Eine Übersicht über das lokale Netzwerk mit allen angeschlossenen Geräten und offenen Diensten ist unerlässlich. In offensiven Sicherheitsüberprüfungen wie Red Teaming und Penetrationstests wie auch in Blue Teams und der IT-Administration liefert eine Übersicht über das Netzwerk im Idealfall detaillierten Aufschluss über die Struktur und Funktionalität des Netzwerkes, die potenzielle Angriffsoberfläche, und ermöglicht das effektive Suchen von angreifbaren Schwachstellen.

Je nach Anwendungsfall stehen dabei verschiedene Programme zur Verfügung, um eine Karte des Netzwerkes zu erstellen und zu warten. So ist es beim Red Teaming und Pentesten wichtig und spannend in Erfahrung zu bringen und zu kartografieren, wie sich das erreichbare Netzwerk von dem initialen Netzwerkzugang aus darstellt. Als ein zentraler Punkt der Informationsgewinnung im ganzheitlichen Red Teaming können dadurch Angriffspfade aufgedeckt und präziser bewertet werden. Für das Blue Team und Administratoren hingegen ist vor allem eine vollständige Übersicht über das gesamte Netzwerk und die korrekte Funktionalität der Systeme und des Netzwerkes wichtig.

Systeme identifizieren mit nmap, masscan und co.

Im Red Teaming und bei Penetrationstests ist der Ausgangspunkt zum Kartografieren des erreichbaren Netzwerkes im Regelfall ein Port- und Netzwerkscan auf IP-Adressen. Dadurch können Angriffspfade aufgetan und bewertet werden, um die taktische Präzision von Angriffen zu erhöhen. Hierfür gibt es verschiedene Tools mit unterschiedlichen Schwerpunkten, die für verschiedene Anwendungsfälle gedacht sind, wie zum Beispiel nmap, einer der am weitesten verbreiteten Netzwerk-Scanner oder masscan, welches für sehr große Mengen an Scan-Zielen entwickelt wurde. Da es eine Vielzahl an Netzwerkscannern gibt, würde bereits eine kleine Auflistung den Rahmen dieses Artikels sprengen. Da nmap zum Standard Repertoire von Ethical Hackern gehört, und viele Programme darauf aufbauen, wird in diesem Artikel dieses Tool genauer behandelt.

Nmap ermöglicht das Scannen einzelner Systeme bis hin zu ganzen Netzwerkbereichen, um offene Dienste auf der Netzwerkschnittstelle zu identifizieren und zu analysieren. Dabei bietet er vielfältige Einstellungsmöglichkeiten und Module für fast jeden erdenklichen Einsatzzweck. Mit den Standard-Werten werden Netzwerkscans meist jedoch sehr schnell von Firewalls und anderen Sicherheitsanwendungen erkannt. Hier sollte man jedoch nicht dem Trugschluss unterliegen, die Systeme seien sicher, weil der Netzwerkscanner vielleicht nur wenig bis keine Ergebnisse ausgibt. Vielmehr ist es eine Frage der Konfiguration, um die Sicherheitsmaßnahmen zu umgehen und zuverlässige Ergebnisse zu bekommen. Diese Ergebnisse speichert nmap optional in verschiedenen Formaten für die weitere Verarbeitung und Analyse ab.

Nach einem erfolgten Netzwerkscan ist der nächste Schritt im Kartografieren des Netzwerkes die Ergebnisse zu interpretieren und aufzubereiten. Ist es bei einer kleinen Anzahl an Systemen noch möglich, das ganze textuell und mit einfachen Such-Befehlen zu bewältigen, steigt bei einer großen Anzahl an Systemen und ggf. mehreren Sub-Netzwerken die Komplexität rapide an. Bei einer solch großen Datenmenge liegt es nahe, die Ergebnisse in einer Datenbank zu sammeln und zu verarbeiten. Jedoch bietet nmap diese Funktionalität nicht direkt an, weswegen sich über die Jahre immer wieder verschiedene Projekte hervorgetan haben, dieses Problem zu lösen, und das Kartografieren von Netzwerken für Red Teaming, Penetrationstests und Blue Teams zu vereinfachen.

