Testy penetracyjne
Testy penetracyjne lub testy penetracyjne to rodzaj testów bezpieczeństwa stosowanych w celu wykrycia luk w zabezpieczeniach, zagrożeń i ryzyk, które osoba atakująca może wykorzystać w aplikacjach, sieciach lub aplikacjach internetowych. Celem testów penetracyjnych jest zidentyfikowanie i przetestowanie wszystkich możliwych luk w zabezpieczeniach, które są obecne w aplikacji. Testy penetracyjne są również nazywane testem penetracyjnym.
Podatność to ryzyko, że osoba atakująca może zakłócić lub uzyskać autoryzowany dostęp do systemu lub jakichkolwiek danych w nim zawartych. Luki są zwykle wprowadzane przez przypadek na etapie tworzenia i wdrażania oprogramowania. Typowe luki w zabezpieczeniach obejmują błędy projektowe, błędy konfiguracji, błędy oprogramowania itp. Analiza penetracji zależy od dwóch mechanizmów, a mianowicie oceny podatności i testów penetracyjnych (VAPT).
Dlaczego testy penetracyjne?
Penetracja jest niezbędna w przedsiębiorstwie, ponieważ -
- Sektory finansowe, takie jak banki, bankowość inwestycyjna, giełdy papierów wartościowych chcą, aby ich dane były zabezpieczone, a testy penetracyjne są niezbędne do zapewnienia bezpieczeństwa
- W przypadku, gdy system oprogramowania został już zhakowany, a organizacja chce ustalić, czy w systemie nadal występują jakiekolwiek zagrożenia, aby uniknąć przyszłych włamań.
- Proaktywne testy penetracyjne to najlepsza ochrona przed hakerami
Rodzaje testów penetracyjnych:
Typ wybranego testu penetracyjnego zależy zwykle od zakresu i od tego, czy organizacja chce zasymulować atak pracownika, administratora sieci (źródła wewnętrzne) czy zewnętrznych. Istnieją trzy rodzaje testów penetracyjnych i są
- Testowanie czarnoskrzynkowe
- Testy penetracyjne metodą White Box
- Testy penetracyjne Grey Box
W testach penetracyjnych czarnoskrzynkowych tester nie ma wiedzy na temat testowanych systemów. Jest odpowiedzialny za zbieranie informacji o docelowej sieci lub systemie.
W teście penetracyjnym typu whitebox tester otrzymuje zwykle pełne informacje o sieci lub systemach, które mają być testowane, w tym schemat adresu IP, kod źródłowy, szczegóły systemu operacyjnego itp. Można to uznać za symulację ataku dowolnego Źródła wewnętrzne (pracownicy organizacji).
W testach penetracyjnych szarej skrzynki tester uzyskuje częściową wiedzę o systemie. Można to uznać za atak zewnętrznego hakera, który uzyskał nielegalny dostęp do dokumentów infrastruktury sieciowej organizacji.
Jak przeprowadzić testy penetracyjne
Aby wykonać test penetracji, należy wykonać następujące czynności -
Krok 1) Faza planowania
- Określony jest zakres i strategia zlecenia
- Istniejące polityki bezpieczeństwa, standardy służą do definiowania zakresu
Krok 2) Faza odkrywania
- Zbierz jak najwięcej informacji o systemie, w tym dane w systemie, nazwy użytkowników, a nawet hasła. Nazywa się to również ODCISKIEM PALCÓW
- Skanuj i sonduj do portów
- Sprawdź luki w systemie
Krok 3) Faza ataku
- Znajdowanie exploitów dla różnych luk w zabezpieczeniach Do wykorzystania systemu potrzebne są niezbędne uprawnienia w zakresie bezpieczeństwa
Krok 4) Faza raportowania
- Raport musi zawierać szczegółowe ustalenia
- Ryzyko znalezionych luk w zabezpieczeniach i ich wpływ na biznes
- Zalecenia i rozwiązania, jeśli istnieją
Podstawowym zadaniem testów penetracyjnych jest zebranie informacji o systemie. Istnieją dwa sposoby zbierania informacji -
- Model „jeden do jednego” lub „jeden do wielu” w odniesieniu do hosta: tester wykonuje techniki w sposób liniowy względem jednego hosta docelowego lub logicznej grupy hostów docelowych (np. Podsieci).
- Model „wiele do jednego” lub „wiele do wielu”: tester wykorzystuje wiele hostów do wykonywania technik zbierania informacji w sposób losowy, z ograniczoną szybkością i nieliniowy.
Przykłady narzędzi do testów penetracyjnych
Istnieje wiele różnych narzędzi, które są używane w testach penetracyjnych, a ważnymi narzędziami są:
- NMap - To narzędzie służy do skanowania portów, identyfikacji systemu operacyjnego, śledzenia trasy i skanowania luk w zabezpieczeniach.
- Nessus - jest to tradycyjne narzędzie do wykrywania luk w sieci.
- Pass-The-Hash - to narzędzie służy głównie do łamania haseł.
Rola i obowiązki testerów penetracyjnych:
Zadaniem testerów penetracji jest:
- Testerzy powinni zbierać wymagane informacje od organizacji, aby umożliwić testy penetracyjne
- Znajdź usterki, które mogą pozwolić hakerom na zaatakowanie maszyny docelowej
- Testerzy piór powinni myśleć i postępować jak prawdziwi hakerzy, aczkolwiek etycznie.
- Praca wykonana przez testerów penetracji powinna być odtwarzalna, aby programiści mogli ją łatwo naprawić
- Datę rozpoczęcia i datę zakończenia wykonania testu należy zdefiniować z wyprzedzeniem.
- Tester powinien być odpowiedzialny za jakąkolwiek utratę systemu lub informacji podczas testowania oprogramowania
- Tester powinien zachować poufność danych i informacji
Ręczna penetracja a automatyczne testy penetracyjne:
| Ręczne testy penetracyjne | Zautomatyzowane testy penetracyjne |
|---|---|
| Testowanie ręczne wymaga profesjonalistów do przeprowadzania testów | Zautomatyzowane narzędzia testowe zapewniają przejrzyste raporty dla mniej doświadczonych profesjonalistów |
| Testowanie ręczne wymaga programu Excel i innych narzędzi do śledzenia | Testowanie automatyczne ma scentralizowane i standardowe narzędzia |
| W testach ręcznych wyniki próbek różnią się w zależności od testu | W przypadku testów automatycznych wyniki nie różnią się w zależności od testu |
| Użytkownicy powinni pamiętać o czyszczeniu pamięci | Testowanie automatyczne będzie miało kompleksowe czyszczenie. |
Wady testów penetracyjnych
Testy penetracyjne nie mogą znaleźć wszystkich luk w systemie. Istnieją ograniczenia czasu, budżetu, zakresu, umiejętności testerów penetracyjnych
Poniżej przedstawiono efekty uboczne podczas przeprowadzania testów penetracyjnych:
- Utrata i uszkodzenie danych
- Przestój
- Zwiększ koszty
Wniosek:
Testerzy powinni zachowywać się jak prawdziwy haker i testować aplikację lub system oraz sprawdzać, czy kod jest bezpiecznie napisany. Test penetracyjny będzie skuteczny, jeśli będzie dobrze wdrożona polityka bezpieczeństwa. Polityka i metodologia testów penetracyjnych powinny być miejscem zwiększania skuteczności testów penetracyjnych. To jest kompletny przewodnik dla początkujących dotyczący testów penetracyjnych.
Sprawdź nasz projekt testów penetracyjnych na żywo