Εκμάθηση δοκιμής διείσδυσης: Τι είναι το PenTest;

Δοκιμή διείσδυσης

Δοκιμή διείσδυσης ή Pen Testing είναι ένας τύπος Δοκιμή ασφαλείας χρησιμοποιείται για την κάλυψη τρωτών σημείων, απειλών και κινδύνων που ένας εισβολέας θα μπορούσε να εκμεταλλευτεί σε εφαρμογές λογισμικού, δίκτυα ή εφαρμογές Ιστού. Σκοπός της δοκιμής διείσδυσης είναι ο εντοπισμός και ο έλεγχος όλων των πιθανών τρωτών σημείων ασφαλείας που υπάρχουν στην εφαρμογή λογισμικού. Η δοκιμή διείσδυσης ονομάζεται επίσης δοκιμή πένας.

Ευπάθεια είναι ο κίνδυνος ένας εισβολέας να διακόψει ή να αποκτήσει εξουσιοδοτημένη πρόσβαση στο σύστημα ή σε οποιαδήποτε δεδομένα που περιέχονται σε αυτό. Τα τρωτά σημεία εισάγονται συνήθως τυχαία κατά τη φάση ανάπτυξης και υλοποίησης λογισμικού. Τα κοινά τρωτά σημεία περιλαμβάνουν σφάλματα σχεδίασης, σφάλματα διαμόρφωσης, σφάλματα λογισμικού κ.λπ. Η ανάλυση διείσδυσης εξαρτάται από δύο μηχανισμούς, δηλαδή την αξιολόγηση τρωτότητας και τη δοκιμή διείσδυσης (VAPT).

Γιατί Δοκιμή διείσδυσης;

Η διείσδυση είναι απαραίτητη σε μια επιχείρηση γιατί –

• Χρηματοοικονομικοί τομείς όπως οι τράπεζες, η επενδυτική τραπεζική, τα χρηματιστήρια χρηματιστηρίων θέλουν τα δεδομένα τους να είναι ασφαλή και η δοκιμή διείσδυσης είναι απαραίτητη για τη διασφάλιση της ασφάλειας
• Σε περίπτωση που το σύστημα λογισμικού έχει ήδη παραβιαστεί και ο οργανισμός θέλει να προσδιορίσει εάν υπάρχουν ακόμη απειλές στο σύστημα για να αποφευχθούν μελλοντικές εισβολές.
• Το Proactive Penetration Testing είναι η καλύτερη προστασία έναντι των χάκερ

Τύποι δοκιμών διείσδυσης

Ο τύπος της δοκιμής διείσδυσης που επιλέγεται εξαρτάται συνήθως από το εύρος και από το αν ο οργανισμός θέλει να προσομοιώσει μια επίθεση από έναν υπάλληλο, από διαχειριστή δικτύου (εσωτερικές πηγές) ή από εξωτερικές πηγές. Υπάρχουν τρεις τύποι δοκιμών διείσδυσης και είναι

• Μαύρη Box Δοκιμές
• Άσπρο Box Δοκιμή διείσδυσης
• Γκρί Box Δοκιμή διείσδυσης

Στη δοκιμή διείσδυσης μαύρου κουτιού, ένας ελεγκτής δεν έχει γνώση σχετικά με τα συστήματα που πρόκειται να δοκιμαστούν. Είναι υπεύθυνος για τη συλλογή πληροφοριών σχετικά με το δίκτυο ή το σύστημα-στόχο.

Σε μια δοκιμή διείσδυσης λευκού κουτιού, ο ελεγκτής συνήθως παρέχεται με πλήρεις πληροφορίες σχετικά με το δίκτυο ή τα συστήματα που πρόκειται να δοκιμαστούν, συμπεριλαμβανομένου του σχήματος διεύθυνσης IP, του πηγαίου κώδικα, των λεπτομερειών του λειτουργικού συστήματος κ.λπ. Αυτό μπορεί να θεωρηθεί ως προσομοίωση επίθεσης από οποιονδήποτε Εσωτερικές πηγές (Εργαζόμενοι Οργανισμού).

Σε μια δοκιμή διείσδυσης γκρι κουτιού, παρέχεται σε έναν ελεγκτή μερική γνώση του συστήματος. Μπορεί να θεωρηθεί ως επίθεση από εξωτερικό χάκερ που είχε αποκτήσει παράνομη πρόσβαση στα έγγραφα υποδομής δικτύου ενός οργανισμού.

