Cualquiera que realice tareas de test de intrusión/pentesting
(pero el de verdad, no el de lanzar un Nessus y exportar a HTML), sabrá
que uno de los retos más importantes, lejos de conseguir el tan ansiado
administrador de dominio o la enumeración de posibles puntos de entrada y
ataques con los que comprometer la infraestructura interna por completo
(y evitar que te hagan un SONY), es el de gestionar correctamente la información que se obtiene.
Cantidades ingentes de datos, puertos abiertos, servicios vulnerables,
credenciales obtenidas, documentación sensible que sirva de evidencia,
accesos a servidores críticos...podemos dejar una estructura impecable
de directorios, excels y bitácoras o podemos recurrir a herramientas que
nos permitan congregar dicha información. Ya os hemos hablado
anteriormente por aquí de Dradis o MagicTree, pero hoy os hablamos de una nueva solución liberada por el equipo seguridad de Cisco: Kvasir
 |
| Post de presentación de Kvasir en el blog de seguridad de Cisco en Noviembre de 2013 |
La aplicación permitirá gestionar la información obtenida de las siguientes herramientas (hasta el momento):
- Rapid7 NeXpose
- Metasploit / Metasploit Pro
- Tenable Nessus
- ShodanHQ
- Nmap
- THC-Hydra
- Medusa
- John The Ripper
Como podréis observar, todo está muy centrado a redes y sistemas, pero ya se está trabajando en la integración de reports de herramientas sobre seguridad en aplicaciones web (como Burp Pro)
Tendremos la posibilidad de disponer de toda la información almacenada en un único punto, con el cual poder consultar todo lo
referente a servicios, vulnerabilidades detectadas, credenciales
obtenidas, estadísticas sobre la información, gestionar información
sobre el dominio de Windows, exportar información a XML y Excel, y un
larguísimo etc.
 |
| Visión general de toda la información almacenada en el proyecto (TOPs, resumen, vulnerabilidades...) |
 |
| Resumen de información y vulnerabilidades por cada sistema analizado |
 |
| Cuentas de usuario recopiladas por servicio |
A continuación podréis ver las slides de la charla "Managing Penetration Testing Data with Kvasir"
que sirvió como presentación en la Toorcon 15 de la herramienta en sus
primeras fases, donde se expone la problemática y capturas de su uso,
así como las características más relevantes.
Una suerte que se disponga del código fuente para poder evolucionarla a nuestro gusto si de repente los desarrolladores la dejan de mantener por cualquier motivo.
