Πλατφόρμα εκπαίδευσης Red Teaming ανοιχτού κώδικα

Abstract

Η παρούσα διατριβή στοχεύει στη διεξοδική μελέτη των υπαρχουσών πλατφορμών Penetration Testing, ανοιχτού και κλειστού κώδικα, την ανάλυση τους αλλά και τον εντοπισμό βελτιώσεων αυτών. Επιπλέον θα προταθεί ως λύση στις τυχόν ελλείψεις ή αδυναμίες που εντοπιστούν, μια πλατφόρμα ανοιχτού κώδικα ειδικά τροποποιημένη με τέτοιο τρόπο ώστε οι χρήστες να μπορέσουν να εκπαιδευτούν κατάλληλα πάνω σε διάφορες ευπάθειες, αλλά και να εξοικειωθούν με τους διάφορους ελέγχους παρείσδυσης. Οι έλεγχοι παρείσδυσης εκτελούνται από εξουσιοδοτημένα άτομα που ειδικεύονται στην ασφάλεια πληροφοριακών συστημάτων και αποσκοπούν στην αναγνώριση και εκμετάλλευση σοβαρών κενών ασφάλειας στα συστήματα στόχους και γνωστοποίηση αυτών στους εκάστοτε κατόχους των συστημάτων. Με τη γνωστοποίηση των ευρημάτων, οι κάτοχοι των ευάλωτων συστημάτων καλούνται να διορθώσουν τις ευπάθειες προτού αυτές εντοπιστούν και γίνουν αντικείμενο εκμετάλλευσης από κακόβουλες τρίτες οντότητες που έχουν στόχο να προξενήσουν κάθε είδους ζημιά σε αυτά τα ευπαθή συστήματα και κατ’ επέκταση τον ίδιο τον οργανισμό. Οι επαγγελματίες αυτού του τομέα, για να εντοπίσουν και να εκμεταλλευτούν επιτυχώς αυτές τις ευπάθειες, κάνουν χρήση διάφορων εργαλείων, ερμηνεύουν τα αποτελέσματα τους και προχωρούν στις απαραίτητες ενέργειες για να αποκτήσουν πρόσβαση στο σύστημα στόχο. Το πιο γνωστό λειτουργικό σύστημα που διαθέτει την πλειονότητα αυτών των εργαλείων είναι το Kali Linux. Για να διασφαλιστεί ότι όλοι οι εκπαιδευόμενοι θα διαθέτουν τα κατάλληλα εργαλεία για να εξοικειωθούν με τις διάφορες τεχνικές παρείσδυσης, δημιουργήθηκε ειδικός μηχανισμός που παρέχει στιγμιότυπα (snapshots) του λειτουργικού συστήματος Kali σε κάθε εκπαιδευόμενο τα οποία θα είναι προσβάσιμα από όλους μέσα από τον περιηγητή διαδικτύου (browser) του εκάστοτε εκπαιδευόμενου. Τέλος, στα πλαίσια της παρούσας διατριβής, θα δοθούν σε περιβάλλον docker, συστήματα στόχοι που περιέχουν διακομιστές που θα φιλοξενούν ευπαθείς εφαρμογές ιστού αλλά και υπηρεσίες δικτύου ώστε να επιτευχθεί κατάλληλη εκπαίδευση των φοιτητών πάνω στο αντικείμενο του Cyber Security.