Was sind Sicherheitstests? Beispiel
Thomas Hamilton
⚡ Intelligente Zusammenfassung
Sicherheitstests sind eine Disziplin des Softwaretests, die Schwachstellen, Bedrohungen und Risiken in einer Anwendung aufdeckt, bevor Angreifer sie ausnutzen können. Dieser Artikel behandelt die sieben Kerntypen, das SDLC-Integrationsmodell, gängige Methoden, wichtige Rollen und die wichtigsten Tools.
Was ist Sicherheitstest?
Sicherheitstests ist eine Art von Softwaretest Sicherheitstests decken Schwachstellen, Bedrohungen und Risiken in einer Anwendung auf und verhindern böswillige Angriffe von Eindringlingen. Ziel von Sicherheitstests ist es, jede Sicherheitslücke und Schwachstelle im System zu identifizieren, die zu Informations-, Umsatz- oder Reputationsverlusten durch Insider oder Außenstehende führen könnte.
Warum sind Sicherheitstests wichtig?
Das Hauptziel von Sicherheitstests ist die Identifizierung von Bedrohungen im System und die Bewertung ihrer potenziellen Auswirkungen, um diese Bedrohungen zu minimieren und den sicheren Betrieb des Systems zu gewährleisten. Sicherheitstests decken jedes mögliche Risiko auf und liefern Entwicklern konkrete Informationen, um Probleme im Code vor der Bereitstellung zu beheben.
Arten von Sicherheitstests beim Softwaretest
Gemäß dem Open Source Security Testing Methodology Manual (OSSTMM) gibt es sieben primäre Arten von Sicherheitstests.
- Scannen von Sicherheitslücken: Eine automatisierte Software scannt ein System anhand bekannter Schwachstellensignaturen.
- Sicherheitsscanning: Identifiziert Schwachstellen im Netzwerk und System und empfiehlt Lösungen. Kann manuell, automatisiert oder beides erfolgen.
- Penetrationstests: Simuliert einen böswilligen Angriff, um Schwachstellen aufzudecken, die ein externer Angreifer ausnutzen könnte.
- Risikoabschätzung: Analysiert die in der Organisation beobachteten Sicherheitsrisiken und stuft sie als niedrig, mittel oder hoch ein, wobei entsprechende Kontrollmaßnahmen empfohlen werden.
- Sicherheitsüberwachung: Eine interne Prüfung der Anträge und Betriebssysteme auf Sicherheitslücken. Kann eine zeilenweise Codeüberprüfung umfassen.
- Ethisches Hacken: Autorisierte Hacking-Aktivitäten in der Software einer Organisation, um Sicherheitslücken aufzudecken – das genaue Gegenteil der Absicht böswilliger Hacker.
- Haltungsbewertung: Kombiniert Sicherheitsprüfung, Ethisches Hackenund Risikobewertung zur Darstellung der allgemeinen Sicherheitslage einer Organisation.
Wie man Sicherheitstests durchführt
Es ist allgemein anerkannt, dass die Kosten für die Behebung einer Sicherheitslücke drastisch steigen, je später sie entdeckt wird. Das Hinauszögern Sicherheitstests Bis nach der Bereitstellung ist es weitaus teurer, es von Anfang an in den Softwareentwicklungszyklus (SDLC) einzubetten.
Die folgende Tabelle ordnet Sicherheitsaktivitäten jeder Phase des Softwareentwicklungszyklus (SDLC) zu.
| SDLC-Phase | Sicherheitsprozesse |
|---|---|
| Voraussetzungen: | Sicherheitsanalyse der Anforderungen und Überprüfung von Missbrauchsfällen. |
| Technologie | Sicherheitsrisikoanalyse für das Design. Entwicklung eines Versuchsplan Das umfasst auch Sicherheitstests. |
| Codierung und Unit-Tests | Statische und dynamische Tests sowie Sicherheit White-Box-Tests. |
| Integrationstests | Black-Box-Tests. |
| Systemtest | Black-Box-Tests und Schwachstellenscans. |
| Umsetzung | Penetrationstests und Schwachstellenscans. |
| Unterstützung | Wirkungsanalyse von Patches. |
Der Sicherheitstestplan sollte Folgendes beinhalten:
- Sicherheitsrelevante Testfälle und Szenarien.
