W dzisiejszej erze cyfrowej, zagrożenia bezpieczeństwa stają się coraz bardziej wyrafinowane i powszechne. W tym kontekście testowanie penetracyjne (penetration testing) odgrywa kluczową rolę w identyfikowaniu słabych punktów w systemach informatycznych i zapewnieniu ich bezpieczeństwa. Jednym z kluczowych narzędzi wykorzystywanych przez specjalistów ds. bezpieczeństwa jest Metasploitable – wszechstronne narzędzie do testów penetracyjnych, które umożliwia skuteczne testowanie luk w zabezpieczeniach. Aby móc wykorzystać Metasploitable w kontrolowany sposób, warto skonfigurować dedykowane środowisko testowe, takie jak VirtualBox.
Zapraszamy na darmowe szkolenie "Grafana dla początkujących".
Widzimy się 17 października o 13:00! . Zapisz się: https://asdevops.pl/s43/
Wirtualizacja z VirtualBox
VirtualBox to aplikacja typu hipernadzorca, która umożliwia wirtualizację różnych systemów operacyjnych na jednym fizycznym komputerze. Pozwala to na tworzenie wirtualnych maszyn, na których można uruchamiać różne systemy operacyjne, od Windows i Linuxa po macOS. VirtualBox jest darmowy, łatwy w użyciu i dostępny na różne platformy, co sprawia, że jest popularnym narzędziem do tworzenia kontrolowanych środowisk testowych.
Metasploitable
Metasploitable to specjalnie przygotowany system operacyjny, stworzony jako platforma do testów penetracyjnych. Został zaprojektowany w celu symulowania środowiska podatnego na ataki, umożliwiając badanie, identyfikację i eksploatację luk w zabezpieczeniach systemowych oraz aplikacji.
Kluczowe cechy Metasploitable:
Podatność na Ataki: Metasploitable zawiera szereg luk bezpieczeństwa, które można wykorzystać w celu przeprowadzenia różnorodnych ataków.
Zróżnicowane Usługi: System ten oferuje różnorodne usługi i aplikacje, takie jak serwery WWW, bazy danych, protokoły sieciowe, które są często wykorzystywane w rzeczywistych scenariuszach ataków.
Narzędzia Testowe: Wraz z Metasploitable dostarczane są również różnorodne narzędzia testowe, takie jak Metasploit Framework, nmap, Wireshark, co umożliwia przeprowadzanie kompleksowych testów penetracyjnych i analizę wyników.
Elastyczność i Dostępność: Metasploitable jest dostępny jako obraz maszyny wirtualnej, co oznacza, że można go łatwo uruchomić na dowolnej platformie wirtualizacyjnej, takiej jak VirtualBox.
Praktyka
Instalację Metasploitable rozpoczynamy od uruchomienia Virtualbox. Pojawia się nam menu główne z którego wybieramy opcję NOWA.
Pojawi się okienko zatytułowane Utwórz wirtualną maszynę.
Rozwijamy zakładkę Name and Operating System.
W polu nazwa wpisujemy nazwę maszyny np. Metasploitable.
W polu Typ wybieramy Linux.
W polu Wersja wybieramy Debiam(64-bit)
Wybór Debian 64-bit jako platformy do instalacji Metasploita wynika głównie z jego stabilności, bezpieczeństwa, wsparcia społeczności oraz kompatybilności z narzędziami z zakresu testów penetracyjnych.
Następnie przechodzimy do zakładki Hardware.
Pamięć RAM
Przydzielanie odpowiedniej ilości pamięci RAM dla maszyny Metasploitable jest kluczowym krokiem w zapewnieniu płynnego i efektywnego działania środowiska testowego. Metasploitable, będąc specjalnie przygotowanym systemem do testów penetracyjnych, może wymagać pewnej ilości zasobów, aby działać sprawnie i umożliwić wykonywanie różnorodnych scenariuszy testowych.
Zalecane jest przydzielenie co najmniej 1-2 GB pamięci RAM dla maszyny Metasploitable, aby zapewnić wystarczającą przestrzeń dla działających usług i procesów.
CPU (Central Processing Unit)
Przydzielanie odpowiedniej ilości zasobów CPU dla maszyny Metasploitable jest równie istotne jak przydzielanie pamięci RAM, gdyż procesor odgrywa kluczową rolę w wydajnym działaniu środowiska testowego. Metasploitable, będąc platformą do testów penetracyjnych, może wykorzystywać procesor do przetwarzania różnorodnych operacji związanych z testowaniem, przetwarzaniem danych oraz obsługą usług i aplikacji działających na maszynie.
Zalecane jest przydzielenie maszynie Metasploitable co najmniej jednego wirtualnego procesora (1 vCPU) dla podstawowej wydajności. Jednakże, jeśli planujemy przeprowadzać bardziej intensywne testy, które wymagają większej mocy obliczeniowej, należy rozważyć przydzielenie większej ilości wirtualnych procesorów może być uzasadnione.
Pora na ostatnią zakładkę czyli Hard Disk.
W tym momencie wybieramy opcję Use an Existing Vritual Hard Disk File.
Następnie należy wybrać odpowiedni plik.
W dalszej kolejności wymagane jest aby dodać odpowiedni plik uzywając opcji DODAJ oraz wybierając odpowiedni plik.
Po wybraniu odpowiedniego pliku zatwierdzamy wszystko za pomocą Chose.
Wybrany został plik z odpowiednim obrazem.
W tym momencie pozostaje jedynie nacisnąć ZAKOŃCZ.
Uruchomienie Metasploitable.
W tym moomencie pozostaje jedynie uruchomić maszynę Metasploitable.
Zaznaczamy maszynę którą chcemy uruchomić
Następnie klikamy opcję URUCHOM.
W momencie gdy maszyna zostanie uruchomiona należy wpisać login oraz hasło.
W obydwu przypadkach jest to msfadmin.
Wpisując hasło nie będziemy widzieli znaków które wpisujemy.
Jak widać mamy dostęp do maszyny i możemy się po niej swobodnie poruszać co widać na przykładzie komend ls oraz cd.
Pozostaje jeszcze wyłączyć maszynę. W tym celu należy wpisać EXIT aby się wylogować a następnie klikamy na krzyżyk w prawym górnym rogu i wybieramy opcję WYŁĄCZ MASZYNĘ a następnie nacisnąć OK.
Podsumowanie
Prześledzenie kroków instalacji pozwala zrozumieć, jak stworzyć kontrolowane środowisko testowe, w którym można eksperymentować z różnymi scenariuszami ataków i obrony. To rozwiązanie nie tylko umożliwia zrozumienie potencjalnych zagrożeń dla systemów informatycznych, ale również daje możliwość praktycznego eksplorowania metod ich identyfikacji i zabezpieczenia. Dzięki Metasploitable na VirtualBoxie, można zdobyć praktyczne umiejętności w dziedzinie cyberbezpieczeństwa, co może być przydatne w karierze zawodowej. Ponadto instalacja Metasploitable na VirtualBoxie otwiera drzwi do dalszych badań i eksperymentów w dziedzinie testów penetracyjnych, dzięki czemu można kontynuować naukę, zgłębiając bardziej zaawansowane techniki, eksplorując nowe narzędzia i rozwijając swoje umiejętności w zakresie identyfikowania i neutralizowania zagrożeń cybernetycznych.
