Урок за тестване на проникване: Какво е PenTest?

Какво е тест за проникване?

Проверка на проникването или Pen Testing е вид Тестване на сигурността използва се за откриване на уязвимости, заплахи и рискове, които атакуващ би могъл да използва в софтуерни приложения, мрежи или уеб приложения. Целта на тестовете за проникване е да се идентифицират и тестват всички възможни уязвимости в сигурността, които присъстват в софтуерното приложение. Тестването за проникване се нарича още тест с писалка.

Диаграмата по-долу показва как неотстранена слабост в приложение се превръща в врата, през която преминава нападателят.

Уязвимостта е рискът, че нападателят може да наруши или да получи неоторизиран достъп до системата или до данни, съдържащи се в нея. Уязвимостите обикновено се въвеждат случайно по време на фазата на разработване и внедряване на софтуер. Често срещани уязвимости включват грешки в дизайна, грешки в конфигурацията и софтуерни грешки. Анализът на проникването зависи от два механизма, а именно оценка на уязвимостите и тестване за проникване (VAPT).

Двете половини на VAPT често се бъркат. Оценката на уязвимостите изброява известните слабости в голям мащаб и спира дотук, докато тестът за проникване безопасно използва подбрани от тях, за да докаже въздействието им в реалния свят. Заедно те разделят теоретичните открития от тези, които наистина излагат данните на риск.

Защо тестване за проникване?

Тестването за проникване е от съществено значение в едно предприятие, защото:

• Финансови сектори като банки, инвестиционно банкиране и фондови борси искат данните им да бъдат защитени, а тестовете за проникване са от съществено значение за гарантиране на сигурността.
• Ако софтуерната система вече е била хакната, организацията иска да определи дали в системата все още има заплахи, за да избегне бъдещи хакерски атаки.
• Проактивното тестване за проникване е най-добрата защита срещу хакери
• Рамките за съответствие го очакват. Изискване 11.4 на PCI DSS, например, изисква вътрешно и външно тестване за проникване поне веднъж годишно и след всяка значителна промяна.

Видове тестове за проникване

Избраният вид тест за проникване обикновено зависи от обхвата и от това дали организацията иска да симулира атака от служител или мрежов администратор (вътрешни източници) или от външни източници. Има три вида тестове за проникване и те са

• черно Box Тестване
• Бял Box Изпитване за проникване
• Сив Box Проверка на проникването

При тестването за проникване с черна кутия, тестерът няма познания за системите, които ще бъдат тествани. Тестерът е отговорен за събирането на информация за целевата мрежа или система.

При тестването за проникване с бяла кутия, на тестващия обикновено се предоставя пълна информация за мрежата или системите, които ще бъдат тествани, включително схемата на IP адресите, изходния код и подробности за операционната система. Това може да се счита за симулация на атака от вътрешен източник, като например служител на организацията.

При тестването за проникване „сива кутия“, на тестващия се предоставят частични познания за системата. Това може да се счита за атака от външен хакер, който е получил нелегитимен достъп до документите на мрежовата инфраструктура на организацията.

Таблицата по-долу поставя трите един до друг, за да можете да съпоставите типа на ангажираност със заплахата, която действително искате да моделирате.

Аспект	черно Box	Бял Box	Сив Box
Информация, предоставена на тестващия	None	Пълно: изходен код, IP схема, подробности за операционната система	Частично: ограничени пълномощия или документи
Симулиран нападател	Аутсайдер без достъп	Вътрешен човек или разработчик	Аутсайдер, който вече е изградил опорна точка
Време, прекарано в разузнаване	Високо	ниско	Умерена
Типично покритие на кодовата база	Само това, което е достъпно отвън	Най-дълбоко, защото вътрешностите са видими	Фокусиран върху открития път на атака

Как да направите тест за проникване

Следните дейности трябва да бъдат изпълнени, за да се извърши тест за проникване. Изображението по-долу обобщава четирите фази, преди всяка от тях да бъде описана поотделно.

Стъпка 1) Фаза на планиране

1. Определят се обхватът и стратегията на задачата
2. Съществуващите политики и стандарти за сигурност се използват за определяне на обхвата

Стъпка 2) Фаза на откриване

1. Съберете колкото е възможно повече информация за системата, включително данни в нея, потребителски имена и дори пароли. Това се нарича още снемане на пръстови отпечатъци.
2. Сканирайте и проверете портовете
3. Проверете за уязвимости на системата

Стъпка 3) Фаза на атака

1. Намерете експлойти за различните уязвимости. Нуждаете се от необходимите права за сигурност, за да експлоатирате системата.

