Тест на проникновение — Введение
Тест на проникновение — это тип тестирования безопасности, который используется для проверки безопасности приложения. Он проводится для обнаружения угрозы безопасности, которая может присутствовать в системе.
Если система не защищена, то любой злоумышленник может нарушить или получить авторизованный доступ к этой системе. Риск безопасности обычно является случайной ошибкой, возникающей при разработке и внедрении программного обеспечения. Например, ошибки конфигурации, ошибки проектирования, ошибки программного обеспечения и т. Д.
Почему требуется тестирование на проникновение?
Тестирование на проникновение обычно оценивает способность системы защитить свои сети, приложения, конечные точки и пользователей от внешних или внутренних угроз. Он также пытается защитить элементы управления безопасностью и обеспечивает только авторизованный доступ.
Тестирование на проникновение необходимо, потому что —
-
Он идентифицирует среду моделирования, т. Е. Как злоумышленник может атаковать систему с помощью атаки белой шляпы .
-
Это помогает находить слабые места, где злоумышленник может атаковать, чтобы получить доступ к функциям и данным компьютера.
-
Он поддерживает, чтобы избежать атаки черной шляпе и защищает исходные данные.
-
Он оценивает величину атаки на потенциальный бизнес.
-
Это предоставляет доказательства, чтобы предположить, почему важно увеличить инвестиции в аспект безопасности технологии
Он идентифицирует среду моделирования, т. Е. Как злоумышленник может атаковать систему с помощью атаки белой шляпы .
Это помогает находить слабые места, где злоумышленник может атаковать, чтобы получить доступ к функциям и данным компьютера.
Он поддерживает, чтобы избежать атаки черной шляпе и защищает исходные данные.
Он оценивает величину атаки на потенциальный бизнес.
Это предоставляет доказательства, чтобы предположить, почему важно увеличить инвестиции в аспект безопасности технологии
Когда проводить тестирование на проникновение?
Тестирование на проникновение является важной функцией, которую необходимо регулярно выполнять для обеспечения функционирования системы. В дополнение к этому, это должно быть выполнено всякий раз, когда —
- Система безопасности обнаруживает новые угрозы от злоумышленников.
- Вы добавляете новую сетевую инфраструктуру.
- Вы обновляете свою систему или устанавливаете новое программное обеспечение.
- Вы перемещаете свой офис.
- Вы устанавливаете новую программу / политику конечного пользователя.
Как полезно тестирование на проникновение?
Тестирование на проникновение дает следующие преимущества:
-
Улучшение системы управления — предоставляет подробную информацию об угрозах безопасности. В дополнение к этому, он также классифицирует степень уязвимости и предлагает вам, какая из них более уязвима, а какая меньше. Таким образом, вы можете легко и точно управлять своей системой безопасности, выделяя ресурсы безопасности соответствующим образом.
-
Избегайте штрафов — тестирование на проникновение обновляет основные виды деятельности вашей организации и соответствует системе аудита. Таким образом, тестирование на проникновение защищает вас от наложения штрафов.
-
Защита от финансового ущерба — простое нарушение системы безопасности может нанести миллионы долларов ущерба. Тестирование на проникновение может защитить вашу организацию от таких повреждений.
-
Защита клиентов. Нарушение данных даже одного клиента может нанести большой финансовый ущерб, а также нанести ущерб репутации. Он защищает организации, которые имеют дело с клиентами и сохраняют их данные в целости и сохранности.
Улучшение системы управления — предоставляет подробную информацию об угрозах безопасности. В дополнение к этому, он также классифицирует степень уязвимости и предлагает вам, какая из них более уязвима, а какая меньше. Таким образом, вы можете легко и точно управлять своей системой безопасности, выделяя ресурсы безопасности соответствующим образом.
Избегайте штрафов — тестирование на проникновение обновляет основные виды деятельности вашей организации и соответствует системе аудита. Таким образом, тестирование на проникновение защищает вас от наложения штрафов.
Защита от финансового ущерба — простое нарушение системы безопасности может нанести миллионы долларов ущерба. Тестирование на проникновение может защитить вашу организацию от таких повреждений.
Защита клиентов. Нарушение данных даже одного клиента может нанести большой финансовый ущерб, а также нанести ущерб репутации. Он защищает организации, которые имеют дело с клиентами и сохраняют их данные в целости и сохранности.
Тест на проникновение — Метод
Тестирование на проникновение представляет собой комбинацию методов, которые рассматривают различные проблемы систем и тестов, анализируют и дают решения. Он основан на структурированной процедуре, которая выполняет пошаговое тестирование на проникновение.
В этой главе описываются различные этапы или этапы метода тестирования на проникновение.
Методика испытаний на проникновение
Ниже приведены семь этапов тестирования на проникновение:
Планирование и подготовка
Планирование и подготовка начинается с определения целей и задач тестирования на проникновение.
Клиент и тестер совместно определяют цели, чтобы обе стороны имели одинаковые цели и понимание. Общие цели тестирования на проникновение:
- Выявить уязвимости и повысить безопасность технических систем.
- Убедитесь, что ИТ-безопасность подтверждена третьей стороной.
- Повысить безопасность организационной / кадровой инфраструктуры.
разведывательный
Разведка включает в себя анализ предварительной информации. Часто тестер не имеет много информации, кроме предварительной информации, то есть IP-адрес или блок IP-адреса. Тестер начинает с анализа доступной информации и, при необходимости, запрашивает у клиента дополнительную информацию, такую как описания системы, планы сети и т. Д. Этот шаг является пассивным тестом на проникновение, своего рода. Единственной целью является получение полной и подробной информации о системах.
открытие
На этом этапе тестер проникновения, скорее всего, будет использовать автоматизированные инструменты для сканирования целевых активов на предмет обнаружения уязвимостей. Эти инструменты, как правило, имеют свои собственные базы данных, содержащие подробную информацию о последних уязвимостях. Тем не менее, тестер обнаруживает
-
Обнаружение сети — например, обнаружение дополнительных систем, серверов и других устройств.
-
Host Discovery — определяет открытые порты на этих устройствах.
-
Опрос службы — Опрашивает порты для обнаружения реальных служб, которые на них работают.
Обнаружение сети — например, обнаружение дополнительных систем, серверов и других устройств.
Host Discovery — определяет открытые порты на этих устройствах.
Опрос службы — Опрашивает порты для обнаружения реальных служб, которые на них работают.
Анализ информации и рисков
На этом этапе тестер анализирует и оценивает информацию, собранную перед этапами тестирования, для динамического проникновения в систему. Из-за большого количества систем и размера инфраструктуры, это чрезвычайно много времени. При анализе тестер учитывает следующие элементы:
-
Определены цели теста на проникновение.
-
Потенциальные риски для системы.
-
Расчетное время, необходимое для оценки потенциальных недостатков безопасности для последующего активного тестирования на проникновение.
Определены цели теста на проникновение.
Потенциальные риски для системы.
Расчетное время, необходимое для оценки потенциальных недостатков безопасности для последующего активного тестирования на проникновение.
Однако из списка идентифицированных систем тестировщик может выбрать для тестирования только те из них, которые содержат потенциальные уязвимости.
Активные попытки вторжения
Это самый важный шаг, который должен быть выполнен с должной осторожностью. Этот шаг влечет за собой степень, в которой потенциальные уязвимости, которые были выявлены на этапе обнаружения, которые несут реальные риски. Этот шаг необходимо выполнить, когда требуется проверка потенциальных уязвимостей. Для тех систем, которые имеют очень высокие требования целостности, потенциальная уязвимость и риск должны быть тщательно рассмотрены перед выполнением критических процедур очистки.
