Что такое тестирование безопасности? Пример
Томас Гамильтон
⚡ Умное резюме
Тестирование безопасности — это дисциплина тестирования программного обеспечения, которая выявляет уязвимости, угрозы и риски в приложении до того, как их обнаружат злоумышленники. В этой статье рассматриваются семь основных типов тестирования, модель интеграции жизненного цикла разработки программного обеспечения (SDLC), распространенные методологии, ключевые роли и лучшие инструменты.
Что такое тестирование безопасности?
Тестирование безопасности является одним из видов тестирование программного обеспечения Тестирование безопасности выявляет уязвимости, угрозы и риски в приложении и предотвращает вредоносные атаки со стороны злоумышленников. Цель тестирования безопасности — выявить все лазейки и слабые места в системе, которые могут привести к потере информации, дохода или репутации по вине внутренних или внешних лиц.
Почему тестирование безопасности важно?
Главная цель тестирования безопасности — выявление угроз в системе и оценка их потенциального воздействия, чтобы эти угрозы можно было нейтрализовать и система продолжала безопасно функционировать. Тесты безопасности обнаруживают все возможные риски и предоставляют разработчикам полезную информацию для исправления проблем в коде до развертывания.
Типы тестирования безопасности при тестировании программного обеспечения
Согласно руководству по методологии тестирования безопасности открытого исходного кода (OSSTMM), существует семь основных типов тестирования безопасности.
- Сканирование уязвимостей: Автоматизированное программное обеспечение сканирует систему на наличие известных сигнатур уязвимостей.
- Сканирование безопасности: Выявляет слабые места в сети и системе и рекомендует способы их устранения. Может выполняться вручную, автоматически или обоими способами.
- Тест на проникновение: Имитирует вредоносную атаку для выявления уязвимостей, которые может использовать внешний злоумышленник.
- Оценка рисков: Анализирует выявленные в организации риски безопасности и классифицирует их как низкие, средние или высокие, а также рекомендует меры по их снижению.
- Аудит безопасности: Внутренняя проверка приложений и операционные системы для выявления уязвимостей в системе безопасности. Может включать построчный анализ кода.
- Этический хакинг: Несанкционированный взлом программного обеспечения организации с целью выявления уязвимостей в системе безопасности — это прямо противоположно намерениям злонамеренных хакеров.
- Оценка осанки: Сочетает в себе сканирование безопасности, этический хакера также оценка рисков для демонстрации общего уровня безопасности организации.
Как проводить тестирование безопасности
Общепринято, что стоимость устранения уязвимости в системе безопасности резко возрастает по мере ее обнаружения. Откладывание решения проблемы тестирование безопасности Внедрение до момента развертывания обходится гораздо дороже, чем интеграция в жизненный цикл разработки программного обеспечения с самого начала.
В таблице ниже показано соответствие мероприятий по обеспечению безопасности каждому этапу жизненного цикла разработки программного обеспечения (SDLC).
| Этап SDLC | Процессы безопасности |
|---|---|
| Требования | Анализ требований к безопасности и рассмотрение случаев злоупотребления/неправомерного использования. |
| Дизайн | Анализ рисков безопасности для проекта. Разработка план испытаний Это включает в себя проверки безопасности. |
| Кодирование и модульное тестирование | Статическое и динамическое тестирование, а также безопасность. тестирование методом белого ящика. |
| Интеграционное тестирование | Тестирование черного ящика. |
| Тестирование системы | Тестирование методом «черного ящика» и сканирование уязвимостей. |
| Реализация | Тестирование на проникновение и сканирование уязвимостей. |
| Поддержка | Анализ воздействия отдельных участков. |
План тестирования безопасности должен включать:
- Тестовые примеры и сценарии, связанные с безопасностью.
- Тестовые данные, предназначенные для проверки безопасности.
- Для каждого вида деятельности в сфере безопасности необходимы тестовые инструменты.
- Анализ результатов работы различных инструментов обеспечения безопасности.
Примеры сценариев тестирования безопасности
Приведённый ниже список даёт представление о типичных сценариях тестирования безопасности.
- Пароли хранятся в зашифрованном виде, никогда не в открытом виде.
- Приложение или система блокирует недействительных пользователей.
- Для каждого рабочего процесса выполняется проверка файлов cookie и времени ожидания сессии.
- На финансовых сайтах кнопка «Назад» в браузере не должна отображать защищенные страницы после выхода из системы.
Методологии и методы тестирования безопасности
Тестирование безопасности проводится с использованием нескольких устоявшихся методологий.
- Tiger Box: Тестирование проводилось с ноутбука, на котором были установлены различные операционные системы и инструменты для взлома. Используется специалистами по тестированию на проникновение для оценки уязвимостей и проведения атак.
- Цвет - Черный. Box: Тестировщик не обладает внутренними знаниями о топологии сети или технологическом стеке и исследует систему так, как это сделал бы сторонний наблюдатель.
