nmap Analyse - unsichere Systeme finden

[Backes]

Moin moin,

sitze aktuell an dem Problem, dass wir eine Analyse des Netzwerkes machen sollen und als Vorarbeit bereits alle Netze per nmap gescannt wurden und als xml exportiert wurden. Daten sind sehr ausführlich inkl. OS, Dienste und Co.

Wie würdet ihr da eine "Gefahrenanalyse" angehen?
Bestimmte OS als potenziell gefährlich einstufen (WinXP, etc.)?
Ports?

Ich stehe hier echt en bisschen aufm Schlauch und hab keinen Ansatzpunkt wie ich das angehen soll.

Als GUI hab ich Zenmap am laufen, aber sofern es Alternativen gibt die das automatisiert machen wäre natürlich umso besser.

Gruß
Backes

 

[honky-tonk]

als nächstes würde ich mal auf offene ports scannen und schauen ob die ports offen sein sollen. Veratetes OS ist natürlich auch eine gefahrenquelle. Ansonsten halt schauen ob die Software auf dem aktuellsten Stand ist, was wohl aber nicht mit nmap funktioniert.

 

[Merle]

Ich hätte auch Ports mit den notwendigen Protokollen abgeglichen, zuerst.
Alte OS natürlich ebenso.
Arg viel mehr kann man mit nmap ja auch nicht machen, eventuelle interne Probleme kann man im Netzwerk nur beim Portmirroring/Capture mit Wireshark erkennen und analysieren.
So gesehen bleiben ja nur Ports und das OS.

 

[Raijin]

Ich verstehe gerade nicht wieso du eine Gefahrenanalyse machen sollst, wenn du nicht weißt was du tun sollst? Ist das eine Aufgabe in Schule/Ausbildung/Studium? Wenn dem so wäre, dann sollten die Kenntnisse dazu im Vorwege vermittelt worden sein - Lehrmaterial durchgehen. Gerade bei IT-Sicherheit sollte man die Konzepte verstanden haben und nicht von anderen kopieren/abschreiben. Das führt nämlich dazu, dass man eben auch Fehler mit übernimmt, weil man gar nicht kapiert warum und wieso.

Abgesehen davon ist es schon so wie Merle schreibt. nmap allein ist nicht unbedingt aussagekräftig. Ein vermeintlich offener Port ist als solcher noch nicht zwangsläufig ein Sicherheitsproblem. Beispiel SSH. Wenn tcp 22 offen ist und dort auch ein SSH-Server lauscht, könnte sich ein Eindringling Zugang zum System verschaffen - es sei denn die Authorisierungsmethode ist entsprechend sicher konfiguriert. Dazu zählt zB ein starkes Passwort oder gar Zertifikate oder auch Skripte wie denyhosts bzw. fail2ban.

Wenn allerdings zB SMB-Ports auch extern erreichbar sind (also nicht nur netzwerkintern), dann ist das Risiko wiederum relativ hoch, weil SMB für den Einsatz in vertrauenswürdigen Netzwerken entwickelt wurde - und welche Wunder, das Internet ist nicht vertrauenswürdig.