Mi az a biztonsági tesztelés? Példa
Thomas Hamilton
⚡ Okos összefoglaló
A biztonsági tesztelés egy olyan szoftvertesztelési tudományág, amely a támadók előtt feltárja az alkalmazások sebezhetőségeit, fenyegetéseit és kockázatait. Ez a cikk a hét fő típust, az SDLC integrációs modellt, az általános módszertanokat, a kulcsfontosságú szerepköröket és a legfontosabb eszközöket ismerteti.
Mi az a biztonsági tesztelés?
Biztonsági tesztelés egyfajta szoftver tesztelés amely feltárja az alkalmazások sebezhetőségeit, fenyegetéseit és kockázatait, és megakadályozza a behatolók rosszindulatú támadásait. A biztonsági tesztek célja, hogy azonosítsák a rendszer minden olyan kiskapuját és gyengeségét, amely belső vagy külső befolyásos személyek kezében információ-, bevétel- vagy hírnévvesztéshez vezethet.
Miért fontos a biztonsági tesztelés?
A biztonsági tesztelés fő célja a rendszerben lévő fenyegetések azonosítása és potenciális hatásuk mérése, hogy a fenyegetések enyhíthetők legyenek, és a rendszer továbbra is biztonságosan működjön. A biztonsági tesztek minden lehetséges kockázatot észlelnek, és a fejlesztőknek hasznos információkat nyújtanak a kódban található problémák telepítés előtti javításához.
A biztonsági tesztelés típusai a szoftvertesztelésben
A Nyílt Forráskódú Biztonsági Tesztelési Módszertani Kézikönyv (OSSTMM) szerint hét fő biztonsági tesztelési típus létezik.
- Sebezhetőség vizsgálata: Az automatizált szoftverek átvizsgálják a rendszert az ismert sebezhetőségi szignatúrák alapján.
- Biztonsági szkennelés: Azonosítja a hálózati és rendszergyengeségeket, és javaslatokat tesz a javításokra. Lehet manuális, automatizált vagy mindkettő.
- Penetrációs vizsgálat: Egy rosszindulatú támadást szimulál, hogy feltárja azokat a sebezhetőségeket, amelyeket egy külső támadó kihasználhat.
- Kockázatértékelés: Elemzi a szervezetben megfigyelt biztonsági kockázatokat, és alacsony, közepes vagy magas kategóriákba sorolja azokat, ellenőrzési javaslatokat készítve.
- Biztonsági audit: A pályázatok belső ellenőrzése és operációs rendszer biztonsági hibák felderítésére. Tartalmazhatja a soronkénti kódellenőrzést.
- Etikus hackelés: Egy szervezet szoftverének engedélyezett feltörése biztonsági rések felfedése érdekében – a rosszindulatú hackerek szándékával ellentétes módon.
- Testtartás értékelése: Kombinálja a biztonsági szkennelést, etikus hackelésés kockázatértékelés a szervezet általános biztonsági helyzetének bemutatására.
Hogyan végezzünk biztonsági tesztelést
Széles körben elfogadott, hogy egy biztonsági hiba kijavításának költsége drámaian megnő, minél később fedezik fel. biztonsági tesztelés a telepítés utáni folyamat sokkal drágább, mint a kezdetektől fogva beágyazni az SDLC-be.
Az alábbi táblázat a biztonsági tevékenységeket az SDLC minden fázisához rendeli hozzá.
| SDLC fázis | Biztonsági folyamatok |
|---|---|
| követelmények | A követelmények biztonsági elemzése és a visszaélések/helytelen használat eseteinek áttekintése. |
| Tervezés | Biztonsági kockázatelemzés a tervezéshez. Egy teszt terv amely magában foglalja a biztonsági teszteket. |
| Kódolás és egységteszt | Statikus és dinamikus tesztelés, valamint biztonság fehér dobozos tesztelés. |
| Integrációs tesztelés | Black-box tesztelés. |
| Rendszer tesztelés | Fekete dobozos tesztelés és sebezhetőségi vizsgálat. |
| Implementáció | Behatolásteszt és sebezhetőségi vizsgálatokat. |
| Támogatás | A javítások hatásvizsgálata. |
A biztonsági tesztelési tervnek tartalmaznia kell:
- Biztonsággal kapcsolatos tesztesetek és forgatókönyvek.
- Biztonsági teszteléshez tervezett tesztadatok.
- Minden biztonsági tevékenységhez szükséges teszteszközök.
- A különböző biztonsági eszközök kimeneteinek elemzése.
Példa tesztforgatókönyvekre a biztonsági teszteléshez
Az alábbi lista betekintést nyújt a tipikus biztonsági tesztesetekbe.
- A jelszavakat titkosított formában tároljuk, soha nem sima szövegként.
- Az alkalmazás vagy a rendszer blokkolja az érvénytelen felhasználókat.
- A sütik és a munkamenet-időtúllépések minden munkafolyamathoz érvényesítve vannak.
- Pénzügyi oldalak esetében a böngésző vissza gombja kijelentkezés után nem jeleníthet meg védett oldalakat.
Biztonsági tesztelési módszertanok és technikák
A biztonsági tesztelés számos bevált módszertant követ.
- tigris Box: A tesztelést egy több operációs rendszerrel és hackereszközökkel felszerelt laptopon végezték. Penetrációs tesztelők használják a sebezhetőségek felmérésére és támadások futtatására.
- Fekete Box: A tesztelőnek nincs belső ismerete a hálózati topológiáról vagy a technológiai veremről, és kívülállóként vizsgálja a rendszert.
- szürke Box: A tesztelő részleges információkat kap a rendszerről. Ez a fehér doboz és fekete doboz technikák hibridje egy realisztikus fenyegetési modellt tükröz, ahol egyes részletek kiszivárogtak.
