Įsiskverbimo testavimo pamoka: kas yra „PenTest“?

Skverbimosi bandymai

Skvarbos testavimas arba rašiklio testavimas yra tam tikras saugumo testavimas, naudojamas norint nustatyti pažeidžiamumą, grėsmes ir riziką, kurią užpuolikas gali panaudoti programinės įrangos, tinklų ar žiniatinklio programose. Skverbimosi bandymo tikslas yra nustatyti ir išbandyti visas galimas saugos spragas, esančias programinės įrangos programoje. Skverbimosi testas dar vadinamas Pen Testu.

Pažeidžiamumas yra rizika, kad užpuolikas gali sutrikdyti arba gauti įgaliotą prieigą prie sistemos ar bet kokių joje esančių duomenų. Pažeidžiamumas dažniausiai atsiranda atsitiktinai programinės įrangos kūrimo ir diegimo etape. Dažniausios spragos yra projektavimo klaidos, konfigūracijos klaidos, programinės įrangos klaidos ir kt. Skverbimosi analizė priklauso nuo dviejų mechanizmų, būtent pažeidžiamumo vertinimo ir skverbimosi testavimo (VAPT).

Kodėl prasiskverbimo testavimas?

Skverbtis yra būtina įmonėje, nes -

  • Finansiniai sektoriai, tokie kaip bankai, investicinė bankininkystė, vertybinių popierių biržos, nori, kad jų duomenys būtų apsaugoti, o skverbimosi testai yra būtini siekiant užtikrinti saugumą
  • Tuo atveju, jei programinės įrangos sistema jau įsilaužta ir organizacija nori nustatyti, ar sistemoje vis dar yra kokių nors grėsmių, kad ateityje būtų išvengta įsilaužimų.
  • Proaktyvus skverbimosi testavimas yra geriausia apsauga nuo įsilaužėlių

Skverbimosi testavimo tipai:

Pasirinktas įsiskverbimo testo tipas paprastai priklauso nuo apimties ir to, ar organizacija nori imituoti darbuotojo, tinklo administratoriaus (vidinių šaltinių) ar išorinių šaltinių ataką. Yra trys skverbimosi testavimo tipai ir jie yra

  • Juodosios dėžės testavimas
  • Baltosios dėžės skvarbos bandymai
  • Pilkosios dėžės skverbimosi testavimas

Atliekant juodosios dėžės skverbties testavimą, testuotojas neturi žinių apie tikrinamas sistemas. Jis yra atsakingas už informacijos apie tikslinį tinklą ar sistemą rinkimą.

Atliekant „white box“ skverbties testavimą, testeriui paprastai pateikiama išsami informacija apie tinklą ar sistemas, kuriuos reikia išbandyti, įskaitant IP adreso schemą, šaltinio kodą, išsamią OS informaciją ir pan. Tai gali būti laikoma bet kurio išpuolių imitacija. Vidiniai šaltiniai (organizacijos darbuotojai).

Atliekant pilkos dėžės įsiskverbimo bandymą, bandytojui suteikiamos dalinės sistemos žinios. Tai galima laikyti išorinio įsilaužėlio, kuris neteisėtai gavo prieigą prie organizacijos tinklo infrastruktūros dokumentų, užpuolimu.

Kaip atlikti įsiskverbimo testavimą

Toliau pateikiama veikla, reikalinga norint atlikti skverbimosi testą.

1 žingsnis) Planavimo etapas

  1. Nustatoma užduoties apimtis ir strategija
  2. Apimčiai apibrėžti naudojama esama saugumo politika, standartai

2 žingsnis) Atradimo etapas

  1. Surinkite kuo daugiau informacijos apie sistemą, įskaitant sistemoje esančius duomenis, vartotojo vardus ir net slaptažodžius. Tai dar vadinama pirštų atspaudais
  2. Nuskaitykite ir zonduokite į uostus
  3. Patikrinkite, ar nėra sistemos pažeidžiamumų

3 žingsnis) Atakos fazė

  1. Raskite įvairių pažeidžiamumų išnaudojimą. Norint išnaudoti sistemą, reikia būtinų saugumo privilegijų

4 žingsnis) Ataskaitų teikimo etapas

  1. Ataskaitoje turi būti išsamūs duomenys
  2. Aptiktų pažeidžiamumų rizika ir jų poveikis verslui
  3. Rekomendacijos ir sprendimai, jei tokių yra

