Hva er sikkerhetstesting? Eksempel

Hva er sikkerhetstesting?

Sikkerhetstesting er en type programvaretesting som avdekker sårbarheter, trusler og risikoer i en applikasjon og forhindrer ondsinnede angrep fra inntrengere. Formålet med sikkerhetstester er å identifisere alle smutthull og svakheter i systemet som kan føre til tap av informasjon, inntekter eller omdømme hos innsidere eller utenforstående.

Hvorfor er sikkerhetstesting viktig?

Hovedmålet med sikkerhetstesting er å identifisere trusler i systemet og måle deres potensielle innvirkning, slik at truslene kan reduseres og systemet fortsetter å fungere trygt. Sikkerhetstester oppdager alle mulige risikoer og gir utviklere handlingsrettet informasjon for å fikse problemene i koden før utrulling.

Typer sikkerhetstesting i programvaretesting

I følge Open Source Security Testing Methodology Manual (OSSTMM) finnes det sju hovedtyper sikkerhetstesting.

• Sårbarhetsskanning: Automatisert programvare skanner et system mot kjente sårbarhetssignaturer.
• Sikkerhetsskanning: Identifiserer nettverks- og systemsvakheter og anbefaler rettelser. Kan være manuelt, automatisert eller begge deler.
• Penetrasjonstesting: Simulerer et ondsinnet angrep for å avdekke sårbarheter som en ekstern angriper kan utnytte.
• Risikovurdering: Analyserer sikkerhetsrisikoer observert i organisasjonen og klassifiserer dem som Lav, Middels eller Høy, med anbefaling av kontroller.
• Sikkerhetsrevisjon: En intern inspeksjon av søknader og operativsystemer for sikkerhetsfeil. Kan inkludere linje-for-linje kodegjennomgang.
• Etisk hacking: Autorisert hacking av en organisasjons programvare for å avdekke sikkerhetsfeil – det motsatte målet til ondsinnede hackere.
• Holdningsvurdering: Kombinerer sikkerhetsskanning, etisk hackingog risikovurdering for å vise den generelle sikkerhetssituasjonen i en organisasjon.

Slik utfører du sikkerhetstesting

Det er allment akseptert at kostnadene ved å fikse en sikkerhetsfeil øker dramatisk jo senere den oppdages. sikkerhetstesting før etter utplassering er mye dyrere enn å bygge det inn i SDLC fra starten av.

Tabellen nedenfor kartlegger sikkerhetsaktiviteter til hver SDLC-fase.

SDLC-fase	Sikkerhetsprosesser
Krav	Sikkerhetsanalyse av krav og gjennomgang av tilfeller av misbruk/misbruk.
Design	Sikkerhetsrisikoanalyse for design. Utvikling av en testplan som inkluderer sikkerhetstester.
Koding og enhetstesting	Statisk og dynamisk testing pluss sikkerhet hvitbokstesting.
Integrasjonstesting	Black-box testing.
Systemtesting	Black-box-testing og sårbarhetsskanning.
Gjennomføring	Penetrasjonstesting og sårbarhetsskanning.
Kundestøtte	Konsekvensanalyse av patcher.

Sikkerhetstestplanen bør inneholde:

• Sikkerhetsrelaterte testtilfeller og scenarioer.
• Testdata designet for sikkerhetstesting.
• Testverktøy som kreves for hver sikkerhetsaktivitet.
• Analyse av resultater fra de ulike sikkerhetsverktøyene.

Eksempel på testscenarier for sikkerhetstesting

Listen nedenfor gir et glimt av typiske sikkerhetstesttilfeller.

• Passord lagres i kryptert form, aldri i ren tekst.
• Applikasjonen eller systemet blokkerer ugyldige brukere.
• Informasjonskapsler og tidsavbrudd for økter valideres for hver arbeidsflyt.
• For finansielle nettsteder må ikke tilbakeknappen i nettleseren vise beskyttede sider etter utlogging.

Metoder og teknikker for sikkerhetstesting

Sikkerhetstesting følger flere etablerte metoder.

• Tiger Box: Testing utført fra en bærbar PC lastet med flere operativsystemer og hackingverktøy. Brukes av penetrasjonstestere for å vurdere sårbarheter og kjøre angrep.
• Svart Box: Testeren har ingen intern kunnskap om nettverkstopologien eller teknologistakken og undersøker systemet slik en utenforstående ville gjort.
• grå Box: Testeren mottar delvis informasjon om systemet. Denne hybriden av hvitboks- og svartboksteknikker speiler en realistisk trusselmodell der noen detaljer har lekket.

