Empreinte et reconnaissance

L'encombrement fait référence au processus de collecte d'informations sur un système cible. C'est la première étape d'une attaque dans laquelle l'attaquant essaie d'en apprendre le plus possible sur la cible pour trouver un moyen de s'introduire dans le système.



Types d'empreinte

Il existe deux types d'empreinte:

  • Empreinte passive
  • Empreinte active

L'empreinte passive consiste à collecter des informations sans interagir directement avec la cible. Ce type d'empreinte est utilisé lorsque la collecte d'informations ne doit pas être détectée par la cible.


L'empreinte active consiste à collecter des informations en interagissant directement avec la cible. Avec ce type d'empreinte, il est possible que la cible prenne conscience de la collecte d'informations.

Les attaquants utilisent l'empreinte pour collecter les informations suivantes:


  • Informations sur le réseau

    • Domaines

    • Sous-domaines

    • Adresses IP

    • Enregistrements Whois et DNS

  • Informations système

    • Systèmes d'exploitation de serveur Web

    • Emplacements des serveurs

    • Utilisateurs

    • Mots de passe

  • Informations sur l'organisation

    • Information sur les employés

    • Antécédents de l'organisation

    • Les numéros de téléphone

    • Emplacements



Objectifs de l'empreinte

Les objectifs de l'empreinte sont les suivants:


  • Apprenez la posture de sécurité Analysez la posture de sécurité de la cible, recherchez les failles et créez un plan d'attaque.


  • Identifier la zone de mise au point À l'aide de différents outils et techniques, réduisez la plage d'adresses IP.


  • Rechercher des vulnérabilités Utilisez les informations collectées pour identifier les faiblesses de la sécurité de la cible.



  • Cartographier le réseau Représenter graphiquement le réseau de la cible et l’utiliser comme guide lors de l’attaque.



Comment et où collecter les informations

Il existe de nombreux outils et ressources en ligne que nous pouvons utiliser pour collecter des informations sur notre cible.

Moteur de recherche et ressources en ligne

Les moteurs de recherche peuvent être utilisés pour extraire des informations sur l'organisation cible. Les résultats de la recherche peuvent inclure des informations sur les employés de l'organisation cible, l'intranet, les pages de connexion et d'autres informations qui pourraient être utiles aux attaquants.

Une façon de collecter des informations à l'aide des moteurs de recherche consiste à utiliser des techniques de piratage Google.


Le piratage Google est une technique que les attaquants utilisent pour effectuer une recherche complexe et extraire des informations importantes sur leurs cibles. Cela implique l'utilisation d'un ensemble d'opérateurs de recherche et la création de requêtes complexes. Les opérateurs utilisés dans le piratage de Google sont appelés dorks.

Whois, géolocalisation IP et interrogation DNS

Qui est

Whois fait référence à un protocole de requête et de réponse utilisé pour récupérer des informations sur les ressources Internet attribuées.

Les bases de données Whois contiennent les informations personnelles des propriétaires de domaine et sont gérées par les registres Internet régionaux.

Il existe deux types de modèles de données:


  • Whois épais
  • Whois mince

Le whois épais contient toutes les informations de tous les bureaux d'enregistrement pour l'ensemble de données spécifié. Le whois léger contient des informations limitées sur l'ensemble de données spécifié.

Les résultats des requêtes Whois incluent généralement:

  • Détails du domaine
  • Détails du propriétaire du domaine
  • Serveur de domaine
  • Portée nette
  • Expiration du domaine
  • Dates de création et de dernière mise à jour

Les registres Internet régionaux, qui gèrent les bases de données whois, comprennent:

  • ARIN (registre américain des numéros Internet)
  • AFRINIC (Centre d'information du réseau africain)
  • APNIC (Centre d'information du réseau Asie-Pacifique)
  • RIPE (Reseaux IP Europeens Network Coordination Centre)
  • LACNIC (Centre d'information du réseau d'Amérique latine et des Caraïbes)

Géolocalisation IP

La géolocalisation IP permet de trouver des informations de localisation sur une cible, telles que le pays, la ville, le code postal, le FAI, etc. Avec ces informations, les pirates sont capables de lancer des attaques d'ingénierie sociale sur la cible.


Interrogation DNS

L'empreinte DNS fait référence à la collecte d'informations sur les données de zone DNS, qui incluent des informations sur les hôtes clés du réseau.

Les outils d'interrogation DNS aident les attaquants à effectuer une empreinte DNS. Grâce à ces outils, les attaquants peuvent obtenir des informations sur les types de serveurs et leurs emplacements.

Empreinte des e-mails

L'empreinte des e-mails fait référence à la collecte d'informations à partir des e-mails en surveillant la livraison des e-mails et en inspectant les en-têtes.

Les informations collectées via l'empreinte des e-mails comprennent:

  • Adresse IP du destinataire
  • Géolocalisation du destinataire
  • Informations de livraison
  • Liens visités
  • Informations sur le navigateur et le système d'exploitation
  • Temps de lecture

Les en-têtes d'e-mail contiennent des informations sur l'expéditeur, le sujet et le destinataire. Toutes ces informations sont précieuses pour les pirates informatiques lorsqu'ils envisagent d'attaquer leur cible.

