Pažeidžiamumo testavimas
Pažeidžiamumo testavimas, dar vadinamas „Pažeidžiamumo vertinimu“, yra saugos programinės įrangos sistemų rizikos vertinimo procesas siekiant sumažinti grėsmių tikimybę. Pažeidžiamumo tikrinimo tikslas yra sumažinti įsibrovėlių / įsilaužėlių galimybes gauti neteisėtą prieigą prie sistemų. Tai priklauso nuo pažeidžiamumo vertinimo ir skverbimosi testavimo (VAPT) arba VAPT testavimo mechanizmo.
Pažeidžiamumas yra bet kokia sistemos saugos procedūrų, dizaino, įgyvendinimo ar bet kokios vidaus kontrolės klaida ar silpnybė, dėl kurios gali būti pažeista sistemos saugumo politika.
Šioje pamokoje sužinosite
- Kas yra pažeidžiamumo vertinimas
- Kodėl atliekamas pažeidžiamumo vertinimas
- Pažeidžiamumo vertinimo ir skverbimosi testavimo (VAPT) procesas
- Kaip atlikti pažeidžiamumo testavimą
- Pažeidžiamumo skaitytuvo tipai
- Pažeidžiamumo nuskaitymo įrankiai
- Pažeidžiamumo vertinimo pranašumai
- Pažeidžiamumo vertinimo trūkumai
- Pažeidžiamumo vertinimo ir įsiskverbimo testų palyginimas
- Pažeidžiamumo testavimo metodai
Kodėl atliekamas pažeidžiamumo vertinimas
- Tai svarbu organizacijos saugumui.
- Pažeidimų nustatymo ir pranešimo apie juos procesas, kuris suteikia galimybę aptikti ir išspręsti saugos problemas, suskirstant pažeidžiamumus į eilę, kol kas nors ar kažkas negali jas išnaudoti.
- Šiame procese nuskaitomos operacinės sistemos, taikomoji programinė įranga ir tinklas, siekiant nustatyti pažeidžiamumą, kuris apima netinkamą programinės įrangos dizainą, nesaugų autentifikavimą ir kt.
Pažeidžiamumo vertinimo procesas
Šis žingsnis po žingsnio yra pažeidžiamumo vertinimo procesas, skirtas nustatyti sistemos pažeidžiamumą.
1 žingsnis) Tikslai ir uždaviniai : - Apibrėžkite pažeidžiamumo analizės tikslus ir uždavinius.
2 žingsnis) Taikymo sritis : - atliekant vertinimą ir testą, reikia aiškiai apibrėžti užduoties apimtį.
Toliau pateikiami trys galimi taikymo sritis:
- Juodosios dėžės testavimas: - bandymas iš išorinio tinklo, neturint išankstinių žinių apie vidinį tinklą ir sistemas.
- Pilkosios dėžės testavimas: - testavimas iš išorinių arba vidinių tinklų, žinant apie vidinį tinklą ir sistemą. Tai „juodosios dėžės“ ir „baltosios dėžės“ testavimo derinys.
- Baltosios dėžės testavimas: - testavimas vidiniame tinkle žinant apie vidinį tinklą ir sistemą. Taip pat žinomas kaip vidinis testavimas.
3 žingsnis) Informacijos rinkimas : - gauti kuo daugiau informacijos apie IT aplinką, pvz., Tinklus, IP adresą, operacinės sistemos versiją ir kt. Tai taikoma visiems trims taikymo sritims, pvz., „Juodosios dėžės“, „pilkosios dėžės“ ir „baltosios dėžės“ bandymams.
4 žingsnis) Pažeidžiamumo aptikimas : - šiame procese pažeidžiamumo skaitytuvai naudojami IT aplinkai nuskaityti ir pažeidimams nustatyti.
5 žingsnis) Informacijos analizė ir planavimas : - ji išanalizuos nustatytas spragas, kad parengtų įsiskverbimo į tinklą ir sistemas planą.
