Co to jest testowanie bezpieczeństwa? Przykład
Tomasza Hamiltona
⚡ Inteligentne podsumowanie
Testowanie bezpieczeństwa to dyscyplina testowania oprogramowania, która pozwala wykryć luki w zabezpieczeniach, zagrożenia i ryzyka w aplikacji, zanim zrobią to atakujący. W tym artykule omówiono siedem podstawowych typów, model integracji SDLC, popularne metodologie, kluczowe role i najważniejsze narzędzia.
Co to jest testowanie bezpieczeństwa?
Testowanie bezpieczeństwa to rodzaj Testowanie oprogramowania który ujawnia luki w zabezpieczeniach, zagrożenia i ryzyka w aplikacji oraz zapobiega złośliwym atakom ze strony intruzów. Celem testów bezpieczeństwa jest identyfikacja wszelkich luk i słabości w systemie, które mogłyby doprowadzić do utraty informacji, przychodów lub reputacji w wyniku działań osób z wewnątrz lub z zewnątrz.
Dlaczego testy bezpieczeństwa są ważne?
Głównym celem testów bezpieczeństwa jest identyfikacja zagrożeń w systemie i pomiar ich potencjalnego wpływu, aby można było je zminimalizować i zapewnić bezpieczne funkcjonowanie systemu. Testy bezpieczeństwa wykrywają wszelkie możliwe zagrożenia i dostarczają programistom informacji, które pozwalają im rozwiązać problemy w kodzie przed wdrożeniem.
Rodzaje testów bezpieczeństwa w testowaniu oprogramowania
Zgodnie z podręcznikiem OSSTMM (Open Source Security Testing Methodology Manual) istnieje siedem podstawowych typów testów bezpieczeństwa.
- Skanowanie podatności: Zautomatyzowane oprogramowanie skanuje system pod kątem znanych sygnatur luk w zabezpieczeniach.
- Skanowanie bezpieczeństwa: Identyfikuje słabe punkty sieci i systemu oraz zaleca ich usunięcie. Może to być proces ręczny, automatyczny lub oba.
- Testy penetracyjne: Symuluje złośliwy atak w celu odkrycia luk, które mógłby wykorzystać zewnętrzny atakujący.
- Ocena ryzyka: Analizuje ryzyka bezpieczeństwa zaobserwowane w organizacji i klasyfikuje je jako niskie, średnie lub wysokie, zalecając środki kontroli.
- Audyt bezpieczeństwa: Wewnętrzna kontrola aplikacji i system operacyjny pod kątem luk w zabezpieczeniach. Może obejmować szczegółową analizę kodu.
- Etyczne hakowanie: Autoryzowane włamanie się do oprogramowania organizacji w celu ujawnienia luk w zabezpieczeniach — cel odwrotny do zamierzonego przez złośliwych hakerów.
- Ocena postawy: Łączy skanowanie bezpieczeństwa, etyczne hakowaniei ocena ryzyka, która pokazuje ogólną postawę organizacji w zakresie bezpieczeństwa.
Jak przeprowadzać testy bezpieczeństwa
Powszechnie przyjmuje się, że koszt naprawy wady bezpieczeństwa drastycznie wzrasta wraz z upływem czasu, w którym zostanie ona wykryta. testy bezpieczeństwa do momentu wdrożenia jest o wiele droższe niż wbudowanie go w cykl życia oprogramowania od samego początku.
