Vodič za ispitivanje penetracije: Što je PenTest?

Ispitivanje penetracije

Testiranje prodiranja ili testiranje olovkom vrsta je sigurnosnog testiranja koja se koristi za otkrivanje ranjivosti, prijetnji i rizika koje bi napadač mogao iskoristiti u softverskim aplikacijama, mrežama ili web aplikacijama. Svrha testiranja penetracije je identificirati i testirati sve moguće sigurnosne ranjivosti prisutne u softverskoj aplikaciji. Ispitivanje penetracijom naziva se i test olovkom.

Ranjivost je rizik da napadač može poremetiti ili dobiti ovlašteni pristup sustavu ili bilo kojim podacima koji se u njemu nalaze. Ranjivosti se obično uvode slučajno tijekom faze razvoja i implementacije softvera. Uobičajene ranjivosti uključuju pogreške u dizajnu, pogreške u konfiguraciji, programske pogreške itd. Analiza prodiranja ovisi o dva mehanizma, a to su procjena ranjivosti i ispitivanje prodiranja (VAPT).

Zašto ispitivanje penetracije?

Prodor je važan u poduzeću jer -

Financijski sektori poput banaka, investicijskog bankarstva, burzi trgovanja dionicama žele da njihovi podaci budu zaštićeni, a testiranje penetracije je neophodno za osiguranje sigurnosti
U slučaju da je softverski sustav već hakiran i organizacija želi utvrditi jesu li u sustavu i dalje prisutne prijetnje kako bi se izbjeglo buduće hakiranje.
Proaktivno testiranje prodiranja najbolje je zaštitno sredstvo protiv hakera

Vrste ispitivanja penetracijom:

Odabrana vrsta testa penetracije obično ovisi o opsegu i želi li organizacija simulirati napad zaposlenika, mrežnog administratora (unutarnji izvori) ili vanjski izvori. Postoje tri vrste ispitivanja penetracijom i to su

Ispitivanje crne kutije
Ispitivanje penetracije bijele kutije
Ispitivanje prodora sive kutije

U ispitivanju penetracije crne kutije, ispitivač nema znanja o sustavima koji se ispituju. On je odgovoran za prikupljanje podataka o ciljnoj mreži ili sustavu.

U testiranju penetracije bijele kutije, ispitivaču se obično pružaju cjelovite informacije o mreži ili sustavima koji će se testirati, uključujući shemu IP adrese, izvorni kod, detalje OS-a itd. To se može smatrati simulacijom napada od strane bilo koga Interni izvori (zaposlenici organizacije).

U ispitivanju penetracije sive kutije ispitivač ima djelomično znanje o sustavu. To se može smatrati napadom vanjskog hakera koji je stekao nelegitiman pristup dokumentima mrežne infrastrukture organizacije.

Kako napraviti ispitivanje prodiranja

Slijede aktivnosti koje je potrebno izvršiti za provođenje probojnog testa -

Korak 1) Faza planiranja

Određuje se opseg i strategija zadatka
Za definiranje opsega koriste se postojeće sigurnosne politike i standardi

Korak 2) Faza otkrivanja

Prikupite što više podataka o sustavu, uključujući podatke u sustavu, korisnička imena, pa čak i lozinke. To se također naziva i PRETISANJE PRSTIMA
Skenirajte i isprobajte u luke
Provjerite ima li ranjivosti sustava

Korak 3) Faza napada

Pronađite eksploatacije za razne ranjivosti Potrebne su vam potrebne sigurnosne povlastice za iskorištavanje sustava

Korak 4) Faza izvještavanja

Izvještaj mora sadržavati detaljne nalaze
Rizici od otkrivenih ranjivosti i njihov utjecaj na poslovanje
Preporuke i rješenja, ako postoje

Primarni zadatak ispitivanja penetracije je prikupljanje informacija o sustavu. Postoje dva načina za prikupljanje informacija -

Model 'jedan prema jedan' ili 'jedan prema više' s obzirom na hosta: Ispitivač izvodi tehnike na linearni način prema bilo kojem ciljanom hostu ili prema logičnom grupiranju ciljnih hostova (npr. Podmreža).
Model "Mnogo prema jednom" ili "Mnogo prema mnogo": Ispitivač koristi više hostova za izvršavanje tehnika prikupljanja podataka slučajnim, ograničenim brzinom i nelinearnim.

Primjeri alata za ispitivanje penetracije

Postoji široka paleta alata koji se koriste u ispitivanju penetracije, a važni alati su:

NMap - Ovaj se alat koristi za skeniranje porta, identifikaciju OS-a, trasiranje rute i za skeniranje ranjivosti.
Nessus - ovo je tradicionalni mrežni alat za ranjivosti.
Pass-The-Hash - Ovaj se alat uglavnom koristi za probijanje lozinki.

Uloga i odgovornosti ispitivača penetracije:

Posao ispitivača penetracije je:

Ispitivači bi trebali prikupiti potrebne podatke od Organizacije kako bi omogućili testove penetracije
Pronađite nedostatke koji bi mogli dopustiti hakerima da napadaju ciljani stroj
Testeri olovke trebali bi razmišljati i ponašati se kao pravi hakeri, iako etički.
Posao koji rade testeri za prodiranje trebao bi biti ponovljiv tako da ga programeri mogu lako popraviti
Datum početka i datum završetka testa trebaju biti unaprijed definirani.
Tester bi trebao biti odgovoran za svaki gubitak u sustavu ili informacijama tijekom testiranja softvera
Tester bi podatke i informacije trebao čuvati u tajnosti

Ručno prodiranje nasuprot automatiziranom ispitivanju prodora:

Ispitivanje ručnog prodiranja	Automatizirano ispitivanje penetracije
Ručno testiranje zahtijeva stručne profesionalce da vode testove	Automatizirani alati za testiranje pružaju jasna izvješća s manje iskusnim profesionalcima
Ručno testiranje zahtijeva Excel i druge alate za njegovo praćenje	Automatsko testiranje ima centralizirane i standardne alate
U ručnom testiranju, rezultati uzorka razlikuju se od testa do testa	U slučaju automatiziranih testova, rezultati se ne razlikuju od testa do testa
Čišćenje memorije trebaju se sjetiti korisnika	Automatizirano testiranje imat će sveobuhvatna čišćenja.

Nedostaci ispitivanja prodorom

Testiranje prodiranja ne može pronaći sve ranjivosti u sustavu. Postoje ograničenja vremena, proračuna, opsega, vještina ispitivača prodora

Sljedeće će biti nuspojave kada provodimo ispitivanje penetracije:

Gubitak podataka i korupcija
Vrijeme zastoja
Povećajte troškove

Zaključak:

Ispitivači bi se trebali ponašati kao pravi haker i testirati aplikaciju ili sustav i trebaju provjeriti je li kod sigurno napisan. Test penetracije bit će učinkovit ako postoji dobro provedena sigurnosna politika. Politika i metodologija ispitivanja penetracije trebala bi biti mjesto za učinkovitije ispitivanje penetracije. Ovo je cjelovit vodič za početnike za ispitivanje prodiranja.