Behatolási tesztelési útmutató: Mi az a PenTest?

Penetrációs vizsgálat

Penetrációs vizsgálat vagy A tolltesztelés egyfajta Biztonsági tesztelés olyan sebezhetőségek, fenyegetések és kockázatok fedezésére szolgál, amelyeket a támadó szoftveralkalmazásokban, hálózatokban vagy webalkalmazásokban kihasználhat. A behatolási tesztelés célja a szoftveralkalmazásban található összes lehetséges biztonsági rés azonosítása és tesztelése. A penetrációs tesztet tolltesztnek is nevezik.

A sérülékenység annak kockázata, hogy a támadó megzavarhatja a rendszert vagy az abban található adatokat, vagy jogosult hozzáférést kaphat azokhoz. A sérülékenységeket általában véletlenül vezetik be a szoftverfejlesztési és bevezetési szakaszban. A gyakori sérülékenységek közé tartoznak a tervezési hibák, a konfigurációs hibák, a szoftverhibák stb. A penetrációs elemzés két mechanizmuson múlik, nevezetesen a sebezhetőség értékelésén és a behatolási teszten (VAPT).

Miért a penetrációs teszt?

A behatolás elengedhetetlen egy vállalkozásban, mert

• A pénzügyi szektorok, például a bankok, a befektetési banki szolgáltatások és a tőzsdék azt szeretnék, hogy adataik biztonságban legyenek, és a behatolási tesztelés elengedhetetlen a biztonság garantálásához.
• Abban az esetben, ha a szoftverrendszert már feltörték, és a szervezet meg akarja állapítani, hogy vannak-e még fenyegetések a rendszerben a jövőbeni feltörések elkerülése érdekében.
• A proaktív behatolásteszt a legjobb védelem a hackerek ellen

A penetrációs vizsgálat típusai

A kiválasztott behatolási teszt típusa általában a hatókörtől függ, és attól, hogy a szervezet egy alkalmazott, hálózati rendszergazda (belső források) vagy külső források általi támadást akar-e szimulálni. A penetrációs tesztelésnek három típusa van, és ezek azok

• Fekete Box Tesztelés
• fehér Box Behatolásteszt
• szürke Box Penetrációs vizsgálat

A fekete doboz penetrációs tesztelése során a tesztelőnek nincs ismerete a tesztelendő rendszerekről. Ő felelős azért, hogy információkat gyűjtsön a célhálózatról vagy rendszerről.

A fehér dobozos penetrációs tesztelés során a tesztelő általában teljes körű információt kap a tesztelendő hálózatról vagy rendszerekről, beleértve az IP-cím sémát, a forráskódot, az operációs rendszer részleteit stb. Ez bármely fél támadásának szimulációjának tekinthető. Belső források (Egy szervezet alkalmazottai).

A szürke dobozos penetrációs tesztelés során a tesztelőt részleges rendszerismerettel látják el. Ez egy külső hacker által elkövetett támadásnak tekinthető, aki illegitim hozzáférést szerzett egy szervezet hálózati infrastruktúra dokumentumaihoz.

Hogyan kell elvégezni a penetrációs tesztet

A következő tevékenységeket kell végrehajtani a penetrációs teszt végrehajtásához -

1. lépés) Tervezési szakasz

1. Meghatározzák a megbízás hatókörét és stratégiáját
2. A hatály meghatározásához a meglévő biztonsági szabályzatokat, szabványokat használják

2. lépés) Felfedezési fázis

1. Gyűjtsön össze minél több információt a rendszerről, beleértve a rendszerben lévő adatokat, felhasználóneveket és akár jelszavakat is. Ezt úgy is hívják UJJLENYOMTATÁS
2. Szkennelje be és vizsgálja meg a portokat
3. Ellenőrizze a rendszer sebezhetőségeit

3. lépés: Támadási fázis

1. Különféle biztonsági rések kizsákmányolása A rendszer kihasználásához szükséges biztonsági jogosultságokra van szükség

4. lépés) Jelentési fázis

1. A jelentésnek részletes megállapításokat kell tartalmaznia
2. A talált sebezhetőség kockázatai és hatása az üzletre
3. Javaslatok és megoldások, ha vannak

A penetrációs tesztelés elsődleges feladata a rendszerinformációk összegyűjtése. Az információgyűjtésnek két módja van:

• „Egy az egyhez” vagy „egy a sokhoz” modell a gazdagép vonatkozásában: A tesztelő lineáris módon hajt végre technikákat egy célállomással vagy a célállomások logikai csoportjával (pl. alhálózattal) szemben.
• „Sok az egyhez” vagy „sok az egyhez” modell: A tesztelő több gazdagépet használ az információgyűjtési technikák véletlenszerű, sebességkorlátozott és nemlineáris végrehajtásához.