Окончательный анализ
Этот шаг в первую очередь учитывает все шаги, которые были выполнены (обсуждены выше) до этого времени, и оценку уязвимостей, присутствующих в форме потенциальных рисков. Далее тестер рекомендует устранить уязвимости и риски. Прежде всего, тестер должен обеспечить прозрачность тестов и выявленные им уязвимости.
Подготовка отчета
Подготовка отчета должна начинаться с общих процедур тестирования, за которыми следует анализ уязвимостей и рисков. Высокие риски и критические уязвимости должны иметь приоритеты, а затем нижний порядок.
Однако при документировании окончательного отчета необходимо учитывать следующие моменты:
- Общее резюме тестирования на проникновение.
- Детали каждого шага и информация, собранная во время тестирования ручки.
- Подробная информация обо всех обнаруженных уязвимостях и рисках.
- Детали очистки и ремонта систем.
- Предложения по будущей безопасности.
Тестирование на проникновение против уязвимость
Как правило, эти два термина, т. Е. Тестирование на проникновение и оценка уязвимости, используются многими людьми взаимозаменяемо либо из-за недопонимания, либо из-за рекламы. Но оба термина отличаются друг от друга с точки зрения их целей и других средств. Однако, прежде чем описывать различия, давайте сначала разберемся с обоими терминами один за другим.
Проверка на проницаемость
Тестирование на проникновение повторяет действия внешнего и / или внутреннего злоумышленника, который предназначен для взлома информационной безопасности и взлома ценных данных или нарушения нормального функционирования организации. Таким образом, с помощью передовых инструментов и методов тестер проникновения (также известный как этический хакер ) предпринимает усилия для управления критическими системами и получения доступа к конфиденциальным данным.
Оценка уязвимости
С другой стороны, оценка уязвимости — это метод выявления (обнаружения) и измерения уязвимостей (сканирования) в данной среде. Это комплексная оценка позиции информационной безопасности (анализ результатов). Кроме того, он определяет потенциальные недостатки и обеспечивает надлежащие меры по смягчению (устранение), чтобы либо устранить эти недостатки или уменьшить ниже уровня риска.
Следующая диаграмма суммирует оценку уязвимости —
Следующая таблица иллюстрирует фундаментальные различия между тестированием на проникновение и оценками уязвимости.
| Проверка на проницаемость | Оценка уязвимости |
|---|---|
| Определяет масштаб атаки. | Создает каталог ресурсов и ресурсов в данной системе. |
| Проверяет сбор конфиденциальных данных. | Обнаруживает потенциальные угрозы для каждого ресурса. |
| Собирает целевую информацию и / или проверяет систему. | Распределяет количественно оцениваемое значение и значимость для доступных ресурсов. |
| Очищает систему и дает окончательный отчет. | Попытки смягчить или устранить потенциальные уязвимости ценных ресурсов. |
| Это ненавязчивый, документальный и экологический обзор и анализ. | Комплексный анализ и через обзор целевой системы и ее среды. |
| Он идеально подходит для физических сред и сетевой архитектуры. | Это идеально для лабораторных сред. |
| Он предназначен для критических систем реального времени. | Он предназначен для некритических систем. |
Какой вариант идеально подходит для практики?
Оба метода имеют различную функциональность и подход, поэтому это зависит от позиции безопасности соответствующей системы. Однако из-за принципиальной разницы между тестированием на проникновение и оценкой уязвимости второй метод более выгоден по сравнению с первым.
Оценка уязвимости выявляет слабые стороны и дает решение для их устранения. С другой стороны, тестирование на проникновение отвечает только на вопрос: «может ли кто-нибудь взломать систему безопасности и если да, то какой вред он может нанести?»
Кроме того, оценка уязвимости пытается улучшить систему безопасности и разрабатывает более зрелую, интегрированную программу безопасности. С другой стороны, тестирование на проникновение дает только представление об эффективности вашей программы безопасности.
Как мы видели здесь, оценка уязвимости более полезна и дает лучший результат по сравнению с тестированием на проникновение. Но эксперты предполагают, что как часть системы управления безопасностью, оба метода должны выполняться регулярно для обеспечения идеальной защищенной среды.
Типы испытаний на проникновение
Тип тестирования на проникновение обычно зависит от области применения, а также от потребностей и требований организации. В этой главе рассматриваются различные типы тестирования на проникновение. Это также известно как Ручное Тестирование .
Типы ручного тестирования
Ниже приведены важные типы тестирования пера —
- Тестирование проникновения в черный ящик
- Тестирование на проникновение в белую коробку
- Тестирование проникновения в серую коробку
Для лучшего понимания давайте обсудим каждый из них подробно —
Тестирование проникновения в черный ящик
При тестировании на проникновение в черный ящик тестер не имеет представления о системах, которые он собирается тестировать. Он заинтересован в сборе информации о целевой сети или системе. Например, в этом тестировании тестер знает только то, каким должен быть ожидаемый результат, и он не знает, как приходят результаты. Он не проверяет какие-либо программные коды.
Преимущества испытаний на проникновение в черный ящик
Он имеет следующие преимущества —
-
Тестер не обязательно должен быть экспертом, так как он не требует специальных знаний языка
-
Тестер проверяет противоречия в реальной системе и спецификациях
-
Тест обычно проводится с точки зрения пользователя, а не дизайнера
Тестер не обязательно должен быть экспертом, так как он не требует специальных знаний языка
Тестер проверяет противоречия в реальной системе и спецификациях
Тест обычно проводится с точки зрения пользователя, а не дизайнера
Недостатки тестирования на проникновение в черный ящик
Его недостатки —
-
В частности, такие тесты сложно спроектировать.
-
Возможно, это не стоит того, чтобы конструктор уже провел тестовый кейс.
-
Это не ведет все.
В частности, такие тесты сложно спроектировать.
Возможно, это не стоит того, чтобы конструктор уже провел тестовый кейс.
Это не ведет все.
Тестирование на проникновение в белую коробку
Это комплексное тестирование, поскольку тестировщику предоставляется весь спектр информации о системах и / или сетях, таких как схема, исходный код, сведения об ОС, IP-адрес и т. Д. Обычно это рассматривается как симуляция атаки со стороны внутренний источник. Он также известен как структурный, стеклянный ящик, прозрачный ящик и тестирование открытого ящика.
Тестирование на проникновение в «белый ящик» проверяет покрытие кода и выполняет тестирование потока данных, тестирование пути, тестирование цикла и т. Д.
Преимущества тестирования на проникновение в белую коробку
Он имеет следующие преимущества —
-
Это гарантирует, что все независимые пути модуля были использованы.
-
Это гарантирует, что все логические решения были проверены вместе с их истинным и ложным значением.
-
Он обнаруживает опечатки и проверяет синтаксис.
-
Он находит ошибки проектирования, которые могли произойти из-за разницы между логическим потоком программы и фактическим выполнением.
Это гарантирует, что все независимые пути модуля были использованы.
Это гарантирует, что все логические решения были проверены вместе с их истинным и ложным значением.
Он обнаруживает опечатки и проверяет синтаксис.
Он находит ошибки проектирования, которые могли произойти из-за разницы между логическим потоком программы и фактическим выполнением.
Тестирование проникновения в серую коробку
В этом типе тестирования тестер обычно предоставляет частичную или ограниченную информацию о внутренних деталях программы системы. Это можно рассматривать как атаку внешнего хакера, который получил незаконный доступ к документам сетевой инфраструктуры организации.
