Hvad er sikkerhedstest? Eksempel

Hvad er sikkerhedstestning?

Sikkerhedstest er en type af software test der afdækker sårbarheder, trusler og risici i en applikation og forhindrer ondsindede angreb fra ubudne gæster. Formålet med sikkerhedstests er at identificere ethvert smuthul og enhver svaghed i systemet, der kan føre til tab af information, indtægter eller omdømme i hænderne på insidere eller outsidere.

Hvorfor er sikkerhedstestning vigtig?

Hovedformålet med sikkerhedstest er at identificere trusler i systemet og måle deres potentielle indvirkning, så truslerne kan afbødes, og systemet fortsat fungerer sikkert. Sikkerhedstest registrerer alle mulige risici og giver udviklere handlingsrettede oplysninger til at løse problemer i koden før implementering.

Typer af sikkerhedstest i softwaretest

Ifølge Open Source Security Testing Methodology Manual (OSSTMM) er der syv primære typer sikkerhedstestning.

• Sårbarhedsscanning: Automatiseret software scanner et system mod kendte sårbarhedssignaturer.
• Sikkerhedsscanning: Identificerer netværks- og systemsvagheder og anbefaler løsninger. Kan være manuel, automatiseret eller begge dele.
• Penetrationstest: Simulerer et ondsindet angreb for at afdække sårbarheder, som en ekstern angriber kan udnytte.
• Risikovurdering: Analyserer observerede sikkerhedsrisici i organisationen og klassificerer dem som Lav, Mellem eller Høj, og anbefaler kontroller.
• Sikkerhedsrevision: En intern inspektion af ansøgninger og operativsystemer for sikkerhedsfejl. Kan omfatte linje-for-linje kodegennemgang.
• Etisk hacking: Autoriseret hacking af en organisations software for at afsløre sikkerhedshuller – den modsatte hensigt af ondsindede hackere.
• Kropsholdningsvurdering: Kombinerer sikkerhedsscanning, etisk hackingog risikovurdering for at vise en organisations overordnede sikkerhedstilstand.

Sådan udfører du sikkerhedstest

Det er bredt accepteret, at omkostningerne ved at udbedre en sikkerhedsfejl stiger dramatisk, jo senere den opdages. sikkerhedstest indtil efter implementeringen er langt dyrere end at integrere det i SDLC fra starten.

Tabellen nedenfor kortlægger sikkerhedsaktiviteter for hver SDLC-fase.

SDLC-fase	Sikkerhedsprocesser
Krav	Sikkerhedsanalyse af krav og gennemgang af misbrugssager.
Design	Sikkerhedsrisikoanalyse for designet. Udvikling af en testplan som inkluderer sikkerhedstests.
Kodning og enhedstest	Statisk og dynamisk testning plus sikkerhed white-box-testning.
Integrationstest	Black-box test.
Systemtest	Black-box-test og sårbarhedsscanning.
Implementering	Penetrationstest og sårbarhedsscanning.
Støtte	Konsekvensanalyse af patches.

Sikkerhedstestplanen bør omfatte:

• Sikkerhedsrelaterede testcases og scenarier.
• Testdata designet til sikkerhedstestning.
• Testværktøjer, der kræves til hver sikkerhedsaktivitet.
• Analyse af output fra de forskellige sikkerhedsværktøjer.

Eksempel på testscenarier til sikkerhedstest

Listen nedenfor giver et glimt af typiske sikkerhedstests.

• Adgangskoder gemmes i krypteret form, aldrig i almindelig tekst.
• Applikationen eller systemet blokerer ugyldige brugere.
• Cookies og sessionstimeouts valideres for alle arbejdsgange.
• For finansielle websteder må browserens tilbageknap ikke vise beskyttede sider efter udlogning.

Metoder og teknikker til sikkerhedstestning

Sikkerhedstestning følger flere etablerede metoder.

• Tiger Box: Test udført fra en bærbar computer med flere operativsystemer og hackingværktøjer. Bruges af penetrationstestere til at vurdere sårbarheder og køre angreb.
• Sort Box: Testeren har ingen intern viden om netværkstopologien eller teknologistakken og undersøger systemet, som en udenforstående ville gøre.
• Grå Box: Testeren modtager delvise oplysninger om systemet. Denne hybrid af white-box- og black-box-teknikker afspejler en realistisk trusselsmodel, hvor nogle detaljer er lækket.

