Review: Penetration Testing Training with Kali Linux von Offensive Security
Vorbereitende Maßnahmen
Bevor man sich dazu entscheidet, den Kurs und die damit verbundene Laborzeit zu buchen, empfiehlt Offensive Security, sich mit verschiedenen Themen auseinandergesetzt zu haben.
So sind nicht nur ein gutes Verständnis der TCP/IP-Protokollfamilie absolut wichtig, sondern auch Grundwissen in Bash-Skripting und Erfahrung im Umgang mit Linux von Vorteil. Da die meisten Teilnehmer des Kurses sich sicherlich bereits vorher mit dem Themengebiet des Penetrationtestings auseinandergesetzt haben und nicht völlig unbedarft den Kurs starten, sollten wenig bis keine Probleme beim Zurechtfinden auftauchen.
Der Kurs
Dieser umfasst ca. 350 Seiten Lernunterlagen, die mit vielen Beispielen – unterstützt durch eine umfangreiche Sammlung von Vorlesungsvideos und Übungen – dem Teilnehmer die Benutzung wichtiger Tools erklären und Techniken zur Durchführung von Penetrationstests vermitteln.
Dies schließt unter anderem folgendes ein:
- Aktives / passives Sammeln von Informationen
- Finden und Ausnutzen von Schwachstellen
- Port-Weiterleitung und Tunneling
- Umgehen von Antiviren-Software
- Angriffe auf Web-Applikationen, Clients und Passwörter
- Erklärung und Beispiele zum Ausnutzen von Buffer Overflow
Darüber hinaus erhält man Zugang zu einer, von Offensive Security bereitgestellten, Laborumgebung. Hierbei gibt es verschiedene, buchbare Optionen, die zwischen 30 und 90 Tagen Zugriff auf das Labor beinhalten.
Darin enthalten ist die simulierte Struktur eines Firmennetzwerks, in dem man die Möglichkeit hat, auf den verschiedenen Clients und deren Umgebung das Erlernte anzuwenden und auszuprobieren.
Innerhalb dieser Netzstruktur gilt es nicht ausschließlich die Sicherheitslücken der einzelnen Maschinen zu finden und auszunutzen, sondern auch anschließend auf den Systemen Informationen zu sammeln, welche auf Schwachstellen der Nachbarsysteme oder weitere Verzweigungen im Firmennetz hinweisen können.
In genau diesen Verzweigungen liegt allerdings auch der entscheidende Unterschied zu vielen kostenlosen „Capture-the-flag“- Communities im Internet, welche hautpsächlich eigenständige, in sich abgeschlossene Systeme zur Verfügung stellen. Diese bieten zwar genauso breitgefächerte Möglichkeiten, die persönlichen Fähigkeiten zu verbessern oder neue Ansätze zu lernen, spiegeln aber zusätzlich bedingt durch ihren Rätselcharakter leider keine so realistische Umgebung wider.
Nach dem Kurs ist vor der Prüfung
Insgesamt ist der Kurs darauf ausgelegt, dass der Teilnehmer im Anschluss die, in den Kursgebühren enthaltene, Prüfung zum „Offensive Security Certified Professional“ ablegt. Die Anforderungen, um die Prüfung zu bestehen, gehen deutlich über einen reinen Fragenkatalog hinaus und verfolgen einen deutlich praxisbezogeneren Ansatz.
Die eigentliche Dauer der Prüfung ist auf knapp 24 Stunden angesetzt. In dieser Zeit hat der Prüfling die Chance, eine bestimmte Anzahl an Maschinen zu Fall zu bringen, sprich Sicherheitslücken herauszufinden und diese auszunutzen. Hierfür ist es sinnvoll, sich selbst eine standardisierte Vorgehensweise festzulegen, welche Schritte nacheinander beim Testen durchgeführt werden sollen. Selbstverständlich ist es nicht immer möglich, sich an diese Reihenfolge zu halten. Dennoch ist es ungemein hilfreich, wenn man einen Leitfaden hat, auf den man wieder zurückkommen kann, falls man sich in einen falschen Ansatz verrannt hat oder auf den ersten Blick keinen Angriffsvektor ausmachen kann. Zusätzlich ist dabei wichtig, genau wie bei einem echten Penetrationstest, zu dokumentieren, wie die jeweiligen Ziele angegriffen und übernommen wurden. Zum Ausarbeiten dieser Dokumentation bleiben dem Prüfling nach Ablauf des praktischen Teils weitere 24 Stunden Zeit.
Ein Punkt, der für potentielle Teilnehmer interessant sein könnte ist, dass während der gesamten praktischen Prüfung sowohl die Bildschirmanzeige als auch der Prüfling selbst per Remote-Video-Verbindung unter Beobachtung stehen. Selbstverständlich dürfen während der 24 Stunden Pausen gemacht werden, diese sind aber bei der Remote-Aufsicht an- und abzumelden. Dieses Verfahren wurde aufgrund einer Reihe von Betrugsversuchen erst im vergangenen Jahr eingeführt.
Fazit
Aus meiner Sicht bringt dieser Kurs eine Menge Spaß mit sich, auch wenn es unterdessen schon auch mal deprimierend sein kann, in einer Situation momentan keinen Ansatzpunkt zu finden. Ob einem der, von Offensive Security herausgegebene, Leitspruch „Try Harder“, dann noch weiterhilft, muss jeder für sich selbst entscheiden. Die vielen verschiedenen Maschinen in der Laborumgebung lassen aber genug Spielraum, sich auch mal auf was Anderes zu fokussieren und später wieder zum ursprünglichen Problem zurückzukehren. Zusätzlich bietet das Online-Forum eine sehr gute Plattform, um sich mit anderen Teilnehmern auszutauschen.
Ein wenig schade ist, dass viele der Systeme in der Umgebung schon recht alte Sicherheitslücken aufweisen. Hier wäre es wünschenswert, dass Offensive Security aktuellere Systeme zur Verfügung stellt.