- Testdaten, die für Sicherheitstests entwickelt wurden.
- Für jede Sicherheitsaktivität werden Testwerkzeuge benötigt.
- Analyse der Ausgaben der verschiedenen Sicherheitstools.
Beispieltestszenarien für Sicherheitstests
Die folgende Liste bietet einen Einblick in typische Sicherheitstestfälle.
- Passwörter werden verschlüsselt gespeichert, niemals im Klartext.
- Die Anwendung oder das System sperrt ungültige Benutzer.
- Cookies und Sitzungs-Timeouts werden für jeden Workflow validiert.
- Bei Finanzwebseiten darf die Zurück-Taste des Browsers nach dem Ausloggen keine geschützten Seiten mehr anzeigen.
Methoden und Techniken für Sicherheitstests
Sicherheitstests folgen mehreren etablierten Methoden.
- Tiger Box: Die Tests wurden auf einem Laptop durchgeführt, auf dem mehrere Betriebssysteme und Hacking-Tools installiert waren. Dieser Laptop wird von Penetrationstestern verwendet, um Schwachstellen zu analysieren und Angriffe durchzuführen.
- Schwarz Box: Der Tester hat keine internen Kenntnisse über die Netzwerktopologie oder den Technologie-Stack und untersucht das System wie ein Außenstehender.
- Grau Box: Der Tester erhält nur unvollständige Informationen über das System. Diese Kombination aus White-Box- und Black-Box-Techniken bildet ein realistisches Bedrohungsmodell ab, bei dem einige Details durchgesickert sind.
Rollen für Sicherheitstests
- Hacker: Allgemeiner Begriff für jemanden, der auf ein Computersystem oder Netzwerk zugreift – heutzutage häufig verwendet, um Black-Hat-Hacker zu bezeichnen, die dies ohne Autorisierung tun.
- Cracker: Drängt in Systeme ein, um Daten zu stehlen oder zu zerstören.
- Ethischer Hacker: Führt die gleichen Aktivitäten wie ein Hacker aus, jedoch mit der ausdrücklichen Erlaubnis des Eigentümers, helping um das System zu härten.
- Scriptkiddies / Packet Monkeys: Unerfahrene Angreifer mit begrenzten Programmierkenntnissen, die auf vorgefertigte Skripte und Tools zurückgreifen.
Tools für Sicherheitstests
1) Teramind
Teramind Die Plattform bietet eine umfassende Lösung zur Prävention von Insiderbedrohungen und zur Mitarbeiterüberwachung. Sie verbessert die Sicherheit durch Verhaltensanalysen und Maßnahmen zur Verhinderung von Datenverlusten, gewährleistet Compliance und optimiert Geschäftsprozesse. Die anpassbare Plattform erfüllt unterschiedliche organisatorische Anforderungen und liefert umsetzbare Erkenntnisse zur Steigerung der Produktivität und zum Schutz der Datenintegrität.
Merkmale:
- Prävention von Insider-Bedrohungen: Erkennt und verhindert Benutzeraktionen, die auf interne Bedrohungen für Daten hinweisen könnten.
- Geschäftsprozessoptimierung: Nutzt datengestützte Verhaltensanalysen zur Optimierung von Betriebsprozessen.
- Produktivität der Belegschaft: Überwacht Produktivität, Sicherheit und Compliance-Verhalten.
- Compliance Management: Bietet eine skalierbare Lösung zur Erfüllung aller Compliance-Anforderungen und eignet sich für kleine Unternehmen, Konzerne und Regierungsbehörden.
