Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Обсуждение статей (закрыто) » Обсуждение публикаций
Страницы: Пред. 1 2 3 4 След.
RSS
Сравнительный анализ сканеров безопасности
 
#21
Это нравится:0Да/0Нет
19.12.2005 21:49:09
нулевую сессию можно установить не только по netbios/cifs, но и на любую службу использующую аутентификацию windows. вспомни багу с экчангом, разрешающим релей при аутентификации через нулевую сессию на 25й порт ;-)
просто сканнеры используют нулевую сессию для вполне понятных целей утягивания учеток, поэтому проверяют ее на netbios/cifs.
Хотя некто тыэсэс обещал windows-аутентификацию в другие протоколы, за что честь ему и хвала.
 
 
 
#22
Это нравится:0Да/0Нет
19.12.2005 21:52:54
Цитата
Так же как и у IS.
тут, батенька, позвольте не согласиться-у is всегда свежая база nmap'а, даже свежей чем на сайте федора. только ея включать надо, проверочку.
 
 
 
#23
Это нравится:0Да/0Нет
19.12.2005 22:02:45
Цитата
Алексей Лукацкий пишет:
У меня есть сомнения в корректности рис.2, где указана распространенность разных сканеров (помимо самой диаграммы, где ровно половина ее почему-то равна 42%, есть нарекания и по самим цифрам).
Видимо, потому, что общая сумма там - 84%. Остальные сканеры на диаграмму не попали.
 
 
 
#24
Это нравится:0Да/0Нет
19.12.2005 22:14:07
А где nmap? Почему не сравнивали с nmap'ом? Я протестую!!!
 
 
 
#25
Это нравится:0Да/0Нет
19.12.2005 22:18:21
Цитата
Видимо, потому, что общая сумма там - 84%.

Да. У авторов большие проблемы с экзелем. Помниться тут недавно была очень правильная статья об этом могучем инструменте пентестера. может им сначала экзель изучить а потом уж всякие сканнеры уязвимостей пускать, не говоря уже про сканнеры безопасности, это вообще серьезный продукт!
 
 
 
#26
Это нравится:0Да/0Нет
19.12.2005 22:27:20
почитал статью... вообще многое стало непонятно. какие сети авторы анализируют и цель анализа...

то что я увидел - это уязвимости и их рейтинг (высокая, средняя, низкая). Ок. читаем. в  итоге видим большинство уязвимостей имеют прямое и непосрественное отношение к веб службам.

ну хорошо. теперь задаемся вопросом - много желающих размещать конфиденциальную информацию на веб серверах..?
вопрос второй - тоже не тривиальный - в процентном соотношении количество сетей имеющих установленные веб службы..?

теперь основной вопрос - что авторы тестировали и что хотели доказать? Ибо тестирование сети подразумевает именно сеть. можно было бы подумать что качество реализации проверки веб сервисов и определяет качество сканера... но авторы же сами и доказывают что это не так.

а теперь рассмотрим на практике. много вы занаете сетей в которых по нескольку веб серверов...?  И какие цели их использования? ну смысл.  На практике на 1 сервак очень часто ставиться и контроллер домена, и почта и веб, и т.д. он же файловый, он же принт-сервер. Если же мы говорим о более менее нормальной компании - значит будет использоваться дробление сетей на сегменты, firewall и т.д.  Но кто сказал что это априории cisco ?

в общем после статьи осталось непонятное ощущение...

одно дело рассматривать реальную сетку - где есть сетевое оборудование, DNS, граничные сервера с интернет,

другое сканировать провайдера на площадке которого расположены веб и пр. сервера.
( что сканировали авторы статьи.... остается загадкой).
цели разные, информация разная, угрозы разные... ну здорово конечно, если один сканер подойдет для решения всех задач, но даже тот факт что создаются продукты нацеленные на разные сегменты рынка уже о чем то да говорит.

В общем хочется ясности в вопросе. Возможно это только я не понял гениального творения, дай бог чтоб оно так и было.
 
 
 
#27
Это нравится:0Да/0Нет
19.12.2005 22:31:31
Цитата
Гость пишет:
у спайдера имхо серьезные траблы с фингерпринтом осей
для сканера безопасности не это главное
если так приспичило подключи к нему нмап и все
главное сколько и какте уязвимости может найти сканер

Цитата
xakep пишет:
А где nmap? Почему не сравнивали с nmap'ом? Я протестую!!!
а тут я просто промолчу
скрипткидисы вперед! :)
 
 
 
#28
Это нравится:0Да/0Нет
19.12.2005 22:33:21
Цитата
пентестер пишет:
тут, батенька, позвольте не согласиться-у is всегда свежая база nmap'а, даже свежей чем на сайте федора. только ея включать надо, проверочку.

