andblackcheck
27 Cybersecurity Tools
RECON · ANALYZE · EXPLOIT · DEFEND · JE TOOL MIT EINSATZSZENARIO
Quelle: Instagram — liunxuser01 ↗
Kernidee: Ein vollständiges Security-Toolkit deckt den ganzen Angriffs- UND Verteidigungs-Lebenszyklus ab. Die 27 Tools sind in 4 Phasen gegliedert: Recon (Informationen sammeln) → Analyze (Schwachstellen verstehen) → Exploit (gezielt ausnutzen) → Defend (abwehren & härten). Wer nur ein Tool kennt, kennt nur einen Ausschnitt — wer die Phasen kennt, versteht das System.
Basics: Was ist ein Security-Toolkit?
Ein Security-Toolkit ist die gesammelte Werkzeugkiste eines Security-Profis — vergleichbar mit dem Werkzeugkoffer eines Handwerkers: Nicht EIN Tool kann alles, sondern jedes Tool ist für eine bestimmte Aufgabe optimiert. Genauso wie man einen Hammer nicht zum Schrauben benutzt, nutzt man einen Port-Scanner nicht zum Password-Cracking.
Die Tools lassen sich nach dem Angriffs-Lebenszyklus ordnen — der gleiche Ablauf, den auch ein autorisierter Pentester (mit Erlaubnis!) oder ein Verteidiger im Security-Operations-Center (SOC) durchläuft:
- RECON (Aufklärung): Was gibt es da draußen? Welche Systeme, IPs, Dienste?
- ANALYZE (Analyse): Was läuft auf diesen Systemen? Wo sind Schwachstellen?
- EXPLOIT (Ausnutzung): Wie komme ich rein? (Nur in autorisierten Tests!)
- DEFEND (Verteidigung): Wie erkenne und verhindere ich Angriffe?
🔍 Phase 1 · RECON — Aufklärung
Ziel: Die Landschaft verstehen, bevor man handelt. Werkzeuge zum Finden von Zielen, Diensten und Schwachstellen-Hinweisen.
| Tool | Einsatzszenario (konkret) |
|---|---|
| Nmap | „Was läuft auf diesem Server?" — Port-Scan eines eigenen/beauftragten Hosts: offene Ports, Dienste, Versionen, OS-Erkennung. nmap -sV -O 192.168.1.10 |
| Wireshark | „Warum ist das Netz langsam?" — Pakete im eigenen Netz mitschneiden und analysieren (z. B. Broadcast-Sturm, Retransmissions). |
| Burp Suite | „Wie funktioniert diese Web-App?" — Intercepting Proxy: HTTP/HTTPS-Traffic zwischen Browser und App ansehen und modifizieren. |
| Metasploit | „Ist dieser Dienst verwundbar?" — Exploit-Module gegen bekannte CVEs in autorisierter Umgebung testen. |
| theHarvester | „Welche E-Mails/Subdomains gehören zur Firma?" — OSINT-Recon aus öffentlichen Quellen (Suchmaschinen, PGP-Server). |
| Recon-ng | „Wie strukturiere ich meine Recon?" — Framework, das viele OSINT-Module (DNS, Whois, Shodan) zentral bündelt. |
| Maltego | „Wie hängen Personen/Domains zusammen?" — Beziehungs-Graph aus OSINT-Daten visualisieren (wer gehört zu welcher Firma?). |
🔬 Phase 2 · ANALYZE — Analyse
Ziel: Verstehen, was die gefundenen Systeme tun und wo sie angreifbar sind.
| Tool | Einsatzszenario (konkret) |
|---|---|
| SQLMap | „Kann ich die Login-Seite umgehen?" — Automatisierter SQL-Injection-Test gegen eine eigene Test-App. sqlmap -u "http://test.local/login?id=1" |
| Hydra | „Ist das Passwort stark genug?" — Brute-Force/Wordlist-Test gegen den eigenen SSH/FTP-Login (nur mit Erlaubnis!). |
| John the Ripper | „Wie sicher sind meine Passwort-Hashes?" — Offline-Cracking von Hash-Dumps (z. B. eigener `/etc/shadow`-Export im Labor). |
| Hashcat | „Wie schnell knackt meine GPU Passwörter?" — GPU-beschleunigtes Cracking (Masken-, Regel-, kombinatorische Angriffe). |
| Gobuster | „Welche Verzeichnisse sind versteckt?" — Directory-Bruteforce auf einer eigenen Web-App: `/admin`, `/backup`, `/api` finden. |
| Nuclei | „Ist meine Web-App gegen bekannte CVEs gehärtet?" — Template-basierter Schwachstellen-Scanner (YAML-Templates, sehr schnell). |
| Nikto | „Was sagt der Webserver über sich?" — Webserver-Scanner: Header, veraltete Software, bekannte Schwachstellen, default files. |
💥 Phase 3 · EXPLOIT — Ausnutzung (nur autorisiert!)