Πώς να κάνετε τη δοκιμή διείσδυσης

Ακολουθούν δραστηριότητες που πρέπει να εκτελεστούν για την εκτέλεση της δοκιμής διείσδυσης –

Βήμα 1) Φάση προγραμματισμού

1. Καθορίζεται το πεδίο και η στρατηγική της εργασίας
2. Οι υπάρχουσες πολιτικές ασφαλείας, τα πρότυπα χρησιμοποιούνται για τον καθορισμό του πεδίου εφαρμογής

Βήμα 2) Φάση ανακάλυψης

1. Συλλέξτε όσο το δυνατόν περισσότερες πληροφορίες για το σύστημα, συμπεριλαμβανομένων δεδομένων στο σύστημα, ονομάτων χρήστη και ακόμη και κωδικών πρόσβασης. Αυτό ονομάζεται επίσης ως ΔΑΚΤΥΛΙΚΟ ΑΠΟΤΥΠΩΜΑ
2. Σάρωση και ανίχνευση στις θύρες
3. Ελέγξτε για τρωτά σημεία του συστήματος

Βήμα 3) Φάση επίθεσης

1. Βρείτε εκμεταλλεύσεις για διάφορα τρωτά σημεία Χρειάζεστε απαραίτητα προνόμια ασφαλείας για να εκμεταλλευτείτε το σύστημα

Βήμα 4) Φάση αναφοράς

1. Μια έκθεση πρέπει να περιέχει λεπτομερή ευρήματα
2. Κίνδυνοι ευπάθειας που εντοπίστηκαν και ο αντίκτυπός τους στις επιχειρήσεις
3. Συστάσεις και λύσεις, εάν υπάρχουν

Το πρωταρχικό καθήκον στη δοκιμή διείσδυσης είναι η συλλογή πληροφοριών συστήματος. Υπάρχουν δύο τρόποι συλλογής πληροφοριών –

• Μοντέλο «ένα προς ένα» ή «ένα προς πολλούς» σε σχέση με τον κεντρικό υπολογιστή: Ένας δοκιμαστής εκτελεί τεχνικές με γραμμικό τρόπο είτε έναντι ενός κεντρικού υπολογιστή-στόχου είτε μιας λογικής ομαδοποίησης κεντρικών υπολογιστών-στόχων (π.χ. ένα υποδίκτυο).
• Μοντέλο «Πολλοί σε έναν» ή «Πολλοί σε πολλούς»: Ο ελεγκτής χρησιμοποιεί πολλαπλούς κεντρικούς υπολογιστές για να εκτελέσει τεχνικές συλλογής πληροφοριών σε τυχαία, περιορισμένη ταχύτητα και μη γραμμική.

Παραδείγματα εργαλείων δοκιμής διείσδυσης

Υπάρχει μια μεγάλη ποικιλία εργαλείων που χρησιμοποιούνται σε δοκιμές διείσδυσης και σημαντικά εργαλεία Pentest είναι:

1) Teramind

Teramind προσφέρει μια ολοκληρωμένη σουίτα για την πρόληψη απειλών από εσωτερικές πληροφορίες και την παρακολούθηση των εργαζομένων. Ενισχύει την ασφάλεια μέσω της ανάλυσης συμπεριφοράς και της πρόληψης απώλειας δεδομένων, διασφαλίζοντας τη συμμόρφωση και βελτιστοποιώντας τις επιχειρηματικές διαδικασίες. Η προσαρμόσιμη πλατφόρμα του ταιριάζει σε διάφορες οργανωτικές ανάγκες, παρέχοντας χρήσιμες πληροφορίες που εστιάζουν στην ενίσχυση της παραγωγικότητας και στη διαφύλαξη της ακεραιότητας των δεδομένων.

Χαρακτηριστικά:

• Πρόληψη εσωτερικών απειλών: Εντοπίζει και αποτρέπει ενέργειες χρήστη που μπορεί να υποδεικνύουν εσωτερικές απειλές για δεδομένα.
• Βελτιστοποίηση Επιχειρηματικών Διαδικασιών: Χρησιμοποιεί αναλύσεις συμπεριφοράς που βασίζονται σε δεδομένα για να επαναπροσδιορίσει τις λειτουργικές διαδικασίες.
• Παραγωγικότητα εργατικού δυναμικού: Παρακολουθεί την παραγωγικότητα, την ασφάλεια και τις συμπεριφορές συμμόρφωσης του εργατικού δυναμικού.
• Διαχείριση συμμόρφωσης: Βοηθά στη διαχείριση της συμμόρφωσης με μια ενιαία, επεκτάσιμη λύση κατάλληλη για μικρές επιχειρήσεις, επιχειρήσεις και κρατικούς φορείς.
• Ιατροδικαστικά περιστατικών: Παρέχει στοιχεία για τον εμπλουτισμό της απόκρισης, των ερευνών και των πληροφοριών σχετικά με τις απειλές.
• Πρόληψη απώλειας δεδομένων: Παρακολουθεί και προστατεύει από πιθανή απώλεια ευαίσθητων δεδομένων.
• Παρακολούθηση εργαζομένων: Προσφέρει δυνατότητες παρακολούθησης της απόδοσης και των δραστηριοτήτων των εργαζομένων.
• Αναλυτικά στοιχεία συμπεριφοράς: Αναλύει αναλυτικά δεδομένα συμπεριφοράς εφαρμογών πελατών για πληροφορίες.
• Προσαρμόσιμες ρυθμίσεις παρακολούθησης: Επιτρέπει την προσαρμογή των ρυθμίσεων παρακολούθησης ώστε να ταιριάζουν σε συγκεκριμένες περιπτώσεις χρήσης ή να εφαρμόζουν προκαθορισμένους κανόνες.
• Πληροφορίες πίνακα ελέγχου: Παρέχει ορατότητα και χρήσιμες πληροφορίες για τις δραστηριότητες του εργατικού δυναμικού μέσω ενός ολοκληρωμένου πίνακα ελέγχου.

