Veiledning for penetrasjonstesting: Hva er PenTest?

Hva er penetrasjonstesting?

Penetrasjonstesting eller Pen Testing er en type Sikkerhetstesting brukes til å avdekke sårbarheter, trusler og risikoer som en angriper kan utnytte i programvare, nettverk eller webapplikasjoner. Formålet med penetrasjonstesting er å identifisere og teste alle mulige sikkerhetssårbarheter som finnes i programvaren. Penetrasjonstesting kalles også pennetest.

Diagrammet nedenfor viser hvordan en uoppdatert svakhet i en applikasjon blir døråpningen en angriper går gjennom.

Sårbarhet er risikoen for at en angriper kan forstyrre eller få uautorisert tilgang til systemet eller data i det. Sårbarheter introduseres vanligvis ved et uhell i programvareutviklings- og implementeringsfasen. Vanlige sårbarheter inkluderer designfeil, konfigurasjonsfeil og programvarefeil. Penetrasjonsanalyse er avhengig av to mekanismer, nemlig sårbarhetsvurdering og penetrasjonstesting (VAPT).

De to halvdelene av VAPT blir ofte forvekslet. En sårbarhetsanalyse lister opp kjente svakheter i stor skala og stopper der, mens en penetrasjonstest trygt utnytter et utvalg av dem for å bevise den virkelige virkningen. Sammen skiller de teoretiske funn fra de som virkelig setter data i fare.

Hvorfor penetrasjonstesting?

Penetrasjonstesting er viktig i en bedrift fordi:

• Finanssektorer som banker, investeringsbanker og aksjebørser ønsker at dataene deres skal være sikre, og penetrasjonstesting er viktig for å sikre sikkerheten.
• Hvis programvaresystemet allerede har blitt hacket, ønsker organisasjonen å finne ut om det fortsatt finnes trusler i systemet for å unngå fremtidige hack.
• Proaktiv penetrasjonstesting er den beste beskyttelsen mot hackere
• Samsvarsrammeverk forventer det. PCI DSS-krav 11.4 krever for eksempel intern og ekstern penetrasjonstesting minst årlig og etter enhver vesentlig endring.

Typer penetrasjonstesting

Hvilken type penetrasjonstest som velges avhenger vanligvis av omfanget og om organisasjonen ønsker å simulere et angrep fra en ansatt eller nettverksadministrator (interne kilder) eller fra eksterne kilder. Det finnes tre typer penetrasjonstesting, og de er

• Svart Box Testing
• Hvit Box Penetrasjonstesting
• grå Box Penetrasjonstesting

I black-box-penetrasjonstesting har en tester ingen kunnskap om systemene som skal testes. Testeren er ansvarlig for å samle inn informasjon om målnettverket eller -systemet.

I white-box-penetrasjonstesting får testeren vanligvis fullstendig informasjon om nettverket eller systemene som skal testes, inkludert IP-adresseskjema, kildekode og OS-detaljer. Dette kan betraktes som en simulering av et angrep fra en hvilken som helst intern kilde, for eksempel en ansatt i organisasjonen.

I gråboks-penetrasjonstesting får en tester delvis kunnskap om systemet. Det kan betraktes som et angrep fra en ekstern hacker som har fått ulovlig tilgang til en organisasjons nettverksinfrastrukturdokumenter.

Tabellen nedenfor plasserer de tre side om side, slik at du kan matche en engasjementstype med trusselen du faktisk ønsker å modellere.

Aspekt	Svart Box	Hvit Box	grå Box
Informasjon gitt til testeren	none	Fullstendig: kildekode, IP-skjema, OS-detaljer	Delvis: begrenset legitimasjon eller dokumenter
Angriper blir simulert	En utenforstående uten tilgang	En insider eller utvikler	En utenforstående som allerede har fått fotfeste
Tid brukt på rekognosering	Høyt	Lav	Moderat
Typisk dekning av kodebasen	Bare det som er tilgjengelig utenfra	Dypest, fordi innmaten er synlig	Fokusert på den eksponerte angrepsveien

Hvordan gjøre penetrasjonstesting

Følgende aktiviteter må utføres for å utføre en penetrasjonstest. Bildet nedenfor oppsummerer de fire fasene før hver enkelt beskrives etter tur.

Trinn 1) Planleggingsfase

1. Oppdragets omfang og strategi fastsettes
2. Eksisterende sikkerhetspolicyer og standarder brukes til å definere omfanget

Trinn 2) Oppdagelsesfase

1. Samle så mye informasjon som mulig om systemet, inkludert data i systemet, brukernavn og til og med passord. Dette kalles også fingeravtrykk.
2. Skann og undersøk portene
3. Se etter sårbarheter i systemet

Trinn 3) Angrepsfase

1. Finn utnyttelser for de ulike sårbarhetene. Du trenger de nødvendige sikkerhetsrettighetene for å utnytte systemet.

Trinn 4) Rapporteringsfase

1. En rapport skal inneholde detaljerte funn
2. Risikoer knyttet til oppdagede sårbarheter og deres innvirkning på virksomheten
3. Eventuelle anbefalinger og løsninger

Hovedoppgaven i penetrasjonstesting er å samle systeminformasjon. Det er to måter å samle informasjon på:

• «Én til én»- eller «én til mange»-modell med hensyn til vert: En tester utfører teknikker lineært mot enten én målvert eller en logisk gruppe.ping av målverter (f.eks. et delnett).
• «Mange til én»- eller «mange til mange»-modell: Testeren bruker flere verter til å utføre informasjonsinnsamlingsteknikker på en tilfeldig, hastighetsbegrenset og ikke-lineær måte.

