ペネトレーション・テスト関連ツール 2016

先日つたない記事を書いたところ、（このブログとしては）すごい反響をいただきました（かなりこっそりやっていて誰も見ているとは思わなかったので）。ペネトレーション・テストにみんな関心があるんだなと思い、もうひとつ記事を書こうと思います。

www.scientia-security.org

今回焦点を当てるのは、米国でどんなペネトレーション・テストのツールです。色々な講演を聞いたりしていく中で、米国ではどんなツールが使われているのかその事情がわかってきたので、そのリストを公開したいと思います。

なお、以下の２つの基準をもとに独断と偏見で選定しています。

• 講演・ネットワークで知り合った専門家・ベンダーの話の中で、比較的よく名前が挙がったツールを選択する。（スマートフォン系は自分がそもそもをよくわかっていないので除外。）
• 自分が知らなかったツールを選択する（３年前ぐらいからプロジェクト管理などに主軸が変化しているため、最新の知識がアップデートされていないことが多く、既に当たり前に使われているツールが含まれている可能性があります。）

紹介するほとんどのツールが利用経験があるわけではないので、これから評価していくつもりです。また、ツールを管理下にないネットワーク・サーバ・端末に行った場合、不正アクセスに該当する可能性がありますので、取り扱いにはご注意ください。

OSINT系ツール

OSINTというと、Maltagoでいいんじゃないのと思っていましたが、ほかにも色々あるみたいです。

• SpiderFoot
• Discovery Script
• Recon-ng
• Cymon

Exploit系ツール

以下のリストを見てわかるとおり、PowerShell関連のツールが非常に多い、かつPost-Exploitationの攻撃コードが多いという印象です。

• VEIL Framework

• Veris Group ATD（Adaptive Defense Division）によって作られたフレームワーク。ペネトレーション・テストに必要な機能を多数提供してくれます。このフレームワークには、Veil-Evasionなど目的に応じて細分化されています。このフレームワークも多くのペネトレーション・テスターに愛用されていると聞きます。
• 参考資料：BlackHat USA 2014 - The Veil-Framework 
• Empire
• Veris Group ATD（Adaptive Defense Division）によって作られたツール。PowerShellで作成されたPost-Exploitation Agentでよく利用されているツールです。
• ちなみに、Mac OS Xに対応するためにPython版も作成されており、Empyreという名前で公開されています。
• PowerSploit
• PowerShellで作られたペネトレーション・テスト用のツール群です。前は、PowerToolsというツール群がVeris Group ATDによって開発されていたのですが、こちらに統合されたみたいです。
• 例えば、PowerView（Reconディレクトリ）のGet-ExploitableSystemやGet-GPPPassword（Exfiltrationディレクトリ）などはとあるプレゼンテーションでも紹介されていました。（参考資料：Pentest Apocalypse・詳細手順書）
• Responder
  
  • SpiderLabが開発した LLMNR・NBT-NS・MDNS poisoner。このツールは多くのペネトレーション・テスターが使っているらしく、ペネトレーション系の発表ではよく名前を聞きます。
• Cobalt Strike
  • ペネトレーション・テストを支援してくれるツール。よく使われていると耳にするツール。Armitageと似たようなインターフェイスだが、ArmitageがMetasploitのフロントエンドとして機能するツールだが、Cobalt StrikeはよりAPTの監査やソーシャル・エンジニアリングを支援してくれる仕組みを持っている。
• Nishang 
  • PowerShellで作られたペネトレーション・テスト用のツール群。PowerSploitとは別の系譜だと思われる。
• NaishoDeNusumu
  • PythonでつくられたExfiltration Framework。
• Mimikatz
  • Windows系の攻撃ツール。こちらもペネトレーションテストでよく使われていると聞きます。
•  Parrot Security
  • Kali Linnuxに似たOSとして知られている。
• その他（まだ出たばかりのツールや、気になるツール群を書いておきます。）
  • Default passwords
  • MITMf: Framework for Man-In-The-Middle attacks
  • SprayWMI
  • IPMI
  • HashCat
  • SMBExec
  • Plunder
  • ccsrch
  • Black Hills Project（Active Defense系ツール）
  • BloodHound

モバイル系ツール

モバイル系のツールを追加しました。

• MobSF

IoT系ツール

IoTのハッキングCTFみたいなもので使い方を教わったツール群。それ以外は、file・strings・Burp Suite・grep・findといつもと変わらないツール群でした。

• binwalk（Firmware Analysis Tool）

インシデント分析系ツール

• Cuckoo Sandbox（マルウェア解析用サンドボックス）
• Thug（Python low-interaction honeyclient）
• Bro（Network Security Monitor）
• Santoku Linux（モバイル・フォレンジック）
• Google Rapid Response

その他：PowerShell

こちらに来ると、ペネトレーション・テストをするためにはPowerShellが必須という印象を強く受けます。講演とかで「PowerShellを使っているか？」と問いかければ半数以上の人が手を上げているという感じです。Fortune 500に選ばれる企業のうち、95%が使っているという事実を考えれば、当然PowerShellを使えればペネトレーション・テストにも役立つのは自明ですが、ペネトレーション・テストの技術を深めていく上でPowerShellへの理解は外せなくなっています。

www.infosecurity-magazine.com

興味がある人は、Active Directory Securityのプレゼンテーションには目を通したほうがよいと思います。

• Active Directory Security - Presentation

まとめ

個人的には、PowerShellを使いここまで踏み込んだ監査が米国で行われているとは思いませんでした。ツール群をみて、Red Team Serviceはここまで踏み込むのかと思う一方、理解すべきツール群のトレンドがわかったため、少し勉強してみようと思います。