Le macchine Windows senza patch (anche le macchine con solo un paio di aggiornamenti) possono aumentare notevolmente le probabilità di successo di un test di penetrazione (supponendo che i criteri di successo stiano ottenendo accesso e compromissione). C'è stato qualcosa scritto sul potenziale impatto degli aggiornamenti forzati di Windows 10 sui test di penetrazione?
mentre ovviamente gli aggiornamenti automatici avranno un impatto sulla riduzione della vulnerabilità per i bug a livello di sistema operativo in Windows 10, direi che realisticamente il sistema operativo stesso è meno spesso l'obiettivo in questi giorni per gli attacchi lato client, quindi l'impatto sarà limitato.
Solitamente per gli attacchi lato client, il vettore sarà o ingegneria sociale (ad esempio "hey hai un virus, installa questo") che non è influenzato da patching o da uno dei software comunemente non aggiornati e esposti a Internet ( es. Flash, Java, Adobe Reader) viene attaccato usando un patch o un problema di 0 giorni.
Per i tester per la penetrazione esterna, di solito andresti con qualcosa come una campagna di phishing seguita dall'accesso di credenziali o dall'ingegneria sociale per ottenere l'obiettivo di eseguire un software che ti consenta di accedere al loro sistema.
Per i tester interni di nuovo l'auto-aggiornamento avrà un impatto limitato, direi che di solito i tester una volta che hanno accesso a una macchina si serviranno di strumenti di crack / pass-the-hash / password come mimikatz per ottenere credenziali, nessuna delle quali si basa sulle patch di Windows mancanti. I giorni in cui le cose come MS08-067 mancano e i sistemi facilmente compromettenti basati su questo, stanno arrivando alla fine per la maggior parte delle organizzazioni.
Questo non vuol dire che Windows 10 non renderà le cose più difficili da sfruttare, ma non penso che gli aggiornamenti automatici saranno il più grande elemento di differenziazione.
Lo sfruttamento delle patch mancanti di Windows in realtà non è molto spesso necessario durante un pentest. Puoi facilmente conquistare un dominio aziendale utilizzando solo il seguente:
Credenziali predefinite - Applicazioni e servizi in esecuzione con privilegi elevati, con credenziali predefinite (o nessuna!). per esempio. MS Sql, Tomcat, JBoss ...
Erronfigurazioni - Difetti della logica dell'applicazione, non utilizzando il principio del privilegio minimo ovunque, altri problemi di autenticazione / autorizzazione
Ingegneria sociale - "Ehi, fai clic su questo link!" SocEng ha un alto tasso di successo nella maggior parte dei casi come prima via, ma anche durante l'escalation dei privilegi.
File sensibili ovunque - passwords.txt, password.xls, web.config ecc. Queste cose sono grandiose e esistono da qualche parte in quasi tutti gli ambienti aziendali.
La verità è che prima ancora di arrivare al problema che in molti posti mancano le patch ci sono molte altre aree di debolezza da affrontare.
Leggi altre domande sui tag windows-10 penetration-test