- Vorfallforensik: Liefert Erkenntnisse zur Verbesserung der Reaktion auf Vorfälle, der Ermittlungen und der Bedrohungsanalyse.
- Prävention vor Datenverlust: Überwacht und schützt vor dem Verlust sensibler Daten.
- Mitarbeiterüberwachung: TracLeistung und Aktivitäten der Mitarbeiter von KS.
- Verhaltensanalyse: Analysiert detaillierte Nutzerdaten zum App-Verhalten, um Erkenntnisse zu gewinnen.
- Anpassbare Überwachungseinstellungen: Ermöglicht es, Überwachungsregeln an spezifische Anwendungsfälle anzupassen.
- Dashboard-Einblicke: Bietet Transparenz und umsetzbare Erkenntnisse durch ein umfassendes Dashboard.
2) OWASP
Das Öffnen Sie das Web Application Security Project (OWASP). ist eine weltweit tätige gemeinnützige Organisation, die sich der Verbesserung der Softwaresicherheit widmet. Das Projekt stellt verschiedene Tools für Penetrationstests unterschiedlicher Softwareumgebungen und -protokolle bereit. Zu den wichtigsten Tools gehören:
- Zed-Angriffsproxy (ZAP) — ein integriertes Penetrationstest-Tool.
- OWASP-Abhängigkeits-Check — prüft die Projektabhängigkeiten auf bekannte Sicherheitslücken.
- OWASP-Webtestumgebungsprojekt — eine kuratierte Sammlung von Sicherheitstools und Dokumentationen.
3) Wireshark
Wireshark ist ein Netzwerk-Analysetool, das früher unter dem Namen Ethereal bekannt war. Es erfasst Pakete in Echtzeit und zeigt sie in einem für Menschen lesbaren Format an. Wireshark ist Open Source und läuft unter Linux. Windows, macOS, SolarisNetBSD, FreeBSD und viele andere Systeme. Die Daten können in einer grafischen Benutzeroberfläche oder über das Kommandozeilenprogramm TShark angezeigt werden.
4) w3af
w3af ist ein Framework für Angriffe und Audits von Webanwendungen. Es verfügt über drei Plugin-Kategorien – Erkennung, Audit und Angriff –, die miteinander kommunizieren. Ein Erkennungs-Plugin sucht nach URLs zum Testen, leitet sie an das Audit-Plug-in weiter, das nach Schwachstellen sucht, und das Angriffs-Plug-in versucht dann, diese auszunutzen.
Mythen und Fakten über Sicherheitstests
Mehrere hartnäckige Mythen verlangsamen Sicherheitsprogramme. Die folgende Liste ordnet jedem Mythos die zugrunde liegende Tatsache zu.
Mythos #1: Ein kleines Unternehmen benötigt keine Sicherheitsrichtlinie.
Tatsache: Jeder Mensch und jedes Unternehmen braucht eine Sicherheitsrichtlinie.
Mythos #2: Sicherheitstests bieten keinen Return on Investment.
Tatsache: Sicherheitstests decken Verbesserungspotenziale auf, die die Effizienz steigern, Ausfallzeiten reduzieren und einen maximalen Durchsatz ermöglichen.
Mythos #3: Die einzige Möglichkeit, Sicherheit zu gewährleisten, besteht darin, das System vom Stromnetz zu trennen.
Tatsache: Praktische Sicherheit entsteht durch eine Sicherheitsanalyse, die auf geschäftliche, rechtliche und branchenspezifische Anforderungen abgestimmt ist – und nicht durch die Trennung vom Netzwerk.
Mythos #4: Der Kauf zusätzlicher Software oder Hardware sichert das Unternehmen ab.
Tatsache: Werkzeuge ersetzen keine Strategie. Verstehen Sie zunächst die Bedrohungslandschaft und wählen Sie dann die passenden Kontrollmaßnahmen aus.
