Ferramenta de auditoria de segurança de código aberto para pesquisar e despejar configuração do sistema.

Introdução

O principal objetivo

A principal premissa da criação desta ferramenta foi a entrega mais fácil e mais rápida de conjuntos de comandos a serem executados em ambientes de clientes. Como resultado de tal varredura, queria obter as informações mais úteis sobre componentes do sistema que serão submetidos a testes de penetração e auditorias posteriormente.

Para quem

Otseca facilita a coleta de muitas informações importantes sobre um determinado sistema.

É útil para:

    :ballot_box_with_check: administradores de sistemas
    :ballot_box_with_check: pesquisadores de segurança
    :ballot_box_with_check: profissionais de segurança
    :ballot_box_with_check: pentesters
    :ballot_box_with_check: hackers

Como usar

É simples:

# Clone este repositório
git clone https://github.com/trimstray/otseca

# Entre no repositório
cd otseca

# Instale
./setup.sh install

# Execute a aplicação
otseca --ignore-failed --tasks system,network --output /tmp/report

o link simbólico para bin/otseca é colocado em /usr/local/bin

a página man é colocada em /usr/local/man/man8

Dica 1 Se não quiser que o script pare após encontrar erros, adicione o parâmetro --ignore-failed ao script.

Dica 2 Selecione apenas tarefas específicas usando o parâmetro --tasks <tarefa_1,tarefa_2,tarefa_n>.

Descrição

Otseca é uma ferramenta de auditoria de segurança de código aberto para pesquisar e despejar configurações do sistema. Permite gerar relatórios nos formatos HTML ou RAW-HTML.

O objetivo básico é obter o máximo de informações possível sobre o sistema varrido para análise posterior. Otseca contém muitos comandos predefinidos, no entanto, nada o impede de criar os seus próprios de acordo com as suas necessidades. Além disso, automatiza todo o processo de recolha de informação.

Após a conclusão da varredura, é gerado um relatório para examinar partes específicas do sistema.

Requisitos

Esta ferramenta funciona com:

GNU/Linux (testado em Debian e CentOS)
Bash (testado na versão 4.4.19)

Também necessitará de acesso root.

Saída

Um resultado exemplar do processo de recolha de informações do sistema local:

Master

Parâmetros

Abaixo está a lista de opções disponíveis:

  Uso:
    otseca <opção|opção-longa>

  Exemplos:
    otseca --help
    otseca --format html
    otseca --format html --ignore-failed
    otseca --format raw-html --tasks system,network

  Opções:
        --help                      mostra esta mensagem
     -f|--format <chave>            define o formato de saída (chave: html/raw-html)
     -t|--tasks <chave>             define tarefa específica a executar
                                    (chave: system, kernel, permissions, services, network, distro, external)
     -o|--output <caminho>          define o caminho para o diretório de saída do relatório
        --show-errors               mostra stderr na saída
        --ignore-failed             não sai com código diferente de zero quando comandos falham

Relatórios

Otseca gera relatórios nos formatos html (js, css, etc.) ou raw-html (html puro).

O caminho padrão para os relatórios é o diretório {project}/data/output. Se quiser alterá-lo, adicione a opção --output <caminho> ao chamar o script.

Página principal (index.html)

É o ficheiro principal que contém uma lista de relatórios, como sistema ou rede.

Master

Relatórios de tarefas

O relatório que pode ser executado consiste nas seguintes secções (pilhas):

system – despeja informações dos comandos do sistema (ficheiro de saída: system.all.log.html)
kernel – despeja informações sobre parâmetros do kernel (ficheiro de saída: kernel.all.log.html)
permissions – despeja informações sobre permissões (ficheiro de saída: permissions.all.log.html)
services – despeja informações sobre serviços do sistema (ficheiro de saída: services.all.log.html)
network – despeja informações da camada de rede (ficheiro de saída: network.all.log.html)
distro – despeja informações sobre distribuição específica (ficheiro de saída: distro.all.log.html)
external – todas as tarefas externas, incluindo tarefas do utilizador ou incluídas do diretório etc/ (ficheiro de saída: external.all.log.html)

Os relatórios HTML consistem nos seguintes blocos (exemplo):

Master

Como funciona

Tarefas

Otseca divide o seu trabalho em tarefas. Cada conjunto de tarefas executa comandos definidos (ex.: do ficheiro etc/otseca.conf). Por defeito, estão disponíveis seis tarefas: system, kernel, permissions, services, network, distro e external.

Por defeito, todas as tarefas são executadas, mas pode especificá-las com o parâmetro --tasks, fornecendo uma ou mais tarefas como argumento. Por exemplo:

otseca --ignore-failed --tasks system,kernel

Comandos

São os comandos reais executados a partir do ficheiro de configuração, agrupados em tarefas.

Aqui está um exemplo de uma tarefa de rede contendo vários comandos embutidos:

NETWORK_STACK=(\

  "_exec hostname -f" \
  "_exec ifconfig -a" \
  "_exec iwconfig" \
  "_exec netstat -tunap" \
  "_exec netstat -rn" \
  "_exec iptables -nL -v" \
  "_exec iptables -nL -v -t nat" \
  "_exec iptables -S" \
  "_exec lsof -ni" \

)

Submódulos

Submódulos são funções embutidas que executam os comandos descritos acima. Aqui está a lista de submódulos:

_exec – inicia comandos padrão, ex.: _exec ls -l /etc/rsyslog.conf
_grep – é responsável por procurar strings em ficheiros, ex.: _grep max_log_file /etc/audit/auditd.conf
_stat – recolhe informações sobre ficheiros, ex.: _stat /etc/ssh/sshd_config
_sysctl – compara os valores dos parâmetros do kernel, ex.: _sysctl fs.suid_dumpable 1
_systemctl – verifica o funcionamento de serviços, ex.: _systemctl httpd

Estados de saída

Otseca suporta três estados de saída (resposta):

DONE – informa que o comando foi executado corretamente; na maioria das vezes, significa que não encontrou o que procurava, o que é uma boa informação. O relatório é marcado a verde:
- na saída da consola:
- na saída do relatório:
WARN – informa que o comando não foi executado corretamente (erro de sintaxe, comando não encontrado, ficheiro não encontrado, etc.). O relatório é marcado a amarelo:
- na saída da consola:
- na saída do relatório:
TRUE – informa que o comando foi executado corretamente e encontrou o que procurávamos, ex.: permissões demasiado amplas para o ficheiro /etc/sudoers. O relatório é marcado a vermelho:
- na saída da consola:
- na saída do relatório: