Behatolási tesztelési útmutató: Mi az a PenTest?
Thomas Hamilton
⚡ Okos összefoglaló
A behatolásvizsgálat egy alkalmazás, hálózat vagy rendszer elleni valós támadást szimulál, hogy a biztonsági csapatok megtalálhassák a kihasználható gyengeségeket, mérhessék azok üzleti hatását, és lezárhassák azokat, mielőtt egy külső támadó felfedezné ugyanazokat a réseket.
Mi az a penetrációs teszt?
Penetrációs vizsgálat vagy A tolltesztelés egyfajta Biztonsági tesztelés olyan sebezhetőségek, fenyegetések és kockázatok feltárására szolgálnak, amelyeket egy támadó kihasználhat szoftveralkalmazásokban, hálózatokban vagy webes alkalmazásokban. A penetrációs tesztelés célja a szoftveralkalmazásban jelen lévő összes lehetséges biztonsági rés azonosítása és tesztelése. A behatolási tesztelést tolltesztnek is nevezik.
Az alábbi ábra azt mutatja be, hogyan válik egy alkalmazás javítatlan gyengesége azzá az átjáróvá, amelyen a támadó áthalad.
A sebezhetőség azt a kockázatot jelenti, hogy egy támadó megzavarhatja a rendszert vagy az abban tárolt adatokat, vagy jogosulatlan hozzáférést szerezhet azokhoz. A sebezhetőségek általában véletlenül keletkeznek a szoftverfejlesztés és -megvalósítás fázisában. A gyakori sebezhetőségek közé tartoznak a tervezési hibák, a konfigurációs hibák és a szoftverhibák. A behatoláselemzés két mechanizmuson alapul, nevezetesen a sebezhetőségi felmérésen és a behatolástesztelésen (VAPT).
A VAPT két felét gyakran összekeverik. A sebezhetőségi felmérés felsorolja az ismert, nagy léptékű gyengeségeket, és ott megáll, míg a penetrációs teszt biztonságosan kihasználja ezek egy részét a valós hatás bizonyítására. Együttesen futtatva elkülönítik az elméleti megállapításokat azoktól, amelyek valóban veszélyeztetik az adatokat.
Miért a penetrációs teszt?
A behatolásvizsgálat elengedhetetlen egy vállalat számára, mert:
- A pénzügyi szektor, mint például a bankok, a befektetési banki szolgáltatások és a tőzsdék, szeretné, ha adataik biztonságban lennének, és a penetrációs tesztelés elengedhetetlen a biztonság garantálásához.
- Ha a szoftverrendszert már feltörték, a szervezet meg akarja állapítani, hogy továbbra is jelen vannak-e fenyegetések a rendszerben, hogy elkerülje a jövőbeni feltöréseket.
- A proaktív penetrációs tesztelés a legjobb védelem a hackerek ellen
- A megfelelőségi keretrendszerek elvárják. A PCI DSS 11.4-es követelménye például legalább évente, valamint minden jelentős változás után belső és külső behatolási tesztelést ír elő.
A penetrációs vizsgálat típusai
A kiválasztott penetrációs teszt típusa általában a hatókörtől és attól függ, hogy a szervezet egy alkalmazott vagy hálózati rendszergazda (belső források) vagy külső források általi támadást kíván-e szimulálni. Háromféle penetrációs teszt létezik, és ezek a következők:
A fekete dobozos penetrációs tesztelés során a tesztelőnek nincs ismerete a tesztelendő rendszerekről. A tesztelő feladata a célzott hálózattal vagy rendszerrel kapcsolatos információk gyűjtése.
A white-box penetrációs tesztelés során a tesztelő általában teljes körű információt kap a tesztelendő hálózatról vagy rendszerekről, beleértve az IP-cím sémát, a forráskódot és az operációs rendszer részleteit. Ez tekinthető bármely belső forrásból, például a szervezet egyik alkalmazottjától érkező támadás szimulációjának.
A szürke dobozos penetrációs tesztelés során a tesztelő részleges ismereteket kap a rendszerről. Ez egy külső hacker támadásának tekinthető, aki illegitim hozzáférést szerzett a szervezet hálózati infrastruktúrájának dokumentumaihoz.
