Τι είναι ο έλεγχος ασφαλείας; Παράδειγμα

Τι είναι ο έλεγχος ασφαλείας;

Δοκιμή ασφαλείας είναι ένας τύπος δοκιμές λογισμικού που αποκαλύπτει τρωτά σημεία, απειλές και κινδύνους σε μια εφαρμογή και αποτρέπει κακόβουλες επιθέσεις από εισβολείς. Σκοπός των δοκιμών ασφαλείας είναι να εντοπιστεί κάθε κενό και αδυναμία στο σύστημα που θα μπορούσε να οδηγήσει σε απώλεια πληροφοριών, εσόδων ή φήμης στα χέρια εσωτερικών ή εξωτερικών παραγόντων.

Γιατί είναι σημαντικές οι δοκιμές ασφαλείας;

Ο κύριος στόχος των δοκιμών ασφαλείας είναι ο εντοπισμός απειλών στο σύστημα και η μέτρηση του πιθανού αντίκτυπού τους, ώστε να μετριαστούν οι απειλές και το σύστημα να συνεχίσει να λειτουργεί με ασφάλεια. Οι δοκιμές ασφαλείας εντοπίζουν κάθε πιθανό κίνδυνο και παρέχουν στους προγραμματιστές πληροφορίες που μπορούν να χρησιμοποιηθούν για την επίλυση των προβλημάτων στον κώδικα πριν από την ανάπτυξη.

Τύποι δοκιμών ασφαλείας στη δοκιμή λογισμικού

Σύμφωνα με το Εγχειρίδιο Μεθοδολογίας Δοκιμών Ασφάλειας Ανοικτού Κώδικα (OSSTMM), υπάρχουν επτά κύριοι τύποι δοκιμών ασφαλείας.

• Σάρωση ευπάθειας: Το αυτοματοποιημένο λογισμικό σαρώνει ένα σύστημα για γνωστές υπογραφές ευπάθειας.
• Σάρωση ασφαλείας: Εντοπίζει αδυναμίες δικτύου και συστήματος και προτείνει διορθώσεις. Μπορεί να είναι χειροκίνητη, αυτόματη ή και τα δύο.
• Δοκιμή διείσδυσης: Προσομοιώνει μια κακόβουλη επίθεση για να αποκαλύψει τρωτά σημεία που θα μπορούσε να εκμεταλλευτεί ένας εξωτερικός εισβολέας.
• Αξιολόγηση Κινδύνου: Αναλύει τους κινδύνους ασφαλείας που παρατηρούνται στον οργανισμό και τους ταξινομεί ως Χαμηλούς, Μεσαίους ή Υψηλούς, προτείνοντας μέτρα ελέγχου.
• Έλεγχος ασφάλειας: Εσωτερικός έλεγχος των αιτήσεων και λειτουργικά συστήματα για κενά ασφαλείας. Μπορεί να περιλαμβάνει ανασκόπηση κώδικα γραμμή προς γραμμή.
• Ηθικό Hacking: Εξουσιοδοτημένη παραβίαση λογισμικού ενός οργανισμού για την αποκάλυψη κενών ασφαλείας — η αντίθετη πρόθεση των κακόβουλων χάκερ.
• Αξιολόγηση στάσης: Συνδυάζει σάρωση ασφαλείας, Ηθική hackingκαι αξιολόγηση κινδύνου για να καταδειχθεί η συνολική κατάσταση ασφαλείας ενός οργανισμού.

Πώς να κάνετε δοκιμές ασφαλείας

Είναι ευρέως αποδεκτό ότι το κόστος επιδιόρθωσης ενός ελαττώματος ασφαλείας αυξάνεται δραματικά όσο αργότερα εντοπίζεται. δοκιμές ασφαλείας μέχρι μετά την ανάπτυξη είναι πολύ πιο ακριβό από την ενσωμάτωσή του στο SDLC από την αρχή.

Ο παρακάτω πίνακας αντιστοιχίζει τις δραστηριότητες ασφαλείας σε κάθε φάση SDLC.

Το σχέδιο δοκιμών ασφαλείας θα πρέπει να περιλαμβάνει:

• Περιπτώσεις και σενάρια δοκιμών που σχετίζονται με την ασφάλεια.
• Δεδομένα δοκιμών σχεδιασμένα για δοκιμές ασφαλείας.
• Εργαλεία δοκιμής που απαιτούνται για κάθε δραστηριότητα ασφαλείας.
• Ανάλυση των αποτελεσμάτων από τα διάφορα εργαλεία ασφαλείας.

Παραδείγματα δοκιμαστικών σεναρίων για δοκιμές ασφαλείας

Η παρακάτω λίστα προσφέρει μια γεύση από τυπικές περιπτώσεις δοκιμών ασφαλείας.