Kaip atlikti pažeidžiamumo vertinimą
Toliau pateikiamas žingsnis po žingsnio, kaip atlikti pažeidžiamumo vertinimą :
1 žingsnis) Sąranka:
- Pradėkite dokumentaciją
- Saugūs leidimai
- Atnaujinti įrankius
- Konfigūruoti įrankius
2 žingsnis) Bandymo vykdymas:
- Paleiskite įrankius
- Paleiskite užfiksuotą duomenų paketą (paketas yra duomenų vienetas, nukreipiamas tarp kilmės ir paskirties vietos. Kai siunčiamas bet kuris failas, pvz., El. Pašto pranešimas, HTML failas, vienodo šaltinio vietovės (URL) užklausa ir kt. iš vienos vietos į kitą internete TCP / IP TCP sluoksnis padalija failą į daugybę „gabalų“, kad būtų galima efektyviai nukreipti maršrutą, ir kiekvienas iš jų bus unikaliai sunumeruotas ir juose bus nurodytas paskirties interneto adresas. gabalai vadinami paketais. Kai visi paketai bus pristatyti, TCP sluoksnis juos vėl surinks į pradinį failą priimančiame gale, vykdydami vertinimo įrankius.
3 žingsnis) Pažeidžiamumo analizė:
- Tinklo ar sistemos išteklių apibrėžimas ir klasifikavimas.
- Prioritetų priskyrimas ištekliams (pvz .: - didelis, vidutinis, žemas)
- Nustatyti galimas grėsmes kiekvienam ištekliui.
- Sukurti strategiją, kad pirmiausia būtų sprendžiamos prioritetinės problemos.
- Apibrėžti ir įgyvendinti būdus, kaip sumažinti užpuolimo pasekmes.
4 žingsnis) Ataskaitos
5 žingsnis) Valymas:
- Pažeidžiamumų šalinimo procesas.
- Atliekama dėl kiekvieno pažeidžiamumo
Pažeidžiamumo skaitytuvo tipai
- Priimančioji
- Nustato pagrindinio kompiuterio ar sistemos problemas.
- Procesas atliekamas naudojant pagrindinius skaitytuvus ir diagnozuojant pažeidžiamumus.
- Priimančiojo įrankiai įkelia tarpininko programinę įrangą į tikslinę sistemą; jis atseks įvykį ir praneš apie jį saugumo analitikui.
- Tinklo pagrindu
- Jis aptiks atvirą uostą ir atpažins šiuose uostuose veikiančias nežinomas paslaugas. Tada ji atskleis galimas su šiomis paslaugomis susijusias spragas.
- Šis procesas atliekamas naudojant tinklo skenerius.
- Duomenų bazių pagrindu
- Jis nustatys duomenų bazių sistemų saugumo poveikį, naudodamas įrankius ir metodus, kad būtų išvengta SQL injekcijų. (SQL injekcijos: - kenksmingi vartotojai švirkščia SQL sakinius į duomenų bazę, kurie gali nuskaityti neskelbtinus duomenis iš duomenų bazės ir atnaujinti duomenis duomenų bazėje.)
Pažeidžiamumo nuskaitymo įrankiai
Įsibrovėlis
Įsibrovėlis yra galingas internetinis pažeidžiamumo skaitytuvas, kuris aptinka saugos trūkumus visoje jūsų IT aplinkoje. Siūlydamas pirmaujančius pramonės patikrinimus, nuolatinį stebėjimą ir lengvai naudojamą platformą, „Intruder“ apsaugo visų dydžių įmones nuo įsilaužėlių.
Funkcijos:
- Geriausia klasėje grėsmė, atliekant daugiau nei 10 000 saugumo patikrinimų
- Tikrina, ar nėra konfigūracijos trūkumų, trūkstamų pataisų, programų silpnybių (pvz., SQL įpurškimas ir kelių svetainių scenarijai) ir kt
- Automatinė nuskaitymo rezultatų analizė ir prioritetų nustatymas
- Intuityvi sąsaja, greitai nustatoma ir atliekami pirmieji nuskaitymai
- Proaktyvus naujausių pažeidžiamumų saugos stebėjimas
- AWS, „Azure“ ir „Google Cloud“ jungtys
- API integravimas su jūsų CI / CD vamzdynu
| Kategorija | Įrankis | apibūdinimas |
|---|---|---|
| Priimančioji | STAT | Nuskaitykite kelias tinklo sistemas. |
| TARA | Tigro analitinių tyrimų padėjėjas. | |
| Kainas ir Abelis | Atkurkite slaptažodį užuodę tinklą, nulauždami HTTP slaptažodį. | |
| Metasploit | Atvirojo kodo platforma, skirta kurti, išbandyti ir naudoti kodą. | |
| Tinklo pagrindu | „Cisco Secure Scanner“ | Diagnozuokite ir pataisykite saugos problemas. |
| „Wireshark“ | Atvirojo kodo tinklo protokolo analizatorius, skirtas „Linux“ ir „Windows“. | |
| Nmap | Nemokamas atvirojo kodo įrankis saugumo auditui. | |
| Nesas | „Agentless“ auditas, ataskaitų teikimas ir pleistro valdymo integravimas. | |
| Duomenų bazių pagrindu | SQL dieta | SQL serverio „Dictionary Attack“ įrankio durys. |
| Saugus auditorius | Leiskite vartotojui atlikti išvardijimą, nuskaitymą, auditą, skvarbos bandymus ir teismo ekspertizę OS. | |
| DB nuskaitymas | Duomenų bazės trojanų aptikimas, paslėptų trojanų aptikimas atliekant bazinį nuskaitymą. |
Pažeidžiamumo vertinimo pranašumai
- Galimi atvirojo kodo įrankiai.
