Foto de perfil

Ferramentas de Relatórios no Kali Linux 2018.1

Gerenciando efetivamente seus resultados de PenTest

Uma grande quantidade de ferramentas são utilizadas durante o processo de  um PenTest. Armazenar os dados geradas por essas ferramentas é um grande desafio.

Poder combinar todos esses dados em um só lugar para que eles possam ser usados facilmente e ter uma visão holística dos seus dados irá ajudar a encurtar a fase de geração de relatório.

A geração de relatório é a última fase de um PenTest. É nessa fase que informamos as nossas descobertas ao cliente de uma maneira significativa. Informamos o que eles estão fazendo corretamente, os pontos que devem melhorar sua postura quanta à segurança, como você conseguiu invadir, o que você descobriu, como  corrigir os problemas e assim sucessivamente.

No Kali Linux 2018, temos algumas ferramentas que serão úteis para armazenar os dados coletados durante o PenTest. Vamos usar três nesse pequeno artigo: O MagicTree, o Dradis e o KeepNote.

Introdução ao MagicTree

O MagicTree, é uma aplicação em Java criada pela  Gremwell, e suporta uma grande quantidade de dados e é uma ferramenta de geração de relatórios. Ele gerencia seus dados usando nodes (nós) em uma estrutura de árvore (daí o nome “MagicTree”).

Este método de armazenamento hierárquico é particularmente eficiente no gerenciamento de dados de hosts e da rede. O verdadeiro poder da ferramenta é encontrado ao analisar dados. Por exemplo, uma busca por todos os servidores Web IIS encontrados durante uma varredura de rede levaria poucos instantes.

Além de fornecer um excelente mecanismo de coleta de dados, o MagicTree também permite que você crie relatórios com base nas prioridades de sua escolha. Os relatórios gerados são completamente personalizáveis e são facilmente adaptados para atender os requisitos de um relatório de PenTest.

Você pode até usá-lo para exportar seus dados para o OpenOffice ou BrOffice. Permite também importações de dados XML e transforms XSLT para muitos formatos populares, tais como:

  • Nessus
  • Nikto
  • Nmap
  • Burp Suite
  • Qualys
  • Imperva
  • OpenVas

Outra vantagem da ferramenta é que os desenvolvedores são PenTesters profissionais e torna-se óbvio que eles entendem os desafios  que são enfrentados diariamente.

Iniciando o MagicTree

Para iniciar a ferramenta selecione Applications | 12 – Reporting Tools | magictree Irá aparecer uma imagem da Gremwell.

 

Após isso , passando alguns segundos você será apresentado a tela inicial da ferramenta:

Adicionando nodes

Para adicionar um novo node, selecione Node | Autocreate. Ira abrir um caixa de diálogo para inserir o IP do novo node, insira 127.0.0.1, apenas para exemplo vamos usar a própria máquina do Kali Linux 2018.1. Existem muitos tipos de Node disponíveis para armazenar seus dados. Explore e faça testes.

Coletando Dados

Para poder obter resultados de scans de fora do MagicTree, você pode realizar um scan com o Nmap e importar esses resultados.

No Kali Linux vamos iniciar os serviços SSH, Apache2 e Postgresql , para abrir várias portas e termos bons resultados no scan:

# systemctl star sshd
# systemctl star apache2
# systemctl star postgresql

Para visualizar as portas abertas, digite:

# netstat -nat

Agora vamos iniciar o nosso scan com o Nmap e gerar a saída em um arquivo chamado scan-kali.txt

# nmap -vv -O -sS -A -p- -P0 -oX scan-kali.txt 127.0.0.1

Importando o Arquivo

Agora basta apenas importar o arquivo. Selecione File | Open e informe a localização do arquivo. Ele irá perguntar se você quer salvar o que você já tinha feito, selecione “No“.

Agora com o arquivo importado ele trás o resultado do seu scan feito com o Nmap.

 

Vemos claramente que trás o Sistema Operacional detectado no scan, as portas 22, 80 e 5432, respectivamente do ssh, apache e postgresql. Selecionando a porta 5432 ele irá informar em service a versão do Postgresql, nesse caso a 9.6.0.

Finalmente para gerar o relatório basta apenas selecionar Report | Generate report. Ele já vem com alguns templates. Para esse artigo eu usei o “open-ports-and-summary-of-findings-by-host.odt“. Tem que instalar o OpenOffice no Kali para poder funcionar. Ele vai tentar abrir automaticamente o arquivo .odt gerado.

Fizemos apenas uma introdução ao MagicTree. Essa ferramenta é bem poderosa e um pouco de prática se faz necessária para entender todas as suas funcionalidades.

Introdução ao Dradis

O Dradis Framework é um aplicativo Rails que pode ser usado para ajudar a gerenciar a grande quantidade de dados que são captados quando da realização de um  PenTesting. Com uma interface web amigável, simplifica a coleta de dados ao longo do ciclo do PenTest e ainda você pode compartilhar dados com os membros da sua equipe.

Ao combinar origens de dados diferentes, como Nmap, Nessus e até Metasploit você normalmente precisaria criar algum tipo de banco de dados e, em seguida, usar vários métodos para gerenciar essas  importações.

O Dradis tem plugins que permitem importar dados com apenas alguns cliques. Também permite que você carregue anexos, como screenshots ou para adicionar suas próprias notas ao banco de dados.

Iniciando o Dradis

Para iniciar a ferramenta selecione Applications | 12 – Reporting Tools | dradis.  Irá iniciar o browser tentando abrir a url http://127.0.0.1:3000.

Será solicitado que se insira uma senha, confirme, na próxima tela pede a criação de um usuário, geralmente eu escolho um com nome diferente, nesse caso vou deixar admin.

Agora com a interface web pronta vamos trabalhar. Ele é bem intuitivo para adicionar um host (node). Tem um curso interativo para aprender a sua metodologia, uma função interessante é o trabalho colaborativo, com as tarefas a serem executadas por cada membro. Em outro artigo vou falar especificamente dessa ferramenta.

Trabalhando com o KeepNote

Uma ferramenta que uso também para organizar os achados em um PenTest é o KeepNote, ferramenta bem simples que também se encontra no menu Applications | 12 – Reporting Tools | keepnote.

Após iniciar você deve criar um novo arquivo chamado Notebook, que geralmente eu coloco o nome do cliente que estou fazendo um PenTest.

Depois você seleciona criar um novo arquivo , nele é que você irá colocar os seus achados sobre os sistemas alvos.

 

 

 

 

No comments, be the first one to comment !

Deixe uma resposta

Todos os direitos reservados.

Login

4 + cinco =

Register

Create an Account
Create an Account Back to login/register