Ein Pentester im Gespräch über Tools, CTFs und Open Source
Als leidenschaftlicher Pentester und Teilnehmer von Capture-the-Flag (CTF) Events beschäftigt sich Tobias Neitzel, Managing Consultant des usd HeroLabs, auch außerhalb seiner Arbeit mit neuen Technologien und Pentest-Tools. Die Ergebnisse teilt er begeistert mit der Community. Im Gespräch erläutert er uns, weshalb ihm dieser Wissensaustausch so wichtig ist und wie dies zur Mission „more security“ beiträgt.
Tobias, du beschäftigst dich gerne mit Tools. Warum?
Tobias Neitzel: Tools allein machen die IT-Welt nicht sicherer. Gute Tools helfen einem Security Analysten aber dabei, Pentests effizienter durchzuführen und potentielle Gefahren schneller zu erkennen. Dadurch kann auch umso schneller zum entscheidenden Schritt übergegangen werden: die gefundenen Schwachstellen zu beheben.
Du hast in den letzten Jahren einige hilfreiche Pentest-Tools entwickelt. Wie kam es dazu?
TN: Neben dem Pentesten begeistere ich mich für CTFs, die wir unter anderem in unserem HeroLab CTF Team spielen. Bei CTFs handelt es sich um spezielle IT-Security-Challenges, die quasi die Pentest Skills trainieren. Hierbei erhalte ich eine Menge Input für Funktionsweisen potentieller Pentest-Tools, da mir immer wieder neue Technologien begegnen, mit denen ich umgehen muss.
Du teilst deine Tools mit der Community. Warum ist dir das so wichtig?
TN: Es ist mir wichtig, der Community etwas zurückzugeben. Wenn meine Tools andere Pentester in der ganzen Welt in die Lage versetzen, bestimmte Sicherheitslücken in spezifischen Scopes, z.B. Services oder Produkten, schneller aufzuspüren und Einfallstore anschließend schneller geschlossen werden können, dann hat sich meine Arbeit mehr als gelohnt.
In welcher Form stellst Du deine Tools zur Verfügung?
TN: Ich habe ein Profil auf der Open-Source-Plattform GitHub. Auf der Plattform werden Pentest-Tools und Wissen rund um IT-Security-Themen von der Community für die Community zur Verfügung gestellt. Der Open-Source-Gedanke spielt sowohl für mich persönlich als auch fürs HeroLab eine große Rolle.
Hast du ein Tool, das du abschließend noch besonders hervorheben möchtest?
TN: Ja, den „Remote Method Guesser“. Das Tool identifiziert angreifbare Funktionen, die von Java-RMI-Servern ausgeführt werden. Es testet automatisiert gültige und potentiell verwundbare Schnittstellenaufrufe, wie z.B. „execute“, und überprüft so, ob diese Aufrufe zu einem gültigen Ergebnis führen. Einen Einblick erhaltet ihr auf meinem Git-Hub-Profil. Für Verbesserungsvorschläge rund um meine Tools bin ich immer offen und freue mich über jeden, der mitwirken möchte.
