Návod na penetrační testování: Co je PenTest?

Co je penetrační testování?

Penetrační testování nebo Pen Testing je typ Testování bezpečnosti používá se k odhalení zranitelností, hrozeb a rizik, které by útočník mohl zneužít v softwarových aplikacích, sítích nebo webových aplikacích. Účelem penetračního testování je identifikovat a otestovat všechny možné bezpečnostní zranitelnosti, které jsou v softwarové aplikaci přítomny. Penetrační testování se také nazývá Pen Test.

Níže uvedený diagram ukazuje, jak se neopravená slabina v aplikaci stává dveřmi, kterými útočník prochází.

Zranitelnost představuje riziko, že útočník může narušit systém nebo získat neoprávněný přístup k systému nebo k jakýmkoli datům v něm obsaženým. Zranitelnosti se obvykle objevují náhodně během fáze vývoje a implementace softwaru. Mezi běžné zranitelnosti patří chyby v návrhu, chyby v konfiguraci a softwarové chyby. Analýza penetrace závisí na dvou mechanismech, a to na posouzení zranitelností a testování penetrace (VAPT).

Dvě poloviny VAPT se často pletou. Hodnocení zranitelností vyjmenovává známé slabiny ve velkém měřítku a tím se zastaví, zatímco penetrační test bezpečně využívá jen některé z nich k prokázání dopadu na reálný svět. Dohromady oddělují teoretické poznatky od těch, které skutečně ohrožují data.

Proč penetrační testování?

Penetrační testování je v podniku nezbytné, protože:

• Finanční sektory, jako jsou banky, investiční bankovnictví a burzy, chtějí být zabezpečena a penetrační testování je pro zajištění bezpečnosti nezbytné.
• Pokud byl softwarový systém již napaden hackery, organizace chce zjistit, zda v systému stále přetrvávají nějaké hrozby, aby se zabránilo budoucím útokům.
• Proaktivní penetrační testování je nejlepší ochranou proti hackerům
• Rámce pro dodržování předpisů to očekávají. Například požadavek PCI DSS 11.4 vyžaduje interní a externí penetrační testování alespoň jednou ročně a po jakékoli významné změně.

Typy penetračních zkoušek

Zvolený typ penetračního testu obvykle závisí na rozsahu a na tom, zda chce organizace simulovat útok ze strany zaměstnance nebo správce sítě (interní zdroje) nebo z externích zdrojů. Existují tři typy penetračního testování a to jsou

• Černá Box Testování
• Bílá Box Penetrační testování
• Šedá Box Penetrační testování

V penetračním testování metodou black-box nemá tester žádné znalosti o testovaných systémech. Je zodpovědný za shromažďování informací o cílové síti nebo systému.

V penetračním testování metodou white-box je testerovi obvykle poskytnuta kompletní informace o testované síti nebo systémech, včetně schématu IP adres, zdrojového kódu a podrobností o operačním systému. To lze považovat za simulaci útoku z jakéhokoli interního zdroje, například ze strany zaměstnance organizace.

V penetračním testování metodou grey-box je testerovi poskytnuta částečná znalost systému. Lze to považovat za útok externího hackera, který získal nelegitimní přístup k dokumentům síťové infrastruktury organizace.

Níže uvedená tabulka uvádí tyto tři vedle sebe, abyste mohli přiřadit typ zapojení k hrozbě, kterou chcete skutečně modelovat.

Vzhled	Černý box	Bílá Box	Šedá Box
Informace poskytnuté testerovi	Nevyplněno	Úplné: zdrojový kód, schéma IP adresy, podrobnosti o operačním systému	Částečné: omezené pověřovací údaje nebo dokumenty
Simulace útočníka	Cizinec bez přístupu	Zasvěcená osoba nebo vývojář	Outsider, který si již vydobyl oporu
Čas strávený průzkumem	Vysoký	Nízké	Středně
Typické pokrytí kódové základny	Pouze to, co je dosažitelné zvenčí	Nejhlubší, protože vnitřnosti jsou viditelné	Zaměřeno na odkrytou útočnou cestu

Jak provést penetrační testování

Pro provedení penetračního testu je třeba provést následující činnosti. Obrázek níže shrnuje čtyři fáze, než je každá z nich postupně popsána.

Krok 1) Fáze plánování

1. Je stanoven rozsah a strategie zadání
2. Pro definování rozsahu se používají stávající bezpečnostní zásady a standardy

Krok 2) Fáze objevování

1. Shromážděte co nejvíce informací o systému, včetně dat v systému, uživatelských jmen a dokonce i hesel. Tomu se také říká otisky prstů.
2. Skenování a sondování portů
3. Zkontrolujte zranitelnost systému

Krok 3) Fáze útoku

1. Najděte zneužití různých zranitelností. K zneužití systému potřebujete potřebná bezpečnostní oprávnění.

Krok 4) Fáze hlášení

1. Zpráva musí obsahovat podrobná zjištění
2. Rizika zjištěných zranitelností a jejich dopad na podnikání
3. Doporučení a řešení, pokud existují

Hlavním úkolem penetračního testování je shromáždit informace o systému. Existují dva způsoby, jak informace shromáždit:

• Model „jeden k jednomu“ nebo „jeden k mnoha“ s ohledem na hostitele: Tester provádí techniky lineárně buď proti jednomu cílovému hostiteli, nebo proti logické skupině.ping cílových hostitelů (např. podsítě).
• Model „mnoho k jednomu“ nebo „mnoho k mnoha“: Tester využívá více hostitelů k provádění technik sběru informací náhodným, rychlostně omezeným a nelineárním způsobem.

