Vorwort

Lieber Teilnehmer, liebe Teilnehmerin,

zuallererst möchten wir Sie in unserem Online-Kurs „Pentest Training“ willkommen heißen. Bevor Sie jetzt Ihre Finger spreizen und sich motiviert an die Arbeit machen, würden wir Ihnen gerne noch ein paar Worte über diesen Kurs mitgeben.

Als Penetration-Tester werden Sie sich der spannenden Aufgabe stellen, Sicherheitsanalysen von IT-Systemen durchzuführen. Die Durchführung eines sog. Penetration-Tests (Pentest) kann, wie Sie sich sicherlich vorstellen können, nicht rein aus Büchern erlernt werden. Andererseits können Sie auch nicht in die praktische Ausführung des Tests einsteigen, ohne über einiges theoretisches Grundlagenwissen zu verfügen. Wir haben den Kurs daher in dem aus unserer Sicht besten Verhältnis von Theorie (ca. 20 %) und Praxis (ca. 80 %) zusammengestellt:

Der Kernbestandteil von „Pentest Training“ ist eine virtuelle Laborumgebung. Diese stellt die IT-Infrastruktur des fiktiven Unternehmens Dubius Payment Ltd. dar, welche Sie aus Sicht eines Angreifers untersuchen sollen.

An die praktische Umsetzung führen wir Sie in unserem Online-Kurs heran. Dieses ist in Kapitel aufgeteilt und orientiert sich in seiner Gliederung an dem Prozess zur Durchführung eines Pentests. Wir empfehlen Ihnen daher, die einzelnen Kapitel sequenziell zu bearbeiten. Dennoch können Sie Ihre Herangehensweise selbst steuern, da Sie schließlich Ihr Lernverhalten am besten kennen. Über kleine Multiple-Choice-Tests können Sie stets Ihren Lernfortschritt verfolgen. Wie bereits erwähnt, umfassen die Kapitel nur das Handwerkszeug, verweisen aber bei tieferem Interesse auf externe Standarddokumente oder -veröffentlichungen im Internet. Erfahrungsgemäß festigt sich selbst erarbeitetes Wissen auf diesem Weg schneller und tiefer als bei bloßer Nutzung der Lernvorlage.

Das virtuelle Labor können Sie über unseren OpenVPN-Server erreichen. Hierzu müssen Sie im ersten Schritt Ihr Labor-Startdatum in Ihrem MyPortal über unsere binsec-academy-Plattform terminieren:

Sobald Ihr persönliches Übungslabor vollständig erstellt worden ist, können Sie Ihre VPN-Konfiguration in Ihrem MyPortal herunterladen und sich über den Befehl openvpn .ovpn mit dem OpenVPN-Server verbinden. Anschließend können Sie in die Welt von Dubius Payment Ltd. eintauchen. Zur Veranschaulichung zeigt das nachfolgende Netzwerkdiagramm den vereinfachten Aufbau der IT-Infrastruktur:

Insgesamt umfasst die IT-Infrastruktur von Dubius Payment Ltd. drei Netze: das DMZ-Netz, das Client-Netz und das Private-Netz. Die zwei internen Netze erlauben jedoch nur Verbindungen von und zu dem DMZ-Netz und sind durch Firewalls voneinander separiert. Ihre Aufgabe wird es sein, die Systeme im DMZ-Netz (10.250.53.0/24) erfolgreich zu kompromittieren und von dort aus in die weiteren Netze einzudringen. Eine Besonderheit unseres fiktiven Unternehmens Dubius Payment Ltd. sind dessen Angestellte, welche auf sozialen Netzwerken vertreten sein können und mit den IT-Systemen unseres virtuellen Labors interagieren.

Beim Versuch, Schwachstellen auszunutzen, kann u. U. die Funktionsweise des Zielsystems beeinträchtigt bzw. vollständig zerstört werden. Damit Sie ohne Besorgnis alle Techniken im Übungslabor ausprobieren können, können Sie einzelne Server anhand ihres Domain-Namens in Ihrem MyPortal über eine begrentze Anzahl an VM-Resets zurücksetzen. Wenn Sie beispielsweise dwestcott-desktop-pc.dubius-payment.com in seinem Ursprungszustand wiederherstellen wollen, müssen Sie nur dwestcott-desktop-pc in die nachfolgende Eingabemaske eingeben:

Die VM-Resets fungieren zwar als Absicherung bei einer missglückten Ausnutzung, helfen Ihnen bei der Kompromittierung eines Zielsystems aber selbst nicht weiter. Damit Sie sich auf Ihrer Suche nach Einfallstoren nicht die Zähne ausbeißen, verweisen wir gerne einmal auf unser Hilfesystem. Über dieses können Sie Tipps zu den einzelnen IT-Systemen freischalten, welche Ihnen konkrete Angriffsvektoren verraten. Spoiler verderben jedoch nicht nur den Spaß in Film und Fernsehen, sondern schmälern auch das Erfolgserlebnis, ein IT-System zu kompromittieren. Aus diesem Grund können Sie nur eine limitierte Anzahl an Tipps nutzen, da unser Hilfesystem an den Academy Coin gebunden ist: Für jeden Joker, den Sie ziehen möchten, müssen Academy Coins eingelöst werden. Zu diesem Zweck haben wir Ihnen ein Anfangsguthaben von 100 Academy Coins eingerichtet, welches sich über das Lösen unserer Multiple-Choice-Fragen in den Kapiteln weiter erhöhen lässt.

Im Allgemeinen haben wir jedem IT-System im Übungslabor eine IPv4-Adresse aus dem privaten IPv4-Netz 10.0.0.0/8 zugewiesen, sodass dieses Netz über unseren VPN-Server geroutet wird. Sofern Sie in Ihrem Arbeitsnetzwerk ebenfalls IPv4-Adressen aus dem o. g. Netzbereich beziehen, müssen Sie eventuell für eine reibungslose Funktionsweise more specific routes anlegen.

Als Angreifermaschine können Sie Kali Linux verwenden. Kali Linux ist eine kostenlose Penetration-Testing- und Security-Auditing-Linux-Distribution (Debian Derivat, basiert auf Debian Testing), welche mehr als 300 Pentest-Tools sowie vorinstallierte Dienste wie Apache beinhaltet. Die ISOs oder auch vorgefertigte VMs können hier heruntergeladen werden. Selbstverständlich können Sie auch ein anderes Betriebssystem für Ihre Angreifermaschine wählen. Sie müssen dann lediglich die aufgezeigten Tools nachinstallieren.