Biztonsági tesztelési szerepkörök
- hacker: Általános kifejezés arra, hogy ki fér hozzá egy számítógépes rendszerhez vagy hálózathoz – ma gyakran használják a fekete kalapos hackerekre, akik engedély nélkül férnek hozzá ehhez.
- Keksz: Betör rendszerekbe adatok ellopása vagy megsemmisítése céljából.
- Etikus hacker: Ugyanazokat a tevékenységeket hajtja végre, mint egy hacker, de a tulajdonos kifejezett engedélyével, helping hogy megkeményítse a rendszert.
- Script Kiddies / Packet Monkeys: Tapasztalatlan támadók, korlátozott programozási ismeretekkel, akik előre elkészített szkriptekre és eszközökre támaszkodnak.
Biztonsági tesztelési eszközök
1) Teramind
Teramind Átfogó csomagot kínál a belső fenyegetések megelőzésére és az alkalmazottak monitorozására. Fokozott biztonságot nyújt a viselkedéselemzés és az adatvesztés-megelőzés révén, biztosítva a megfelelőséget és optimalizálva az üzleti folyamatokat. Testreszabható platformja a különféle szervezeti igényeket is kielégíti, gyakorlatias elemzéseket nyújtva, amelyek a termelékenység növelésére és az adatok integritásának védelmére összpontosítanak.
Jellemzők:
- Bennfentes fenyegetés megelőzése: Érzékeli és megakadályozza azokat a felhasználói műveleteket, amelyek bennfentes adatok fenyegetésére utalhatnak.
- Üzleti folyamatok optimalizálása: Adatvezérelt viselkedéselemzést használ a működési folyamatok finomítására.
- Munkaerő termelékenysége: Figyelemmel kíséri a termelékenységet, a biztonságot és a megfelelőségi viselkedést.
- Megfelelőség menedzsment: Egyetlen skálázható megoldásból kezeli a megfelelőséget, amely alkalmas kisvállalkozások, nagyvállalatok és kormányzati szervek számára.
- Incidens kriminalisztika: Bizonyítékokat szolgáltat az incidensekre való reagálás, a kivizsgálás és a fenyegetésekkel kapcsolatos információk gazdagításához.
- Az adatvesztés megelőzése: Figyelemmel kíséri és védi az érzékeny adatokat az elvesztés ellen.
- Munkavállalói megfigyelés: Tracks alkalmazottak teljesítménye és tevékenységei.
- Viselkedéselemzés: Részletes felhasználói alkalmazásviselkedési adatokat elemez elemzés céljából.
- Testreszabható monitorozási beállítások: Lehetővé teszi a monitorozási szabályoknak a konkrét használati esetekhez való igazítását.
- Irányítópult Insights: Átláthatóságot és gyakorlatias elemzéseket biztosít egy átfogó irányítópulton keresztül.
2) OWASP
Az Nyílt webes alkalmazásbiztonsági projekt (OWASP) egy világszerte működő nonprofit szervezet, amely a szoftverbiztonság javítására törekszik. A projekt számos eszközt kínál különböző szoftverkörnyezetek és protokollok tollteszteléséhez. A kiemelt eszközök a következők:
- Zed Attack Proxy (ZAP) — egy integrált penetrációs tesztelő eszköz.
- OWASP függőségi ellenőrzés — átvizsgálja a projekt függőségeit az ismert sebezhetőségek szempontjából.
- OWASP Web Testing Environment projekt — biztonsági eszközök és dokumentációk gondosan válogatott gyűjteménye.
3) Wireshark
Wireshark egy korábban Ethereal néven ismert hálózatelemző eszköz. Valós időben rögzíti a csomagokat, és ember által olvasható formátumban jeleníti meg azokat. Wireshark nyílt forráskódú és Linuxon fut, Windows, macOS, Solaris, NetBSD, FreeBSD és sok más rendszer. Az adatok grafikus felhasználói felületen vagy a TShark parancssori segédprogramon keresztül tekinthetők meg.
4) w3af
w3af egy webes alkalmazás támadási és auditálási keretrendszer. Három bővítménykategóriával rendelkezik – felderítés, audit és támadás –, amelyek kommunikálnak egymással. A felderítő bővítmény a következőket keresi: URLs tesztelésre, továbbítja azokat az audit bővítménynek, amely sebezhetőségeket keres, majd a támadó bővítmény megkísérli kihasználni a sérülékenységeket.
A biztonsági tesztelés mítoszai és tényei
Számos makacsul fennálló mítosz lassítja a biztonsági programokat. Az alábbi lista minden mítoszt párosít a mögöttes ténnyel.
1. mítosz: Egy kisvállalkozásnak nincs szüksége biztonsági szabályzatra.
Tény: Minden embernek és minden vállalatnak szüksége van biztonsági szabályzatra.
2. mítosz: A biztonsági tesztelés nem megtérülő befektetés.
Tény: A biztonsági tesztelés feltárja a fejlesztésre szoruló területeket, amelyek növelik a hatékonyságot, csökkentik az állásidőt és lehetővé teszik a maximális áteresztőképességet.
3. mítosz: A biztonság egyetlen módja a rendszer kihúzása a konnektorból.
Tény: A gyakorlati biztonság az üzleti, jogi és iparági követelményekkel összhangban lévő állapotfelmérésből származik – nem pedig a hálózat lekapcsolásából.
4. mítosz: Több szoftver vagy hardver vásárlása megvédi a vállalkozást.
Tény: Az eszközök nem helyettesítik a stratégiát. Először is értsd meg a fenyegetési környezetet, majd válaszd ki a megfelelő ellenőrzési mechanizmusokat.