Az alábbi táblázat egymás mellé helyezi a hármat, így a modellezni kívánt fenyegetéshez illesztheti a beavatkozás típusát.
| Aspect | Fekete Box | fehér Box | szürke Box |
| A tesztelőnek adott információk | Egyik sem | Teljes: forráskód, IP-séma, operációs rendszer részletei | Részleges: korlátozott hitelesítő adatok vagy dokumentumok |
| A támadót szimulálják | Egy kívülálló, akinek nincs hozzáférése | Bennfentes vagy fejlesztő | Egy kívülálló, aki már megvetette a lábát |
| Felderítésre fordított idő | Magas | Alacsony | Mérsékelt |
| A kódbázis tipikus lefedettsége | Csak az, ami kívülről elérhető | Legmélyebb, mert a belső részek láthatók | A kitett támadási útvonalra összpontosítva |
Hogyan kell elvégezni a penetrációs tesztet
A penetrációs teszt végrehajtásához a következő tevékenységeket kell elvégezni. Az alábbi kép összefoglalja a négy fázist, mielőtt mindegyiket sorban ismertetnénk.
1. lépés) Tervezési szakasz
- Meghatározzák a megbízás hatókörét és stratégiáját
- A hatókör meghatározásához a meglévő biztonsági irányelveket és szabványokat használják.
2. lépés) Felfedezési fázis
- Gyűjtsön össze annyi információt a rendszerről, amennyit csak lehetséges, beleértve a rendszerben lévő adatokat, felhasználóneveket és jelszavakat is. Ezt ujjlenyomatvételnek is nevezik.
- Szkennelés és szonda a portokba
- Ellenőrizze a rendszer sebezhetőségeit
3. lépés: Támadási fázis
- Keresse meg a különféle sebezhetőségek kihasználásának lehetőségeit. A rendszer kihasználásához rendelkeznie kell a szükséges biztonsági jogosultságokkal.
4. lépés) Jelentési fázis
- A jelentésnek részletes megállapításokat kell tartalmaznia
- A feltárt sebezhetőségek kockázatai és azok üzleti hatásuk
- Javaslatok és megoldások, ha vannak
A penetrációs tesztelés elsődleges feladata a rendszerinformációk gyűjtése. Az információk gyűjtésének két módja van:
- „Egy az egyhez” vagy „egy a sokhoz” modell a gazdagéphez viszonyítva: A tesztelő lineáris módon hajt végre technikákat egy célgazdagép vagy egy logikai csoport ellen.ping a célállomások (pl. egy alhálózat) esetében.
- „Sok az egyhez” vagy „sok a sokhoz” modell: A tesztelő több hosztot használ az információgyűjtési technikák véletlenszerű, sebességkorlátozott és nemlineáris végrehajtásához.
Példák a behatolást vizsgáló eszközökre
A penetrációs teszteléshez számos eszközt használnak, és a fontos Pentest eszközök vannak:
1) Teramind
Teramind átfogó csomagot kínál a bennfentes fenyegetések megelőzésére és az alkalmazottak megfigyelésére. A viselkedéselemzés és az adatvesztés-megelőzés révén fokozza a biztonságot, biztosítja a megfelelőséget és optimalizálja az üzleti folyamatokat. Testreszabható platformja megfelel a különféle szervezeti igényeknek, és olyan gyakorlati betekintést nyújt, amely a termelékenység növelésére és az adatok integritásának megőrzésére összpontosít.
Jellemzők:
- Belső fenyegetések megelőzése: Észleli és megakadályozza azokat a felhasználói műveleteket, amelyek belső fenyegetésekre utalhatnak az adatokra.
- Üzleti folyamatok optimalizálása: Adatvezérelt viselkedéselemzést használ a működési folyamatok újradefiniálására.
- Munkaerő termelékenysége: Figyelemmel kíséri a munkaerő termelékenységét, biztonságát és megfelelőségi viselkedését.
- Megfelelőségkezelés: Egyetlen, skálázható megoldással segíti a megfelelés kezelését, amely alkalmas kisvállalkozások, nagyvállalatok és kormányzati szervek számára.