Стъпка 4) Фаза на докладване

1. Докладът трябва да съдържа подробни констатации
2. Рискове от открити уязвимости и тяхното въздействие върху бизнеса
3. Препоръки и решения, ако има такива

Основната задача при тестовете за проникване е събирането на системна информация. Има два начина за събиране на информация:

• Модел „едно към едно“ или „едно към много“ по отношение на хоста: Тестерът изпълнява техники по линеен начин срещу един целеви хост или логическа група.ping на целевите хостове (напр. подмрежа).
• Модел „Много към едно“ или „много към много“: Тестерът използва множество хостове, за да изпълнява техники за събиране на информация по случаен, ограничен по скорост и нелинеен начин.

Примери за инструменти за тестване на проникване

Съществува голямо разнообразие от инструменти, които се използват при тестове за проникване, и важни инструменти на Pentest са:

1) Teramind

Teramind предоставя цялостен пакет за предотвратяване на вътрешни заплахи и наблюдение на служителите. Той подобрява сигурността чрез анализ на поведението и предотвратяване на загуба на данни, като гарантира съответствие и оптимизира бизнес процесите. Неговата платформа с възможност за персонализиране отговаря на различни организационни нужди, предоставяйки практични прозрения, които се фокусират върху повишаване на производителността и защита на целостта на данните.

Характеристики:

• Предотвратяване на вътрешни заплахи: Открива и предотвратява действия на потребителите, които могат да показват вътрешни заплахи за данните.
• Оптимизация на бизнес процесите: Използва анализи на поведението, базирани на данни, за предефиниране на оперативните процеси.
• Производителност на работната сила: Следи производителността, сигурността и поведението на работната сила по отношение на съответствието.
• Управление на съответствието: Помага за управление на съответствието с единно, мащабируемо решение, подходящо за малки предприятия, предприятия и държавни агенции.
• Криминалистика на инциденти: Предоставя доказателства за обогатяване на реакцията при инциденти, разследванията и разузнаването на заплахите.
• Предотвратяване на загуба на данни: Следи и защитава от потенциална загуба на чувствителни данни.
• Мониторинг на служителите: Предлага възможности за наблюдение на представянето и дейностите на служителите.
• Поведенчески анализ: Анализира подробни данни за поведението на клиентите в приложенията за получаване на подробна информация.
• Персонализируеми настройки за мониторинг: Позволява персонализиране на настройките за мониторинг, за да отговарят на специфични случаи на употреба или да се внедрят предварително дефинирани правила.
• Анализи на таблото за управление: Осигурява видимост и практически анализи на дейностите на работната сила чрез цялостно табло за управление.

посещение Teramind >>

1. nmap – Този инструмент се използва за сканиране на портове, идентифициране на операционна система, trace сканирането на маршрута и уязвимостите.
2. Nessus – Това е традиционен инструмент за откриване на уязвимости, базиран на мрежата.
3. Pass-The-Hash – Този инструмент се използва главно за кракване на пароли.

Роля и отговорности на тестерите за проникване

Работата на пенетрационния тестер е да:

• Съберете необходимата информация от организацията, за да се даде възможност за провеждане на тестове за проникване
• Открийте недостатъци, които могат да позволят на хакерите да атакуват целева машина
• Мислете и действайте като истински хакери, макар и етично
• Направете работата възпроизводима, така че разработчиците да могат лесно да я поправят
• Предварително съгласувайте началната и крайната дата на изпълнение на теста
• Поемете отговорност за всяка загуба в системата или информация по време на тестване на софтуер
• Пазете данните и информацията поверителни

Ръчно тестване за проникване срещу автоматизирано тестване за проникване

Повечето реални ангажименти комбинират и двата подхода. Сравнението по-долу показва къде всеки от тях си заслужава мястото.

Ръчен тест за проникване	Автоматизирано изпитване на проникване
Ръчно тестване изисква експертни професионалисти за извършване на тестовете	Автоматизираните инструменти за тестване предоставят ясни отчети с по-малко опитни професионалисти
Ръчното тестване изисква Excel и други инструменти за tracк го	Тестване на автоматизацията има централизирани и стандартни инструменти
При ръчно тестване резултатите от пробите варират от тест до тест	В случай на автоматизирани тестове резултатите не се различават от тест до тест
Потребителите трябва да помнят почистването на паметта	Автоматизираното тестване ще има цялостни почиствания.

Недостатъци на теста за проникване

Тестването за проникване не може да открие всички уязвимости в системата. Има ограничения във времето, бюджета, обхвата и уменията на тестерите за проникване.

Следните ще бъдат странични ефекти, когато правим тестове за проникване:

• Загуба на данни и повреда
• Първа Time
• Увеличаване на разходите

Инфографиката по-долу събира същите компромиси, наред с причините, поради които организациите все пак провеждат теста.

Тези ограничения са причината, поради която тестовете за проникване работят най-добре в допълнение към добре внедрена политика за сигурност, а не вместо такава. Тестерите трябва да действат като истински хакери, да проверяват дали кодът е написан сигурно и да повтарят упражнението по документиран график.

Въпроси и Отговори