Преимущества испытаний на проникновение в серый ящик
Он имеет следующие преимущества —
-
Поскольку тестер не требует доступа к исходному коду, он не навязчив и беспристрастен
-
Поскольку между разработчиком и тестером существует четкая разница, риск возникновения личного конфликта минимален
-
Вам не нужно предоставлять внутреннюю информацию о функциях программы и других операциях
Поскольку тестер не требует доступа к исходному коду, он не навязчив и беспристрастен
Поскольку между разработчиком и тестером существует четкая разница, риск возникновения личного конфликта минимален
Вам не нужно предоставлять внутреннюю информацию о функциях программы и других операциях
Области испытаний на проникновение
Тестирование на проникновение обычно проводится в следующих трех областях:
-
Тестирование проникновения в сеть. В этом тестировании необходимо проверить физическую структуру системы, чтобы определить уязвимость и риск, которые обеспечивают безопасность в сети. В сетевой среде тестировщик идентифицирует недостатки безопасности при проектировании, реализации или работе сети соответствующей компании / организации. Устройства, которые тестируются тестером, могут быть компьютерами, модемами или даже устройствами удаленного доступа и т. Д.
-
Тестирование проникновения приложений. В этом тестировании необходимо проверить логическую структуру системы. Это симуляция атаки, предназначенная для демонстрации эффективности средств контроля безопасности приложения путем выявления уязвимости и риска. Брандмауэр и другие системы мониторинга используются для защиты системы безопасности, но иногда требуется целенаправленное тестирование, особенно когда трафику разрешено проходить через брандмауэр.
-
Ответ или рабочий процесс системы — это третья область, которую необходимо проверить. Социальная инженерия собирает информацию о человеческом взаимодействии, чтобы получить информацию об организации и ее компьютерах. Полезно проверить способность соответствующей организации предотвращать несанкционированный доступ к ее информационным системам. Кроме того, этот тест предназначен исключительно для рабочего процесса организации / компании.
Тестирование проникновения в сеть. В этом тестировании необходимо проверить физическую структуру системы, чтобы определить уязвимость и риск, которые обеспечивают безопасность в сети. В сетевой среде тестировщик идентифицирует недостатки безопасности при проектировании, реализации или работе сети соответствующей компании / организации. Устройства, которые тестируются тестером, могут быть компьютерами, модемами или даже устройствами удаленного доступа и т. Д.
Тестирование проникновения приложений. В этом тестировании необходимо проверить логическую структуру системы. Это симуляция атаки, предназначенная для демонстрации эффективности средств контроля безопасности приложения путем выявления уязвимости и риска. Брандмауэр и другие системы мониторинга используются для защиты системы безопасности, но иногда требуется целенаправленное тестирование, особенно когда трафику разрешено проходить через брандмауэр.
Ответ или рабочий процесс системы — это третья область, которую необходимо проверить. Социальная инженерия собирает информацию о человеческом взаимодействии, чтобы получить информацию об организации и ее компьютерах. Полезно проверить способность соответствующей организации предотвращать несанкционированный доступ к ее информационным системам. Кроме того, этот тест предназначен исключительно для рабочего процесса организации / компании.
Тестирование на проникновение — ручное и автоматическое
И ручное тестирование на проникновение, и автоматическое тестирование на проникновение проводятся с одной и той же целью. Единственная разница между ними заключается в том, как они ведут себя. Как следует из названия, ручное тестирование на проникновение выполняется людьми (экспертами в этой области), а автоматическое тестирование на проникновение выполняется самой машиной.
Эта глава поможет вам понять концепцию, различия и применимость обоих терминов.
Что такое ручное тестирование на проникновение?
Ручное тестирование на проникновение — это тестирование, проводимое людьми. При таком типе тестирования уязвимость и риск машины проверяются опытным инженером.
Как правило, инженеры-испытатели выполняют следующие методы:
-
Сбор данных — сбор данных играет ключевую роль для тестирования. Можно либо собирать данные вручную, либо использовать сервисы инструментов (такие как метод анализа исходного кода веб-страницы и т. Д.), Свободно доступные онлайн. Эти инструменты помогают собирать информацию, такую как имена таблиц, версии БД, базы данных, программное обеспечение, оборудование и даже о различных сторонних плагинах и т. Д.
-
Оценка уязвимости. Как только данные собраны, они помогают тестировщикам выявить слабые места в безопасности и принять соответствующие превентивные меры.
-
Фактический эксплойт — это типичный метод, который эксперт-тестировщик использует для запуска атаки на целевую систему, а также снижает риск атаки.
-
Подготовка отчета. Как только проникновение завершено, тестер готовит окончательный отчет, в котором описано все, что касается системы. Наконец, отчет анализируется с целью принятия корректирующих мер для защиты целевой системы.
Сбор данных — сбор данных играет ключевую роль для тестирования. Можно либо собирать данные вручную, либо использовать сервисы инструментов (такие как метод анализа исходного кода веб-страницы и т. Д.), Свободно доступные онлайн. Эти инструменты помогают собирать информацию, такую как имена таблиц, версии БД, базы данных, программное обеспечение, оборудование и даже о различных сторонних плагинах и т. Д.
Оценка уязвимости. Как только данные собраны, они помогают тестировщикам выявить слабые места в безопасности и принять соответствующие превентивные меры.
Фактический эксплойт — это типичный метод, который эксперт-тестировщик использует для запуска атаки на целевую систему, а также снижает риск атаки.
Подготовка отчета. Как только проникновение завершено, тестер готовит окончательный отчет, в котором описано все, что касается системы. Наконец, отчет анализируется с целью принятия корректирующих мер для защиты целевой системы.
Типы ручного тестирования на проникновение
Ручное тестирование на проникновение обычно классифицируют двумя следующими способами:
-
Целенаправленное ручное тестирование на проникновение — это очень сфокусированный метод, который проверяет определенные уязвимости и риски. Автоматическое тестирование на проникновение не может выполнить это тестирование; это делают только специалисты-люди, которые изучают конкретные уязвимости приложений в данных доменах.
-
Комплексное ручное тестирование на проникновение — это тестирование целых систем, связанных друг с другом, для выявления всех видов рисков и уязвимостей. Тем не менее, функция этого тестирования более ситуативна, например, расследование того, могут ли множественные ошибки с низким риском привести к более уязвимому сценарию атаки, и т. Д.
Целенаправленное ручное тестирование на проникновение — это очень сфокусированный метод, который проверяет определенные уязвимости и риски. Автоматическое тестирование на проникновение не может выполнить это тестирование; это делают только специалисты-люди, которые изучают конкретные уязвимости приложений в данных доменах.
Комплексное ручное тестирование на проникновение — это тестирование целых систем, связанных друг с другом, для выявления всех видов рисков и уязвимостей. Тем не менее, функция этого тестирования более ситуативна, например, расследование того, могут ли множественные ошибки с низким риском привести к более уязвимому сценарию атаки, и т. Д.
Что такое автоматизированное тестирование на проникновение?
Автоматическое тестирование на проникновение намного быстрее, эффективнее, проще и надежнее, что автоматически проверяет уязвимость и риск машины. Эта технология не требует никакого опытного инженера, скорее она может быть использована любым человеком, имеющим минимальные знания в этой области.
Инструментами для автоматического тестирования на проникновение являются Nessus, Metasploit, OpenVA, backtract (серия 5) и т. Д. Это очень эффективные инструменты, которые изменили эффективность и смысл тестирования на проникновение.