Eksempler på verktøy for penetrasjonstesting

Det finnes et bredt utvalg av verktøy som brukes i penetrasjonstesting, og viktige Pentest-verktøy er:

1) Teramind

Teramind leverer en omfattende pakke for forebygging av innsidetrusler og overvåking av ansatte. Det forbedrer sikkerheten gjennom atferdsanalyse og forebygging av datatap, sikrer overholdelse og optimaliserer forretningsprosesser. Den tilpassbare plattformen dekker ulike organisasjonsbehov, og gir praktisk innsikt som fokuserer på å øke produktiviteten og ivareta dataintegriteten.

Egenskaper:

• Forebygging av innsidetrussel: Oppdagerer og forhindrer brukerhandlinger som kan indikere innsidetrusler mot data.
• Optimalisering av forretningsprosesser: Bruker datadrevet atferdsanalyse for å omdefinere driftsprosesser.
• Arbeidskraftproduktivitet: Overvåker produktivitet, sikkerhet og samsvarsatferd hos arbeidsstyrken.
• Samsvarshåndtering: Hjelper med å håndtere samsvar med én enkelt, skalerbar løsning som passer for små bedrifter, foretak og offentlige etater.
• Hendelsesetterforskning: Gir bevis for å berike hendelsesrespons, etterforskning og trusselinformasjon.
• Forebygging av datatap: Overvåker og beskytter mot potensielt tap av sensitive data.
• Ansattovervåking: Tilbyr muligheter for å overvåke ansattes ytelse og aktiviteter.
• Atferdsanalyse: Analyserer detaljerte data om kundeappatferd for å få innsikt.
• Tilpassbare overvåkingsinnstillinger: Tillater tilpasning av overvåkingsinnstillinger for å passe til spesifikke brukstilfeller eller for å implementere forhåndsdefinerte regler.
• Dashbordinnsikt: Gir oversikt og handlingsrettet innsikt i arbeidsstyrkens aktiviteter gjennom et omfattende dashbord.

Besøk Teramind >>

1. nmap – Dette verktøyet brukes til å skanne porter, identifisere operativsystemer, tracruten og sårbarhetsskanning.
2. Nessus – Dette er et tradisjonelt nettverksbasert verktøy for sårbarheter.
3. Pass-The-Hash – Dette verktøyet brukes hovedsakelig til å knekke passord.

Rolle og ansvar for penetrasjonstestere

En penetrasjonstesters jobb er å:

• Samle inn nødvendig informasjon fra organisasjonen for å muliggjøre penetrasjonstester
• Finn feil som kan tillate hackere å angripe en målmaskin
• Tenk og oppfør deg som ekte hackere, om enn etisk
• Gjør arbeidet reproduserbart, slik at det blir enkelt for utviklere å fikse det
• Avtal startdato og sluttdato for testen på forhånd
• Ta ansvar for eventuelle tap i systemet eller informasjon underveis programvaretesting
• Hold data og informasjon konfidensiell

Manuell penetrasjonstesting vs. automatisert penetrasjonstesting

De fleste virkelige engasjementer blander begge tilnærmingene. Sammenligningen nedenfor viser hvor hver enkelt fortjener sin plass.

Manuell penetrasjonstesting	Automatisert penetrasjonstesting
Manuell testing krever eksperter til å kjøre testene	Automatiserte testverktøy gir klare rapporter med mindre erfarne fagfolk
Manuell testing krever Excel og andre verktøy for å track det	Automatiseringstesting har sentraliserte og standardverktøy
I manuell testing varierer prøveresultatene fra test til test	Når det gjelder automatiserte tester, varierer ikke resultatene fra test til test
Brukerne bør huske opprydding av minnet	Automatisert testing vil ha omfattende oppryddinger.

Ulemper med penetrasjonstesting

Penetrasjonstesting kan ikke finne alle sårbarheter i systemet. Det er begrensninger i tid, budsjett, omfang og penetrasjonstesternes ferdigheter.

Følgende vil være bivirkninger når vi utfører penetrasjonstesting:

• Datatap og korrupsjon
• Ned tid
• Øk kostnadene

Infografikken nedenfor samler de samme avveiningene, i tillegg til grunnene til at organisasjoner uansett kjører testen.

Disse begrensningene er grunnen til at en penetrasjonstest fungerer best i tillegg til en godt implementert sikkerhetspolicy, snarere enn i stedet for en. Testere bør oppføre seg som ekte hackere, sjekke om koden er sikkert skrevet og gjenta øvelsen etter en dokumentert tidsplan.

Spørsmål og svar