Ce este testarea de securitate? Exemplu

Ce este testarea de securitate?

Testarea securității este un tip de testare software care descoperă vulnerabilități, amenințări și riscuri dintr-o aplicație și previne atacurile rău intenționate din partea intrușilor. Scopul testelor de securitate este de a identifica fiecare lacună și slăbiciune din sistem care ar putea duce la pierderea de informații, venituri sau reputație din partea persoanelor din interior sau din exterior.

De ce este importantă testarea de securitate?

Scopul principal al testelor de securitate este de a identifica amenințările din sistem și de a măsura impactul lor potențial, astfel încât amenințările să poată fi atenuate și sistemul să continue să funcționeze în siguranță. Testele de securitate detectează fiecare risc posibil și oferă dezvoltatorilor informații utile pentru a remedia problemele din cod înainte de implementare.

Tipuri de testare de securitate în testarea software-ului

Conform Manualului de metodologie de testare a securității Open Source (OSSTMM), există șapte tipuri principale de testare a securității.

• Scanarea vulnerabilităților: Software-ul automat scanează un sistem în funcție de semnăturile de vulnerabilități cunoscute.
• Scanare de securitate: Identifică punctele slabe ale rețelei și sistemului și recomandă remedieri. Poate fi manual, automat sau ambele.
• Test de penetrare: Simulează un atac rău intenționat pentru a descoperi vulnerabilități pe care un atacator extern le-ar putea exploata.
• Evaluare a riscurilor: Analizează riscurile de securitate observate în cadrul organizației și le clasifică ca Scăzute, Medii sau Ridicate, recomandând măsuri de control.
• Audit de securitate: O inspecție internă a aplicațiilor și sisteme de operare pentru defecte de securitate. Poate include revizuirea codului linie cu linie.
• Hacking etic: Hacking-ul autorizat al software-ului unei organizații pentru a expune defecte de securitate - intenția opusă a hackerilor rău intenționați.
• Evaluarea posturii: Combină scanarea de securitate, etic hackingși o evaluare a riscurilor pentru a arăta postura generală de securitate a unei organizații.

Cum se fac testele de securitate

Este larg acceptat faptul că, cu cât este descoperit mai târziu, costul remedierii unui defect de securitate crește dramatic. Amânarea testare de securitate până după implementare este mult mai scumpă decât încorporarea sa în SDLC de la început.

Tabelul de mai jos mapează activitățile de securitate pentru fiecare fază SDLC.

Planul de testare a securității ar trebui să includă:

• Cazuri și scenarii de testare legate de securitate.
• Date de testare concepute pentru testarea securității.
• Instrumente de testare necesare pentru fiecare activitate de securitate.
• Analiza rezultatelor diferitelor instrumente de securitate.

Exemple de scenarii de testare pentru testarea securității

Lista de mai jos oferă o scurtă descriere a cazurilor tipice de testare a securității.

• Parolele sunt stocate în formă criptată, niciodată în text simplu.
• Aplicația sau sistemul blochează utilizatorii nevalidi.
• Cookie-urile și expirarea sesiunilor sunt validate pentru fiecare flux de lucru.
• Pentru site-urile financiare, butonul Înapoi al browserului nu trebuie să expună paginile protejate după deconectare.

Metodologii și tehnici pentru testarea securității

Testarea de securitate urmează mai multe metodologii stabilite.

• Tigru Box: Testarea este efectuată de pe un laptop cu mai multe sisteme de operare și instrumente de hacking. Folosită de testerii de penetrare pentru a evalua vulnerabilitățile și a executa atacuri.
• Negru Box: Testerul nu are cunoștințe interne despre topologia rețelei sau stiva tehnologică și sondează sistemul așa cum ar face-o o persoană din afară.
• Gri Box: Testerul primește informații parțiale despre sistem. Acest hibrid de tehnici white-box și black-box reflectă un model de amenințare realist, unde unele detalii au fost dezvăluite.

Roluri de testare de securitate

• hacker: Termen generic pentru cineva care accesează un sistem sau o rețea de calculatoare — utilizat în mod obișnuit astăzi pentru a se referi la hackerii negri care fac acest lucru fără autorizație.
• biscuit: Pătrunde în sisteme pentru a fura sau distruge date.
• Hacker etic: Efectuează aceleași activități ca un hacker, dar cu permisiunea explicită a proprietarului, hel.ping a întări sistemul.
• Script Kiddies / Packet Monkeys: Atacatori fără experiență cu cunoștințe limitate de programare care se bazează pe scripturi și instrumente predefinite.

