Co to jest testowanie podatności? Narzędzie oceny skanowania VAPT
Testowanie podatności
Testowanie podatności nazywany również Vulnerability Assessment to proces oceny ryzyka bezpieczeństwa w systemach oprogramowania w celu zmniejszenia prawdopodobieństwa zagrożeń. Celem testowania podatności jest zmniejszenie możliwości uzyskania nieautoryzowanego dostępu do systemów przez intruzów/hakerów. Zależy to od mechanizmu o nazwie Vulnerability Assessment and Penetration Testing (VAPT) lub testowania VAPT.
Luka to jakikolwiek błąd lub słabość procedur bezpieczeństwa systemu, projektu, implementacji lub jakiejkolwiek kontroli wewnętrznej, która może skutkować naruszeniem polityki bezpieczeństwa systemu.
Dlaczego ocena podatności
- Jest to istotne ze względu na bezpieczeństwo organizacji.
- Proces lokalizowania i raportowania luk w zabezpieczeniach, umożliwiający wykrywanie i rozwiązywanie problemów związanych z bezpieczeństwem poprzez ocenę luk w zabezpieczeniach, zanim ktoś lub coś będzie mogło je wykorzystać.
- W tym procesie Operasystemy tingu, oprogramowanie aplikacji i sieć są skanowane w celu wykrycia występowania luk w zabezpieczeniach, które obejmują nieodpowiedni projekt oprogramowania, niepewne uwierzytelnianie itp.
Proces oceny podatności
Oto krok po kroku Proces oceny podatności w celu zidentyfikowania luk w systemie.
Krok 1) Cele i zadania : – Zdefiniuj cele i zadania analizy podatności.
Krok 2) Zakres : – Podczas przeprowadzania Oceny i Testu należy jasno określić zakres Zadania.
Istnieją trzy możliwe zakresy:
- Czarny Box Testowanie : – Testowanie z sieci zewnętrznej bez wcześniejszej wiedzy na temat sieci wewnętrznej i systemów.
- Szary Box Testowanie: – Testowanie z sieci zewnętrznych lub wewnętrznych ze znajomością sieci wewnętrznej i systemu. To połączenie obu czerni Box Testowanie i biel Box Testowanie.
- Biały Box Testowanie : – Testowanie w sieci wewnętrznej ze znajomością sieci wewnętrznej i systemu. Znany również jako testowanie wewnętrzne.
Krok 3) Gromadzenie informacji : – Uzyskanie jak największej ilości informacji o środowisku IT, takich jak sieci, adresy IP, OperaWersja systemu itp. Ma zastosowanie do wszystkich trzech typów lunet, takich jak czarna Box Testuję, Gray Box Testowanie i biel Box Testowanie.
Krok 4) Wykrywanie podatności : – W tym procesie skanery podatności służą do skanowania środowiska IT i identyfikowania luk.
Krok 5) Analiza i planowanie informacji : – Przeanalizuje zidentyfikowane podatności, aby opracować plan przedostania się do sieci i systemów.
Jak przeprowadzić ocenę podatności
Poniżej przedstawiono proces krok po kroku Jak przeprowadzić ocenę podatności:
Krok 1) Konfiguracja
- Rozpocznij dokumentację
- Bezpieczne uprawnienia
- Aktualizuj narzędzia
- Skonfiguruj narzędzia
Krok 2) Wykonanie testu
- Uruchom Narzędzia
- Uruchom przechwycony pakiet danych (Pakiet to jednostka danych, która jest kierowana między źródłem a miejscem docelowym. Gdy dowolny plik, na przykład wiadomość e-mail, plik HTML, żądanie Uniform Resource Locator (URL) itp. jest wysyłany z jednego miejsca w Internecie do drugiego, warstwa TCP protokołu TCP/IP dzieli plik na szereg „fragmentów” w celu wydajnego routingu, a każdy z tych fragmentów będzie miał unikalny numer i będzie zawierał adres internetowy miejsca docelowego. Te fragmenty nazywane są pakietami. Gdy wszystkie pakiety dotrą, zostaną ponownie złożone w oryginalny plik przez warstwę TCP po stronie odbiorczej podczas uruchamiania narzędzi oceny
Krok 3) Analiza podatności
- Definiowanie i klasyfikacja zasobów sieciowych lub systemowych.