Однако следующая таблица иллюстрирует фундаментальное различие между ручным и автоматическим тестированием на проникновение —
| Ручное тестирование на проникновение | Автоматическое тестирование на проникновение |
|---|---|
| Требуется опытный инженер для выполнения теста. | Он автоматизирован, поэтому даже учащийся может выполнить тест. |
| Требуются разные инструменты для тестирования. | В него встроены инструменты, требующие чего-либо извне. |
| В этом типе тестирования результаты могут варьироваться от теста к тесту. | Это зафиксировало результат. |
| Этот тест требует помнить очистку памяти тестером. | Это не. |
| Это исчерпывающе и занимает много времени. | Это более эффективно и быстро. |
| У него есть дополнительные преимущества, например, если эксперт проводит ручное тестирование, то он может лучше анализировать, он может думать, что может подумать хакер и где он может атаковать. Следовательно, он может поставить безопасность соответственно. | Он не может проанализировать ситуацию. |
| Согласно требованию, эксперт может провести многократное тестирование. | Это не может. |
| Для критического состояния, это более надежно. | Это не. |
Тестирование на проникновение — Инструменты
Тестирование на проникновение, как правило, состоит из сбора информации, анализа уязвимостей и рисков, использования уязвимостей и подготовки окончательного отчета.
Также важно изучить особенности различных инструментов, доступных при тестировании на проникновение. Эта глава содержит информацию и информацию об этих функциях.
Что такое инструменты тестирования на проникновение?
В следующей таблице собраны некоторые из наиболее важных инструментов проникновения и показаны их особенности.
| Имя инструмента | Цель | портативность | Ожидаемая стоимость |
|---|---|---|---|
| Hping |
Сканирование портов Удаленный OC дактилоскопия |
Linux, NetBSD, FreeBSD, OpenBSD, |
Свободно |
| Nmap |
Сетевое сканирование Сканирование портов Обнаружение ОС |
Linux, Windows, FreeBSD, OS X, HP-UX, NetBSD, Sun, OpenBSD, Solaris, IRIX, Mac и т. Д. | Свободно |
| SuperScan |
Запускает запросы, включая ping, whois, поиск имени хоста и т. Д. Обнаруживает открытые порты UDP / TCP и определяет, какие службы работают на этих портах. |
Windows 2000 / XP / Vista / 7 | Свободно |
| p0f |
Отпечатки пальцев Обнаружение брандмауэра |
Linux, FreeBSD, NetBSD, OpenBSD, Mac OS X, Solaris, Windows и AIX | Свободно |
| Xprobe |
Удаленная активная проверка подлинности ОС Сканирование портов TCP дактилоскопия |
Linux | Свободно |
| Httprint |
Обнаружение SSL отпечатков пальцев веб-сервера Обнаружение веб-устройств (например, точки беспроводного доступа, коммутаторы, модемы, маршрутизаторы) |
Linux, Mac OS X, FreeBSD, Win32 (командная строка и графический интерфейс | Свободно |
| Nessus | Обнаружение уязвимостей, которые позволяют удаленному взломщику контролировать / получать доступ к конфиденциальным данным | Mac OS X, Linux, FreeBSD, Apple, Oracle Solaris, Windows | Бесплатная ограниченная серия |
| GFI LANguard | Обнаружение сетевых уязвимостей | Windows Server 2003/2008, Windows 7 Ultimate / Vista, Windows 2000 Professional, Business / XP, Sever 2000/2003/2008 | Только пробная версия бесплатно |
| Iss Scanner | Обнаружение сетевых уязвимостей | Windows 2000 Professional с пакетом обновления 4, Windows Server 2003 Standard с SO1, Windows XP Professional с пакетом обновления 1a | Только пробная версия бесплатно |
| Shadow Security Scanner | Обнаружение сетевых уязвимостей, проверка прокси-серверов и серверов LDAP | Windows, но серверы сканирования построены на любой платформе | Только пробная версия бесплатно |
| Metasploit Framework |
Разработка и выполнение кода эксплойта для удаленной цели Тест уязвимости компьютерных систем |
Все версии Unix и Windows | Свободно |
| Брут | Взломщик паролей через Telnet, ftp и http | Windows 9x / NT / 2000 | Свободно |
Сканирование портов
Удаленный OC дактилоскопия
Linux, NetBSD,
FreeBSD,
OpenBSD,
Сетевое сканирование
Сканирование портов
Обнаружение ОС
Запускает запросы, включая ping, whois, поиск имени хоста и т. Д.
Обнаруживает открытые порты UDP / TCP и определяет, какие службы работают на этих портах.
Отпечатки пальцев
Обнаружение брандмауэра
Удаленная активная проверка подлинности ОС
Сканирование портов
TCP дактилоскопия
Обнаружение SSL отпечатков пальцев веб-сервера
Обнаружение веб-устройств (например, точки беспроводного доступа, коммутаторы, модемы, маршрутизаторы)
Разработка и выполнение кода эксплойта для удаленной цели
Тест уязвимости компьютерных систем
Тест на проникновение — Инфраструктура
Компьютерные системы и связанные с ними сети, как правило, состоят из большого количества устройств, и большинство из них играют важную роль в проведении общих работ и бизнесов соответствующей системы. Незначительный недостаток в любой момент времени, и на любой части этих устройств может нанести большой ущерб вашему бизнесу. Поэтому все они уязвимы для риска и должны быть защищены должным образом.
Что такое тестирование проникновения инфраструктуры?
Тестирование проникновения в инфраструктуру включает в себя все внутренние компьютерные системы, связанные внешние устройства, тестирование сети Интернет, тестирование облачных систем и виртуализацию.
Будь то скрытый в вашей внутренней корпоративной сети или в открытом доступе, всегда есть возможность, что злоумышленник может использовать, что может нанести вред вашей инфраструктуре. Поэтому лучше быть в безопасности заранее, чем потом сожалеть.
Типы тестирования проникновения инфраструктуры
Ниже приведены важные типы тестирования проникновения инфраструктуры —
- Тестирование проникновения внешней инфраструктуры
- Тестирование проникновения внутренней инфраструктуры
- Тестирование проникновения в облако и виртуализацию
- Тестирование проникновения беспроводной безопасности
Тестирование внешней инфраструктуры
Тест на проникновение, нацеленный на внешнюю инфраструктуру, обнаруживает, что хакер может сделать с вашими сетями, который легко доступен через Интернет.
В этом тестировании тестировщик обычно копирует те же виды атак, которые могут использовать хакеры, обнаруживая и отображая недостатки безопасности во внешней инфраструктуре.
Существуют различные преимущества использования тестирования проникновения внешней инфраструктуры, так как это —
-
Определяет недостатки в конфигурации брандмауэра, которые могут быть использованы неправильно
-
Узнайте, как злоумышленник может получить информацию из вашей системы
-
Предлагает, как эти проблемы могут быть исправлены
-
Готовит исчерпывающий отчет с указанием рисков безопасности пограничных сетей и предлагает решения
-
Обеспечивает общую эффективность и продуктивность вашего бизнеса
Определяет недостатки в конфигурации брандмауэра, которые могут быть использованы неправильно
Узнайте, как злоумышленник может получить информацию из вашей системы
Предлагает, как эти проблемы могут быть исправлены
Готовит исчерпывающий отчет с указанием рисков безопасности пограничных сетей и предлагает решения
Обеспечивает общую эффективность и продуктивность вашего бизнеса
Тестирование проникновения внутренней инфраструктуры
Из-за незначительных недостатков внутренней безопасности хакеры незаконно совершают мошенничества в крупных организациях. Таким образом, при тестировании на проникновение во внутреннюю инфраструктуру тестировщик может определить возможность обеспечения безопасности и у какого сотрудника возникла эта проблема.