Win 2000 SP4 без патчей  в не которых случаях путает с Win XP (Win XP в сети вообще нет). При чем здесь база?  :D
 
 
 
#29
Это нравится:0Да/0Нет
19.12.2005 22:39:45
Цитата
другое сканировать провайдера на площадке которого расположены веб и пр. сервера.
а что это например за веб сервер такой на котором всего два порта 6666 и 6667 на которых в свою очередь установлены скл сервер и удаленное управление?
мне показалось, что там и половины веб серверов нет
 
 
 
#30
Это нравится:0Да/0Нет
19.12.2005 23:08:45
а еще... господин Лукацкий как то публиковал тут статью про будующее сканеров безопасности. Много было высказываний по теме так сказать.

А теперь все по новой. Будущее оказывается у сканеров одно. А лучшие из существующих экземпляры почему то к этому будущему никакого отношения не имеют. Странно.

опять таки угрозы появляются новые - а способы их обнаружения по прежнему старые...

неутешительный напрашивается вывод господа-товарищи... проигрываем мы в вопросах безопасности то .... проигрываем.
сложность систем растет, критических уязвимостей масса, скорость появления новых потенциально ( да и не потенциально, а фактически) опасных программ высокая, производители же ПО успешно творят десятками, сотнями патчи к своим программным продуктам ( и не всегда их творения нацелены на то чтобы обезопасить конечного пользователя - банально Sony) .... а ведущие эксперты кормят нас статьями 6-ти месячной давности.

(отступление - я не только про информ-защиту, недавние заметки Касперского тоже немалого стоят, равно как и г-н Лукацкий тут про специалистов по безопасности высказывался.... ну к чему все это - работать то будем, или только и будем определять место безопасности в нашей жизни?)

Или кто-то пытается убедить нас в том что они с мая по декабрь эти хосты тестировали? Ну тогда расскажите поподробнее о методике, наверное нам всем стоит поучиться на накопленном опыте, который явно и увы не попал в предложенный pdf файл.

( отступление - ведь было же на этом форуме тестирование - безымянных авторов , они быстро и просто все просканировали, и про методику все написали, и про безопасность, так вот то исследование показало что большинство не использует сканеров безопасности и не устраняет уязвимости....
- теперь оказывается все иначе, все используют сканеры, используют .... и обнаруживают все те же уязвимости которые присутствовали и раньше....

дальнейшее отсупление  - во здорово-то, или уязвимости были внесены в систему умышленно, .... странно  - ну зачем рассматривать гипотетический случай, показать что уязвимости есть, так оно и так понятно целевой аудитории, а если тестируется живая сеть, и в ней присутствуют все перечисленные уязвимости - то о каком выборе сканера идет речь? Да пусть ИСПОЛЬЗУЮТ ЛЮБОЙ, главное в данном случае ИСПОЛЬЗОВАТЬ, а не марка сканера)

Всем спасибо за проделанную работу, однако, если кто-то это делает, значит кому-то оно все таки нужно.
 
 
 
#31
Это нравится:0Да/0Нет
19.12.2005 23:18:52
to знающий

бывают примеры общие - бывают частные.

Ок  - в процентном отношении колиество sql серверов на порту 6666 ( или в штуках... как угодно)
и многих вы знаете использующих удаленное управление - когда потенциально (а иногда и....) ваш провайдер сканирует трафик. т.е. если вы перевели удаленное управление на нестандартный порт вы себя обезопасили? (или нужно говорить о том что если вы перевели удаленное управление на порт 6667 то однозначно вы использовали и дополнительные механизмы защиты... как правильнее? )

.....  можно подумать злобные дядьки китайцы и американцы будут ломать ваш сервер. Ну конечно вот ближе ну не нашлось, именно в россию полезут.
(это совсем не означает что не будут, я о том, что есть угрозы которые более реальны, а есть менее, а есть опасность которую несет в себе угроза)

ну о чем мы говорим?
 
 
 
#32
Это нравится:0Да/0Нет
19.12.2005 23:23:30
to знающий

я реально уважаю ваше мнение, но будем отталкиваться от действительности


11 - 11.11.11.11 (host11.test)
обнаруженные порты  TCP 25, 6666 (Radmin), 6667 (MSSQL), 8081 (HTTP)

значит этот хост не вэь -сервер... ну вам конечно виднее...

это наверно машина секретарши ...=)

(так вот в общем случае это то что я говорю, а в частном это может быть и компьютер секретарши)

с уважением.
 
 
 
#33
Это нравится:0Да/0Нет
19.12.2005 23:42:25
to знающий

как определить среднее? сумма на общее количество... ну что ж.

