-: Oké, nu we Nexpose met succes hebben geïnstalleerd, laten we eens kijken
hoe we dat gereedschap kunnen uitvoeren en wat
dat gereedschap is.
Ik weet dat we er veel over gesproken
hebben en het installatieproces hebben
doorlopen, maar je hebt nog steeds niet gezien wat het gereedschap doet.
Dit is dus de homepage van de tool.
En, zoals je nu kunt zien, is alles leeg.
Dus, voordat ik ga praten over wat alles betekent, laten
we doorgaan en het doel toevoegen en
dan doen we een test en zien we wel, want dit spul wordt
gevuld nadat we een test hebben gedaan.
Dus het eerste wat ik ga doen is op Create
gaan en op Site gaan om het doel toe te voegen.
En ik noem dit doel "metaesploitable",
en ik ga naar de assets en voeg het doel toe.
Het doel kan dus op dezelfde manier worden ingericht als toen
we het netwerkpenetratiegedeelte van de
dingen met Zenmap deden.
Dus u kunt het bereik toevoegen of u kunt een specifieke IP toevoegen.
Dus hierin richten we ons eigenlijk op de Metasploitable
machine.
Dus we gaan ons doel
toevoegen, dat is 10, 20, 14, 2, 0, 4.
Bevestig dit hier. Dit is onze Metasploitable
machine, 10, 20, 14, 2, 0, 4.
En we voegen dit toe aan een
groep en noemen dat ook "metasploitable".
En we noemen dit "test".
Dus dit is onze groepsnaam.
Nu, hier in het authenticatiegedeelte, als het doel
een soort authenticatie gebruikt, zodat niemand toegang
heeft tot het doel, tenzij ze zich moeten authenticeren
met een soort dienst.
Bijvoorbeeld een FTP-dienst of een
web http-verificatie,
een TELNET- of een SQL-server.
Dus je kunt het van hieruit kiezen, zet
het domein, gebruikersnaam, wachtwoord, bevestig je wachtwoord.
En op die manier zou het raamwerk zich kunnen authenticeren met
die dienst en de veiligheid van je server kunnen testen.
Onze server gebruikt geen enkele vorm van authenticatie, dus
hebben we dit niet nodig.
Ook, als je je richt op een webapplicatie en de webapplicatie
heeft een login pagina, bijvoorbeeld, voor gebruikers van bijvoorbeeld
Facebook.
Laten we zeggen dat je je richt op Facebook.
Dan heb je geen toegang tot de meeste functies van Facebook,
tenzij je inlogt met een bepaalde gebruikersnaam en een
wachtwoord.
Dus nogmaals, met deze functie
kun je inloggen en de beveiliging van je doelwit testen.
En de Templates is, waar u het scantype selecteert.
Het lijkt dus erg op het scantype met Zenmap.
In Zenmap hadden we een quick scan, quick
scan plus en intensieve scan. Dit is hetzelfde.
Dus elk van deze profielen is anders.
Het scant verschillende dingen.
We hebben hier bijvoorbeeld
de volledige audit, die veel
tijd kost, maar vrijwel alles controleert.
Dan heb je een volledige audit enhanced
logging zonder Web Spider.
Een Web Spider is dus een hulpmiddel of een script
dat alle bestanden en mappen in uw doelwit vindt.
En de standaard is een volledige audit zonder Web Spider.
Dus die gaan we doen.
En je hebt ook netwerkspecifieke profielen.
Je hebt ook web audits.
Dus ik moedig u echt aan om ze allemaal of de meeste ervan te proberen en
er vertrouwd mee te raken.
Nu gaan we alleen deze proberen
omdat het gebruik ervan hetzelfde is.
Die zal scannen op ICMP-, TCP- en UDP-poorten.
Dus dat laat ik zo.
Ik laat de engine ook hetzelfde,
wat betekent dat het onze lokale engine
gaat gebruiken, die we geïnstalleerd
hebben in plaats van die van Rapid7.
En de waarschuwingen, u kunt aangepaste waarschuwingen instellen.
Dus als er een kwetsbaarheid wordt gevonden,
krijg je een melding.
En het schema is een echt, echt leuke functie.
Stel, je werkt voor een bedrijf of voor een onderneming
die elke dag nieuwe code blijft pushen.
Of bijvoorbeeld je code, je doet
vandaag een test en alles
waar je aan werkt is goed.
Uw webservers, uw programma's, uw toepassingen.
Alles is up-to-date en
er zitten geen kwetsbaarheden in.
Stel dat u morgen een nieuwe kwetsbare code publiceert,
of dat iemand morgen een nieuwe kwetsbaarheid ontdekt in een
programma dat u gebruikt op uw webserver.
Dus je bent niet meer veilig.
Met deze functie kunt u deze test dus zo plannen dat hij elke
week, elk uur of elke maand wordt uitgevoerd, afhankelijk
van hoe kritisch hij is.
U hoeft dus alleen maar naar Agenda maken te gaan en de agenda te maken,
zodat u een begindatum
en een einddatum kunt invoeren, en u stelt
vanaf hier de frequentie in, voor
elke dag, elke donderdag, elke 26e, of afhankelijk
van wat u wilt.
U maakt een schema en dan zal elk interval
dat u opgeeft, de scan uitvoeren.
En je kunt het zelfs een rapport voor je laten maken.
Zo kun je het rapport doornemen en zien wat er veranderd
of ontdekt is.
Dus alles is nu goed.
Het belangrijkste deel vandaag,
of wat we hier gedaan hebben is dat je je doel hier neerzet.
En vervolgens selecteert u het sjabloon.
Dus we hebben ze allebei geselecteerd,
en we gaan opslaan en scannen, wat deze
configuratie opslaat en een scan voor ons start.
Nu, zoals u kunt zien, zijn onze activa aan het ontdekken.
Ik ga de video pauzeren.
En daarna zullen we
praten over de resultaten die we kregen.