Läpäisytestaus on tietokonejärjestelmän, verkkosovelluksen ja verkon testausta tietoturvaheikkouksien löytämiseksi, joita hyökkääjä voisi hyödyntää. Tällainen testaus voi olla automatisoitu tai suoritetaan manuaalisesti. Prosessissa kerätään tietoa kohteesta ennen testausta, tunnistetaan mahdolliset sisääntulokohdat, yritetään murtautua virtuaalisesti tai tositoimiin ja raportoidaan löydökset.
Kynätestin päätavoitteena on tunnistaa organisaation turvallisuusasennon heikot kohdat sekä mitata turvallisuuspolitiikan hyväksyntää, testata tietoturvatietoisuutta ja selvittää, joutuisiko organisaatio turvallisuuskatastrofien kohteeksi.
TO penetraatiotesti korostaa myös yrityksen heikkouksia turvallisuuspolitiikat.
Läpäisytestin tuottamat raportit antavat palautetta. Raportit auttavat sovelluskehittäjiä luomaan turvallisempia sovelluksia.
Sisällysluettelo
- Vaiheet tunkeutumistestauksen aloittamiseksi
- Tunkeutumistestausmenetelmät
- PLUSSAT
- HAITTOJA
- Penetraatiotestien tyypit
- Valkoisen laatikon läpäisytestaus
- Black Box -läpäisytestaus
- Harmaan laatikon tunkeutumistestaus
- Välineet tunkeutumistestaukseen
- Wireshark
- Parhaat yritykset tunkeutumistestaukseen
- UKK
- Suositellut artikkelit
Vaiheet tunkeutumistestauksen aloittamiseksi
Vaihe 1) Suunnitteluvaihe
- Tehtävän laajuus ja strategia määritellään.
- Suojausperiaatteita, standardeja käytetään laajuuden määrittämiseen.
Vaihe 2) Löytövaihe.
- Kerää tietoja järjestelmästä, mukaan lukien suunnittelutiedot, käyttäjätunnukset ja jopa salasanat.
- Skannaa ja tutki portit
- Tarkista järjestelmän haavoittuvuudet
Vaihe 3) Hyökkäysvaihe
- Etsi hyväksikäyttöä erilaisiin heikkouksiin. Et saa tarvittavia suojausoikeuksia järjestelmän hyödyntämiseen
Vaihe 4) Raportointivaihe
- Raportin tulee sisältää yksityiskohtaiset havainnot.
- Havaittujen heikkouksien riskit ja niiden vaikutukset liiketoimintaan.
- Suosituksia ja ratkaisuja.
Tunkeutumistestausmenetelmät
Ulkoinen testaus
Se kohdistuu yrityksen internetissä näkyvään omaisuuteen, esimerkiksi sähköposti- ja verkkotunnuspalvelimiin (DNS) sekä itse verkkosovellukseen, yrityksen verkkosivuille. Päätavoitteena on päästä käsiksi ja poimia arvokasta tietoa.
Sisäinen testaus
Testaaja, jolla on pääsy sovellukseen palomuurin takana, simuloi sisäpiiriläisen hyökkäystä. Tämä ei välttämättä vaikuta rikolliseen työntekijään. Tyypillinen skenaario voi olla työntekijä, jonka valtakirjat on varastettu.
Sokea testaus
Testaajalle annetaan vain kohteena olevan yrityksen nimi. Se tarjoaa turvahenkilöstölle mahdollisuuden tutustua siihen, miten varsinainen sovellus tapahtuisi.
Kaksoissokkotestaus
Turvahenkilöstö ei tiedä hyökkäyksestä. Heillä ei olisi aikaa vahvistaa puolustustaan ennen rikkomista.
Kohdennettu testaus
Sekä testaaja että turvahenkilöstö työskentelevät yhdessä ja pitävät toisiaan ajan tasalla liikkeistään. Se on harjoitus, joka tarjoaa tietoturvatiimille reaaliaikaista palautetta hakkerin näkökulmasta.