- серый Box: Тестировщик получает частичную информацию о системе. Этот гибрид методов «белого ящика» и «черного ящика» имитирует реалистичную модель угроз, в которой произошла утечка некоторых деталей.
Роли в тестировании безопасности
- Хакер: Общий термин для обозначения человека, получающего доступ к компьютерной системе или сети — сегодня он часто используется для обозначения хакеров-злоумышленников, которые делают это без разрешения.
- Взломщик: Взламывает системы с целью кражи или уничтожения данных.
- Этичный хакер: Выполняет те же действия, что и хакер, но с явного разрешения владельца.ping для повышения устойчивости системы.
- Script Kiddies / Packet Monkeys: Неопытные злоумышленники с ограниченными знаниями в программировании, которые полагаются на готовые скрипты и инструменты.
Инструменты тестирования безопасности
1) Teramind
Teramind Предоставляет комплексное решение для предотвращения внутренних угроз и мониторинга сотрудников. Повышает безопасность за счет анализа поведения и предотвращения потери данных, обеспечивая соответствие нормативным требованиям и оптимизируя бизнес-процессы. Настраиваемая платформа подходит для различных организационных нужд, предоставляя полезные аналитические данные, направленные на повышение производительности и защиту целостности данных.
Требования:
- Предотвращение внутренних угроз: Обнаруживает и предотвращает действия пользователя, которые могут указывать на инсайдерскую угрозу данным.
- Оптимизация бизнес-процессов: Использует поведенческий анализ на основе данных для совершенствования операционных процессов.
- Производительность труда: Осуществляет мониторинг производительности, безопасности и соблюдения нормативных требований.
- Управление соблюдением: Обеспечивает соответствие нормативным требованиям с помощью единого масштабируемого решения, подходящего для малых предприятий, крупных компаний и государственных учреждений.
- Экспертиза инцидентов: Предоставляет доказательства для повышения эффективности реагирования на инциденты, проведения расследований и сбора информации об угрозах.
- Предотвращение потери данных: Осуществляет мониторинг и защиту от потери конфиденциальных данных.
- Мониторинг сотрудников: Tracks: результаты работы и деятельность сотрудников.
- Поведенческая аналитика: Анализирует подробные данные о поведении пользователей в приложении для получения ценной информации.
- Настраиваемые параметры мониторинга: Позволяет адаптировать правила мониторинга к конкретным сценариям использования.
- Аналитика информационной панели: Обеспечивает прозрачность и предоставляет полезную аналитическую информацию благодаря комплексной панели мониторинга.
2) ОВАСП
Открытый проект безопасности веб-приложений (OWASP) Это всемирная некоммерческая организация, занимающаяся повышением безопасности программного обеспечения. Проект выпускает множество инструментов для тестирования на проникновение в различных программных средах и протоколах. К флагманским инструментам относятся:
- Прокси-сервер Zed Attack (ZAP) — интегрированный инструмент для тестирования на проникновение.
- Проверка зависимостей OWASP — Проверяет зависимости проекта на наличие известных уязвимостей.
- Проект среды веб-тестирования OWASP — тщательно подобранная коллекция инструментов и документации по безопасности.
3) Wireshark
Wireshark Это инструмент для анализа сети, ранее известный как Ethereal. Он захватывает пакеты в реальном времени и отображает их в удобочитаемом формате. Wireshark Это проект с открытым исходным кодом, работающий под управлением Linux. Windows, macOS, Solaris, NetBSD, FreeBSD и многие другие системы. Данные можно просматривать в графическом интерфейсе пользователя или с помощью утилиты командной строки TShark.
4) в3аф
w3af Это фреймворк для анализа и аудита веб-приложений. Он имеет три категории плагинов — обнаружение, аудит и атака — которые взаимодействуют друг с другом. Плагин обнаружения ищет URLЗапросы на тестирование перенаправляются в плагин аудита, который сканирует систему на наличие уязвимостей, после чего плагин атаки пытается их использовать.
Мифы и факты о тестировании безопасности
Ряд распространенных мифов замедляет работу программ обеспечения безопасности. В приведенном ниже списке каждый миф сопоставляется с лежащим в его основе фактом.
Миф #1: Для малого бизнеса политика безопасности не нужна.
Факт: Политика безопасности необходима каждому человеку и каждой компании.
Миф #2: Тестирование безопасности не приносит окупаемости инвестиций.
Факт: Тестирование безопасности выявляет области, требующие улучшения, что повышает эффективность, сокращает время простоя и обеспечивает максимальную пропускную способность.
Миф #3: Единственный способ обеспечить безопасность — отключить систему от сети.
Факт: Практическая безопасность обеспечивается оценкой состояния сети в соответствии с требованиями бизнеса, законодательства и отрасли, а не отключением сети.
Миф #4: Приобретение дополнительного программного или аппаратного обеспечения обеспечит безопасность бизнеса.
Факт: Инструменты не заменяют стратегию. Сначала разберитесь в угрозах, а затем выберите подходящие меры контроля.