Επίσκεψη Teramind >>

2. Χάρτης NM– Αυτό το εργαλείο χρησιμοποιείται για τη σάρωση θυρών, την αναγνώριση λειτουργικού συστήματος, την παρακολούθηση της διαδρομής και τη σάρωση ευπάθειας.
3. Nessus– Αυτό είναι ένα παραδοσιακό εργαλείο ευπάθειας που βασίζεται σε δίκτυο.
4. Pass-The-Hash – Αυτό το εργαλείο χρησιμοποιείται κυρίως για σπάσιμο κωδικού πρόσβασης.

Ρόλος και Ευθύνες των Ελεγκτών Διείσδυσης

Η δουλειά των ελεγκτών διείσδυσης είναι:

• Οι υπεύθυνοι δοκιμής θα πρέπει να συλλέγουν τις απαιτούμενες πληροφορίες από τον Οργανισμό για να ενεργοποιήσουν τις δοκιμές διείσδυσης
• Βρείτε ελαττώματα που θα μπορούσαν να επιτρέψουν στους χάκερ να επιτεθούν σε μια μηχανή στόχο
• Οι δοκιμαστές στυλό θα πρέπει να σκέφτονται και να ενεργούν σαν πραγματικοί χάκερ, αν και ηθικά.
• Η εργασία που γίνεται από τους ελεγκτές διείσδυσης θα πρέπει να είναι αναπαραγώγιμη, έτσι ώστε να είναι εύκολο για τους προγραμματιστές να τη διορθώσουν
• Η ημερομηνία έναρξης και η ημερομηνία λήξης της εκτέλεσης της δοκιμής θα πρέπει να καθοριστούν εκ των προτέρων.
• Ένας ελεγκτής θα πρέπει να είναι υπεύθυνος για οποιαδήποτε απώλεια στο σύστημα ή πληροφορίες κατά τη διάρκεια του Δοκιμές Λογισμικού
• Ένας ελεγκτής θα πρέπει να διατηρεί εμπιστευτικά τα δεδομένα και τις πληροφορίες

Μη αυτόματη διείσδυση έναντι αυτοματοποιημένης δοκιμής διείσδυσης

Χειροκίνητη δοκιμή διείσδυσης	Αυτοματοποιημένη δοκιμή διείσδυσης
Μη αυτόματη δοκιμή απαιτεί ειδικούς επαγγελματίες για την εκτέλεση των δοκιμών	Τα αυτοματοποιημένα εργαλεία δοκιμών παρέχουν σαφείς αναφορές με λιγότερο έμπειρους επαγγελματίες
Η μη αυτόματη δοκιμή απαιτεί Excel και άλλα εργαλεία για την παρακολούθηση	Δοκιμές Αυτοματισμού διαθέτει κεντρικά και τυπικά εργαλεία
Στη χειροκίνητη δοκιμή, τα αποτελέσματα των δειγμάτων διαφέρουν από δοκιμή σε δοκιμή	Στην περίπτωση των Αυτοματοποιημένων Δοκιμών, τα αποτελέσματα δεν διαφέρουν από δοκιμή σε δοκιμή
Το Memory Cleaning θα πρέπει να το θυμούνται οι χρήστες	Οι αυτοματοποιημένες δοκιμές θα έχουν ολοκληρωμένους καθαρισμούς.

Μειονεκτήματα της δοκιμής διείσδυσης

Η δοκιμή διείσδυσης δεν μπορεί να βρει όλα τα τρωτά σημεία του συστήματος. Υπάρχουν περιορισμοί χρόνου, προϋπολογισμού, εμβέλειας, δεξιοτήτων των ελεγκτών διείσδυσης

Τα ακόλουθα θα είναι παρενέργειες όταν κάνουμε δοκιμές διείσδυσης:

• Απώλεια δεδομένων και διαφθορά
• Χρόνος διακοπής
• Αύξηση Κόστους

Συμπέρασμα

Οι υπεύθυνοι δοκιμών θα πρέπει να ενεργούν σαν πραγματικός χάκερ και να δοκιμάζουν την εφαρμογή ή το σύστημα και πρέπει να ελέγχουν εάν ένας κώδικας είναι γραμμένος με ασφάλεια. Μια δοκιμή διείσδυσης θα είναι αποτελεσματική εάν υπάρχει μια καλά εφαρμοσμένη πολιτική ασφάλειας. Η πολιτική και η μεθοδολογία δοκιμών διείσδυσης θα πρέπει να είναι ένα μέρος για να γίνει πιο αποτελεσματική η δοκιμή διείσδυσης. Αυτός είναι ένας πλήρης οδηγός για αρχάριους για τη δοκιμή διείσδυσης.

Ελέγξτε μας Έργο δοκιμών ζωντανής διείσδυσης