Преимущества тестирования на проникновение во внутреннюю инфраструктуру —
-
Определяет, как внутренний злоумышленник может воспользоваться даже незначительным недостатком безопасности.
-
Определяет потенциальный бизнес-риск и ущерб, который может нанести внутренний злоумышленник.
-
Улучшает системы безопасности внутренней инфраструктуры.
-
Готовит исчерпывающий отчет с подробными сведениями о рисках для безопасности внутренних сетей, а также подробный план действий по его устранению.
Определяет, как внутренний злоумышленник может воспользоваться даже незначительным недостатком безопасности.
Определяет потенциальный бизнес-риск и ущерб, который может нанести внутренний злоумышленник.
Улучшает системы безопасности внутренней инфраструктуры.
Готовит исчерпывающий отчет с подробными сведениями о рисках для безопасности внутренних сетей, а также подробный план действий по его устранению.
Тестирование проникновения в облако и виртуализацию
Когда вы покупаете публичный сервер или волновое пространство, это значительно увеличивает риск взлома данных. Кроме того, выявить злоумышленника в облачной среде сложно. Злоумышленник также может купить хостинг Cloud, чтобы получить доступ к вашим новым данным Cloud.
Фактически, большая часть облачного хостинга реализована в виртуальной инфраструктуре, что создает риск виртуализации, к которому злоумышленник может легко получить доступ.
Преимущество тестирования на проникновение в облако и виртуализацию —
-
Обнаруживает реальные риски в виртуальной среде и предлагает методы и затраты для устранения угроз и недостатков.
-
Предоставляет рекомендации и план действий по решению проблемы.
-
Улучшает общую систему защиты.
-
Готовит исчерпывающий отчет о системе безопасности облачных вычислений и виртуализации, описывает недостатки безопасности, причины и возможные решения.
Обнаруживает реальные риски в виртуальной среде и предлагает методы и затраты для устранения угроз и недостатков.
Предоставляет рекомендации и план действий по решению проблемы.
Улучшает общую систему защиты.
Готовит исчерпывающий отчет о системе безопасности облачных вычислений и виртуализации, описывает недостатки безопасности, причины и возможные решения.
Тестирование проникновения беспроводной безопасности
Беспроводная технология вашего ноутбука и других устройств обеспечивает простой и гибкий доступ к различным сетям. Легкодоступная технология уязвима для уникальных рисков; поскольку физическая безопасность не может быть использована для ограничения доступа к сети. Злоумышленник может взломать с удаленного места. Следовательно, тестирование проникновения беспроводной безопасности необходимо для вашей компании / организации.
Ниже приведены причины использования беспроводной технологии:
-
Чтобы найти потенциальный риск, связанный с вашими беспроводными устройствами.
-
Предоставить рекомендации и план действий по защите от внешних угроз.
-
Для улучшения общей системы безопасности.
-
Для подготовки комплексного отчета системы безопасности беспроводной сети, чтобы указать на недостатки безопасности, причины и возможные решения.
Чтобы найти потенциальный риск, связанный с вашими беспроводными устройствами.
Предоставить рекомендации и план действий по защите от внешних угроз.
Для улучшения общей системы безопасности.
Для подготовки комплексного отчета системы безопасности беспроводной сети, чтобы указать на недостатки безопасности, причины и возможные решения.
Тестирование на проникновение — Тестеры
Существует проблема защиты наиболее важных данных организации; поэтому роль тестера проникновения очень важна, небольшая ошибка может подвергнуть риску обе стороны (тестировщика и его клиента).
Поэтому в этой главе рассматриваются различные аспекты тестера на проникновение, включая его квалификацию, опыт и обязанности.
Квалификация тестеров на проникновение
Этот тест может быть выполнен только квалифицированным тестером на проникновение; следовательно, квалификация тестера на проникновение очень важна.
Как квалифицированный внутренний эксперт, так и квалифицированный внешний эксперт могут выполнить тест на проникновение, пока они не станут организационно независимыми. Это означает, что тестер проникновения должен быть организационно независимым от управления целевыми системами. Например, если сторонняя компания участвует в установке, обслуживании или поддержке целевых систем, то эта сторона не может выполнить тестирование на проникновение.
Вот несколько рекомендаций, которые помогут вам при вызове тестера на проникновение.
сертификация
Сертифицированное лицо может выполнить тестирование на проникновение. Сертификация, проводимая тестером, является показателем его навыков и компетентности способного тестера на проникновение.
Ниже приведены важные примеры сертификации тестирования на проникновение:
-
Сертифицированный этический хакер (CEH).
-
Сертифицированный специалист по оскорбительной безопасности (OSCP).
-
Сертификаты для испытаний на проникновение CREST.
-
Communication Electronic Security Group (CESG) Сертификация службы проверки работоспособности ИТ.
-
Сертификаты Global Information Assurance Certification (GIAC), например, сертифицированный GIAC тестер проникновения (GPEN), тестер проникновения веб-приложений GIAC (GWAPT), расширенный тестер проникновения (GXPN) и исследователь эксплойтов GIAC.
Сертифицированный этический хакер (CEH).
Сертифицированный специалист по оскорбительной безопасности (OSCP).
Сертификаты для испытаний на проникновение CREST.
Communication Electronic Security Group (CESG) Сертификация службы проверки работоспособности ИТ.
Сертификаты Global Information Assurance Certification (GIAC), например, сертифицированный GIAC тестер проникновения (GPEN), тестер проникновения веб-приложений GIAC (GWAPT), расширенный тестер проникновения (GXPN) и исследователь эксплойтов GIAC.
Прошлый опыт
Следующие вопросы помогут вам нанять эффективного тестера на проникновение —
-
Сколько лет опыта имеет тестер на проникновение?
-
Является ли он независимым тестером проникновения или работает в организации?
-
В скольких компаниях он работал тестером на проникновение?
-
Проводил ли он тестирование на проникновение для какой-либо организации, которая имеет такой же размер и область применения, как ваша?
-
Какой опыт имеет тестер проникновения? Например, проведение тестирования на проникновение сетевого уровня и т. Д.
-
Вы также можете попросить ссылку у других клиентов, для которых он работал.
Сколько лет опыта имеет тестер на проникновение?
Является ли он независимым тестером проникновения или работает в организации?
В скольких компаниях он работал тестером на проникновение?
Проводил ли он тестирование на проникновение для какой-либо организации, которая имеет такой же размер и область применения, как ваша?
Какой опыт имеет тестер проникновения? Например, проведение тестирования на проникновение сетевого уровня и т. Д.
Вы также можете попросить ссылку у других клиентов, для которых он работал.
При найме тестера на проникновение важно оценить прошлогодний опыт тестирования организации, для которой он (тестер) работал, поскольку это связано с технологиями, специально разработанными им в целевой среде.
В дополнение к вышесказанному, для сложных ситуаций и типичных требований клиента рекомендуется оценить способность тестера справляться с подобной средой в его / ее более раннем проекте.
Роль тестера проникновения
Тестер проникновения имеет следующие роли —
-
Выявить неэффективное распределение инструментов и технологий.
-
Тестирование во внутренних системах безопасности.