Roller for sikkerhetstesting

• hacker: Generisk betegnelse for noen som får tilgang til et datasystem eller nettverk – vanligvis brukt i dag for å referere til black hat-hackere som gjør det uten autorisasjon.
• Knekkebrød: Bryter seg inn i systemer for å stjele eller ødelegge data.
• Etisk hacker: Utfører de samme aktivitetene som en hacker, men med eierens uttrykkelige tillatelse, helping å herde systemet.
• Script Kiddies / Pakkeaper: Uerfarne angripere med begrenset programmeringskunnskap som er avhengige av forhåndsbygde skript og verktøy.

Sikkerhetstestverktøy

1) Teramind

Teramind leverer en omfattende pakke for forebygging av innsidetrusler og overvåking av ansatte. Den forbedrer sikkerheten gjennom atferdsanalyse og forebygging av datatap, sikrer samsvar og optimaliserer forretningsprosesser. Den tilpassbare plattformen passer til ulike organisasjonsbehov og gir handlingsrettet innsikt som fokuserer på å øke produktiviteten og beskytte dataintegriteten.

Egenskaper:

• Forebygging av insidertrusler: Oppdager og forhindrer brukerhandlinger som kan indikere innsidetrusler mot data.
• Optimalisering av forretningsprosesser: Bruker datadrevet atferdsanalyse for å forbedre driftsprosesser.
• Arbeidsstyrkens produktivitet: Overvåker produktivitet, sikkerhet og samsvarsatferd.
• Samsvarshåndtering: Håndterer samsvar fra én skalerbar løsning, egnet for små bedrifter, foretak og offentlige etater.
• Hendelse etterforskning: Gir bevis for å berike hendelsesrespons, etterforskning og trusselinformasjon.
• Forebygging av tap av data: Overvåker og beskytter mot tap av sensitive data.
• Ansattovervåking: Tracks ansattes ytelse og aktiviteter.
• Atferdsanalyse: Analyserer detaljerte data om brukeratferd i apper for å få innsikt.
• Tilpassbare overvåkingsinnstillinger: Tillater at overvåkingsregler passer til spesifikke brukstilfeller.
• Dashboard-innsikt: Gir oversikt og handlingsrettet innsikt gjennom et omfattende dashbord.

Besøk Teramind >>

2) OWASP

Ocuco Open Web Application Security Project (OWASP) er en verdensomspennende ideell organisasjon dedikert til å forbedre programvaresikkerhet. Prosjektet leverer flere verktøy for penntesting av ulike programvaremiljøer og protokoller. Flaggskipverktøy inkluderer:

1. Zed Attack Proxy (ZAP) — et integrert verktøy for penetrasjonstesting.
2. OWASP avhengighetssjekk — skanner prosjektavhengigheter mot kjente sårbarheter.
3. OWASP webtestmiljøprosjekt – en kuratert samling av sikkerhetsverktøy og dokumentasjon.

3) Wireshark

Wireshark er et nettverksanalyseverktøy tidligere kjent som Ethereal. Det fanger opp pakker i sanntid og viser dem i et menneskelig lesbart format. Wireshark er åpen kildekode og kjører på Linux, Windows, macOS, Solaris, NetBSD, FreeBSD og mange andre systemer. Data kan vises i et grafisk brukergrensesnitt eller via kommandolinjeverktøyet TShark.

4) w3af

w3af er et rammeverk for angrep og revisjon av webapplikasjoner. Det har tre plugin-kategorier – oppdagelse, revisjon og angrep – som kommuniserer med hverandre. En oppdagelsesplugin ser etter URLs for å teste, videresender dem til revisjonsplugin-modulen, som skanner etter sårbarheter, og angrepsplugin-modulen forsøker deretter å utnytte dem.

Myter og fakta om sikkerhetstesting

Flere vedvarende myter bremser sikkerhetsprogrammer. Listen nedenfor kobler hver myte med det underliggende faktumet.

Myte #1: En liten bedrift trenger ikke en sikkerhetspolicy.
Faktum: Alle personer og alle bedrifter trenger en sikkerhetspolicy.

Myte #2: Sikkerhetstesting gir ingen avkastning på investeringen.
Faktum: Sikkerhetstesting avdekker forbedringsområder som øker effektiviteten, reduserer nedetid og muliggjør maksimal gjennomstrømning.

Myte #3: Den eneste måten å være sikker på er å koble fra systemet.
Faktum: Praktisk sikkerhet kommer fra en vurdering av tilstanden i samsvar med forretningsmessige, juridiske og bransjemessige krav – ikke fra å koble fra nettverket.

Myte #4: Å kjøpe mer programvare eller maskinvare vil beskytte virksomheten.
Faktum: Verktøy erstatter ikke strategi. Forstå trusselbildet først, og velg deretter kontrollene som passer.

Spørsmål og svar