Vad är säkerhetstestning? Exempel

Vad är säkerhetstestning?

Säkerhetstestning är en typ av mjukvarutestning som avslöjar sårbarheter, hot och risker i en applikation och förhindrar skadliga attacker från inkräktare. Syftet med säkerhetstester är att identifiera varje kryphål och svaghet i systemet som kan leda till förlust av information, intäkter eller rykte hos insiders eller utomstående.

Varför är säkerhetstestning viktigt?

Huvudmålet med säkerhetstestning är att identifiera hot i systemet och mäta deras potentiella påverkan så att hoten kan mildras och systemet fortsätter att fungera säkert. Säkerhetstester upptäcker alla möjliga risker och ger utvecklare användbar information för att åtgärda problem i kod före driftsättning.

Typer av säkerhetstestning vid mjukvarutestning

Enligt Open Source Security Testing Methodology Manual (OSSTMM) finns det sju huvudtyper av säkerhetstestning.

• Sårbarhetsskanning: Automatiserad programvara skannar ett system mot kända sårbarhetssignaturer.
• Säkerhetsskanning: Identifierar svagheter i nätverk och system och rekommenderar åtgärder. Kan vara manuellt, automatiserat eller båda.
• Penetrationstestning: Simulerar en skadlig attack för att avslöja sårbarheter som en extern angripare kan utnyttja.
• Riskbedömning: Analyserar säkerhetsrisker som observerats i organisationen och klassificerar dem som Låga, Medel eller Höga, samt rekommenderar kontroller.
• Säkerhetsgranskning: En intern granskning av ansökningar och operativsystem för säkerhetsbrister. Kan inkludera rad-för-rad-kodgranskning.
• Etiskt hackande: Auktoriserad hackning av en organisations programvara för att avslöja säkerhetsbrister – motsatt avsikt hos illvilliga hackare.
• Bedömning av hållning: Kombinerar säkerhetsskanning, etiskt hackandeoch riskbedömning för att visa en organisations övergripande säkerhetssituation.

Hur man gör säkerhetstester

Det är allmänt accepterat att kostnaden för att åtgärda en säkerhetsbrist ökar dramatiskt ju senare den upptäcks. säkerhetstest förrän efter driftsättningen är mycket dyrare än att bädda in det i SDLC från början.

Tabellen nedan mappar säkerhetsaktiviteter till varje SDLC-fas.

Säkerhetstestplanen bör innehålla:

• Säkerhetsrelaterade testfall och scenarier.
• Testdata utformad för säkerhetstestning.
• Testverktyg som krävs för varje säkerhetsaktivitet.
• Analys av utdata från de olika säkerhetsverktygen.

Exempel på testscenarier för säkerhetstestning

Listan nedan ger en glimt av typiska säkerhetstestfall.

• Lösenord lagras i krypterad form, aldrig i klartext.
• Applikationen eller systemet blockerar ogiltiga användare.
• Cookies och timeouts för sessioner valideras för varje arbetsflöde.
• För finansiella webbplatser får webbläsarens bakåtknapp inte exponera skyddade sidor efter utloggning.

Metoder och tekniker för säkerhetstestning

Säkerhetstestning följer flera etablerade metoder.

• Tiger mönster Box: Testning utförd från en bärbar dator laddad med flera operativsystem och hackverktyg. Används av penetrationstestare för att bedöma sårbarheter och köra attacker.
• Svart Box: Testaren har ingen intern kunskap om nätverkstopologin eller teknikstacken och undersöker systemet som en utomstående skulle göra.
• Grå Box: Testaren får ofullständig information om systemet. Denna hybrid av white-box- och black-box-tekniker speglar en realistisk hotmodell där vissa detaljer har läckt ut.

Roller för säkerhetstestning

• hacker: Generisk term för någon som får åtkomst till ett datorsystem eller nätverk — vanligtvis används idag för att hänvisa till black hat-hackare som gör det utan auktorisation.
• Kracker: Bryter sig in i system för att stjäla eller förstöra data.
• Etisk hackare: Utför samma aktiviteter som en hacker men med ägarens uttryckliga tillstånd, helping att härda systemet.
• Script Kiddies / Paketapor: Oerfarna angripare med begränsade programmeringskunskaper som förlitar sig på färdiga skript och verktyg.

Säkerhetstestverktyg

1) Teramind

Teramind levererar en omfattande svit för förebyggande av insiderhot och övervakning av anställda. Den förbättrar säkerheten genom beteendeanalys och förebyggande av dataförlust, vilket säkerställer efterlevnad och optimerar affärsprocesser. Dess anpassningsbara plattform passar olika organisationsbehov och ger handlingsbara insikter som fokuserar på att öka produktiviteten och skydda dataintegriteten.

Funktioner:

• Förebyggande av insiderhot: Upptäcker och förhindrar användaråtgärder som kan indikera insiderhot mot data.
• Optimering av affärsprocesser: Använder datadriven beteendeanalys för att förfina operativa processer.
• Arbetskraftens produktivitet: Övervakar produktivitet, säkerhet och efterlevnadsbeteenden.
• Efterlevnadskontroll: Hanterar efterlevnad från en skalbar lösning, lämplig för småföretag, storföretag och myndigheter.
• Incident Forensics: Tillhandahåller bevis för att berika incidenthantering, utredning och hotinformation.
• Förebyggande av dataförlust: Övervakar och skyddar mot förlust av känsliga data.
• Personalövervakning: Tracks anställdas prestationer och aktiviteter.
• Beteendeanalys: Analyserar detaljerad data om användarbeteende i appar för insikter.
• Anpassningsbara övervakningsinställningar: Tillåter övervakningsregler att passa specifika användningsfall.
• Dashboard Insights: Ger insyn och handlingsbara insikter genom en omfattande instrumentpanel.

Besök Teramind >>

2) OWASP

Ocuco-landskapet Projekt för öppen webbapplikationssäkerhet (OWASP) är en världsomspännande ideell organisation som arbetar med att förbättra programvarusäkerhet. Projektet levererar flera verktyg för penntestning av olika programvarumiljöer och protokoll. Flaggskeppsverktygen inkluderar:

1. Zed Attack Proxy (ZAP) — ett integrerat verktyg för penetrationstestning.
2. OWASP-beroendekontroll — skannar projektberoenden mot kända sårbarheter.
3. OWASP webbtestmiljöprojekt — en kurerad samling säkerhetsverktyg och dokumentation.

3) Wireshark

Wireshark är ett nätverksanalysverktyg tidigare känt som Ethereal. Det fångar paket i realtid och visar dem i ett läsbart format. Wireshark är öppen källkod och körs på Linux, Windows, macOS, Solaris, NetBSD, FreeBSD och många andra system. Data kan visas i ett grafiskt gränssnitt eller via kommandoradsverktyget TShark.

4) w3af

w3af är ett ramverk för attacker och granskning av webbapplikationer. Det har tre plugin-kategorier – upptäckt, granskning och attack – som kommunicerar med varandra. Ett upptäcktsplugin letar efter URLs att testa, vidarebefordrar dem till revisionspluginet, som söker efter sårbarheter, och attackpluginet försöker sedan utnyttja dem.

Myter och fakta om säkerhetstestning

Flera ihållande myter saktar ner säkerhetsprogram. Listan nedan parar ihop varje myt med det underliggande faktumet.

Myt #1: Ett litet företag behöver ingen säkerhetspolicy.
Faktum: Varje person och varje företag behöver en säkerhetspolicy.

Myt #2: Säkerhetstestning ger ingen avkastning på investeringen.
Faktum: Säkerhetstestning visar på förbättringsområden som ökar effektiviteten, minskar driftstopp och möjliggör maximalt dataflöde.

Myt #3: Det enda sättet att vara säker är att koppla ur systemet.
Faktum: Praktisk säkerhet kommer från en utvärdering av läget i linje med affärs-, juridiska och branschkrav – inte från att koppla bort nätverket.

Myt #4: Att köpa mer programvara eller hårdvara kommer att skydda verksamheten.
Faktum: Verktyg ersätter inte strategi. Förstå hotbilden först, välj sedan de kontroller som passar.

Vanliga frågor