-: Dobra, teraz, gdy pomyślnie zainstalowaliśmy Nexpose, zobaczmy, jak możemy
uruchomić to narzędzie i zobaczmy, co
to za narzędzie.
Wiem, że dużo
o tym rozmawialiśmy i przeszliśmy
przez proces instalacji, ale nadal nie widzieliście, co robi narzędzie.
To jest strona główna narzędzia.
I jak teraz widać, wszystko jest puste.
Więc zanim zacznę mówić o tym, co to wszystko
znaczy, chodźmy dalej i dodajmy
cel, a potem zrobimy test i zobaczymy, bo
te rzeczy zostaną wypełnione po wykonaniu testu.
Więc pierwszą rzeczą, którą zrobię, to wejdę
na Stwórz i wejdę na Witrynę, aby dodać cel.
Nazwę ten cel "metaesploitable"
i przejdę do aktywów i dodamy
cel.
Tak więc cel może być ustawiony w ten sam sposób,
w jaki go dodaliśmy, gdy robiliśmy część
penetracji sieci z Zenmapem.
Możesz więc dodać zakres lub możesz dodać konkretny adres IP.
Tak więc w tym przypadku celujemy
w maszynę Metasploitable.
Dodamy więc nasz
cel, czyli 10, 20, 14, 2, 0, 4.
Potwierdź to tutaj. To jest nasza maszyna Metasploitable,
10, 20, 14, 2, 0, 4.
Dodamy to do
grupy i nazywamy to również „metasploitable”.
I nazywamy to „testem”.
Więc to jest nazwa naszej grupy.
Teraz, w części dotyczącej uwierzytelniania, jeśli cel używa
jakiegoś rodzaju uwierzytelniania, więc nikt nie może uzyskać dostępu
do celu, chyba że musi uwierzytelnić
się za pomocą jakiegoś
rodzaju usługi.
Na przykład, jeśli jest to usługa
FTP lub uwierzytelnianie
WWW http, TELNET lub serwer SQL.
Możesz więc wybrać go
stąd, umieścić domenę, nazwę użytkownika, hasło, potwierdzić swoje hasło.
W ten sposób framework byłby w stanie uwierzytelnić się za
pomocą tej usługi i przetestować bezpieczeństwo twojego serwera.
Teraz nasz serwer nie używa żadnego typu uwierzytelniania, więc
nie potrzebujemy tego.
Ponadto, jeśli kierujesz reklamy na aplikację
internetową, która ma stronę logowania, na przykład dla użytkowników,
na przykład Facebooka.
Załóżmy, że kierujesz reklamy na Facebooka.
Wtedy nie będziesz mieć dostępu do większości funkcji Facebooka,
chyba że zalogujesz się przy użyciu określonej nazwy użytkownika
i hasła.
Więc ponownie, korzystając z tej
funkcji tutaj, możesz się zalogować, a następnie przetestować bezpieczeństwo swojego celu.
A Szablony to miejsce, w którym wybierasz typ skanowania.
Jest więc bardzo podobny do typu skanowania za pomocą Zenmap.
Widzieliśmy w Zenmapie, mieliśmy szybkie skanowanie, szybkie
skanowanie plus i intensywne skanowanie. To jest to samo.
Więc każdy z tych profili jest inny.
Skanuje różne rzeczy.
Na przykład mamy tutaj
pełny audyt, który
zajmuje dużo czasu, ale prawie wszystko sprawdza.
Następnie masz pełne rejestrowanie rozszerzonego audytu
bez Web Spider.
Tak więc Web Spider to narzędzie lub
skrypt, który znajduje wszystkie pliki i katalogi w Twoim celu.
A domyślny to pełny audyt bez Web Spidera.
Więc to jest ten, który będziemy robić.
Masz również profile specyficzne dla sieci.
Masz również audyty internetowe.
Dlatego naprawdę zachęcam do wypróbowania wszystkich lub większości z nich i
zapoznania się z nimi.
Teraz spróbujemy tylko tego,
ponieważ korzystanie z nich jest takie samo.
Który będzie skanował porty ICMP, TCP i UDP.
Więc zostawiam to bez zmian.
Zostawię również silnik bez zmian,
co oznacza, że będzie używał naszego
lokalnego silnika, który
zainstalowaliśmy zamiast tego, który dostarcza Rapid7.
A alerty możesz skonfigurować niestandardowe alerty.
Więc wtedy, gdy zostanie znaleziona
podatność, otrzymasz powiadomienie.
A harmonogram to naprawdę fajna funkcja.
Załóżmy teraz, że pracujesz dla firmy
lub przedsiębiorstwa, które codziennie wprowadza nowy kod.
Lub na przykład, może twój kod,
robisz dzisiaj test i
wszystko, nad czym pracujesz, jest dobre.
Twoje serwery internetowe, Twoje programy, Twoje aplikacje.
Wszystko jest aktualne
i nie ma w nich luk.
Załóżmy, że jutro wypchniesz nowy kod z luką,
a może jutro ktoś odkryje nową lukę w programie,
którego używasz na swoim serwerze sieciowym.
Więc nie jesteś już bezpieczny.
Tak więc ta funkcja pozwala zaplanować ten test tak, aby był
uruchamiany co tydzień, co godzinę lub co miesiąc, w zależności
od tego, jak ważny jest.
Więc wszystko, co musisz zrobić, to po prostu stworzyć harmonogram i stworzyć harmonogram,
aby móc
umieścić datę rozpoczęcia i datę zakończenia, a
następnie ustawić częstotliwość tutaj, dla każdego
dnia, w każdy czwartek, co 26 lub w
zależności od tego, czego naprawdę chcesz.
Tworzysz harmonogram, a następnie w każdym określonym
przedziale czasu skanowanie będzie uruchamiane.
I nawet ty możesz zmusić go do sporządzenia raportu za ciebie.
Możesz więc przejrzeć raport i zobaczyć, co się zmieniło
lub co zostało odkryte.
Więc teraz wszystko jest w porządku.
Najważniejszą częścią dzisiaj lub tym,
co tutaj zrobiliśmy, jest to, że umieściłeś tutaj swój cel.
A następną rzeczą jest wybranie szablonu.
Więc mamy oba
wybrane i zapiszemy i przeskanujemy,
co zapisze tę konfigurację i rozpocznie skanowanie za nas.
Teraz, jak widać, trwa proces odkrywania naszych aktywów.
Zatrzymam wideo.
A
potem porozmawiamy o wynikach, które otrzymaliśmy.