Zelfstudie over penetratietesten: wat is PenTest?
Thomas Hamilton
⚡ Slimme samenvatting
Penetratietesten simuleren een echte aanval op een applicatie, netwerk of systeem, zodat beveiligingsteams kwetsbare plekken kunnen opsporen, de impact ervan op de bedrijfsvoering kunnen meten en deze kunnen dichten voordat een externe aanvaller dezelfde zwakke punten ontdekt.
Wat is penetratietesten?
Penetratietests of Pentesten is een vorm van Beveiligingstests Penetratietesten worden gebruikt om kwetsbaarheden, bedreigingen en risico's bloot te leggen die een aanvaller zou kunnen misbruiken in softwareapplicaties, netwerken of webapplicaties. Het doel van penetratietesten is het identificeren en testen van alle mogelijke beveiligingslekken die aanwezig zijn in de softwareapplicatie. Penetratietesten worden ook wel pentesten genoemd.
Het onderstaande diagram laat zien hoe een onopgeloste kwetsbaarheid in een applicatie de toegangspoort wordt waardoor een aanvaller binnenkomt.
Een kwetsbaarheid is het risico dat een aanvaller het systeem of de daarin opgeslagen gegevens kan verstoren of er ongeautoriseerde toegang toe kan verkrijgen. Kwetsbaarheden worden meestal per ongeluk geïntroduceerd tijdens de softwareontwikkelings- en implementatiefase. Veelvoorkomende kwetsbaarheden zijn ontwerpfouten, configuratiefouten en softwarefouten. Penetratieanalyse is gebaseerd op twee mechanismen, namelijk kwetsbaarheidsanalyse en penetratietesten (VAPT).
De twee onderdelen van VAPT worden vaak door elkaar gehaald. Een kwetsbaarheidsanalyse inventariseert bekende zwakke punten op grote schaal en stopt daar, terwijl een penetratietest een selectie daarvan veilig exploiteert om de daadwerkelijke impact in de praktijk aan te tonen. Wanneer ze gecombineerd worden, scheiden ze theoretische bevindingen van bevindingen die de data daadwerkelijk in gevaar brengen.
Waarom penetratietesten?
Penetratietesten zijn essentieel voor een onderneming omdat:
- Financiële instellingen zoals banken, investeringsbanken en beursen willen dat hun gegevens beveiligd zijn, en penetratietesten zijn essentieel om die beveiliging te garanderen.
- Als het softwaresysteem al is gehackt, wil de organisatie vaststellen of er nog steeds bedreigingen in het systeem aanwezig zijn om toekomstige hacks te voorkomen.
- Proactieve penetratietests zijn de beste bescherming tegen hackers.
- Compliance-raamwerken verwachten dit. PCI DSS-vereiste 11.4 schrijft bijvoorbeeld voor dat er minstens jaarlijks en na elke significante wijziging interne en externe penetratietests moeten worden uitgevoerd.
Soorten penetratietesten
Het type penetratietest dat wordt gekozen, hangt meestal af van de reikwijdte en of de organisatie een aanval wil simuleren door een medewerker of netwerkbeheerder (interne bronnen) of door externe bronnen. Er zijn drie soorten penetratietesten, namelijk:
Bij black-box penetratietesten heeft de tester geen kennis van de te testen systemen. De tester is verantwoordelijk voor het verzamelen van informatie over het doelnetwerk of -systeem.
Bij white-box penetratietesten krijgt de tester doorgaans volledige informatie over het te testen netwerk of de te testen systemen, inclusief het IP-adresschema, de broncode en details van het besturingssysteem. Dit kan worden beschouwd als een simulatie van een aanval door een interne bron, zoals een medewerker van de organisatie.
Bij grey-box penetratietesten krijgt een tester gedeeltelijke kennis van het systeem. Het kan worden beschouwd als een aanval door een externe hacker die op onrechtmatige wijze toegang heeft verkregen tot de netwerkinfrastructuur en documenten van een organisatie.
De tabel hieronder plaatst de drie naast elkaar, zodat u een type betrokkenheid kunt koppelen aan de dreiging die u daadwerkelijk wilt modelleren.
| Aspect | Zwarte doos | Wit Box | Grijs Box |
| Informatie verstrekt aan de tester | Geen | Volledig: broncode, IP-schema, OS-details | Gedeeltelijk: beperkte referenties of documenten |
| Aanvaller wordt gesimuleerd | Een buitenstaander zonder toegang | Een insider of ontwikkelaar | Een buitenstaander die al voet aan de grond had gekregen. |
| Tijd besteed aan verkenning | Hoge | Laag | Gemiddeld |
| Typische dekking van de codebasis | Alleen dat wat van buitenaf bereikbaar is. | Diepst, omdat de interne structuren zichtbaar zijn | Gericht op het blootgestelde aanvalspad. |
Hoe u een penetratietest uitvoert
De volgende activiteiten moeten worden uitgevoerd om een penetratietest uit te voeren. De onderstaande afbeelding geeft een overzicht van de vier fasen, waarna elke fase afzonderlijk wordt beschreven.
Stap 1) Planningsfase
- Omvang & Strategie van de opdracht wordt bepaald
- Bestaande beveiligingsrichtlijnen en -normen worden gebruikt om de reikwijdte te bepalen.
Stap 2) Ontdekkingsfase
- Verzamel zoveel mogelijk informatie over het systeem, inclusief gegevens in het systeem, gebruikersnamen en zelfs wachtwoorden. Dit wordt ook wel 'fingerprinting' genoemd.
- Scan en onderzoek de poorten.
- Controleer op kwetsbaarheden van het systeem
Stap 3) Aanvalsfase
- Zoek naar manieren om de verschillende kwetsbaarheden te misbruiken. Je hebt de benodigde beveiligingsrechten nodig om het systeem te exploiteren.