PLUSSAT
- Testaus mahdollistaa rohkean tietoturvan.
- Sen avulla voidaan tutkia todellisia riskejä ja saada tarkka kuva yrityksen IT-infrastruktuurin tietoturva-asennosta kulloinkin.
- Se auttaa tutkimaan tietomurtoja tai verkkotunkeutumisia mahdollisten tietojen vuotamiseen tai henkisen omaisuuden varkauksien löytämiseen.
- Sen avulla voidaan kerätä tietoja järjestelmästä oppiakseen ja ehkä jopa kohdata sisäisiä raportteja aktiivisista hakkereista.
- Se voi löytää sekä tuntemattomia että tunnettuja puutteita ja hyödyntää tietoturva-aukkoja, jotka voidaan tunnistaa ja korjata ennen kuin niitä käytetään paljon tehokkaammalla tavalla automaattisten työkalujen avulla.
- Se voi validoida puolustusmekanismien tehokkuuden paljon pidemmälle kuin haavoittuvuusarvioinnin tuottama analyysi heikkouksien tunnistamisessa.
- Se tarjoaa mahdollisia tapoja testata järjestelmää hyökkäyksillä, jotka ovat mahdollisimman lähellä todellisia tapahtumia, kiitos ammattilaisten työn, jotka ajattelevat ja iskevät kuten useimmat haitalliset hakkerit tekevät.
HAITTOJA
- On kyseenalaista, että tunkeutuminen testi löytää kaiken turvallisuuden ongelmia tai ratkaisee kaikki ongelmat, kun etsitään heikkouksia ja luodaan automaattinen raportti.
- Testaajalta menee enemmän aikaa järjestelmän tarkastamiseen hyökkäyksen tunnistamiseksi kuin heikkouden arvioinnin tekemiseen; Testin laajuus on merkittävämpi. Hänen toimintansa voivat myös häiritä liiketoimintaa, koska ne jäljittelevät todellista hyökkäystä.
- Se on paljon työvoimavaltaista ja voi aiheuttaa kohonneita kustannuksia, ja harvat organisaatiot eivät ehkä pysty osoittamaan budjettia tähän. Tämä pätee silloin, kun yritys palkataan suorittamaan tehtävää.
- Se antaa väärän turvallisuuden tunteen. Useimmissa tapauksissa testauksen tuntevat yritysten turvallisuustiimit, jotka ovat valmiita etsimään uhkia ja valmiita puolustautumaan. Todelliset hyökkäykset ovat ennalta ilmoittamattomia ja ennen kaikkea odottamattomia.
Penetraatiotestien tyypit
Seuraavat ovat tärkeimmät läpäisytestien tyypit:
- Se varmistaa, että moduulin itsenäiset polut on harjoitettu.
- Se tarjoaa kaikki loogiset päätökset, jotka on todennettu sekä niiden oikea ja väärä arvo.
- Se löytää virheet ja tarkistaa syntaksin.
- Se löytää suunnitteluvirheet, jotka johtuvat ohjelman loogisen kulun ja todellisen suorituksen välisestä erosta.
- Hyökkäyksestä puuttuu realistisuus.
- Testaaja ajattelee eri tavalla kuin tietämätön hyökkääjä.
- Se ei vaadi erityistä ohjelmointikielen osaamista.
- Testaaja tarkistaa olemassa olevan järjestelmän ristiriidat.
- Testi tehdään yleensä käyttäjän, ei suunnittelijan näkökulmasta.
- Testitapaukset on vaikea suunnitella.
- Se ei johda kaikkea.
- Testaaja ei vaadi pääsyä lähdekoodiin.
- Kehittäjän ja testaajan välillä on selvä ero, joten henkilökohtaisten konfliktien riski on pienempi.