Les informations contenues dans les en-têtes des e-mails comprennent:

  • Nom de l'expéditeur
  • Adresse IP / e-mail de l'expéditeur
  • Serveur de courrier
  • Système d'authentification du serveur de messagerie
  • Timbre d'envoi et de livraison
  • Numéro unique du message

Il est également possible de suivre les e-mails à l'aide de divers outils de suivi. Les outils de suivi des e-mails ont la capacité de suivre les e-mails et d'inspecter leurs en-têtes pour extraire des informations utiles. L'expéditeur est informé de l'envoi et de l'ouverture de l'e-mail par le destinataire.

Empreinte de site Web

L'empreinte de site Web est une technique dans laquelle des informations sur la cible sont collectées en surveillant le site Web de la cible. Les pirates peuvent cartographier l'intégralité du site Web de la cible sans se faire remarquer.

L'empreinte du site Web donne des informations sur:

  • Logiciel
  • Système opérateur
  • Sous-répertoires
  • Informations de contact
  • Plateforme de script
  • Détails de la requête

En examinant les en-têtes du site Web, il est possible d'obtenir des informations sur les en-têtes suivants:

  • Type de contenu
  • Accepter-Plages
  • Statut de connexion
  • Dernières informations modifiées
  • Informations alimentées par X
  • Informations sur le serveur Web

Le code source HTML et l'examen des cookies sont des moyens supplémentaires de collecter des informations. En examinant le code source HTML, il est possible d'extraire des informations des commentaires dans le code, ainsi que d'avoir un aperçu de la structure du système de fichiers en observant les liens et les balises d'image.

Les cookies peuvent également révéler des informations importantes sur le logiciel qui s'exécute sur le serveur et son comportement. De plus, en inspectant les sessions, il est possible d'identifier les plates-formes de script.

Il existe des programmes conçus pour aider à l'empreinte du site Web. Ces programmes sont appelés web spiders et parcourent méthodiquement un site Web à la recherche d'informations spécifiques. Les informations collectées de cette manière peuvent aider les attaquants à effectuer des attaques d'ingénierie sociale.

Clonage de sites Web

La mise en miroir ou le clonage de sites Web fait référence au processus de duplication d'un site Web. La mise en miroir d'un site Web permet de parcourir le site hors ligne, de rechercher sur le site Web des vulnérabilités et de découvrir des informations précieuses.

Les sites Web peuvent stocker des documents de différents formats qui à leur tour peuvent contenir des informations et des métadonnées cachées qui peuvent être analysées et utilisées pour effectuer une attaque. Ces métadonnées peuvent être extraites à l'aide de divers outils d'extraction de métadonnées et aider les attaquants à effectuer des attaques d'ingénierie sociale.

Empreinte réseau

L’empreinte réseau fait référence au processus de collecte d’informations sur le réseau de la cible. Au cours de ce processus, les attaquants collectent des informations sur la portée du réseau et utilisent ces informations pour cartographier le réseau de la cible.

La portée du réseau donne aux attaquants un aperçu de la structure du réseau et des machines appartenant au réseau.

Nmap

Nmap est un outil utilisé pour la découverte de réseau. Il utilise des paquets IP bruts pour déterminer les hôtes disponibles sur le réseau, les services offerts par ces hôtes, les systèmes d'exploitation qu'ils exécutent, les types de pare-feu utilisés et d'autres caractéristiques importantes.

Les fonctionnalités de Nmap incluent la possibilité de scanner de grands réseaux ainsi que de cartographier les réseaux.

Traceroute

Les programmes Traceroute sont utilisés pour découvrir les routeurs qui se trouvent sur le chemin de l'hôte cible. Ces informations aident à mener des attaques de type «homme du milieu» et autres attaques connexes.

Traceroute utilise le protocole ICMP et le champ TTL dans l'en-tête IP pour découvrir l'itinéraire. Il enregistre les adresses IP et les noms DNS des routeurs découverts.

Les résultats d'un traceroute aident les attaquants à collecter des informations sur la topologie du réseau, les routeurs de confiance, ainsi que les emplacements du pare-feu. Ils peuvent l'utiliser pour créer des diagrammes de réseau et planifier leurs attaques.



Contre-mesures d'empreinte

Certaines des contre-mesures d'empreinte comprennent:

  • Restreindre l'accès aux médias sociaux
  • Application des politiques de sécurité
  • Informer les employés sur les menaces de sécurité
  • Crypter les informations sensibles
  • Désactivation des protocoles non requis
  • Configuration de service appropriée


Rapports d'empreinte

Les rapports d'encombrement doivent inclure des détails sur les tests effectués, les techniques utilisées et les résultats des tests. Il doit également inclure une liste des vulnérabilités et la manière dont elles peuvent être corrigées. Ces rapports doivent rester très confidentiels afin de ne pas tomber entre de mauvaises mains.