んで開発されます-特定の種類のテストに通常必要なツールを学習します-しかし、私は常に、ツールセットを削減したように、より多くの方が優れていることを発見しました私が持っていないものが必要です！
そして、ネットワーク上で適切に静かにするには、すべてのツールをステルスモードで構成する必要があります。 「call-home」機能を削除します。可能な場合は速度制限を下げます。 「騒々しい」テストをオフにします。
テストでスマートフォンを使用できる場合は、それを使用してスクリプトの更新などを確認します。LANに接続しないようにするのに非常に役立ちます。
Burp Suite Professionalは、承認されたテストまたはラボ用のツールであり、レッドチームエンゲージメントやサイバー演習用ではありません。通常、サイバー演習には、各脆弱性の悪用可能性がよく知られており、事前にテストされている悪用専用コードが含まれます。
Cisco PIXおよびASAファイアウォールをターゲットとするもの プラットフォームなどのエクスプロイトコードを見ると、コードネームとモジュール化は、既知の分類されたエクスプロイトにのみ集中しており、後期の攻撃サイクルに特化した武器としてではなく、万能ソフトウェア品質のツールを早期にテストします。
Metasploit-frameworkも 関連性を失う であり、 進化するMeterpreterインプラント も含まれます。 metasploit-frameworkコンポーネントを使用する実際の脅威アクターの話を聞くのはまれです-注目の攻撃にそれを使用しているインドベースの脅威コミュニティについてしか聞いたことがありません。
おそらく、ステルスのための最も一般的な赤いチームエンゲージメントツールは PowerSploit です。無制限のPowerShell ExecutionPolicyをバイパスまたは使用する代わりに、通常、モジュールとアセンブリは署名されます。カスタムまたはわずかに変更された圧縮またはエンコーディングアプローチを使用すると、PowerShellを簡単に難読化でき、 ConstrainedLanguage および AMSI bypassed でも可能です。 Posh-SecModには、 Compress-PostScript および New-PostDownloadExecuteScript 関数によるスクリプト圧縮の例がいくつかあります。
PowerShellとC＃は、目立たない多くの攻撃経路を提供します。これらの難読化が容易なフレームワークからのXSS、SQLi、または同様の攻撃に興味がある場合は、必ず Grey Hat C＃ の本をチェックしてください。ステルス指向の攻撃手法の多くは PowerView で利用できます。これは、Microsoft Windows Server Forestテクノロジーが組織によって広く監視されておらず、Active Directoryの要素も（特に）監視されていないためです AD Microsoft DNSに関連するオブジェクト または SPN識別子 。
Flash、Internet Explorer、Officeドキュメントのエクスプロイトなどを通じて、エクスプロイトがメモリ（クライアント側またはサービスプロセスレイヤーなど）に到達できる場合、赤いチームは、3番目の段落のリンクで概説されているReflectivePick手法を利用できます。この回答の（NB、特にMeterpreterの代替案を参照）。
SQLiを含む多くの攻撃は、ステルスのためにTLSプロトコルを利用できます。 ASP.NETやJava Enterpriseなど）のWebフレームワークをトンネリングする場合は、必ずチェックアウトしてください [〜＃〜] apbtts [〜＃〜] 、Webシェルをディスクに書き込むことなく、Webシェルのトランスポート層機能を提供します。
特定の、他の防御技術のバイパス（または確かに新しい手法につながる可能性のある理論）は、The Anti-Virus Hacker's Handbookなどの本でおそらく見つかります。
ルーティングテーブルを使用します。攻撃を受けているネットワークに1つのネットワークインターフェイスを割り当て、そのインターフェイスを使用するように10.0.0.0ルート（または192.168.0.0ルートなど）のみを定義します。別のインターフェイスをデフォルトゲートウェイとして構成します。このようにして、ノイズの多いツールで偶発的なミスを犯してIDSにアクセスすることはできません。
テスト中にインターネットアクセスが必要な場合は、デフォルトアダプターを携帯電話にテザリングできます。