Infection Monkey, evaluando la seguridad de su entorno

Te has preguntado , ¿Mis Controles de Seguridad realmente funcionan?

Si eres de ese grupo que implementa controles de seguridad, y te aferras a la idea que tu red es segura solo por el hecho de tenerlos, sin realmente verificarlos, no cuentas con presupuesto para una Prueba de Intrusión y quieres evitar ver el mensaje siguiente...

Estas en el lugar correcto! Continua leyendo...

¿Que es Infection Monkey?

Infection Monkey es una herramienta de código abierto de simulación de violación y ataque (BAS) que evalúa la seguridad de los entornos. Desarrollada por Guardicore

Que ofrece Infection Monkey?

• Simulación Automática de Ataques: Simplemente instale el agente en una máquina aleatoria y descubra automáticamente sus riesgos de seguridad. 
• Evaluaciones Continuas y Seguras: Ejecute el Infection Monkey las 24 horas para identificar nuevos riesgos de seguridad y validar los controles de seguridad existentes a medida que cambia su entorno. No es intrusivo, sin impacto en su red.
• Recomendaciones Accionables: La evaluación de Infection Monkey produce un informe detallado con consejos de corrección, incluido un mapa visual de su red desde el punto de vista del atacante para comprender mejor su red.

¿Cuando utilizarlo? 

• Actualización del Entorno o cambio de aplicaciones: Esto le permite asegurarse de no dejar ventanas abiertas para los atacantes y validar los controles de seguridad.
• Validación contínua de la Seguridad: Ayuda a garantizar que sus controles de seguridad estén en su lugar, configurados adecuadamente y capaces de detectar y bloquear un ataque del mundo real.

Eso quiere decir que ¿Infection Monkey es un Escaner de Vulnerabilidades?

Absolutamente NO!

Infection Monkey funciona de la misma manera que lo haría un atacante real, comenzando desde una ubicación aleatoria en la red y propagándose desde allí, mientras busca todos los caminos posibles de explotación.

¿Donde puede ser desplegado?

Como pueden ver, permite ser desplegado en múltiples entornos y sistemas operativos

¿Como Funciona Infection Monkey?

Infection Monkey trabaja en una arquitectura tipo Cliente servidor en el cuál el servidor principal conocido como Island Server, recibe, procesa y gráfica toda la información recibida por el agente de Infection Monkey que es quien realiza el proceso de escaneo de la red, identificación de vulnerabilidades, explotación de vulnerabilidades, movimientos laterales, persistencia y simulación de exfiltración de información.

Entorno desarrollado para la prueba

Para esta prueba he desarrollado un entorno que simula la arquitectura "básica" de una Pequeña o Mediana Empresa, una red segmentada en 3 redes, protegida por un firewall perimetral y dividido en red de clientes, servidores y la DMZ. 

En este lab he agregado una maquina con Ubuntu 18.04 la cuál usare como Island Server desde la que ejecutare el agente de Infection Monkey para que intente penetrar en otros host y moverse por toda la red lo mas rápido posible. Dando como resultado el siguiente mapa de infección:

Para hacer un análisis rápido de la gráfica, mostrada, la estación llamada MonkeyIsland es de donde inicia la simulación de intrusión automatizada, el color rojo representa, que logro comprometer efectivamente a un host, el color amarillo indica que esta realizando un escaneo de vulnerabilidades, el color azul que establecio un tunel de comunicación y el gris indica que hay exfiltración de información y comunicación con el Island Server. Como pueden ver el IslandMonkey logró no solo tomar el control del webserver con IP 192.168.2.100 si no que además realizo un movimiento lateral a este para continuar desplazandose por el resto de la red, por esa razón ven lineas de color rojo saliendo de este servidor a otros host a los cuales tambien logró comprometer. Aquellos que tienen el simbolo de check representa una estación 100% comprometida.

Reporte

Infection Monkey genera 3 tipos de reporte:

• Reporte Técnico: el cuál indica con lujo de detalles todo lo ejecutado por el agente durante la prueba de intrusión automatizada.

• Reporte Zero Trust: siguiendo el ramework ZTX Zero Trust eXtended proporciona toda la información necesaria, relevante a este framework y la respectiva corrección necesaria para reducir y/0 eliminar la vulnerabilidad explotada. 

• Reporte ATT&CK: mejor conocido como Adversarial Tactics, Techniques and Common Knowledge. Monkey califica su red en las técnicas de ataque que intentó. Para cada técnica, puedes obtener:
• • Rojo: el mono utilizó con éxito la técnica en la simulación. Eso significa que su red es vulnerable a esta técnica empleada.
  • Amarillo: El mono intentó usar la técnica, pero no lo logró. Eso significa que su red no es vulnerable a la forma en que Monkey emplea esta técnica.

Conclusión

• No es solo cuestión de instalar controles de seguridad es PROBAR que realmente funcionan. 
• Breach and Attack Simulation (BAS), nos ayuda a probar nuestros sistemas de seguridad de la forma que un atacante lo haría. 
• Prueba la seguridad de tu entorno antes que un Ciberdelincuente lo haga.