- Przypisywanie priorytetu zasobom (np. – wysoki, średni, niski)
- Identyfikacja potencjalnych zagrożeń dla każdego zasobu.
- Opracowanie strategii, aby najpierw zająć się najbardziej priorytetowymi problemami.
- Zdefiniowanie i wdrożenie sposobów minimalizacji konsekwencji w przypadku wystąpienia ataku.
Krok 4) Raportowanie
Krok 5) Naprawa
- Proces naprawiania luk.
- Wykonywane dla każdej podatności
Rodzaje skanerów podatności
Oparty na hoście
- Identyfikuje problemy na hoście lub w systemie.
- Proces ten odbywa się przy użyciu skanerów opartych na hoście i diagnozowaniu podatności.
- Narzędzia oparte na hoście załadują oprogramowanie mediatora do systemu docelowego; prześledzi zdarzenie i zgłosi je analitykowi bezpieczeństwa.
Oparte na sieci
- Wykryje otwarty port i zidentyfikuje nieznane usługi działające na tych portach. Następnie ujawni możliwe luki w zabezpieczeniach związane z tymi usługami.
- Proces ten odbywa się za pomocą skanerów sieciowych.
Oparte na bazie danych
- Zidentyfikuje zagrożenia bezpieczeństwa w systemach baz danych przy użyciu narzędzi i technik zapobiegania zastrzykom SQL. (Zastrzyki SQL: – Wstrzykiwanie instrukcji SQL do bazy danych przez złośliwych użytkowników, którzy mogą odczytać wrażliwe dane z bazy danych i zaktualizować dane w bazie danych.)
Narzędzia do skanowania podatności
1) Teramind
Teramind dostarcza kompleksowy pakiet do zapobiegania zagrożeniom wewnętrznym i monitorowania pracowników. Zwiększa bezpieczeństwo poprzez analizę zachowań i zapobieganie utracie danych, zapewniając zgodność i optymalizując procesy biznesowe. Jego konfigurowalna platforma odpowiada różnym potrzebom organizacyjnym, zapewniając przydatne informacje, które koncentrują się na zwiększaniu produktywności i ochronie integralności danych.
Cechy:
- Zapobieganie zagrożeniom wewnętrznym: Wykrywa i zapobiega działaniom użytkownika, które mogą wskazywać na wewnętrzne zagrożenia dla danych.
- Optymalizacja procesów biznesowych: Wykorzystuje analizę zachowań opartą na danych w celu redefiniowania procesów operacyjnych.
- Produktywność siły roboczej: Monitoruje produktywność, bezpieczeństwo i zachowania zgodności pracowników.
- Zarządzanie zgodnością: Pomaga zarządzać zgodnością za pomocą jednego, skalowalnego rozwiązania odpowiedniego dla małych firm, przedsiębiorstw i agencji rządowych.
- Kryminalistyka incydentów: Zapewnia dowody wzbogacające reakcję na incydenty, dochodzenia i informacje o zagrożeniach.
- Zapobieganie utracie danych: Monitoruje i chroni przed potencjalną utratą wrażliwych danych.
- Monitorowanie pracowników: Oferuje możliwości monitorowania wydajności i działań pracowników.
- Analityka behawioralna: Analizuje szczegółowe dane dotyczące zachowań klientów w aplikacjach w celu uzyskania szczegółowych informacji.
- Konfigurowalne ustawienia monitorowania: Umożliwia dostosowanie ustawień monitorowania do konkretnych przypadków użycia lub wdrożenie predefiniowanych reguł.
- Informacje o panelu kontrolnym: Zapewnia widoczność i praktyczny wgląd w działania pracowników za pośrednictwem wszechstronnego pulpitu nawigacyjnego.