Příklady nástrojů pro penetrační testování

Existuje široká škála nástrojů, které se používají v penetračním testování, a důležité nástroje Pentestu jsou:

1) Teramind

Teramind poskytuje komplexní sadu pro prevenci vnitřních hrozeb a monitorování zaměstnanců. Zvyšuje zabezpečení prostřednictvím analýzy chování a prevence ztráty dat, zajišťuje dodržování předpisů a optimalizuje obchodní procesy. Jeho přizpůsobitelná platforma vyhovuje různým organizačním potřebám a poskytuje užitečné poznatky, které se zaměřují na zvýšení produktivity a ochranu integrity dat.

Funkce:

• Prevence vnitřních hrozeb: Detekuje a zabraňuje akcím uživatelů, které mohou naznačovat vnitřní hrozby pro data.
• Optimalizace obchodních procesů: Využívá analýzu chování založenou na datech k předefinování provozních procesů.
• Produktivita pracovní síly: Monitoruje produktivitu, bezpečnost a dodržování předpisů u zaměstnanců.
• Správa dodržování předpisů: Pomáhá spravovat dodržování předpisů pomocí jediného škálovatelného řešení vhodného pro malé firmy, podniky a vládní agentury.
• Forenzní analýza incidentů: Poskytuje důkazy pro obohacení reakce na incidenty, vyšetřování a analýzy hrozeb.
• Prevence ztráty dat: Monitoruje a chrání před potenciální ztrátou citlivých dat.
• Monitorování zaměstnanců: Nabízí možnosti sledování výkonu a aktivit zaměstnanců.
• Behaviorální analýza: Analyzuje podrobná data o chování zákazníků v aplikacích za účelem získání přehledů.
• Přizpůsobitelná nastavení monitorování: Umožňuje přizpůsobení nastavení monitorování tak, aby vyhovovala konkrétním případům použití nebo implementovala předdefinovaná pravidla.
• Přehledy z řídicího panelu: Poskytuje přehled a praktické informace o aktivitách pracovní síly prostřednictvím komplexního řídicího panelu.

Návštěva Teramind >>

1. Nmap – Tento nástroj se používá ke skenování portů, identifikaci operačního systému, trace skenování trasy a zranitelností.
2. Nessus – Toto je tradiční nástroj pro odhalování zranitelností v síti.
3. Pass-The-Hash – Tento nástroj se používá hlavně k prolomení hesla.

Role a odpovědnosti penetračních testerů

Úkolem penetračního testera je:

• Shromážděte od organizace potřebné informace pro provedení penetračních testů
• Najděte chyby, které by mohly hackerům umožnit zaútočit na cílový stroj
• Myslete a jednejte jako skuteční hackeři, i když eticky
• Zajistěte reprodukovatelnost práce, aby ji vývojáři mohli snadno opravit.
• Předem se dohodněte na datu zahájení a ukončení provádění testu
• Převezměte odpovědnost za jakoukoli ztrátu systému nebo informací během testování softwaru
• Zachovávejte důvěrnost dat a informací

Manuální penetrační testování vs. automatizované penetrační testování

Většina skutečných angažmá kombinuje oba přístupy. Níže uvedené srovnání ukazuje, kde si každý z nich zaslouží své místo.

Manuální penetrační testování	Automatizované penetrační testování
Ruční testování vyžaduje, aby testy provedli odborníci	Automatizované testovací nástroje poskytují jasné zprávy s méně zkušenými profesionály
Manuální testování vyžaduje Excel a další nástroje tracK tomu	Testování automatizace má centralizované a standardní nástroje
Při ručním testování se výsledky vzorků liší test od testu	V případě automatických testů se výsledky test od testu neliší
Uživatelé by si měli pamatovat na čištění paměti	Automatizované testování bude mít komplexní čištění.

Nevýhody penetračního testování

Penetrační testování nedokáže najít všechny zranitelnosti v systému. Existují omezení času, rozpočtu, rozsahu a dovedností penetračních testerů.

Následující vedlejší účinky budou při provádění penetračního testování:

• Ztráta a poškození dat
• Čas Down
• Zvyšte náklady

Níže uvedená infografika shromažďuje stejné kompromisy spolu s důvody, proč organizace test přesto provádějí.

Tato omezení jsou důvodem, proč penetrační test funguje nejlépe v kombinaci s dobře implementovanou bezpečnostní politikou, než místo ní. Testeři by se měli chovat jako skuteční hackeři, kontrolovat, zda je kód napsán bezpečně, a opakovat test podle zdokumentovaného harmonogramu.

Nejčastější dotazy