Metasploit: testare gratis la vulnerabilità dei sistemi aziendali!

Spesso si legge ultimamente di siti e servizi social che sono stati vittime di attacchi informatici che hanno portato al furto di dati importanti di coloro che li frequentavano. Il settore dell'informatica che si preoccupa di prevenire e rimediare ad attacchi informatici è quella che viene chiamata sicurezza informatica. Il suo obiettivo principale è quello di individuare eventuali falle, che possano consentire a malintenzionati di compiere azioni dannose su vari sistemi informatici (che risiedano su server aziendali o pc personali), e di chiuderle.

La tecnica che di solito viene utilizzata per valutare la sicurezza di un sistema o di una rete informatica è quella definita "penetration test": in pratica si simula l'attacco da parte di un hacker e si valuta in quali condizioni tale attacco ha avuto successo, individuando così gli eventuali punti deboli. Riuscire ad individuare questi buchi nella sicurezza dei sistemi informatici non è un lavoro banale e richiede di investire in strumenti tecnici adeguati oltre che nel personale tecnico.

Se volete anche voi cimentarvi nella esecuzione di penetration test per valutare, ad esempio all'interno della vostra azienda, quanto si è vulnerabili ad eventuali attacchi informatici ma non volete spendere grosse cifre (almeno all'inizio) allora troverete molto utile sapere che è disponibile un software gratuito dedicato a questo compito: Metasploit.

Si tratta di un software open source sviluppato dalla Rapid7 che permette di individuare e sfruttare eventuali vulnerabilità informatiche. Dal momento che lo strumento è per addetti ai lavori, nonostante la sua semplicità di utilizzo, e c'è il rischio di fare seri danni su sistemi reali la società produttrice mette anche a disposizione una macchina virtuale open source pensata appositamente per essere vulnerabile e su cui fare esperienza: questo strumento si chiama Metasploitable.

Per portare a compimento un attacco informatico si usano sostanzialmente due elementi:

• exploit: chi attacca sfrutta un exploit per riuscire ad entrare in un sistema. Per entrare in un sistema si possono utilizzare vulnerabilità, bug o configurazione errate dello stesso;
• payload: è un codice che si vuole eseguire sul sistema. Per esempio, un reverse shell è un payload che crea una connessione tra il sistema attaccato e l’attaccante e permette di utilizzare il prompt dei comandi (ad esempio) di Windows.

Utilizzando Metasploit e la sua comoda interfaccia grafica (basta un qualsiasi web browser) è possibile effettuare tutte le fasi che un penetration tester deve compiere. Metasploit infatti contiene centinaia di exploits nel proprio database ed è aggiornato settimanalmente con le più recenti vulnerabilità per ogni tipo di sistema operativo, piattaforma e applicazioni trovate dalla comunità.

Grazie ad esso sarà quindi possibile raccogliere informazioni sulle vulnerabilità dei nostri sistemi informatici, questo sia al fine di compiere delle operazioni di analisi dello scenario operativo, sia per coadiuvare le fasi di sviluppo di strumenti pensati per la loro difesa (IDS, firewall, ecc.). Quindi si rivela uno strumento portentoso per condurre delle approfondite verifiche di sicurezza, verifiche molto efficienti in quanto del tutto aderenti al reale modus operandi degli aggressori.

Per riuscire a sfruttarne in maniera completa tutte le potenzialità occorre fare molta pratica. A questo proposito può essere di aiuto, oltre alla documentazione ufficiale disponibile sul sito, anche il seguente libro. Purtroppo è in lingua inglese ma se vi occupate di informatica questo non dovrebbe essere un grosso ostacolo.

Se volete scoprire se e quanto i vostri sistemi o la rete informatica sono vulnerabili ad attacchi da parte di hacker malintenzionati con metodologie molto vicine a quelle di attaccanti reali ma non volete spendere grosse cifre, allora Metasploit è lo strumento che fa al caso vostro.

Tengo a precisare che usare Metasploit per attaccare sistemi informatici altrui è ILLEGALE e punito penalmente.

Se ti è piaciuto l'articolo, iscriviti al feed per tenerti sempre aggiornato sui nuovi contenuti del blog!