- Nustato beveik visus pažeidžiamumus
- Automatizuota nuskaitymui.
- Lengva reguliariai važiuoti.
Pažeidžiamumo vertinimo trūkumai
- Didelis klaidingai teigiamas rodiklis
- Gali lengvai aptikti įsibrovimo aptikimo sistemos užkardą.
- Dažnai nepastebi naujausių pažeidžiamumų.
Pažeidžiamumo vertinimo ir įsiskverbimo testų palyginimas
| Pažeidžiamumo vertinimas | Skverbimosi bandymai | |
|---|---|---|
| Dirba | Atraskite pažeidžiamumus | Nustatykite ir išnaudokite pažeidžiamas vietas |
| Mechanizmas | Atradimas ir nuskaitymas | Modeliavimas |
| Dėmesys | Plotis virš gylio | Gylis virš pločio |
| Išsamumo aprėptis | Aukštas | Žemas |
| Kaina | Žemas - vidutinio sunkumo | Aukštas |
| Atlieka | Vidaus darbuotojai | Užpuolikas arba rašiklių bandytojas |
| Testuotojo žinios | Aukštas | Žemas |
| Kaip dažnai bėgti | Po kiekvienos įrangos pakrovimo | Kartą per metus |
| Rezultatas | Pateikite dalinę informaciją apie pažeidžiamumą | Pateikite išsamią informaciją apie pažeidžiamumus |
Pažeidžiamumo testavimo metodai
Aktyvus testavimas
- Neaktyvus testavimas. Testuotojas pateikia naujus bandymų duomenis ir analizuoja rezultatus.
- Testavimo proceso metu testuotojai sukuria mentalinį proceso modelį, kuris sąveikaujant su bandoma programine įranga dar labiau išaugs.
- Atlikdamas testą, testuotojas aktyviai dalyvaus naujų bandymų atvejų ir naujų idėjų išsiaiškinimo procese. Štai kodėl jis vadinamas aktyviuoju testavimu.
Pasyvus testavimas
- Pasyvus testavimas, bandomos programinės įrangos rezultatų stebėjimas neįvedant naujų bandymų atvejų ar duomenų
Tinklo testavimas
- Tinklo testavimas yra dabartinės tinklo veikimo būsenos matavimo ir fiksavimo procesas per tam tikrą laikotarpį.
- Bandymai daugiausia atliekami siekiant numatyti apkrovos veikiantį tinklą arba išsiaiškinti naujų paslaugų keliamas problemas.
- Turime išbandyti šias tinklo charakteristikas: -
- Naudojimo lygiai
- Vartotojų skaičius
- Programos naudojimas
Paskirstytas testavimas
- Išplatinti testai taikomi išbandant paskirstytas programas, o tai reiškia, kad programos, kurios vienu metu dirba su keliais klientais. Iš esmės, paskirstytos programos testavimas reiškia atskirą jos kliento ir serverio dalių testavimą, tačiau naudodami paskirstytą bandymo metodą, galime jas visas išbandyti kartu.
- Bandomosios dalys sąveikaus bandymo metu. Tai leidžia juos tinkamai sinchronizuoti. Sinchronizavimas yra vienas iš svarbiausių paskirstytojo testavimo taškų.
Išvada
Programinės įrangos inžinerijos srityje pažeidžiamumo testavimas priklauso nuo dviejų mechanizmų, būtent pažeidžiamumo vertinimo ir įsiskverbimo testavimo. Abu šie testai skiriasi stiprumu ir atliekamomis užduotimis. Tačiau norint gauti išsamią pažeidžiamumo testavimo ataskaitą, rekomenduojama derinti abi procedūras.
Prie šio straipsnio prisidėjo Syamini Sreedharan