Példák a behatolást vizsgáló eszközökre

A behatolási teszteléshez sokféle eszköz létezik, és a fontos Pentest eszközök vannak:

1) Teramind

Teramind átfogó csomagot kínál a bennfentes fenyegetések megelőzésére és az alkalmazottak megfigyelésére. A viselkedéselemzés és az adatvesztés-megelőzés révén fokozza a biztonságot, biztosítja a megfelelőséget és optimalizálja az üzleti folyamatokat. Testreszabható platformja megfelel a különféle szervezeti igényeknek, és olyan gyakorlati betekintést nyújt, amely a termelékenység növelésére és az adatok integritásának megőrzésére összpontosít.

Jellemzők:

• Bennfentes fenyegetés megelőzése: Érzékeli és megakadályozza azokat a felhasználói műveleteket, amelyek bennfentes adatok fenyegetésére utalhatnak.
• Üzleti folyamatok optimalizálása: Adatvezérelt viselkedéselemzést használ a működési folyamatok újradefiniálásához.
• Munkaerő termelékenysége: Figyelemmel kíséri a munkaerő termelékenységét, biztonságát és megfelelőségi viselkedését.
• Megfelelőség menedzsment: Segít kezelni a megfelelőséget egyetlen, méretezhető megoldással, amely alkalmas kisvállalkozások, vállalatok és kormányzati szervek számára.
• Incidens kriminalisztika: Bizonyítékot nyújt az incidensekre adott válaszok, a nyomozások és a fenyegetésekkel kapcsolatos hírszerzés gazdagításához.
• Az adatvesztés megelőzése: Figyeli és védi az érzékeny adatok esetleges elvesztését.
• Munkavállalói megfigyelés: Lehetőséget kínál az alkalmazottak teljesítményének és tevékenységeinek nyomon követésére.
• Viselkedéselemzés: Elemzi az ügyfélalkalmazások viselkedésére vonatkozó részletes adatokat, hogy betekintést nyerjen.
• Testreszabható felügyeleti beállítások: Lehetővé teszi a megfigyelési beállítások testreszabását az adott használati eseteknek megfelelően vagy előre meghatározott szabályok megvalósításához.
• Irányítópult Insights: Átfogó műszerfalon keresztül láthatóságot és gyakorlati betekintést biztosít a munkaerő tevékenységeibe.

Látogat Teramind >>

2. nmap– Ezzel az eszközzel port-ellenőrzést, operációs rendszer azonosítást, útvonalkövetést és sebezhetőségi vizsgálatot végeznek.
3. Nessus– Ez egy hagyományos hálózati alapú sebezhetőségi eszköz.
4. Pass-The-Hash – Ezt az eszközt főként jelszavak feltörésére használják.

A penetrációs tesztelők szerepe és felelőssége

A penetrációs tesztelők feladata:

• A tesztelőknek be kell gyűjteniük a szükséges információkat a szervezettől, hogy lehetővé tegyék a penetrációs teszteket
• Keressen olyan hibákat, amelyek lehetővé teszik a hackerek számára, hogy megtámadják a célgépet
• A tolltesztelőknek valódi hackerekként kell gondolkodniuk és viselkedniük, bár etikusan.
• A penetrációs tesztelők által végzett munkának reprodukálhatónak kell lennie, hogy a fejlesztők könnyen kijavíthassák
• A teszt végrehajtásának kezdő és befejező dátumát előre meg kell határozni.
• A tesztelőnek kell felelősséget vállalnia a rendszerben vagy információban bekövetkezett bármilyen veszteségért Szoftvertesztelés
• A tesztelőnek bizalmasan kell kezelnie az adatokat és információkat

Kézi behatolás vs. automatizált behatolási tesztelés

Kézi penetrációs tesztelés	Automatizált behatolási teszt
Kézi tesztelés szakértő szakembereket igényel a tesztek elvégzéséhez	Az automatizált teszteszközök egyértelmű jelentéseket készítenek kevésbé tapasztalt szakemberekkel
A kézi teszteléshez Excel és egyéb eszközök szükségesek a követéséhez	Automatizálási tesztelés központosított és szabványos eszközökkel rendelkezik
A kézi tesztelés során a mintaeredmények tesztenként változnak	Az automatizált tesztek esetében az eredmények tesztenként nem változnak
A felhasználóknak emlékezniük kell a memória tisztítására	Az automatizált tesztelés átfogó tisztítást tartalmaz.

A penetrációs tesztelés hátrányai

A penetrációs tesztelés nem találja meg a rendszer összes sérülékenységét. A penetrációs tesztelők időbeli, költségvetési, hatóköri és készségei korlátozottak

A penetrációs vizsgálat során a következő mellékhatások jelentkeznek:

• Adatvesztés és korrupció
• Down Time
• Költségek növelése

Következtetés

A tesztelőknek valódi hackerként kell viselkedniük, tesztelniük kell az alkalmazást vagy a rendszert, és ellenőrizniük kell, hogy a kód biztonságosan meg van-e írva. A behatolási teszt akkor lesz hatékony, ha van egy jól végrehajtott biztonsági politika. A penetrációs tesztelési politikának és módszertannak olyan helyet kell biztosítania, ahol a penetrációs tesztelést hatékonyabbá kell tenni. Ez egy teljes útmutató kezdőknek a penetrációs teszteléshez.

Ellenőrizze a Élő behatolási tesztelési projekt