VPS mit Kali Linux

Kali Linux ist eine Debian-basierte Distribution, in der Programme zur Sicherheitsprüfung bereits zusammengestellt sind: Schwachstellenscanner, Traffic-Analysatoren sowie Werkzeuge zum Audit von Webanwendungen und Passwörtern. Genutzt wird sie von Fachleuten für Informationssicherheit, Studierenden entsprechender Kurse und Teilnehmern von CTF-Wettbewerben. Auf einem VPS dient Kali meist als entferntes Labor: Die Maschine ist von überall erreichbar, lässt sich leicht von Grund auf neu erstellen, und die Übungsumgebungen belasten nicht den Rechner zu Hause. Im Folgenden erfahren Sie, was Sie vor der Bestellung eines solchen Servers wissen sollten.

Zuerst die Regeln: was Sie mit einem solchen Server tun dürfen

Die Programme aus Kali selbst sind legal, ihr Einsatz ohne Erlaubnis des Systeminhabers jedoch nicht. Prüfen dürfen Sie nur Ihre eigenen Server und Websites, Übungsumgebungen und CTF-Plattformen sowie fremde Systeme auf Grundlage eines schriftlichen Testvertrags mit klar beschriebenen Grenzen. Unbefugter Zugriff auf Computerinformationen und die Entwicklung von Schadprogrammen werden in Russland nach den Artikeln 272–274 des russischen Strafgesetzbuchs bestraft, und der Hinweis auf „Lernzwecke“ schützt dabei nicht.

Hinzu kommen die Regeln des Anbieters. In fast jeder Nutzungsvereinbarung ist es verboten, von einem gemieteten Server aus fremde Adressen und Netze zu scannen. Die Beschwerde des Netzinhabers geht an den Anbieter, und dieser sperrt den VPS, oft ohne Rückerstattung. Führen Sie einen Test im Auftrag durch, informieren Sie den Anbieter vorab und halten Sie den Vertrag bereit – manche Unternehmen verlangen das ausdrücklich in ihren Regeln.

Für welche Aufgaben sich ein VPS mit Kali eignet

• Lernen und Prüfungsvorbereitung. Sicherheitskurse und Zertifizierungen stellen meist ein eigenes Übungsnetz bereit, mit dem man sich von Kali aus verbindet; ein Server im Rechenzentrum hält die Verbindung stabiler als ein Internetanschluss zu Hause.
• CTF-Wettbewerbe. Für ein Team ist eine gemeinsame Maschine mit identischem Werkzeugsatz und öffentlicher IP-Adresse praktisch.
• Prüfung eigener Projekte. Vor dem Start einer Website oder eines Dienstes lohnt ein Blick von außen: Welche Ports sind offen, welche Programmversionen sind sichtbar, gibt es typische Konfigurationsfehler des Webservers?
• Arbeit im Auftrag. Für einen externen Test im Auftrag brauchen Sie eine Adresse, die der Auftraggeber auf seine Liste erlaubter Adressen setzt und in seinen Logs unterscheiden kann.

Geht es Ihnen nur darum, Ihren eigenen Server abzusichern, ist ein separates Kali nicht nötig: Grundlegende Prüfungen erledigen Sie mit Werkzeugen aus einem normalen Debian oder Ubuntu.

Welchen Server Sie brauchen

• Virtualisierung – KVM. Viele Werkzeuge brauchen einen eigenen Netzwerkstack, Kernelmodule und Raw Sockets; in OpenVZ- und LXC-Containern funktionieren sie nur teilweise oder gar nicht. Passende Tarife finden Sie auf der Seite VPS mit KVM.
• Arbeitsspeicher – ab 4 GB. Das System selbst kommt ohne grafische Oberfläche auch mit 2 GB aus, doch Schwachstellendatenbanken, ein Browser zum Testen von Webanwendungen und virtuelle Übungsumgebungen verbrauchen schnell viel Speicher. Brauchen Sie einen Desktop über VNC oder RDP, nehmen Sie einen VPS mit 4 GB RAM oder mehr.
• Festplatte – ab 40–60 GB. Der vollständige Paketsatz kali-linux-large belegt mehr als 20 GB, dazu kommen Wortlisten, Berichte und Snapshots des Systems.
• Stundenweise Abrechnung ist praktisch für kurze Übungsaufgaben: Labor für einen Abend aufsetzen und wieder löschen. Solche Tarife finden Sie auf der Seite VPS mit stundenweiser Abrechnung.

So installieren Sie Kali, wenn es nicht in der Image-Liste steht

Ein fertiges Kali-Image bieten nur wenige Anbieter. Üblich sind zwei Wege. Der erste: ein Tarif mit eigenem ISO – Sie laden das offizielle Installationsimage von der Website des Projekts hoch, öffnen die VNC-Konsole im Panel und installieren das System wie auf einem normalen Computer (eine Liste solcher Tarife: VPS mit eigenem ISO). Der zweite: Sie nehmen ein sauberes Debian, binden das Kali-Repository ein und installieren nur die benötigten Metapakete. Der zweite Weg ist leichter zu pflegen, Repositorys sollten Sie aber mit Bedacht mischen: Kali ist eine Rolling-Release-Distribution, und seine Pakete sind neuer als im stabilen Debian.

Wie Sie einen solchen Server in Ordnung halten

Kali wird fortlaufend aktualisiert, deshalb sollten Sie das System regelmäßig und vollständig aktualisieren, nicht paketweise. Legen Sie vor einem größeren Update einen Snapshot der Festplatte an – das Zurücksetzen dauert dann nur Minuten. Deaktivieren Sie die Anmeldung per Passwort und lassen Sie nur den Zugang per SSH-Schlüssel zu; einen Desktop öffnen Sie, falls nötig, nur über einen SSH-Tunnel und nicht direkt zum Internet hin: Ein Server mit einem Satz Audit-Werkzeuge ist ein attraktives Ziel. Absichtlich verwundbare Übungsumgebungen starten Sie in einem isolierten Netz innerhalb des Servers, ohne sie nach außen freizugeben. Und bewahren Sie Prüfberichte getrennt und verschlüsselt auf: Sie enthalten oft Daten des Auftraggebers.