Pagrindinė skvarbos testavimo užduotis yra surinkti informaciją apie sistemą. Yra du informacijos rinkimo būdai -

  • „Vienas prie vieno“ arba „vienas daugeliui“ modelis, atsižvelgiant į pagrindinį kompiuterį: Testuotojas linijiniu būdu atlieka metodiką prieš vieną tikslinį pagrindinį kompiuterį arba loginį tikslinių kompiuterių grupavimą (pvz., Potinklį).
  • „Daugelis vienam“ arba „daugeliui daugeliui“ modelis: testeris naudoja kelis kompiuterius, kad vykdytų informacijos rinkimo metodus atsitiktine tvarka, ribotu greičiu ir netiesiniu būdu.

Skverbimosi tikrinimo įrankių pavyzdžiai

Yra daug įvairių įrankių, kurie naudojami įsiskverbimo bandymuose, o svarbios priemonės yra šios:

  1. NMap - Šis įrankis naudojamas uosto nuskaitymui, OS identifikavimui, maršruto sekimui ir pažeidžiamumo nuskaitymui atlikti.
  2. Nessus - tai tradicinis tinklo pažeidžiamumas.
  3. „Pass-The-Hash“ - šis įrankis daugiausia naudojamas slaptažodžių nulaužimui.

Skverbimosi tikrintojų vaidmuo ir pareigos:

Skverbimosi testuotojų užduotis yra:

  • Testuotojai turėtų rinkti reikiamą informaciją iš organizacijos, kad būtų galima atlikti įsiskverbimo testus
  • Raskite trūkumų, kurie galėtų įsilaužėliams užpulti tikslinę mašiną
  • Rašiklių testuotojai, nors ir etiškai, turėtų mąstyti ir elgtis kaip tikri hakeriai.
  • „Penetration“ testuotojų atliktas darbas turėtų būti atkartojamas, kad kūrėjams būtų lengva jį išspręsti
  • Testo vykdymo pradžios ir pabaigos data turėtų būti apibrėžta iš anksto.
  • Testuotojas turėtų būti atsakingas už bet kokius sistemos ar informacijos praradimus programinės įrangos testavimo metu
  • Testuotojas turėtų laikyti duomenis ir informaciją konfidencialia

Rankinis skvarba ir automatinis skverbimosi testavimas:

Rankinis skverbimosi testavimas Automatinis skverbimosi testavimas
Norint atlikti rankinį testavimą, reikia, kad testus atliktų profesionalūs specialistai Automatiniai bandymų įrankiai pateikia aiškias ataskaitas su mažiau patyrusiais specialistais
Norint atlikti rankinį bandymą, reikia „Excel“ ir kitų įrankių, kad jį būtų galima stebėti Automatikos testavimas turi centralizuotas ir standartines priemones
Naudojant rankinį bandymą, mėginių rezultatai skiriasi Automatinių bandymų rezultatai skirtingais bandymais nesiskiria
Atminties valymą turėtų prisiminti vartotojai Automatinis testavimas turės išsamų valymą.

Skverbimosi testavimo trūkumai

Skverbimosi testavimas negali rasti visų sistemos pažeidžiamumų. Yra įsiskverbimo bandytojų laiko, biudžeto, apimties, įgūdžių apribojimai

Toliau bus šalutinis poveikis, kai atliekame įsiskverbimo bandymus:

  • Duomenų praradimas ir korupcija
  • Prastovos laikas
  • Padidinti išlaidas

Išvada:

Testuotojai turėtų elgtis kaip tikras įsilaužėlis ir išbandyti programą ar sistemą ir patikrinti, ar kodas yra saugiai parašytas. Skverbimosi testas bus veiksmingas, jei bus tinkamai įgyvendinta saugumo politika. Skverbimosi testavimo politika ir metodika turėtų būti ta vieta, kur skvarbumo bandymai būtų veiksmingesni. Tai išsamus įsiskverbimo bandymų vadovas pradedantiesiems.

Patikrinkite mūsų tiesioginio skverbimosi testavimo projektą

Įdomios straipsniai...