Εκμάθηση δοκιμών διείσδυσης: Τι είναι το PenTest;

Δοκιμή διείσδυσης

Ο έλεγχος διείσδυσης ή ο έλεγχος στυλό είναι ένας τύπος δοκιμής ασφαλείας που χρησιμοποιείται για να αποκαλύψει ευπάθειες, απειλές και κινδύνους που ένας εισβολέας θα μπορούσε να εκμεταλλευτεί σε εφαρμογές λογισμικού, δίκτυα ή εφαρμογές ιστού. Ο σκοπός της δοκιμής διείσδυσης είναι να εντοπίσει και να δοκιμάσει όλες τις πιθανές ευπάθειες ασφαλείας που υπάρχουν στην εφαρμογή λογισμικού. Η δοκιμή διείσδυσης ονομάζεται επίσης δοκιμή πένας.

Ένα θέμα ευπάθειας είναι ο κίνδυνος που ένας εισβολέας μπορεί να διαταράξει ή να αποκτήσει εξουσιοδοτημένη πρόσβαση στο σύστημα ή τυχόν δεδομένα που περιέχονται σε αυτό. Οι ευπάθειες συνήθως εισάγονται κατά λάθος κατά τη φάση ανάπτυξης και εφαρμογής λογισμικού. Τα κοινά τρωτά σημεία περιλαμβάνουν σφάλματα σχεδιασμού, σφάλματα διαμόρφωσης, σφάλματα λογισμικού κ.λπ. Η ανάλυση διείσδυσης εξαρτάται από δύο μηχανισμούς, δηλαδή την αξιολόγηση ευπάθειας και τον έλεγχο διείσδυσης (VAPT).

Γιατί δοκιμή διείσδυσης;

Η διείσδυση είναι απαραίτητη σε μια επιχείρηση επειδή -

• Οι χρηματοοικονομικοί τομείς όπως οι τράπεζες, οι επενδυτικές τραπεζικές συναλλαγές, τα χρηματιστήρια διαπραγματεύονται ότι τα δεδομένα τους είναι ασφαλή και ο έλεγχος διείσδυσης είναι απαραίτητος για την εξασφάλιση
• Σε περίπτωση που το σύστημα λογισμικού έχει ήδη παραβιαστεί και ο οργανισμός θέλει να προσδιορίσει εάν εξακολουθούν να υπάρχουν απειλές στο σύστημα για να αποφευχθούν μελλοντικές παραβιάσεις.
• Το Proactive Penetration Testing είναι η καλύτερη προστασία έναντι των χάκερ

Τύποι δοκιμών διείσδυσης:

Ο τύπος της δοκιμής διείσδυσης που επιλέγεται συνήθως εξαρτάται από το εύρος και από το αν ο οργανισμός θέλει να προσομοιώσει μια επίθεση από έναν υπάλληλο, Διαχειριστή δικτύου (Εσωτερικές πηγές) ή από εξωτερικές πηγές. Υπάρχουν τρεις τύποι δοκιμών διείσδυσης και είναι

• Δοκιμή μαύρου κουτιού
• Δοκιμή διείσδυσης λευκού κουτιού
• Δοκιμή διείσδυσης γκρι κουτιού

Σε δοκιμές διείσδυσης μαύρου κουτιού, ένας δοκιμαστής δεν έχει γνώση σχετικά με τα προς δοκιμή συστήματα. Είναι υπεύθυνος για τη συλλογή πληροφοριών σχετικά με το δίκτυο ή το σύστημα προορισμού.

Σε μια δοκιμή διείσδυσης λευκού κουτιού, ο υπεύθυνος δοκιμών συνήθως παρέχει πλήρεις πληροφορίες σχετικά με το δίκτυο ή τα συστήματα που πρόκειται να δοκιμαστούν, συμπεριλαμβανομένου του σχήματος διευθύνσεων IP, του πηγαίου κώδικα, των λεπτομερειών του λειτουργικού συστήματος κ.λπ. Αυτό μπορεί να θεωρηθεί ως προσομοίωση μιας επίθεσης από οποιονδήποτε Εσωτερικές πηγές (Υπάλληλοι ενός Οργανισμού).

Σε μια δοκιμή διείσδυσης σε γκρι κουτί, ένας δοκιμαστής διαθέτει μερική γνώση του συστήματος. Μπορεί να θεωρηθεί επίθεση από εξωτερικό χάκερ που είχε αποκτήσει παράνομη πρόσβαση σε έγγραφα υποδομής δικτύου ενός οργανισμού.