1.1.1.1 (host1.test) 53
2.2.2.2 (host2.test) 25, 53
3.3.3.3 (host3.test) 21, 53, 80
4.4.4.4 (host4.test) 22, 25, 53
5.5.5.5 (host5.test) 80, 443, 446
6.6.6.6 (host6.test) 80, 443
7.7.7.7 (host7.test) 21, 22, 25, 53, 80
8.8.8.8 (host8.test) 7, 9, 19, 23, 57 (TELNET)
9.9.9.9 (host9.test) 21, 25, 80, 110, 135, 445, 3389 (MSRDP), 4899 (Radmin), 44333 (WinRoute)
10.10.10.10 (host10.test) 21, 22, 25, 53, 80, 110, 143, 993 (IMAPSSL), 1723 (PPTP), 3128 (SQUID)
11.11.11.11 (host11.test) 25, 6666 (Radmin), 6667 (MSSQL), 8081 (HTTP)
12.12.12.12 (host12.test) 21, 80, 3389
13.13.13.13 (host13.test) 21
14.14.14.14 (host14.test) 53, 5876 (Radmin)
15.15.15.15 (host15.test)  TCP 25, 587, 3128. udp 53
16.16.16.16 (host16.test) 22, 25, 80, 111, 3306 (MySQL), 10000 (HTTP)
17.17.17.17 (host17.test) 21, 22, 25, 80, 110, 143, 443, 993, 995, 3306 (MySQL), 5432 (PostgreSQL
Server)
18.18.18.18 (host18.test) tcp 514 udp 161
19.19.19.19 (host19.test) 21, 25, 53, 80, 110, 111, 32768, 51234
20.20.20.20 (host20.test) 21
21.21.21.21 (host21.test) 22, 1494, 1495, 1723, 2225 (Telnet), 4225 (Telnet), 60025 (SMTP),
60110 (POP3)
22.22.22.22 (host22.test) 21, 22, 25, 80
23.23.23.23 (host23.test) 21, 25, 80, 995 udp 53

итого 23 узла. Считать все умеют. Привязки по портам общедоступная информация - выводы самостоятельно.

второе -будем считать это все реальные узлы  и  все в одной сети. Тогда пример такой сети - ну просто 1 пример....  ну хоть один фактический пример такой вот сети.

я могу признать свою неправоту, и даже не единожды. И было бы (честно) очень здорово, если бы я ошибался...
 
 
 
#34
Это нравится:0Да/0Нет
19.12.2005 23:45:14
Цитата
Гость пишет:
11 - 11.11.11.11 (host11.test)обнаруженные порты TCP 25, 6666 (Radmin), 6667 (MSSQL), 8081 (HTTP)

значит этот хост не вэь -сервер... ну вам конечно виднее...
сказать что это веб сервер тоже сложно, скорее всего на 8081 служебный сервис для какого-то управления, а не публичный веб-сервер
я думаю вряд ли кто-то будет указывать удрес сайта http://www.host.com:8081
 
 
 
#35
Это нравится:0Да/0Нет
19.12.2005 23:48:08
Цитата
Гость пишет:
итого 23 узла. Считать все умеют. Привязки по портам общедоступная информация - выводы самостоятельно.

второе -будем считать это все реальные узлы и все в одной сети. Тогда пример такой сети - ну просто 1 пример.... ну хоть один фактический пример такой вот сети.

я могу признать свою неправоту, и даже не единожды. И было бы (честно) очень здорово, если бы я ошибался...
да проще спросить авторов обзора
но я думаю, что далеко не на всех вышеперечисленных серверах находятся публичные сервера
автора в студию!!
 
 
 
#36
Это нравится:0Да/0Нет
19.12.2005 23:58:00
to знающий

;)
 
 
 
#37
Это нравится:0Да/0Нет
20.12.2005 00:23:39
ну конечно ... вряд ли...

http://www.comail.ru:8081/ - парни сорри, я не хотел вас подставлять... так получилось... все вопросы к яндексу.
http://www.obz2.ru:8081/
http://realchat.kz:8081/

раньше... давно, я тоже думал что ..... ну короче что не делают на портах отличных от 80, я ошибался....
 
 
 
#38
Это нравится:0Да/0Нет
20.12.2005 00:30:56
Цитата
Гость пишет:
http://www.comail.ru:8081/ - парни сорри, я не хотел вас подставлять... так получилось... все вопросы к яндексу.http://www.obz2.ru:8081/http://realchat.kz:8081/
во всех случаях при этом есть веб сервер и на 80 порту
а в случае теста такового нет
вот так
 
 
 
#39
Это нравится:0Да/0Нет
20.12.2005 02:00:44
хрОСь и пополам
 
 
 
#40
Это нравится:0Да/0Нет
20.12.2005 02:17:47
Веб сервером имеет смысл называть сервер на котором открыт 80 порт. Серверы на вышеперечисленных урлах имеют и 80 порт открытым тоже. Они веб-серверы. А вот если открыт какой-то не 80 с HTTP, а 80  - закрыт, то скорее всего это не веб-сервер.
 
 
 
Страницы: Пред. 1 2 3 4 След.
Читают тему