-
Определите воздействия, чтобы защитить самые важные данные.
-
Откройте для себя бесценные знания об уязвимостях и рисках во всей инфраструктуре.
-
Составление отчетов и определение приоритетов рекомендаций по исправлению, чтобы гарантировать, что команда безопасности использует свое время наиболее эффективным способом, защищая при этом самые большие пробелы в безопасности.
Выявить неэффективное распределение инструментов и технологий.
Тестирование во внутренних системах безопасности.
Определите воздействия, чтобы защитить самые важные данные.
Откройте для себя бесценные знания об уязвимостях и рисках во всей инфраструктуре.
Составление отчетов и определение приоритетов рекомендаций по исправлению, чтобы гарантировать, что команда безопасности использует свое время наиболее эффективным способом, защищая при этом самые большие пробелы в безопасности.
Тестирование на проникновение — написание отчета
Не обязательно, чтобы опытный тестер на проникновение мог написать хороший отчет, так как написание отчета о тестировании на проникновение — это искусство, которое нужно изучать отдельно.
Что такое написание отчета?
В тестировании на проникновение написание отчета — это комплексная задача, которая включает методологию, процедуры, правильное объяснение содержания и дизайна отчета, подробный пример отчета о тестировании и личный опыт тестировщика. Как только отчет подготовлен, он передается старшему руководству и технической группе целевых организаций. Если в будущем возникнет такая необходимость, этот отчет используется в качестве справочного материала.
Этапы написания отчета
В связи с проведением комплексной письменной работы составление отчета о проникновении делится на следующие этапы:
- Планирование отчетов
- Сбор информации
- Написание первого черновика
- Обзор и завершение
Планирование отчетов
Планирование отчета начинается с целей, которые помогают читателям понять основные моменты тестирования на проникновение. В этой части описывается, почему проводится тестирование, каковы преимущества ручного тестирования и т. Д. Во-вторых, планирование отчетов также включает время, затраченное на тестирование.
Основными элементами написания отчета являются —
-
Цели — описывает общую цель и преимущества ручного тестирования.
-
Время — Включение времени очень важно, так как оно дает точное состояние системы. Предположим, что если что-то случится позже, этот отчет спасет тестировщика, так как отчет проиллюстрирует риски и уязвимости в области тестирования на проникновение в течение определенного периода времени.
-
Целевая аудитория. Отчет о тестировании пера также должен включать целевую аудиторию, такую как менеджер по информационной безопасности, менеджер по информационным технологиям, главный специалист по информационной безопасности и техническая группа.
-
Классификация отчетов. Поскольку конфиденциальные данные, содержащие IP-адреса сервера, информацию о приложениях, уязвимости, угрозы, носят конфиденциальный характер, их необходимо правильно классифицировать. Однако эту классификацию необходимо проводить на основе целевой организации, которая имеет политику классификации информации.
-
Распространение отчетов — в объеме работ следует указать количество копий и распространение отчетов. Также необходимо отметить, что печатные копии можно контролировать, печатая ограниченное количество копий с указанием их номера и имени получателя.
Цели — описывает общую цель и преимущества ручного тестирования.
Время — Включение времени очень важно, так как оно дает точное состояние системы. Предположим, что если что-то случится позже, этот отчет спасет тестировщика, так как отчет проиллюстрирует риски и уязвимости в области тестирования на проникновение в течение определенного периода времени.
Целевая аудитория. Отчет о тестировании пера также должен включать целевую аудиторию, такую как менеджер по информационной безопасности, менеджер по информационным технологиям, главный специалист по информационной безопасности и техническая группа.
Классификация отчетов. Поскольку конфиденциальные данные, содержащие IP-адреса сервера, информацию о приложениях, уязвимости, угрозы, носят конфиденциальный характер, их необходимо правильно классифицировать. Однако эту классификацию необходимо проводить на основе целевой организации, которая имеет политику классификации информации.
Распространение отчетов — в объеме работ следует указать количество копий и распространение отчетов. Также необходимо отметить, что печатные копии можно контролировать, печатая ограниченное количество копий с указанием их номера и имени получателя.
Сбор информации
Из-за сложных и длительных процессов, тестер пера должен упоминать каждый шаг, чтобы убедиться, что он собрал всю информацию на всех этапах тестирования. Наряду с методами он также должен упомянуть о системах и инструментах, результатах сканирования, оценках уязвимости, подробностях своих выводов и т. Д.
Написание первого черновика
Когда-то тестер был готов со всеми инструментами и информацией, теперь ему нужно запустить первый черновик. Прежде всего, он должен написать первый черновик в деталях — упомянуть все, то есть все действия, процессы и опыт.
Обзор и завершение
После составления отчета он должен быть сначала рассмотрен самим составителем, а затем его старшими или коллегами, которые могли ему помочь. При проверке рецензент должен проверить каждую деталь отчета и найти любые недостатки, которые необходимо исправить.
Содержание отчета о тестировании на проникновение
Ниже приводится типичное содержание отчета о тестировании на проникновение:
Управляющее резюме
методология
Подробные выводы
Рекомендации
|
Тест на проникновение — этический взлом
Быстрый рост Интернета изменил образ жизни для всех. В наши дни большая часть частных и общественных работ зависит от Интернета. Все секретные рабочие планы правительства и операции осуществляются через Интернет. Все это сделало жизнь очень простой и легко доступной.
Но с хорошими новостями у этого развития есть и темное лицо, то есть криминальный хакер. Нет никаких геополитических ограничений этих преступных хакеров, они могут взломать любую систему из любой части мира. Они могут очень сильно повредить конфиденциальные данные и кредитную историю.
Поэтому, чтобы защитить от преступных хакеров, концепция этического хакера развивалась. В этой главе обсуждается концепция и роль этического хакера.
Кто этические хакеры?
Этические хакеры — это компьютерные эксперты, которым по закону разрешено взламывать компьютерную систему с целью защиты от преступных хакеров. Этический хакер выявляет уязвимости и риски системы и предлагает способы их устранения.
Кто такие криминальные хакеры?
Криминальные хакеры — это те специалисты по компьютерному программированию, которые взламывают чужие системы с целью кражи данных, кражи денег, клеветы на чужие кредиты, уничтожения чужих данных, шантажа кого-либо и т. Д.
Что могут сделать криминальные хакеры?
Как только система взломана, преступный хакер может сделать с ней что угодно. Следующие два изображения CC Palmer, опубликованные на pdf.textfiles.com, иллюстрируют простой пример взломанной страницы:
Вот скриншот веб-страницы, сделанной до ее взлома —
И вот скриншот той же веб-страницы после того, как она была взломана —
Что такое наборы навыков этических хакеров?
Опытные этические хакеры имеют следующие наборы навыков, чтобы взломать систему этически
-
Они должны быть заслуживающими доверия.
-
Независимо от рисков и уязвимостей, которые они обнаруживают при тестировании системы, они должны сохранять их конфиденциальность.
-
Клиенты предоставляют конфиденциальную информацию об инфраструктуре своей системы, такую как IP-адрес, пароль и т. Д. Этические хакеры должны сохранять конфиденциальность этой информации.
-
Этические хакеры должны обладать глубокими знаниями в области компьютерного программирования, сетей и оборудования.
-
Они должны обладать хорошими аналитическими навыками, чтобы анализировать ситуацию и заранее спекулировать риском.
-
Они должны обладать навыками управления и терпением, так как тестирование ручкой может занять один день, одну неделю или даже больше.
Они должны быть заслуживающими доверия.
