PAUSIERT- (M)PSE: Pentester's Parcours

Ziel des Projektes ist die Weiterentwicklung einer existierenden Trainingsinfrastruktur für Pentesting.  Zweck dieser Infrastruktur ist die Bereitstellung einer Übungsumgebung für offensive Sicherheitstests, d.h. sie ist das Ziel von White-Hacking-Angriffen.

Die Umgebung simuliert ein Firmennetzwerk, bestehend aus mehreren Rechnern, auf denen unterschiedliche Anwendungen laufen. Es wurden/werden absichtlich Schwachstellen eingebaut, die es Angreifern ermöglichen sukzessive in das System einzudringen.

Eine wichtige Eigenschaft der Umgebung ist, dass sie ohne großen Aufwand in den Ausgangszustand zurückversetzt werden kann. Eine weitere wichtige Eigenschaft ist, dass die Umgebung ohne großen Aufwand repliziert werden kann. Beides kann z.B. durch Virtualisierungstechnologien erreicht werden. Nicht zuletzt soll ein einfaches Management der Infrastruktur durch weitgehende Automatisierung aufrechterhalten werden.

Beispielsweise könnte diese Infrastruktur in einschlägigen Lehrveranstaltungen der h_da genutzt werden. Abb. 1 zeigt wie ein solche Trainingsinfrastruktur für Lehrveranstaltungen aussehen könnte. Auf der linken Seite der Abbildung sieht man studentische Rechner, die via VPN ins Hochschulnetz eingebunden sind. (Alternativ könnten die Rechner auch direkt via Hochschul-WLAN im Hochschulnetz eingebunden sein.) Da nicht alle Studierenden auf derselben Testumgebung arbeiten sollen, werden sie von einem Jump-Host (Bildmitte) gruppenweise auf identische Kopien des simulierten Firmennetzwerks (rechts im Bild) verteilt. Jede Gruppe arbeitet dann ausschließlich auf der ihr zugewiesenen Umgebung und hat kein Zugriff auf die jeweils anderen Umgebungen. Eine einzelne Umgebung besteht dann aus verschiedenen (virtuellen) Rechnern / Applikationen. Der zunächst einzige Zugangspunkt und das erste Angriffsziel ist ein Webserver, der von außerhalb erreicht werden kann. Dahinter befinden sich dann weitere Ziele, die angegriffen werden sollen.

Als Vorgehensmodell für agile Systementwicklung soll Scrum zum Einsatz kommen. Es werden die üblichen Entwicklungstools eingesetzt, vorzugsweise solche, die bereits am Fachbereich vorhanden sind z.B. GIT Repository, Scrum-Board, etc.

Der konkrete Umfang und die Ausbaustufe des Projekts hängen unter Anderem von der Teamgröße (Teilnehmerzahl) und den technischen Möglichkeiten ab. Es ist geplant das Projekt in zukünftigen Veranstaltungen weiterzuführen. Das Projekt steht unter der MIT Lizenz.

Für weitere Fragen zum Projekt kontaktieren Sie uns gerne per Email.

Prof. Dr. A. Wiesmaier
Hochschule Darmstadt