Offensive Security Tools und Frameworks im Überblick

Warum Werkzeugkenntnis für beide Seiten zählt

Wer angreift, muss seine Werkzeuge kennen. Wer verteidigt, muss wissen, welche Werkzeuge gegen ihn eingesetzt werden und welche Spuren sie hinterlassen. Beide Perspektiven treffen sich im selben Punkt: dem beobachtbaren Verhalten eines Tools.

Auf redteam.de werden diese Werkzeuge deshalb immer mit zwei Fragen betrachtet: Wofür dient es, und was hinterlässt es? Die konkrete Erkennung dieser Spuren - Telemetrie und Regeln - ist Thema des Schwesterportals blue-team.net.

Werkzeuge nach Capability statt nach Phase

Eine Einordnung nach groben Angriffsphasen klingt eingängig, führt aber zu Fehlzuordnungen. Viele Werkzeuge decken mehrere Phasen ab oder passen in keine sauber: BloodHound ist kein allgemeines Recon-Tool, sondern ein Werkzeug zur Analyse von Angriffspfaden im Active Directory. Responder ist mehr als Enumeration. Impacket ist kein einzelnes Exploitation-Tool, sondern eine Sammlung mit sehr unterschiedlichen Capabilities. Deshalb ordnet dieser Hub nach Einsatzbereich. Die zugehörigen Techniken mit Payload und Erkennung liegen in der Payload-Sammlung entlang der ATT&CK-Taktiken.

Reconnaissance, Attack Surface und Discovery

Werkzeuge zum Sammeln von Informationen über Ziele, Dienste und die erreichbare Angriffsfläche, von rein passiv bis aktiv. Dabei lohnt eine Unterscheidung: Externe, passive Zielaufklärung fällt typischerweise unter Reconnaissance, während aktives Host-, Port- und Service-Scanning innerhalb eines Netzes nach einem Zugang eher Discovery ist. nmap ist daher kein reines Reconnaissance-Werkzeug - je nach Einsatz deckt es beides ab.

Die zugehörigen Techniken vertieft der Taktik-Hub Discovery.

Web Application Testing

Werkzeuge für die Prüfung von Webanwendungen und APIs, meist entlang der OWASP-Methodik.

Zur sauberen Einordnung von Werkzeugfunden: Nicht jeder Treffer ist eine ausnutzbare Schwachstelle. Die Trennung von Finding, Vulnerability und echter Ausnutzbarkeit beschreibt der Leitfaden Penetration Testing.

Active Directory Discovery und Attack Path Analysis

Eine eigene Werkzeugklasse dient dazu, die Struktur einer Windows-Domäne zu erfassen und daraus Angriffspfade abzuleiten. Wichtig ist die Trennung zwischen dem Collector, der Daten sammelt, und der Analyse, die daraus einen Graphen baut.

BloodHound ist damit kein Recon-Tool im allgemeinen Sinn, sondern das Analysewerkzeug für AD-Angriffspfade. Die zugehörigen Techniken stehen unter Discovery und Privilege Escalation.

Credential Access und Authentication Abuse

Werkzeuge, die auf Zugangsdaten und die Schwächen von Authentifizierungsmechanismen zielen, vor allem in Windows- und Active-Directory-Umgebungen.

Responder ist damit kein reines Enumeration-Tool, sondern ein aktives Werkzeug zum Abfangen und Missbrauch von Authentifizierung. Mehr unter Credential Access.

Remote Execution und Lateral Movement

Hier geht es darum, Code auf entfernten Systemen auszuführen und sich im Netz zu bewegen. Das wichtigste Werkzeug ist weniger ein einzelnes Tool als eine Sammlung.

Weil Impacket oft pauschal falsch einsortiert wird, lohnt der Blick auf die einzelnen Tools: psexec.py und smbexec.py führen Code remote aus (Spur: Erstellung von Diensten), wmiexec.py nutzt WMI (Spur: ungewöhnliche WMI-Prozesse), secretsdump.py gehört eigentlich zu Credential Access (Spur: Remote-Registry- und SAM-Zugriffe), und ntlmrelayx.py dient dem Relaying abgefangener Authentifizierung. Eine einzige Phasen-Schublade wird dem nicht gerecht. Techniken dazu unter Lateral Movement.