Ziel: Eine gefundene Schwachstelle kontrolliert ausnutzen — ausschließlich in eigenen Laboren oder mit schriftlicher Genehmigung.
| Tool | Einsatzszenario (konkret) |
|---|---|
| Metasploit Framework | „Wie nutze ich einen Exploit aus?" — `msfconsole` → Modul laden, Ziel setzen, Payload wählen → kontrollierter Zugriff im Labor. |
| BeEF (Browser Exploitation Framework) | „Was passiert, wenn ein User auf einen bösen Link klickt?" — Browser-Hooking im eigenen Test-Setup (XSS-Demo). |
| Responder | „Snifft jemand Passwörter im Netz?" — LLMNR/NBT-NS-Poisoning-Demo im eigenen Labor, um zu zeigen, wie Hashes abgegriffen werden. |
| Impacket | „Wie greifen Angreifer auf Windows zu?" — Python-Toolkit für Netzwerk-Protokolle (SMB, WMI, LDAP) — z. B. `psexec.py` für autorisierte Admin-Aufgaben. |
| Empire | „Wie sieht Post-Exploitation aus?" — PowerShell/Python-Agenten-Framework für autorisierte Red-Team-Übungen. |
| Cobalt Strike | „Wie orchestriert man ein Red Team?" — Kommerzielles C2-Framework (Beacon) — in Schulungen oft als Referenz genannt, Lizenz nötig. |
🛡️ Phase 4 · DEFEND — Verteidigung
Ziel: Angriffe erkennen, abwehren und Systeme härten — die Seite des Blue Teams.
| Tool | Einsatzszenario (konkret) |
|---|---|
| pfSense | „Wie baue ich eine Firewall fürs Heimnetz?" — Open-Source-Firewall/Router: Regeln, VLANs, VPN, Traffic-Shaping auf eigener Hardware. |
| Snort | „Wie erkenne ich Angriffe in Echtzeit?" — Intrusion Detection/Prevention (IDS/IPS) mit Regel-basiertem Traffic-Matching. |
| Suricata | „Wie analysiere ich großen Traffic?" — Modernes IDS/IPS mit Multithreading, TLS-Inspektion und File-Extraktion (z. B. in der eigenen NAS/Proxmox-Umgebung). |
| OpenVAS | „Welche Schwachstellen hat mein Heimnetz?" — Open-Source-Vulnerability-Scanner (Greenbone): regelmäßiger Sicherheits-Check der eigenen Geräte. |
| Security Onion | „Wie baue ich ein SOC im Kleinen?" — Komplett-Distribution: Suricata + Zeek + Elastic/OpenSearch für Log-Analyse und Alarmierung. |
| Autopsy / Sleuth Kit | „Was wurde auf dieser Festplatte gemacht?" — Forensik: gelöschte Dateien, Artefakte, Timeline-Analyse (z. B. eigener USB-Stick im Labor). |
| Volatility | „Was steckt im RAM-Snapshot?" — Memory-Forensik: Prozesse, Netzwerk-Verbindungen, Injections aus einem eigenen Memory-Dump analysieren. |
| GRR Rapid Response | „Wie untersuche ich viele Rechner gleichzeitig?" — Live-Forensik + Remote-Antwort (Client-Server) für Incident Response im Firmennetz. |
| Wazuh | „Wie überwache ich Logs zentral?" — Open-Source-SIEM/XDR: Log-Korrelation, File Integrity Monitoring, Active Response (z. B. auf dem eigenen Proxmox-Host). |
| Kismet | „Welche WLANs gibt es hier?" — WLAN-Detektor/Sniffer: sichtbare + versteckte Netze, Clients, Kanäle (eigene Umgebung). |
| Nessus | „Professioneller Schwachstellen-Scan?" — Kommerzieller Scanner (Referenz im Bereich; kostenlose Heim-Variante für bis zu 16 IPs). |