Poniższa tabela przedstawia działania związane z bezpieczeństwem dla każdej fazy cyklu życia cyklu życia (SDLC).
| Faza SDLC | Procesy bezpieczeństwa |
|---|---|
| wymagania | Analiza wymagań bezpieczeństwa i przegląd przypadków nadużyć/niewłaściwego użycia. |
| Wnętrze | Analiza ryzyka bezpieczeństwa dla projektu. Opracowanie plan testów w tym testy bezpieczeństwa. |
| Kodowanie i testowanie jednostkowe | Testowanie statyczne i dynamiczne oraz bezpieczeństwo testowanie biało-skrzynkowe. |
| Testy integracyjne | Testowanie czarnej skrzynki. |
| Testowanie systemu | Testowanie metodą czarnej skrzynki i skanowanie podatności. |
| Wdrożenie | Testy penetracyjne i skanowanie luk w zabezpieczeniach. |
| Wsparcie | Analiza wpływu poprawek. |
Plan testów bezpieczeństwa powinien obejmować:
- Przypadki testowe i scenariusze związane z bezpieczeństwem.
- Dane testowe przeznaczone do testowania bezpieczeństwa.
- Narzędzia testowe wymagane dla każdej czynności związanej z bezpieczeństwem.
- Analiza wyników różnych narzędzi bezpieczeństwa.
Przykładowe scenariusze testowe dla testów bezpieczeństwa
Poniższa lista przedstawia typowe przypadki testów bezpieczeństwa.
- Hasła są przechowywane w formie zaszyfrowanej, nigdy w postaci jawnego tekstu.
- Aplikacja lub system blokuje nieprawidłowych użytkowników.
- Pliki cookie i limity czasu sesji są sprawdzane dla każdego przepływu pracy.
- W przypadku witryn finansowych przycisk Wstecz w przeglądarce nie może odsłaniać chronionych stron po wylogowaniu.
Metodologie i techniki testowania bezpieczeństwa
Testowanie bezpieczeństwa odbywa się według kilku powszechnie stosowanych metod.
- Tygrys Box: Testy przeprowadzane na laptopie z zainstalowanymi wieloma systemami operacyjnymi i narzędziami hakerskimi. Używane przez testerów penetracyjnych do oceny podatności i przeprowadzania ataków.
- Czarna skrzynka: Tester nie ma żadnej wewnętrznej wiedzy na temat topologii sieci ani stosu technologicznego i bada system tak, jak zrobiłby to ktoś z zewnątrz.
- Szary Box: Tester otrzymuje częściowe informacje o systemie. Ta hybryda technik białej i czarnej skrzynki odzwierciedla realistyczny model zagrożenia, w którym pewne szczegóły wyciekły.
Role testowania bezpieczeństwa
- Haker: Ogólne określenie osoby uzyskującej dostęp do systemu komputerowego lub sieci — obecnie powszechnie używane w odniesieniu do hakerów, którzy robią to bez zezwolenia.
- Krakers: Włamuje się do systemów w celu kradzieży lub zniszczenia danych.
- Etyczny haker: Wykonuje te same czynności co haker, ale za wyraźną zgodą właściciela.ping aby zahartować system.
- Script Kiddies / Packet Monkeys: Niedoświadczeni atakujący z ograniczoną wiedzą programistyczną, którzy polegają na gotowych skryptach i narzędziach.
Narzędzia do testowania bezpieczeństwa
1) Teramind
Teramind Oferuje kompleksowy pakiet rozwiązań do zapobiegania zagrożeniom wewnętrznym i monitorowania pracowników. Zwiększa bezpieczeństwo poprzez analizę zachowań i zapobieganie utracie danych, zapewniając zgodność z przepisami i optymalizując procesy biznesowe. Jego konfigurowalna platforma odpowiada zróżnicowanym potrzebom organizacji, dostarczając praktycznych informacji, które koncentrują się na zwiększaniu produktywności i ochronie integralności danych.
Cechy:
- Zapobieganie zagrożeniom wewnętrznym: Wykrywa i zapobiega działaniom użytkownika, które mogą wskazywać na wewnętrzne zagrożenia dla danych.
- Optymalizacja procesów biznesowych: Wykorzystuje analizę zachowań opartą na danych w celu udoskonalenia procesów operacyjnych.
- Produktywność siły roboczej: Monitoruje zachowania związane z produktywnością, bezpieczeństwem i zgodnością z przepisami.