Stap 4) Rapportagefase
- Een rapport moet gedetailleerde bevindingen bevatten
- Risico's van gevonden kwetsbaarheden en hun impact op het bedrijfsleven
- Eventuele aanbevelingen en oplossingen
De belangrijkste taak bij penetratietesten is het verzamelen van systeeminformatie. Er zijn twee manieren om informatie te verzamelen:
- 'Eén-op-één' of 'één-op-veel' model met betrekking tot de host: Een tester voert technieken lineair uit tegen één doelhost of een logische groep.ping van doelhosts (bijvoorbeeld een subnet).
- 'Veel-op-één'- of 'veel-op-veel'-model: De tester gebruikt meerdere hosts om informatieverzamelingstechnieken uit te voeren op een willekeurige, snelheidsbeperkte en niet-lineaire manier.
Voorbeelden van penetratietesttools
Er bestaat een grote verscheidenheid aan tools die worden gebruikt bij penetratietesten, en de belangrijke Pentest-tools zijn:
1) Teramind
Teramind levert een uitgebreid pakket voor preventie van insiderbedreigingen en monitoring van werknemers. Het verbetert de beveiliging door middel van gedragsanalyses en het voorkomen van gegevensverlies, waardoor naleving wordt gewaarborgd en bedrijfsprocessen worden geoptimaliseerd. Het aanpasbare platform past bij verschillende organisatorische behoeften en biedt bruikbare inzichten die gericht zijn op het verhogen van de productiviteit en het beschermen van de gegevensintegriteit.
Kenmerken:
- Preventie van interne dreigingen: Detecteert en voorkomt gebruikersacties die kunnen wijzen op interne dreigingen voor gegevens.
- Bedrijfsprocesoptimalisatie: maakt gebruik van datagestuurde gedragsanalyses om operationele processen opnieuw te definiëren.
- Productiviteit van het personeel: houdt toezicht op de productiviteit, beveiliging en naleving van de regels door het personeel.
- Compliancebeheer: Helpt bij het beheren van compliance met één schaalbare oplossing die geschikt is voor kleine bedrijven, grote ondernemingen en overheidsinstanties.
- Incidentforensisch onderzoek: Levert bewijsmateriaal ter verbetering van incidentrespons, onderzoeken en dreigingsinformatie.
- Gegevensverliespreventie: Bewaakt en beschermt tegen het potentiële verlies van gevoelige gegevens.
- Medewerkersmonitoring: Biedt mogelijkheden om de prestaties en activiteiten van medewerkers te monitoren.
- Gedragsanalyse: analyseert gedetailleerde gegevens over het app-gebruik van klanten om inzichten te verkrijgen.
- Aanpasbare monitoringinstellingen: Hiermee kunt u de monitoringinstellingen aanpassen aan specifieke gebruikssituaties of om vooraf gedefinieerde regels te implementeren.
- Dashboard Insights: Biedt inzicht in en bruikbare informatie over de activiteiten van het personeel via een uitgebreid dashboard.
- Nmap – Deze tool wordt gebruikt voor poortscans en OS-identificatie. trace de route en kwetsbaarheidsscan.
- Nessus – Dit is een traditionele tool voor het opsporen van netwerkbeveiligingslekken.
- Pass-The-Hash – Deze tool wordt voornamelijk gebruikt voor het kraken van wachtwoorden.
Rol en verantwoordelijkheden van penetratietesters
De taak van een penetratietester is:
- Verzamel de benodigde informatie van de organisatie om penetratietests mogelijk te maken.
- Vind fouten waardoor hackers een doelmachine kunnen aanvallen
- Denk en handel als echte hackers, maar dan wel op een ethische manier.
- Zorg ervoor dat het werk reproduceerbaar is, zodat ontwikkelaars het gemakkelijk kunnen corrigeren.
- Spreek de start- en einddatum van de testuitvoering van tevoren af.
- Neem de verantwoordelijkheid voor elk verlies van systeemgegevens of informatie gedurende de software testen
- Houd gegevens en informatie vertrouwelijk.
Handmatige penetratietests versus geautomatiseerde penetratietests
De meeste echte verlovingen combineren beide benaderingen. De onderstaande vergelijking laat zien waar elke benadering zijn nut bewijst.
| Handmatige penetratietesten | Geautomatiseerde penetratietesten |
| Handmatig testen vereist deskundige professionals om de tests uit te voeren | Geautomatiseerde testtools zorgen voor duidelijke rapportages bij minder ervaren professionals |
| Handmatig testen vereist Excel en andere tools. track het | Automatisering testen beschikt over gecentraliseerde en standaardtools |
| Bij handmatig testen variëren de monsterresultaten van test tot test | Bij geautomatiseerde tests variëren de resultaten niet van test tot test |
| Gebruikers moeten eraan denken om het geheugen op te schonen. | Geautomatiseerd testen zal uitgebreide opschoningen vereisen. |
Nadelen van penetratietesten
Penetratietesten kunnen niet alle kwetsbaarheden in een systeem opsporen. Er zijn beperkingen qua tijd, budget, reikwijdte en de vaardigheden van de penetratietesters.
De volgende bijwerkingen kunnen optreden tijdens penetratietesten:
- Gegevensverlies en corruptie
- Down Time
- Verhoog de kosten
De onderstaande infographic toont dezelfde afwegingen, samen met de redenen waarom organisaties de test toch uitvoeren.
Deze beperkingen zijn de reden waarom een penetratietest het beste werkt bovenop een goed geïmplementeerd beveiligingsbeleid, in plaats van in plaats daarvan. Testers moeten zich gedragen als echte hackers, controleren of de code veilig is geschreven en de oefening volgens een vastgelegd schema herhalen.