• Οι κωδικοί πρόσβασης αποθηκεύονται σε κρυπτογραφημένη μορφή, ποτέ σε απλό κείμενο.
• Η εφαρμογή ή το σύστημα αποκλείει μη έγκυρους χρήστες.
• Τα cookies και τα χρονικά όρια λήξης περιόδου λειτουργίας επικυρώνονται για κάθε ροή εργασίας.
• Για τους οικονομικούς ιστότοπους, το κουμπί επιστροφής του προγράμματος περιήγησης δεν πρέπει να εκθέτει προστατευμένες σελίδες μετά την αποσύνδεση.

Μεθοδολογίες και Τεχνικές για Δοκιμές Ασφάλειας

Οι δοκιμές ασφαλείας ακολουθούν αρκετές καθιερωμένες μεθοδολογίες.

• Τίγρη Box: Οι δοκιμές πραγματοποιήθηκαν από φορητό υπολογιστή με πολλά λειτουργικά συστήματα και εργαλεία hacking. Χρησιμοποιείται από δοκιμαστές διείσδυσης για την αξιολόγηση τρωτών σημείων και την εκτέλεση επιθέσεων.
• Μαύρο Box: Ο ελεγκτής δεν έχει εσωτερική γνώση της τοπολογίας του δικτύου ή της τεχνολογικής στοίβας και εξετάζει το σύστημα όπως θα έκανε ένας εξωτερικός χρήστης.
• Γκρί Box: Ο δοκιμαστής λαμβάνει μερικές πληροφορίες σχετικά με το σύστημα. Αυτό το υβρίδιο τεχνικών λευκού κουτιού και μαύρου κουτιού αντικατοπτρίζει ένα ρεαλιστικό μοντέλο απειλής όπου ορισμένες λεπτομέρειες έχουν διαρρεύσει.

Ρόλοι δοκιμών ασφαλείας

• Χάκερ: Γενικός όρος για κάποιον που έχει πρόσβαση σε ένα σύστημα υπολογιστή ή δίκτυο — χρησιμοποιείται συνήθως σήμερα για να αναφερθεί σε black-hat χάκερ που το κάνουν χωρίς άδεια.
• Παξιμάδι: Παραβιάζει συστήματα για να κλέψει ή να καταστρέψει δεδομένα.
• Ηθικός χάκερ: Εκτελεί τις ίδιες δραστηριότητες με έναν χάκερ αλλά με τη ρητή άδεια του κατόχου, helping να σκληρύνει το σύστημα.
• Script Kiddies / Packet Monkeys: Άπειροι εισβολείς με περιορισμένες γνώσεις προγραμματισμού που βασίζονται σε προκατασκευασμένα σενάρια και εργαλεία.

Εργαλεία δοκιμών ασφαλείας

1) Teramind

Teramind Προσφέρει μια ολοκληρωμένη σουίτα για την πρόληψη εσωτερικών απειλών και την παρακολούθηση των εργαζομένων. Ενισχύει την ασφάλεια μέσω αναλύσεων συμπεριφοράς και πρόληψης απώλειας δεδομένων, διασφαλίζοντας τη συμμόρφωση και βελτιστοποιώντας τις επιχειρηματικές διαδικασίες. Η προσαρμόσιμη πλατφόρμα της ταιριάζει σε διάφορες οργανωτικές ανάγκες, παρέχοντας αξιοποιήσιμες πληροφορίες που εστιάζουν στην ενίσχυση της παραγωγικότητας και στη διαφύλαξη της ακεραιότητας των δεδομένων.

Χαρακτηριστικά:

• Πρόληψη εσωτερικών απειλών: Εντοπίζει και αποτρέπει ενέργειες χρήστη που μπορεί να υποδεικνύουν εσωτερικές απειλές για δεδομένα.
• Βελτιστοποίηση Επιχειρηματικών Διαδικασιών: Χρησιμοποιεί αναλύσεις συμπεριφοράς που βασίζονται σε δεδομένα για τη βελτίωση των λειτουργικών διαδικασιών.
• Παραγωγικότητα εργατικού δυναμικού: Παρακολουθεί την παραγωγικότητα, την ασφάλεια και τις συμπεριφορές συμμόρφωσης.
• Διαχείριση συμμόρφωσης: Διαχειρίζεται τη συμμόρφωση από μία κλιμακούμενη λύση, κατάλληλη για μικρές επιχειρήσεις, μεγάλες επιχειρήσεις και κυβερνητικές υπηρεσίες.
• Ιατροδικαστικά περιστατικών: Παρέχει στοιχεία για τον εμπλουτισμό της αντιμετώπισης περιστατικών, της έρευνας και της πληροφόρησης για απειλές.
• Πρόληψη απώλειας δεδομένων: Παρακολουθεί και προστατεύει από την απώλεια ευαίσθητων δεδομένων.
• Παρακολούθηση εργαζομένων: TracΑπόδοση και δραστηριότητες των εργαζομένων του ks.
• Αναλυτικά στοιχεία συμπεριφοράς: Αναλύει λεπτομερή δεδομένα συμπεριφοράς εφαρμογών χρήστη για πληροφορίες.
• Προσαρμόσιμες ρυθμίσεις παρακολούθησης: Επιτρέπει την προσαρμογή κανόνων παρακολούθησης σε συγκεκριμένες περιπτώσεις χρήσης.
• Πληροφορίες πίνακα ελέγχου: Παρέχει ορατότητα και αξιοποιήσιμες πληροφορίες μέσω ενός ολοκληρωμένου πίνακα ελέγχου.