- Zarządzanie zgodnością: Zapewnia zgodność z przepisami w ramach jednego skalowalnego rozwiązania, odpowiedniego dla małych firm, przedsiębiorstw i agencji rządowych.
- Kryminalistyka incydentów: Dostarcza dowodów wzbogacających reagowanie na incydenty, dochodzenia i informacje o zagrożeniach.
- Zapobieganie utracie danych: Monitoruje i chroni przed utratą poufnych danych.
- Monitorowanie pracowników: Tracwydajność i działania pracowników.
- Analityka behawioralna: Analizuje szczegółowe dane dotyczące zachowań użytkowników aplikacji w celu uzyskania spostrzeżeń.
- Ustawienia monitorowania, które można dostosować: Umożliwia dostosowanie reguł monitorowania do konkretnych przypadków użycia.
- Informacje o panelu kontrolnym: Zapewnia przejrzystość i praktyczne informacje za pośrednictwem kompleksowego pulpitu nawigacyjnego.
2) OWASP
Projekt Bezpieczeństwa Otwartych Aplikacji Internetowych (OWASP) to globalna organizacja non-profit, której celem jest poprawa bezpieczeństwa oprogramowania. Projekt oferuje wiele narzędzi do testów penetracyjnych różnych środowisk programistycznych i protokołów. Wśród sztandarowych narzędzi znajdują się:
- Pełnomocnik ataku Zedów (ZAP) — zintegrowane narzędzie do testów penetracyjnych.
- Sprawdzanie zależności OWASP — skanuje zależności projektu pod kątem znanych luk w zabezpieczeniach.
- Projekt środowiska testowania sieci OWASP — starannie dobrany zbiór narzędzi i dokumentacji bezpieczeństwa.
3) Wireshark
Wireshark to narzędzie do analizy sieci, wcześniej znane jako Ethereal. Przechwytuje pakiety w czasie rzeczywistym i wyświetla je w formacie czytelnym dla człowieka. Wireshark jest oprogramowaniem typu open source i działa w systemie Linux, Windows, macOS, Solaris, NetBSD, FreeBSD i wiele innych systemów. Dane można przeglądać w interfejsie graficznym lub za pomocą narzędzia wiersza poleceń TShark.
4) w3af
w3af to framework do ataków i audytów aplikacji internetowych. Składa się z trzech kategorii wtyczek – wykrywania, audytu i ataku – które komunikują się ze sobą. Wtyczka wykrywania wyszukuje adresy URL do przetestowania, przekazuje je do wtyczki audytu, która skanuje luki w zabezpieczeniach, a następnie wtyczka ataku próbuje je wykorzystać.
Mity i fakty dotyczące testowania bezpieczeństwa
Kilka uporczywie powtarzających się mitów spowalnia programy bezpieczeństwa. Poniższa lista zestawia każdy mit z faktem, który się za nim kryje.
Mit #1: Mała firma nie potrzebuje polityki bezpieczeństwa.
Fakt: Każda osoba i każda firma potrzebuje polityki bezpieczeństwa.
Mit #2: Testowanie bezpieczeństwa nie daje zwrotu z inwestycji.
Fakt: Testy bezpieczeństwa wskazują obszary wymagające udoskonalenia, które zwiększają wydajność, ograniczają przestoje i umożliwiają maksymalizację przepustowości.
Mit #3: Jedynym sposobem zapewnienia bezpieczeństwa jest odłączenie systemu od zasilania.
Fakt: Praktyczne bezpieczeństwo wynika z oceny postawy dostosowanej do wymogów biznesowych, prawnych i branżowych — a nie z odłączenia sieci.
Mit #4: Zakup dodatkowego oprogramowania i sprzętu zabezpieczy firmę.
Fakt: Narzędzia nie zastępują strategii. Najpierw zrozum krajobraz zagrożeń, a następnie wybierz odpowiednie środki kontroli.