Sikkerhedstestroller

• hacker: Generisk betegnelse for en person, der tilgår et computersystem eller netværk — almindeligvis brugt i dag til at henvise til black-hat-hackere, der gør det uden tilladelse.
• Kiks: Bryder ind i systemer for at stjæle eller ødelægge data.
• Etisk hacker: Udfører de samme aktiviteter som en hacker, men med ejerens udtrykkelige tilladelse, helping at hærde systemet.
• Script Kiddies / Pakkeaber: Uerfarne angribere med begrænset programmeringsviden, der er afhængige af præbyggede scripts og værktøjer.

Værktøjer til sikkerhedstest

1) Teramind

Teramind Leverer en omfattende pakke til forebyggelse af insidertrusler og medarbejderovervågning. Den forbedrer sikkerheden gennem adfærdsanalyse og forebyggelse af datatab, sikrer overholdelse af regler og optimerer forretningsprocesser. Dens brugerdefinerbare platform passer til forskellige organisatoriske behov og giver handlingsrettet indsigt, der fokuserer på at øge produktiviteten og beskytte dataintegriteten.

Funktioner:

• Insider-forebyggelse af trusler: Registrerer og forhindrer brugerhandlinger, der kan indikere insidertrusler mod data.
• Optimering af forretningsprocesser: Anvender datadreven adfærdsanalyse til at forfine driftsprocesser.
• Arbejdsstyrkens produktivitet: Overvåger produktivitet, sikkerhed og compliance-adfærd.
• Overholdelsesstyring: Håndterer compliance fra én skalerbar løsning, der er velegnet til små virksomheder, storselskaber og offentlige myndigheder.
• Hændelsesforensik: Leverer beviser til at berige hændelsesrespons, efterforskning og trusselsefterretning.
• Forebyggelse af datatab: Overvåger og beskytter mod tab af følsomme data.
• Medarbejderovervågning: Tracks medarbejderpræstation og aktiviteter.
• Adfærdsanalyse: Analyserer detaljerede data om brugeradfærd i apps for at få indsigt.
• Brugerdefinerbare overvågningsindstillinger: Tillader overvågningsregler at passe til specifikke brugsscenarier.
• Dashboard-indsigt: Giver synlighed og handlingsrettet indsigt gennem et omfattende dashboard.

Besøg Teramind >>

2) OWASP

Open Web Application Security Project (OWASP) er en verdensomspændende nonprofitorganisation dedikeret til at forbedre softwaresikkerhed. Projektet leverer adskillige værktøjer til pentestning af forskellige softwaremiljøer og protokoller. Flagskibsværktøjerne omfatter:

1. Zed Attack Proxy (ZAP) — et integreret penetrationstestværktøj.
2. OWASP-afhængighedskontrol — scanner projektafhængigheder mod kendte sårbarheder.
3. OWASP webtestmiljøprojekt — en kurateret samling af sikkerhedsværktøjer og dokumentation.

3) Wireshark

Wireshark er et netværksanalyseværktøj, tidligere kendt som Ethereal. Det opfanger pakker i realtid og viser dem i et menneskelæsbart format. Wireshark er open source og kører på Linux, Windows, macOS, Solaris, NetBSD, FreeBSD og mange andre systemer. Data kan ses i en GUI eller via kommandolinjeværktøjet TShark.

4) w3af

w3af er et rammeværk til angreb og revision af webapplikationer. Det har tre plugin-kategorier – opdagelse, revision og angreb – der kommunikerer med hinanden. Et opdagelsesplugin leder efter URLs til test, videresender dem til revisions-plugin'et, som scanner for sårbarheder, og angrebs-plugin'et forsøger derefter at udnytte dem.

Myter og fakta om sikkerhedstest

Adskillige vedvarende myter bremser sikkerhedsprogrammer. Listen nedenfor forbinder hver myte med den underliggende kendsgerning.

Myte #1: En lille virksomhed behøver ikke en sikkerhedspolitik.
Faktum: Enhver person og enhver virksomhed har brug for en sikkerhedspolitik.

Myte #2: Sikkerhedstestning giver intet investeringsafkast.
Faktum: Sikkerhedstest afdækker forbedringsområder, der øger effektiviteten, reducerer nedetid og muliggør maksimal gennemløbshastighed.

Myte #3: Den eneste måde at være sikker på er at frakoble systemet.
Faktum: Praktisk sikkerhed kommer fra en vurdering af arbejdsmiljøet, der er i overensstemmelse med forretningsmæssige, juridiske og branchemæssige krav – ikke fra at afbryde netværket.

Myte #4: Køb af mere software eller hardware vil beskytte virksomheden.
Faktum: Værktøjer erstatter ikke strategi. Forstå trusselsbilledet først, og vælg derefter de kontroller, der passer.

Ofte Stillede Spørgsmål