Независимо от рисков и уязвимостей, которые они обнаруживают при тестировании системы, они должны сохранять их конфиденциальность.
Клиенты предоставляют конфиденциальную информацию об инфраструктуре своей системы, такую как IP-адрес, пароль и т. Д. Этические хакеры должны сохранять конфиденциальность этой информации.
Этические хакеры должны обладать глубокими знаниями в области компьютерного программирования, сетей и оборудования.
Они должны обладать хорошими аналитическими навыками, чтобы анализировать ситуацию и заранее спекулировать риском.
Они должны обладать навыками управления и терпением, так как тестирование ручкой может занять один день, одну неделю или даже больше.
Что делают этические хакеры?
Этические хакеры, выполняя тестирование на проникновение, в основном пытаются найти ответы на следующие вопросы:
- Какие слабые места могут поразить криминальные хакеры?
- Что криминальный хакер может увидеть в целевых системах?
- Что может сделать преступный хакер с этой конфиденциальной информацией?
Более того, этический хакер должен адекватно реагировать на уязвимости и риски, которые он обнаружил в целевых системах. Он должен объяснить и предложить процедуры избегания. Наконец, подготовьте итоговый отчет о всех своих этических действиях, которые он делал и наблюдал во время тестирования на проникновение.
Типы хакеров
Хакеры обычно делятся на три категории.
Хакеры
«Черный хакер» — это человек, который обладает обширным компьютерным программным и аппаратным обеспечением, и его целью является нарушение или обход Интернет-безопасности кого-либо еще. Хакеры в черной шляпе также популярны как взломщики или хакеры с темной стороны.
Белая Шляпа Хакеры
Термин «белый хакер» относится к этическому компьютерному хакеру, который является экспертом по компьютерной безопасности, специализируется на тестировании на проникновение и других связанных методологиях тестирования. Его основная роль заключается в обеспечении безопасности информационной системы организации.
Серая Шляпа Хакер
Термин «серый хакер» относится к компьютерному хакеру, который взламывает систему компьютерной безопасности, этические стандарты которой находятся где-то между чисто этическим и исключительно злонамеренным.
Тестирование на проникновение против Этический взлом
Тестирование на проникновение очень тесно связано с этическим взломом, поэтому эти два термина часто используются взаимозаменяемо. Однако между этими двумя терминами есть тонкая грань различия. Эта глава дает представление о некоторых основных концепциях и фундаментальных различиях между тестированием на проникновение и этическим взломом.
Проверка на проницаемость
Тестирование на проникновение — это особый термин, который фокусируется только на выявлении уязвимостей, рисков и целевой среды с целью обеспечения безопасности и контроля над системой. Другими словами, тестирование на проникновение нацелено на системы защиты соответствующей организации, состоящие из всех компьютерных систем и ее инфраструктуры.
Этический взлом
С другой стороны, этический взлом — это обширный термин, который охватывает все методы взлома и другие связанные с ними методы компьютерных атак. Таким образом, наряду с обнаружением уязвимостей и уязвимостей в системе безопасности и обеспечением безопасности целевой системы, это не только взлом системы, но и разрешение для обеспечения безопасности в будущем. Следовательно, мы можем, что это общий термин, а тестирование на проникновение является одной из особенностей этического взлома.
Ниже приведены основные различия между тестированием на проникновение и этическим взломом, которые перечислены в следующей таблице.
| Проверка на проницаемость | Этический взлом |
|---|---|
| Узкий термин фокусируется на тестировании на проникновение только для защиты системы безопасности. | Всесторонний срок и тестирование на проникновение является одной из его особенностей. |
| По сути, тестер должен обладать всесторонним знанием всего, что требуется для знания только той области, для которой он проводит ручное тестирование. | Этическому хакеру необходимо иметь глубокие знания в области программирования, а также аппаратного обеспечения. |
| Тестер не обязательно должен быть хорошим автором отчетов. | По сути, этический хакер должен быть экспертом в написании отчетов. |
| Любой тестер с некоторыми входными данными тестирования на проникновение может выполнить ручное тестирование. | Требуется быть экспертом в данной области, который имеет обязательную сертификацию этического взлома, чтобы быть эффективным. |
| Бумажная работа меньше по сравнению с этическим взломом. | Требуются подробные документы, включая юридическое соглашение и т. Д. |
| Для выполнения этого типа тестирования требуется меньше времени. | Этический взлом требует много времени и усилий по сравнению с тестированием на проникновение. |
| Обычно доступность целых компьютерных систем и их инфраструктуры не требуется. Доступность требуется только для той части, для которой тестер выполняет ручное тестирование. | В соответствии с ситуацией обычно требуется полный диапазон доступности всех компьютерных систем и их инфраструктуры. |
Поскольку методы проникновения используются для защиты от угроз, потенциальные злоумышленники также быстро становятся все более изощренными и изобретают новые слабые места в текущих приложениях. Следовательно, отдельного вида одиночного тестирования на проникновение недостаточно для защиты вашей безопасности тестируемых систем.
Согласно отчету, в некоторых случаях обнаруживается новая лазейка в безопасности, и успешная атака происходит сразу после тестирования на проникновение. Однако это не означает, что тестирование на проникновение бесполезно. Это означает лишь то, что это правда, что при тщательном тестировании на проникновение нет никакой гарантии, что успешная атака не состоится, но, безусловно, тест существенно снизит вероятность успешной атаки.
Тест на проникновение — ограничения
Из-за быстрых темпов развития в области информации и технологий, история успеха тестирования на проникновение является сравнительно недолгой. Поскольку требуется большая защита систем, чаще, чем нужно, проводить тестирование на проникновение, чтобы уменьшить вероятность успешной атаки до уровня, который ценится компанией.
Ниже приведены основные ограничения тестирования на проникновение —
-
Ограничение времени — Как все мы знаем, тестирование на проникновение вовсе не является ограниченным по времени упражнением; тем не менее, эксперты по тестированию на проникновение выделили фиксированное количество времени для каждого теста. С другой стороны, у злоумышленников нет временных ограничений, они планируют это через неделю, месяц или даже годы.
-
Ограничение области действия. Многие организации не все тестируют из-за собственных ограничений, включая ограничения ресурсов, ограничения безопасности, ограничения бюджета и т. Д. Аналогично, тестер имеет ограниченную область применения, и ему приходится покидать многие части систем, которые могут быть гораздо более уязвимым и может стать идеальной нишей для атакующего.
-
Ограничение доступа — Чаще тестировщики имеют ограниченный доступ к целевой среде. Например, если компания провела тест на проникновение в свои системы DMZ из всех своих интернет-сетей, но что, если злоумышленники атакуют через обычный интернет-шлюз.
-
Ограничение методов — есть вероятность, что целевая система может потерпеть крах во время теста на проникновение, поэтому некоторые из определенных методов атаки могут быть отключены для профессионального тестера на проникновение. Например, создание потока отказа в обслуживании, чтобы отвлечь системного или сетевого администратора от другого метода атаки, обычно идеальная тактика для действительно плохого парня, но для большинства профессиональных тестировщиков проникновения он, вероятно, выйдет за пределы правил взаимодействия. ,
-
Ограничение наборов навыков тестера на проникновение — Как правило, профессиональные тестеры на проникновение ограничены, так как они имеют ограниченные навыки, независимо от их опыта и прошлого опыта. Большинство из них сосредоточены на конкретной технологии и имеют редкие знания в других областях.