Instrumente de testare a securității

1) Teramind

Teramind Oferă o suită completă pentru prevenirea amenințărilor interne și monitorizarea angajaților. Îmbunătățește securitatea prin analiza comportamentului și prevenirea pierderilor de date, asigurând conformitatea și optimizând procesele de afaceri. Platforma sa personalizabilă se potrivește diverselor nevoi organizaționale, oferind informații concrete care se concentrează pe creșterea productivității și protejarea integrității datelor.

Caracteristici:

• Prevenirea amenințărilor interne: Detectează și previne acțiunile utilizatorului care pot indica amenințări interne la adresa datelor.
• Optimizarea proceselor de afaceri: Folosește analize comportamentale bazate pe date pentru a rafina procesele operaționale.
• Productivitatea forței de muncă: Monitorizează productivitatea, securitatea și comportamentele de conformitate.
• Managementul de conformitate: Gestionează conformitatea dintr-o singură soluție scalabilă, potrivită pentru întreprinderi mici, întreprinderi și agenții guvernamentale.
• Criminalistica incidentelor: Oferă dovezi pentru a îmbogăți răspunsul la incidente, investigațiile și informațiile despre amenințări.
• Prevenirea pierderilor de date: Monitorizează și protejează împotriva pierderii datelor sensibile.
• Monitorizarea angajaților: TracPerformanța și activitățile angajaților ks.
• Analiză comportamentală: Analizează datele granulare despre comportamentul utilizatorilor în aplicații pentru informații.
• Setări de monitorizare personalizabile: Permite ca regulile de monitorizare să se potrivească unor cazuri de utilizare specifice.
• Statistici tablou de bord: Oferă vizibilitate și informații utile prin intermediul unui tablou de bord cuprinzător.

Vizita Teramind >>

2) OWASP

Proiect de securitate pentru aplicații web deschise (OWASP) este o organizație non-profit la nivel mondial dedicată îmbunătățirii securității software. Proiectul oferă mai multe instrumente pentru testarea prin penetrare a diferitelor medii și protocoale software. Printre instrumentele emblematice se numără:

1. Zed Attack Proxy (ZAP) — un instrument integrat de testare a penetrării.
2. Verificare dependențe OWASP — scanează dependențele proiectului în funcție de vulnerabilitățile cunoscute.
3. Proiectul OWASP Web Testing Environment — o colecție atent selecționată de instrumente și documentație de securitate.

3) Wireshark

Wireshark este un instrument de analiză a rețelei, cunoscut anterior sub numele de Ethereal. Acesta capturează pachete în timp real și le afișează într-un format lizibil de către om. Wireshark este open source și rulează pe Linux, Windows, macOS, Solaris, NetBSD, FreeBSD și multe alte sisteme. Datele pot fi vizualizate într-o interfață grafică sau prin intermediul utilitarului de linie de comandă TShark.

4) w3af

w3af este un framework de audit și atac pentru aplicații web. Are trei categorii de plugin-uri - descoperire, audit și atac - care comunică între ele. Un plugin de descoperire caută URLs pentru a testa, le transmite către plugin-ul de audit, care scanează vulnerabilități, iar plugin-ul de atac încearcă apoi exploatarea.

Mituri și fapte ale testării de securitate

Mai multe mituri persistente încetinesc programele de securitate. Lista de mai jos asociază fiecare mit cu realitatea fundamentală.

Mit #1: O mică afacere nu are nevoie de o politică de securitate.
Fapt: Fiecare persoană și fiecare companie are nevoie de o politică de securitate.

Mit #2: Testarea de securitate nu oferă nicio rentabilitate a investiției.
Fapt: Testarea securității scoate în evidență domenii care necesită îmbunătățiri, sporind eficiența, reducând timpul de nefuncționare și permițând un randament maxim.

Mit #3: Singura modalitate de a fi în siguranță este să deconectați sistemul.
Fapt: Securitatea practică vine dintr-o evaluare a posturii aliniată cu cerințele de afaceri, legale și industriale - nu din deconectarea rețelei.

Mit #4: Achiziționarea mai multor programe software sau hardware va proteja afacerea.
Fapt: Instrumentele nu înlocuiesc strategia. Înțelegeți mai întâi peisajul amenințărilor, apoi alegeți controalele potrivite.

Întrebări frecvente