Tester les règles de pare-feu pour empêcher les Hacks réseau - les nuls

Vidéo: Are self-driving cars the future? | VPRO Documentary 2025

Dans le cadre de votre piratage éthique, vous pouvez tester vos règles de pare-feu pour vous assurer qu'elles fonctionnent comme elles le devraient. Les brèches dans les pare-feu peuvent facilement compromettre vos meilleurs efforts en matière de sécurité. Quelques tests peuvent vérifier que votre pare-feu fait ce qu'il dit. Vous pouvez vous connecter via le pare-feu sur les ports ouverts, mais qu'en est-il des ports qui peuvent être ouverts mais ne devraient pas l'être?

Netcat

Netcat peut tester certaines règles de pare-feu sans avoir à tester directement un système de production. Par exemple, vous pouvez vérifier si le pare-feu autorise le port 23 (telnet). Suivez ces étapes pour voir si une connexion peut être établie via le port 23:

Chargez Netcat sur une machine cliente à l'intérieur de le réseau.

Ceci configure la connexion sortante.
Charger Netcat sur un ordinateur de test en dehors de le pare-feu.

Cela vous permet de tester depuis l'extérieur.
Entrez la commande Netcat listener sur la machine client (interne) avec le numéro de port que vous testez.

Par exemple, si vous testez le port 23, entrez cette commande:
```
nc -l -p 23 cmd. exe
```
Entrez la commande Netcat pour lancer une session entrante sur la machine de test (externe). Vous devez inclure les informations suivantes:
- L'adresse IP de la machine interne que vous testez
- Le numéro de port que vous testez
Par exemple, si l'adresse IP de la machine interne (client) est 10. 11. 12. 2 et le port est 23, entrez cette commande:

nc -v 10. 11. 12. 2 23

Si Netcat vous présente une nouvelle invite de commande (c'est ce que le cmd. Exe est pour à l'étape 3) sur la machine externe, vous avez connecté et pouvez exécuter des commandes sur la machine interne! Cela peut servir à plusieurs fins, y compris le test des règles de pare-feu, la traduction d'adresses réseau (NAT), la redirection de port et - bien, uhhhmmm - l'exécution de commandes sur un système distant!

AlgoSec Firewall Analyzer

L'analyseur de pare-feu d'AlgoSec est un outil commercial qui donne d'excellents résultats.

AlgoSec Firewall Analyzer et d'autres similaires, tels que Athena Firewall Grader, vous permettent d'analyser en profondeur les bases de règles de pare-feu de tous les principaux fournisseurs et de détecter les failles de sécurité et les inefficacités que vous ne découvrirez jamais.

L'analyse de la base de règles de pare-feu ressemble beaucoup à l'analyse de code source - elle trouve des failles à la source que les humains ne verront probablement jamais même lorsqu'ils effectuent des tests de piratage éthiques approfondis sur Internet et le réseau interne. Si vous n'avez jamais effectué d'analyse de base de règles de pare-feu, c'est un must!

Contre-mesures contre les vulnérabilités de base de règles de pare-feu

Les contre-mesures suivantes peuvent empêcher un pirate de tester votre pare-feu:

Effectuez un audit de base de règles de pare-feu. Vous ne pouvez pas sécuriser ce que vous ne reconnaissez pas. Il n'y a pas de meilleur exemple de cela que les bases de règles de votre pare-feu. Peu importe à quel point votre base de règles est apparemment simpliste, il ne fait jamais de mal de vérifier votre travail à l'aide d'un outil automatisé.
Limitez le trafic à ce qui est nécessaire.

Définissez des règles sur votre pare-feu (et votre routeur, si nécessaire) qui ne transmettent que le trafic qui doit absolument passer. Par exemple, disposez de règles qui autorisent le trafic entrant HTTP vers un serveur Web interne, le trafic entrant SMTP vers un serveur de messagerie et le trafic sortant HTTP pour l'accès Web externe.

C'est la meilleure défense contre quelqu'un qui attaque votre pare-feu.
Bloquer ICMP pour empêcher un attaquant externe de pointer et de pousser votre réseau pour voir quels hôtes sont vivants.
Activez l'inspection de paquets avec état sur le pare-feu pour bloquer les demandes non sollicitées.