-
Ограничение известных эксплойтов. Многие тестеры знают только о тех эксплойтах, которые являются публичными. На самом деле их творческая сила не так развита, как у злоумышленников. Злоумышленники, как правило, думают гораздо дальше, чем думают тестировщики, и обнаруживают недостатки в атаке.
-
Ограничение эксперимента. Большинство тестировщиков ограничены по времени и следуют инструкциям, уже предоставленным им их организацией или пожилыми людьми. Они не пробуют что-то новое. Они не думают за пределами данных инструкций. С другой стороны, злоумышленники могут свободно думать, экспериментировать и создавать новые пути для атаки.
Ограничение времени — Как все мы знаем, тестирование на проникновение вовсе не является ограниченным по времени упражнением; тем не менее, эксперты по тестированию на проникновение выделили фиксированное количество времени для каждого теста. С другой стороны, у злоумышленников нет временных ограничений, они планируют это через неделю, месяц или даже годы.
Ограничение области действия. Многие организации не все тестируют из-за собственных ограничений, включая ограничения ресурсов, ограничения безопасности, ограничения бюджета и т. Д. Аналогично, тестер имеет ограниченную область применения, и ему приходится покидать многие части систем, которые могут быть гораздо более уязвимым и может стать идеальной нишей для атакующего.
Ограничение доступа — Чаще тестировщики имеют ограниченный доступ к целевой среде. Например, если компания провела тест на проникновение в свои системы DMZ из всех своих интернет-сетей, но что, если злоумышленники атакуют через обычный интернет-шлюз.
Ограничение методов — есть вероятность, что целевая система может потерпеть крах во время теста на проникновение, поэтому некоторые из определенных методов атаки могут быть отключены для профессионального тестера на проникновение. Например, создание потока отказа в обслуживании, чтобы отвлечь системного или сетевого администратора от другого метода атаки, обычно идеальная тактика для действительно плохого парня, но для большинства профессиональных тестировщиков проникновения он, вероятно, выйдет за пределы правил взаимодействия. ,
Ограничение наборов навыков тестера на проникновение — Как правило, профессиональные тестеры на проникновение ограничены, так как они имеют ограниченные навыки, независимо от их опыта и прошлого опыта. Большинство из них сосредоточены на конкретной технологии и имеют редкие знания в других областях.
Ограничение известных эксплойтов. Многие тестеры знают только о тех эксплойтах, которые являются публичными. На самом деле их творческая сила не так развита, как у злоумышленников. Злоумышленники, как правило, думают гораздо дальше, чем думают тестировщики, и обнаруживают недостатки в атаке.
Ограничение эксперимента. Большинство тестировщиков ограничены по времени и следуют инструкциям, уже предоставленным им их организацией или пожилыми людьми. Они не пробуют что-то новое. Они не думают за пределами данных инструкций. С другой стороны, злоумышленники могут свободно думать, экспериментировать и создавать новые пути для атаки.
Более того, тестирование на проникновение не может заменить обычные тесты ИТ-безопасности и не может заменить общую политику безопасности, а тестирование на проникновение дополняет установленные процедуры проверки и обнаруживает новые угрозы.
Тест на проникновение — исправление
Усилия по тестированию на проникновение — какими бы тщательными они ни были — не всегда могут обеспечить исчерпывающее обнаружение каждого случая, когда эффективность контроля безопасности недостаточна. Выявление уязвимости или риска межсайтового скриптинга в одной области приложения может не обязательно выявить все случаи этой уязвимости, присутствующие в приложении. Эта глава иллюстрирует концепцию и полезность исправления.
Что такое исправление?
Исправление — это предложение улучшения, чтобы заменить ошибку и исправить ее. Часто наличие уязвимости в одной области может указывать на слабость процессов или методов разработки, которые могли бы воспроизвести или включить аналогичную уязвимость в других местах. Поэтому при исправлении важно, чтобы тестировщик тщательно исследовал проверенный объект или приложения с учетом неэффективных мер безопасности.
По этим причинам соответствующая компания должна предпринять шаги для исправления любой уязвимости, которая может быть использована, в течение разумного периода времени после первоначального теста на проникновение. Фактически, как только компания выполнила эти шаги, тестер должен выполнить повторное тестирование, чтобы проверить вновь внедренные элементы управления, которые способны снизить первоначальный риск.
Усилия по исправлению, продолжающиеся в течение более длительного периода времени после первоначального ручного теста, возможно, требуют проведения нового тестирования, чтобы гарантировать точные результаты в самых современных условиях. Это определение должно быть сделано после анализа риска того, сколько изменений произошло с момента завершения первоначального тестирования.
Кроме того, в определенных условиях помеченная проблема безопасности может иллюстрировать основной недостаток в соответствующей среде или приложении. Поэтому в рамках повторного тестирования следует учитывать, классифицируются ли какие-либо изменения, вызванные исправлением, выявленными в ходе теста, как значимые. Все изменения должны быть проверены повторно; однако необходимость повторного тестирования всей системы будет определяться оценкой риска изменений.
Тестирование на проникновение — правовые вопросы
Прежде чем разрешить кому-либо тестировать конфиденциальные данные, компании обычно принимают меры в отношении доступности, конфиденциальности и целостности данных. Для того, чтобы это соглашение имело место, соблюдение законодательства является необходимой деятельностью для организации.
Наиболее важные правовые нормы, которые необходимо соблюдать при создании и поддержании систем безопасности и авторизации, представлены ниже в контексте для использования при реализации тестов на проникновение.
Каковы правовые вопросы?
Ниже приведены некоторые проблемы, которые могут возникнуть между тестером и его клиентом.
-
Тестер неизвестен своему клиенту — поэтому на каком основании ему должен быть предоставлен доступ к конфиденциальным данным
-
Кто возьмет на себя гарантию безопасности потерянных данных?
-
Клиент может обвинить тестера в потере данных или конфиденциальности
Тестер неизвестен своему клиенту — поэтому на каком основании ему должен быть предоставлен доступ к конфиденциальным данным
Кто возьмет на себя гарантию безопасности потерянных данных?
Клиент может обвинить тестера в потере данных или конфиденциальности
Тестирование на проникновение может повлиять на производительность системы и может вызвать проблемы с конфиденциальностью и целостностью; следовательно, это очень важно, даже при внутреннем тестировании на проникновение, которое проводится внутренним персоналом для получения письменного разрешения. Должно быть письменное соглашение между тестировщиком и компанией / организацией / частным лицом, чтобы уточнить все вопросы, касающиеся безопасности данных, раскрытия и т. Д., Прежде чем начинать тестирование.
Заявление о намерениях должно быть составлено и должным образом подписано обеими сторонами до начала любых испытаний. Следует четко указать, что объем работы и что вы можете, а можете и не выполнять при выполнении тестов на уязвимости.
Для тестировщика важно знать, кому принадлежит бизнес или системы, над которыми запрашивается работа, и инфраструктуру между системами тестирования и их целями, на которые может потенциально повлиять ручное тестирование. Идея состоит в том, чтобы убедиться;
-
тестер имеет письменное разрешение с четко определенными параметрами.
-
у компании есть данные ее тестера ручки и гарантия, что он не будет пропускать какие-либо конфиденциальные данные.
тестер имеет письменное разрешение с четко определенными параметрами.
у компании есть данные ее тестера ручки и гарантия, что он не будет пропускать какие-либо конфиденциальные данные.
Юридическое соглашение выгодно для обеих сторон. Помните, что правила меняются от страны к стране, поэтому будьте в курсе законов вашей страны. Подпишите договор только после рассмотрения соответствующих законов.