- Sinun ei tarvitse tarjota sisäistä tietoa ohjelman toiminnoista ja muista toiminnoista.
- Testaajilla ei ole oikeutta nähdä koodia.
- Harmaan laatikon testaus on tarpeeton, jos sovelluksen kehittäjä on suorittanut samanlaisen testitapauksen.
- Gray box -testaus ei ole ihanteellinen algoritmien testaamiseen.
- Millaisia isäntiä on saatavilla tietyssä verkkorungossa tai segmentissä
- Nämä isännät tarjoavat tietoja palveluista
- Jokainen tietty isäntä käyttää datapakettisuodattimien/palomuurien versioita ja tyyppejä
- Bluetooth
- IEEE 802.11
- IPsec
- Token Ring
- Kehyksen rele
- Kerberos
- SNMPv3
- SSL/TLS
- WEP
- Kaikki Ethernet-pohjaiset yhteydet
- Käyttäjäagentin väärentäminen
- Pyyntöjen mukautetut otsikot
- DNS Välimuistin myrkytys
Valkoisen laatikon läpäisytestaus
Tämä on kattava testaus, jossa testaaja saa paljon tietoa järjestelmistä ja verkosta, kuten lähdekoodi, skeema, käyttöjärjestelmän tiedot, IP-osoite jne. Sitä pidetään sisäisen lähteen hyökkäyksen simulointina. Sitä kutsutaan myös rakenteelliseksi, lasilaatikoksi, kirkkaaksi laatikoksi ja avoimeksi laatikoksi.
Valkoisen laatikon penetraatiotestaus tutkii koodin kattavuuden ja tekee tietovirtatestauksen, polkutestauksen ja silmukkatestauksen.
PLUSSAT
HAITTOJA
Black Box -läpäisytestaus
Tässä testauksessa testaajalla ei ole aavistustakaan järjestelmästä, jota hän aikoo testata. Hän on kiinnostunut keräämään tietoa verkosta tai järjestelmästä. Esimerkiksi tämän tyyppisessä testauksessa testaaja tietää vain, mikä pitäisi olla odotettu tulos, eikä hän tiedä, kuinka lopputulos tulee olemaan. Hän ei tutki mitään ohjelmointikoodeja.
PLUSSAT
HAITTOJA
Harmaan laatikon tunkeutumistestaus
Gray Box Penetration Testing -testauksessa testaaja tarjoaa yleensä osittaista tai rajoitettua tietoa järjestelmän ohjelmasta. Sitä pidetään ulkoisen hakkerin hyökkäyksenä, joka pääsi laittomasti organisaation verkkoon.
PLUSSAT
HAITTOJA
Välineet tunkeutumistestaukseen
Network Mapper (tunnetaan myös nimellä NMAP)
Sitä käytetään yrityksen tai yrityksen verkkoympäristön heikkouksien havaitsemiseen. Sitä voidaan käyttää myös auditointitarkoituksiin. NMAP ottaa luodut raakadatapaketit
Voit luoda verkosta kartan ja osoittaa sieltä ne merkittävät haavoittuvuudet, joiden läpi kyberhyökkääjä voi tunkeutua.
Wireshark
Tämä työkalu on todellinen datapakettianalysaattori ja verkkoprotokolla, joka analysoi tietoturvan liikenteen heikkoudet reaaliajassa. Tietoja ja tietoja voidaan kerätä:
W3AF
The ohjelmistokehittäjät Luo tämä sarja, ja päätavoitteena on löytää ja hyödyntää verkkopohjaisten sovellusten tietoturvaheikkouksia. Se koostuu monista työkaluista, jotka voivat kitkeä uhkia, kuten:
Parhaat yritykset tunkeutumistestaukseen
Sciencesoft
Se on kyberturvallisuuspalvelujen tarjoaja ja ohjelmistokehitysyritys. Se auttaa pankki-, terveydenhuolto-, valmistus- ja muilla aloilla toimivia asiakkaitaan suunnittelemaan ja toteuttamaan IT-ympäristöihinsä sopivimman suojan.
netsparker
on tarkka automaattinen skanneri, joka tunnistaa haavoittuvuudet verkkosovelluksia ja verkkosovellusliittymiä . Se vahvistaa haavoittuvuudet yksilöllisesti ja osoittaa, että ne ovat todellisia eivätkä vääriä positiivisia.