Exploitation Frameworks

Exploitation-Frameworks dienen dem gezielten Ausnutzen von Schwachstellen. Wichtig ist die Abgrenzung: Exploitation (Zugang erlangen) ist nicht dasselbe wie Post-Exploitation (nach dem Zugang weiterarbeiten) oder Remote Administration (legitime Fernwartung).

Metasploit bringt zwar auch Post-Exploitation-Module mit, ist im Kern aber ein Exploitation-Framework. Die Trennung hilft bei der Einordnung sowohl des Angriffs als auch der passenden Erkennung.

Command and Control

Nach dem Erstzugang brauchen Angreifer einen stabilen, möglichst unauffälligen Kanal zum kompromittierten System. Diesen Zweck erfüllen C2-Frameworks. Sie werden hier bewusst nur eingeordnet, nicht bedient.

Gemeinsam ist ihnen, dass ihr Einsatz charakteristische Netzwerk- und Host-Spuren erzeugen kann, etwa Beaconing-Muster oder ungewöhnliche Prozessaktivität. Konkrete Techniken zur Umgehung von Sicherheitslösungen, Implant-Entwicklung oder Betriebsanleitungen sind nicht Teil der Inhalte. Die Erkennung von C2-Verkehr behandelt Command & Control.

Adversary Emulation und Control Validation

Eine eigene Werkzeugklasse dient nicht dem Angriff selbst, sondern dem reproduzierbaren Nachstellen von Angriffsverhalten, um Prevention, Sichtbarkeit und Erkennung zu prüfen.

Wie man diese Werkzeuge in einem threat-informed Vorgehen einsetzt, beschreibt Adversary Emulation.

Tool Detection vs. Behavior Detection

Jede Werkzeugnutzung erzeugt potenziell beobachtbare Zustandsänderungen, Netzwerkaktivität oder Host-Telemetrie. Ob diese Spuren tatsächlich sichtbar und eindeutig erkennbar sind, ist damit aber nicht gesagt - das hängt von der vorhandenen Sensorik, vom Logging und von belastbaren Baselines ab. Ein Werkzeug hinterlässt also potenzielle Spuren, keine garantierte Erkennung.

Daraus folgt eine wichtige Unterscheidung für die Verteidigung:

• Tool Detection: Erkennung anhand von Signaturen, Toolnamen oder bekannten Artefakten. Nützlich und schnell, aber fragil - ein umbenanntes, rekompiliertes oder leicht angepasstes Werkzeug kann die Signatur ins Leere laufen lassen.
• Behavior Detection: Erkennung des zugrunde liegenden Verhaltens oder der Technique, unabhängig vom konkreten Werkzeug. Aufwendiger, aber deutlich robuster, weil sich das Verhalten schwerer verstecken lässt als ein Toolname.

Genau deshalb ist auf redteam.de jeder Payload mit der zugrunde liegenden Technik und ihrer Erkennung gepaart. Die Detection-Perspektive - welche Telemetrie und welche Regeln ein Verhalten sichtbar machen - vertieft blue-team.net.

Verantwortungsvoller Einsatz

Häufige Fragen

Warum nach Capability statt nach Angriffsphase ordnen?

Weil viele Werkzeuge mehrere Phasen abdecken oder in keine sauber passen. Eine Einordnung nach tatsächlicher Capability vermeidet Fehlzuordnungen, etwa BloodHound als vermeintliches Recon-Tool oder Impacket als vermeintliches Exploitation-Tool.

Welches Werkzeug sollte man zuerst lernen?

Sinnvoll ist, mit Reconnaissance und den Grundlagen der Windows- und AD-Werkzeuge zu beginnen. Ein solides Verständnis von nmap, BloodHound und den Impacket-Tools trägt weit.

Warum werden C2-Frameworks nur oberflächlich behandelt?

Weil der Mehrwert für Angriff und Verteidigung im Verständnis liegt, nicht in einer Betriebsanleitung. Implant-Entwicklung und Evasion sind bewusst ausgeklammert.

Reicht Tool-basierte Erkennung aus?

Nur bedingt. Signaturen und Toolnamen sind nützlich, aber fragil. Robuster ist die Erkennung des zugrunde liegenden Verhaltens, weil es sich schwerer verschleiern lässt als ein Werkzeugname.