Kategoria | Narzędzie | Opis |
---|---|---|
Oparty na hoście | STAT | Skanuj wiele systemów w sieci. |
TARA | Asystent ds. badań analitycznych Tigera. | |
Cain & Abel | Odzyskaj hasło, przeszukując sieć i łamiąc hasło HTTP. | |
Metasploit | Platforma open source do tworzenia, testowania i wykorzystywania kodu. | |
Oparte na sieci | Cisco Bezpieczny skaner | Diagnozuj i naprawiaj problemy związane z bezpieczeństwem. |
Wireshark | Analizator protokołów sieciowych typu open source dla systemu Linux i Windows. | |
Nmap | Darmowe narzędzie Open Source do audytu bezpieczeństwa. | |
Nessus | Bezagentowa kontrola, raportowanie i integracja zarządzania poprawkami. | |
Oparte na bazie danych | Dieta SQL | Drzwi narzędzia ataku słownikowego dla serwera SQL. |
Bezpieczny audytor | Umożliwia użytkownikowi wykonywanie wyliczeń, skanowania, audytów i testów penetracyjnych oraz analiz kryminalistycznych w systemie operacyjnym. | |
Skanowanie bazy danych | Wykrywanie trojana w bazie danych, wykrywanie ukrytego trojana poprzez skanowanie bazowe. |
Zalety oceny podatności
- Dostępne są narzędzia Open Source.
- Identyfikuje prawie wszystkie luki
- Zautomatyzowane do skanowania.
- Łatwy w regularnym uruchamianiu.
Wady oceny podatności
- Wysoki odsetek wyników fałszywie dodatnich
- Można go łatwo wykryć za pomocą zapory systemu wykrywania włamań.
- Często nie zauważają najnowszych luk w zabezpieczeniach.
Porównanie oceny podatności i testów penetracyjnych
Ocena podatności | Testowanie penetracyjne | |
---|---|---|
Pracujący | Odkryj luki w zabezpieczeniach | Identyfikuj i wykorzystuj luki w zabezpieczeniach |
Mechanizm | Wykrywanie i skanowanie | Symulacja |
Skupiać | Szerokość ponad głębokość | Głębokość ponad szerokość |
Pokrycie kompletności | Wysoki | Niski |
Koszty: | Niski-umiarkowany | Wysoki |
Wykonane przez | Personel wewnętrzny | Atakujący lub tester pióra |
Wiedza testera | Wysoki | Niski |
Jak często biegać | Po załadowaniu każdego sprzętu | Raz w roku |
Wynik | Podaj częściowe szczegóły dotyczące luk w zabezpieczeniach | Podaj pełne szczegóły dotyczące luk w zabezpieczeniach |
Metody testowania podatności
Aktywne testowanie
- Testowanie nieaktywne, tester wprowadza nowe dane testowe oceny podatności i analizuje wyniki.
- Podczas procesu testowania testerzy tworzą mentalny model procesu, który będzie się dalej rozwijał w trakcie interakcji z testowanym oprogramowaniem.
- Podczas wykonywania testu tester będzie aktywnie uczestniczył w procesie odkrywania nowych przypadków testowych i nowych pomysłów. Dlatego nazywa się to testowaniem aktywnym.
Testowanie pasywne
- Testowanie pasywne, monitorowanie wyników działania testowanego oprogramowania bez wprowadzania nowych przypadków testowych i danych
Testowanie sieci
- Testowanie sieci to proces pomiaru i rejestrowania aktualnego stanu działania sieci na przestrzeni czasu.
- Testowanie przeprowadza się głównie w celu przewidywania działania sieci pod obciążeniem lub wykrywania problemów powodowanych przez nowe usługi.
- Musimy przetestować następujące cechy sieci:
- Poziomy wykorzystania
- Liczba użytkowników
- Wykorzystanie aplikacji
Testowanie rozproszone
- Testy rozproszone są stosowane do testowania aplikacji rozproszonych, co oznacza aplikacje, które pracują z wieloma klientami jednocześnie. Zasadniczo testowanie aplikacji rozproszonej oznacza testowanie jej części klienckiej i serwerowej osobno, ale stosując metodę testowania rozproszonego, możemy testować je wszystkie razem.
- Części testowe, w tym te zaangażowane w podatny test, będą ze sobą oddziaływać podczas Test Run. Dzięki temu będą one zsynchronizowane w odpowiedni sposób. Synchronizacja jest jednym z najważniejszych punktów w testowaniu rozproszonym.
Podsumowanie
In Inżynieria oprogramowaniatestowanie podatności zależy od dwóch mechanizmów, a mianowicie oceny podatności i testów penetracyjnych. Obydwa te testy różnią się od siebie siłą i zadaniami, jakie wykonują. Jednakże, aby uzyskać kompleksowy raport z testowania podatności, zaleca się połączenie obu procedur. Aby znaleźć odpowiednie narzędzia do tych zadań, rozważ zapoznanie się z nimi narzędzia do testowania penetracji.