## Murtotestausraportti

### Johdanto

Tämä raportti sisältää havainnot ja suositukset tekemästämme penetraatiotestistä, joka kohdistui verkkoon kuuluvaan verokorttiweb-sovellukseen sekä IIS-webpalvelimeen. Testin tavoitteena oli tunnistaa mahdolliset tietoturvaongelmat ja tarjota selkeät ohjeet näiden ongelmien korjaamiseksi.

On tärkeää huomata, että kyseessä ei ole kattava tietoturvatestaus jossa olisi yritetty keksiä kaikki mahdolliset tavat parantaa tietojärjestelmien turvallisuutta kokonaisuutena, vaan murtotestaus, jossa yritettiin löytää tapa saada Windows-verkko haltuun ja jonka yhteydessä raportoitiin vain tärkeimmät hyökkäyspolun matkalla löytyneet haavoittuvuudet.

### Havainnot ja suositukset

- **Verokorttiweb-sovellus ei sisältänyt tunnistautumista**. Suosittelemme, että otatte käyttöön vahvan tunnistautumisen mekanismin, joka vaatii käyttäjiä kirjautumaan sisään yritystunnuksilla tai varmennetulla kahden tekijän tunnistautumisella (esim. käyttäjän salasana ja tekstiviestillä lähetettävä varmennuskoodi). Näin voitte varmistaa, että vain oikeutetut ja tunnistautuneet käyttäjät pääsevät käyttämään verokorttisovellusta.
- **Verokorttiweb-sovelluksessa havaittiin tiedoston lataushaavoittuvuus**. Suosittelemme korjaamaan tämän haavoittuvuuden välittömästi. Yksi tapa tehdä tämä on rajoittaa tiedostojen lataaminen sovelluksessa sallittuihin tiedostotyyppeihin, kuten PDF-tiedostoihin tai kuviin. Lisäksi harkitkaa pilvitallennusastioiden (esim. Amazon S3, Microsoft Azure Blob Storage) tai binääristen tietueiden käyttämistä tietokannoissa tiedostojen tallentamiseen sen sijaan, että ne tallennettaisiin suoraan tiedostojärjestelmään. Tämä auttaa estämään tiedostonlataushyökkäyksiä ja parantaa tietoturvaa.
- **IIS-webpalvelimen juurikansio oli kirjoitettavissa**. Suosittelemme muuttamaan sen kirjoitettamattomaksi, sillä kirjoitettava juurikansio voi johtaa haitalliseen tiedostonlataukseen ja muihin tietoturvaongelmiin. Varmistakaa, että ainoastaan tarvittavat käyttäjät ja prosessit voivat muokata ja tallentaa tiedostoja web-palvelimen juurikansioon.
- **IIS-webpalvelin toimi SYSTEM-käyttäjänä**. Suosittelemme muuttamaan sen toimimaan IIS-käyttäjänä, jotta rajoitetaan käyttöoikeuksia. SYSTEM-käyttäjällä on korkeat oikeudet, ja sen käyttäminen web-palvelimessa voi altistaa sen hyökkäyksille ja mahdollistaa laajemmat vahingot. Varmistakaa, että web-palvelu ajetaan ainoastaan tarvittavilla oikeuksilla, mikäli se vaatii tiedostojärjestelmäoikeuksia tai muita erikoisoikeuksia.
- **Molemmat palvelimet olivat ilman Windows Defender -suojaa**. Suosittelemme ottamaan Windows Defenderin käyttöön molemmissa palvelimissa. Windows Defender on Microsoftin sisäänrakennettu turvallisuusohjelmisto, joka tarjoaa suojausta haittaohjelmia ja muita tietoturvauhkia vastaan. Varmistakaa, että Windows Defender on päivitetty ja että sen automaattiset päivitykset ovat käytössä, jotta se voi tunnistaa ja torjua uusimmat tietoturvaongelmat.
- **Molemmat palvelimet mahdollistivat turhaan hyökkääjän virtuaalikoneen yhteyden SMB- RPC- ja HTTP-portteihin**. Suosittelemme parantamaan palomuurisääntöjä, jotta vain tarvittavat liikenteen tyypit ja IP-osoitteet ovat sallittuja. Sulkekaa tarpeettomat portit ja protokollat ja rajoittakaa liikenne vain sellaisille yhteyksille, jotka ovat välttämättömiä palveluiden toiminnan kannalta.
- **Saman paikallisen ylläpitäjän salasanaa käytettiin uudelleen koko verkkotunnuksessa**. Suosittelemme käyttämään ainutlaatuisia paikallisen ylläpitäjän salasanoja jokaisella palvelimella ja tietokoneella. Älkää käyttäkö samaa salasanaa useammassa kuin yhdessä paikassa, sillä tämä voi altistaa koko verkkotunnuksen laajemmalle hyökkäykselle, jos salasana vuotaa tai paljastuu yhdeltä palvelimelta.
- **Toimialue salli etäkirjautumisen paikallisilla tunnuksilla. Tämä korjattiin käyttämällä** "Estä pääsy tähän tietokoneeseen verkosta" -ryhmäkäytäntöä etäkirjautumisen estämiseksi paikallisille tunnuksille. Tämä auttaa estämään mahdollisia etähallintaan liittyviä hyökkäyksiä ja vahvistaa verkkotunnuksen turvallisuutta.

### Yhteenveto

Tämän penetraatiotestin perusteella havaittiin useita tietoturvariskejä verokorttiweb-sovelluksessa ja IIS-webpalvelimessa. On tärkeää, että nämä havaitut haavoittuvuudet korjataan mahdollisimman pian noudattamalla yllä olevia suosituksia. Näiden korjaustoimenpiteiden avulla voitte parantaa merkittävästi tietoturvan tasoa.


Skenaario 1 - Murtotestausraportti

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

Skenaario 1 - Murtotestausraportti

Hakkeroinnin oppiminen alkaa tästä