Επίσκεψη Teramind >>

2) OWASP

The Ανοιχτό Έργο Ασφάλειας Εφαρμογών Ιστού (OWASP) είναι ένας παγκόσμιος μη κερδοσκοπικός οργανισμός αφιερωμένος στη βελτίωση της ασφάλειας λογισμικού. Το έργο διαθέτει πολλά εργαλεία για δοκιμές πένας σε διαφορετικά περιβάλλοντα λογισμικού και πρωτόκολλα. Τα κύρια εργαλεία περιλαμβάνουν:

1. Proxy Proxy Zed (ZAP) — ένα ολοκληρωμένο εργαλείο δοκιμών διείσδυσης.
2. Έλεγχος εξάρτησης OWASP — σαρώνει τις εξαρτήσεις του έργου για γνωστά τρωτά σημεία.
3. OWASP Web Testing Environment Project — μια επιμελημένη συλλογή εργαλείων ασφαλείας και τεκμηρίωσης.

3) Wireshark

Wireshark είναι ένα εργαλείο ανάλυσης δικτύου, παλαιότερα γνωστό ως Ethereal. Καταγράφει πακέτα σε πραγματικό χρόνο και τα εμφανίζει σε μορφή αναγνώσιμη από τον άνθρωπο. Wireshark είναι ανοιχτού κώδικα και λειτουργεί σε Linux, Windows, macOS, Solaris, NetBSD, FreeBSD και πολλά άλλα συστήματα. Τα δεδομένα μπορούν να προβληθούν σε ένα γραφικό περιβάλλον χρήστη (GUI) ή μέσω του βοηθητικού προγράμματος γραμμής εντολών TShark.

4) w3af

w3af είναι ένα πλαίσιο επιθέσεων και ελέγχου εφαρμογών ιστού. Διαθέτει τρεις κατηγορίες πρόσθετων (plug-in) — ανακάλυψη, έλεγχος και επίθεση — που επικοινωνούν μεταξύ τους. Ένα πρόσθετο ανακάλυψης (discovery plugin) αναζητά URL για έλεγχο, τις προωθεί στο πρόσθετο ελέγχου (audit plugin), το οποίο σαρώνει για ευπάθειες και στη συνέχεια επιχειρεί εκμετάλλευση.

Μύθοι και γεγονότα των δοκιμών ασφαλείας

Αρκετοί επίμονοι μύθοι επιβραδύνουν τα προγράμματα ασφαλείας. Η παρακάτω λίστα συνδέει κάθε μύθο με το υποκείμενο γεγονός.

Μύθος #1: Μια μικρή επιχείρηση δεν χρειάζεται πολιτική ασφαλείας.
Γεγονός: Κάθε άτομο και κάθε εταιρεία χρειάζεται μια πολιτική ασφαλείας.

Μύθος #2: Οι δοκιμές ασφαλείας δεν προσφέρουν απόδοση επένδυσης.
Γεγονός: Οι δοκιμές ασφαλείας αναδεικνύουν τομείς που χρήζουν βελτίωσης, οι οποίοι ενισχύουν την αποδοτικότητα, μειώνουν τον χρόνο διακοπής λειτουργίας και επιτρέπουν τη μέγιστη απόδοση.

Μύθος #3: Ο μόνος τρόπος για να είστε ασφαλείς είναι να αποσυνδέσετε το σύστημα.
Γεγονός: Η πρακτική ασφάλεια προέρχεται από μια αξιολόγηση της στάσης του σώματος που ευθυγραμμίζεται με τις επιχειρηματικές, νομικές και βιομηχανικές απαιτήσεις — όχι από την αποσύνδεση του δικτύου.

Μύθος #4: Η αγορά περισσότερου λογισμικού ή υλικού θα προστατεύσει την επιχείρηση.
Γεγονός: Τα εργαλεία δεν αντικαθιστούν τη στρατηγική. Κατανοήστε πρώτα το τοπίο των απειλών και, στη συνέχεια, επιλέξτε τα στοιχεία ελέγχου που ταιριάζουν.

Συχνές Ερωτήσεις