Scan Ergebnisse verarbeiten und interpretieren

Eines dieser Projekte ist zenmap, die offizielle GUI-Anwendung von nmap. Zenmap erlaubt das Scannen und Sammeln der Ergebnisse in einer zentralen GUI, um die Übersicht zu steigern und Suchen zu vereinfachen. Als weitere Ergänzung zu nmap gibt es PBNJ, eine Anwendungs-Sammlung, basierend auf nmap, um Veränderungen in einem Netzwerk zu beobachten und in einer Datenbank zur weiteren Nutzung zu speichern.

Einen Schritt weiter geht das Tool envizon. Es importiert die Ergebnisse von nmap in eine zentrale Datenbank, auf die über ein ausgefeiltes Web-Interface zugegriffen werden kann. Darüber lassen sich gescannte Hosts gruppieren, weitere Scans anstoßen, und die Ergebnisse mithilfe eines umfangreichen Systems filtern und durchsuchen. Damit ist es besonders für das Kartografieren großer Netzwerke im Rahmen von zum Beispiel Red Teaming oder interner Penetrationstests interessant.

Es gibt aber auch einige weitere Tools, um Netzwerke im Rahmen von offensiven Sicherheitsüberprüfungen zu kartografieren. So bietet das Metasploit-Framework eine direkte Einbindung und Verwaltung von nmap an, und auch der bekannten Open-Source-Schwachstellenscanner Nessus setzt intern auf nmap für das Port-Scanning. Zudem gibt es auch für die Cyber Investigation Plattform Maltego die Möglichkeit, Ergebnisse von Netzwerkscannern wie nmap einzulesen, um das Netzwerk zu kartografieren und zu analysieren. Dies ist besonders im Red Teaming interessant, da hier die Verknüpfung zwischen Netzwerksystemen und nicht-technischen Datenpunkten und Informationen wie Personen, Abteilungen uvm. wichtig sind.

Netzwerkübersicht in der Aufrechterhaltung und Verteidigung von Netzwerken

Aber auch für Blue Teams und IT-Administratoren ist das Kartografieren von Netzwerken essenziell. Es dient der Überwachung des Netzwerkes und der Systeme und deckt proaktiv Schwachstellen auf. Einige der bereits genannten Tools sind deswegen auch für die defensive Seite von Nutzen, aber es gibt auch diverse weitere Programme, die das Netzwerk analysieren und überwachen.

So zum Beispiel das bereits genannte PBNJ, welches insbesondere für das Monitoring von Netzwerken ausgelegt ist, oder auch der Schwachstellenscanner Nessus, der mit Hilfe von direkt auf den Systemen installierter Client-Software, Agenten genannt, eine wichtige Rolle in der Erkennung von Schwachstellen einnimmt.

Netzwerk-Kartografie ist unerlässlich

Zusammenfassend ist zu sagen, dass das Kartografieren von Netzwerken essentiell ist. Auf der defensiven Seite können Schwachstellen schneller erkannt und Systeme besser überwacht werden, bei Penetrationstests hilft die Kartografie, den Überblick zu behalten, und besser zu priorisieren, und im Red Teaming hilft die Kartografie des Netzwerkes, ein genaueres Bild des Ziels zu zeichnen und Angriffe zu präzisieren, um dadurch die Erfolgschancen zu erhöhen und die Detektion zu erschweren.

Wie bereits Open Source Intelligence (OSINT) reiht sich die Netzwerk-Kartografie nahtlos in einen ganzheitlichen Red Teaming Ansatz ein, der Ihnen die Möglichkeit bietet, realitätsnahe Angriffe in einem sicheren Umfeld durchführen zu lassen und hierdurch proaktiv die Sicherheit Ihres Unternehmens zu verbessern. Kommen Sie gerne auf uns zu, wir unterstützen Sie gerne mit Red Team Assessments und Penetrationstests zur Stärkung ihrer IT-Sicherheit.