Se on saatavana ikkunaohjelmistona ja online-palveluna.
Indusface OLI
Se tarjoaa manuaalisen läpäisytestauksen, joka on yhdistetty automaattiseen verkkosovellusten heikkouksien skanneriin, joka havaitsee ja raportoi heikkoudet OWASP:n top 10:n perusteella.
Yritys sijaitsee Intiassa ja sen muut toimipisteet Mumbaissa, Bengalurussa, Vadodarassa, Delhissä ja San Franciscossa, ja palveluita käyttää yli 1100 asiakasta yli 25 maassa maailmanlaajuisesti.
Tunkeilija
Se on a kyberturvallisuusyritys joka tarjoaa asiakkailleen automatisoidun SaaS-ratkaisun. Tehokas skannaustyökalu on suunniteltu tuottamaan erittäin käyttökelpoisia tuloksia ja auttamaan kiireisiä tiimejä keskittymään olennaiseen.
Intruder käyttää samaa moottoria kuin suuret pankit, jotta voit nauttia korkealaatuisista turvatarkastuksista ilman monimutkaisuutta. Tunkeutuja tarjoaa myös hybridiläpäisytestauspalvelun, joka sisältää manuaaliset testit, jotka auttavat tunnistamaan ongelmat, jotka eivät kuulu automaattisten tarkistusten ominaisuuksiin.
UKK
Kuinka usein meidän tulee suorittaa läpäisytesti?
Se riippuu useista tekijöistä, jotka tulisi harkita läpitunkeutumistestien suorittamistiheyttä harkittaessa. Seuraavat asiat sinun tulee pitää mielessä
Kuinka usein ympäristö muuttuu: Testit ajoitetaan usein muutoksiin, koska ne ovat lähellä tuotantovalmiutta.
Kuinka suuri ympäristö on: Laajemmat asetukset testataan vaiheittain testausponnistuksen ja maahan kohdistuvan kuorman tasaamiseksi.
Mitkä ovat penetraatiotestin tyypilliset kustannukset?
Läpäisytestauksen hinta vaihtelee suuresti.
Kynätestin hinnoittelussa käytetään useita tekijöitä, mukaan lukien. On välttämätöntä järjestää yksityiskohtainen rajauskokous, jotta saadaan selkeä käsitys tarpeista ja laaditaan työselostus ennen tunkeutumistestin aloittamista. Ihannetapauksessa penetraatiotesti on suoritettava kiinteän maksun perusteella odottamattomien menojen välttämiseksi. Ilmoitettuun maksuun tulee sisältyä kaikki työ ja tarvittavat testaustyökalut.
Mitä penetraatiotestausprosessilta pitäisi odottaa?
Penetraatiotestaus on kurinalainen prosessi. Testausyrityksen tulee pitää kaikki sidosryhmät hyvin ajan tasalla prosessin kaikissa kriittisissä vaiheissa. Läpäisytestauspalveluita hakevana yrityksenä kannattaa huomioida:
Suunniteltu, dokumentoitu ja kommunikoitu lähestymistapa tietää, mitä tapahtuu ja milloin.
On noudatettava kurinalaista, toistettavaa lähestymistapaa.
Järjestelmä tulee räätälöidä liiketoimintaympäristöön sopivaksi.
Määritelty aloitusprosessi, suunnitteluprosessi, koordinoitu testaus ja yhteistoimitusprosessi varmistaakseen tarkat tulokset ja selkeän ymmärryksen korjaamisesta.