- Incidens Forensics: Bizonyítékokat szolgáltat az incidensekre adott válaszok, a nyomozások és a fenyegetésekkel kapcsolatos információk gazdagításához.
- Adatvesztés-megelőzés: Figyelemmel kíséri és védi az érzékeny adatokat az esetleges adatvesztés ellen.
- Alkalmazotti monitorozás: Lehetőségeket kínál az alkalmazottak teljesítményének és tevékenységeinek monitorozására.
- Viselkedéselemzés: Részletes ügyfélalkalmazás-viselkedési adatokat elemez betekintés céljából.
- Testreszabható monitorozási beállítások: Lehetővé teszi a monitorozási beállítások testreszabását az adott felhasználási esetekhez vagy előre meghatározott szabályok megvalósításához.
- Irányítópult-elemzések: Átláthatóságot és gyakorlatias betekintést nyújt a munkaerő tevékenységeibe egy átfogó irányítópulton keresztül.
- nmap – Ez az eszköz portszkennelésre, operációs rendszer azonosítására szolgál, trace az útvonal- és sebezhetőségi szkennelés.
- Nessus – Ez egy hagyományos, hálózatalapú sebezhetőség-felderítő eszköz.
- Pass-The-Hash – Ezt az eszközt főként jelszavak feltörésére használják.
A penetrációs tesztelők szerepe és felelőssége
Egy penetrációs tesztelő feladata a következő:
- Gyűjtse össze a szükséges információkat a szervezettől a penetrációs tesztek engedélyezéséhez
- Keressen olyan hibákat, amelyek lehetővé teszik a hackerek számára, hogy megtámadják a célgépet
- Gondolkodj és viselkedj úgy, mint az igazi hackerek, bár etikusan
- Tegye a munkát reprodukálhatóvá, hogy a fejlesztők könnyen kijavíthassák
- Előzetesen egyezzen meg a teszt végrehajtásának kezdési és befejezési dátumáról
- Vállaljon felelősséget a rendszerben vagy az információkban bekövetkező bármilyen veszteségért a folyamat során. szoftver tesztelés
- Adatok és információk bizalmas kezelése
Manuális behatolásvizsgálat vs. automatizált behatolásvizsgálat
A legtöbb valódi elköteleződés mindkét megközelítést ötvözi. Az alábbi összehasonlítás bemutatja, hogy melyik hol érdemli ki a helyét.
| Kézi penetrációs tesztelés | Automatizált behatolási teszt |
| Kézi tesztelés szakértő szakembereket igényel a tesztek elvégzéséhez | Az automatizált teszteszközök egyértelmű jelentéseket készítenek kevésbé tapasztalt szakemberekkel |
| A manuális teszteléshez Excel és más eszközök szükségesek track ez | Automatizálási tesztelés központosított és szabványos eszközökkel rendelkezik |
| A kézi tesztelés során a mintaeredmények tesztenként változnak | Az automatizált tesztek esetében az eredmények tesztenként nem változnak |
| A felhasználóknak emlékezniük kell a memóriatisztításra | Az automatizált tesztelés átfogó tisztítást tartalmaz. |
A penetrációs tesztelés hátrányai
A behatolásvizsgálatok nem képesek feltárni a rendszer összes sebezhetőségét. Korlátai vannak az időnek, a költségvetésnek, a hatókörnek és a behatolásvizsgálatot végző szakemberek szakértelmének.
A penetrációs tesztelés során a következő mellékhatások jelentkezhetnek:
- Adatvesztés és korrupció
- Down Time
- Költségek növelése
Az alábbi infografika összegyűjti ugyanezeket a kompromisszumokat, valamint azokat az okokat, amelyek miatt a szervezetek mégis lefuttatják a tesztet.
Ezek a korlátok az oka annak, hogy a penetrációs teszt egy jól megvalósított biztonsági szabályzat kiegészítéseként működik a legjobban, nem pedig egy helyett. A tesztelőknek úgy kell viselkedniük, mint az igazi hackerek, ellenőrizniük kell, hogy a kód biztonságosan van-e megírva, és a gyakorlatot dokumentált ütemterv szerint meg kell ismételniük.