Πώς να κάνετε δοκιμή διείσδυσης

Ακολουθούν οι δραστηριότητες που πρέπει να εκτελεστούν για να εκτελέσουν το Penetration Test

Βήμα 1) Φάση προγραμματισμού

1. Το πεδίο εφαρμογής και η στρατηγική της ανάθεσης καθορίζεται
2. Υφιστάμενες πολιτικές ασφαλείας, χρησιμοποιούνται πρότυπα για τον καθορισμό του πεδίου εφαρμογής

Βήμα 2) Φάση ανακάλυψης

1. Συλλέξτε όσο το δυνατόν περισσότερες πληροφορίες σχετικά με το σύστημα, συμπεριλαμβανομένων δεδομένων στο σύστημα, ονόματα χρηστών και ακόμη και κωδικούς πρόσβασης. Αυτό ονομάζεται επίσης ως ΔΑΧΤΥΛΙΔΙ
2. Σάρωση και διερεύνηση στις θύρες
3. Ελέγξτε για ευπάθειες του συστήματος

Βήμα 3) Φάση επίθεσης

1. Βρείτε εκμεταλλεύσεις για διάφορες ευπάθειες Χρειάζεστε τα απαραίτητα δικαιώματα ασφαλείας για να εκμεταλλευτείτε το σύστημα

Βήμα 4) Φάση αναφοράς

1. Μια έκθεση πρέπει να περιέχει λεπτομερή ευρήματα
2. Βρέθηκαν κίνδυνοι ευπάθειας και ο αντίκτυπός τους στις επιχειρήσεις
3. Συστάσεις και λύσεις, εάν υπάρχουν

Ο πρωταρχικός στόχος στη δοκιμή διείσδυσης είναι η συλλογή πληροφοριών συστήματος. Υπάρχουν δύο τρόποι συλλογής πληροφοριών -

• Μοντέλο «ένα προς ένα» ή «ένα προς πολλά» σε σχέση με τον κεντρικό υπολογιστή: Ένας δοκιμαστής εκτελεί τεχνικές με γραμμικό τρόπο έναντι είτε ενός κεντρικού υπολογιστή στόχου είτε μιας λογικής ομαδοποίησης των κεντρικών υπολογιστών στόχων (π.χ. ένα υποδίκτυο).
• Μοντέλο "Πολλά σε ένα" ή "Πολλά σε πολλά": Ο ελεγκτής χρησιμοποιεί πολλούς κεντρικούς υπολογιστές για την εκτέλεση τεχνικών συλλογής πληροφοριών σε τυχαίο, περιορισμένο ρυθμό και μη γραμμικό.

Παραδείγματα εργαλείων δοκιμής διείσδυσης

Υπάρχει μια μεγάλη ποικιλία εργαλείων που χρησιμοποιούνται στη δοκιμή διείσδυσης και τα σημαντικά εργαλεία είναι:

1. NMap- Αυτό το εργαλείο χρησιμοποιείται για τη σάρωση θύρας, την αναγνώριση λειτουργικού συστήματος, τον εντοπισμό της διαδρομής και τη σάρωση ευπάθειας
2. Nessus- Αυτό είναι ένα παραδοσιακό εργαλείο ευπάθειας που βασίζεται στο δίκτυο.
3. Pass-The-Hash - Αυτό το εργαλείο χρησιμοποιείται κυρίως για τη διάσπαση κωδικού πρόσβασης.

Ρόλος και ευθύνες των ελεγκτών διείσδυσης:

Η δουλειά Penetration Testers είναι:

• Οι υπεύθυνοι δοκιμών πρέπει να συλλέγουν τις απαιτούμενες πληροφορίες από τον Οργανισμό για να επιτρέψουν τις δοκιμές διείσδυσης
• Βρείτε ελαττώματα που θα μπορούσαν να επιτρέψουν στους χάκερ να επιτεθούν σε ένα μηχάνημα-στόχο
• Οι Pen Testers πρέπει να σκέφτονται και να ενεργούν σαν πραγματικοί χάκερ, αν και ηθικά.
• Οι εργασίες που πραγματοποιούνται από τους δοκιμαστές διείσδυσης πρέπει να είναι αναπαραγώγιμες, ώστε να είναι εύκολο για τους προγραμματιστές να το διορθώσουν
• Η ημερομηνία έναρξης και η ημερομηνία λήξης της εκτέλεσης δοκιμής πρέπει να καθοριστούν εκ των προτέρων.
• Ένας υπεύθυνος δοκιμών θα πρέπει να είναι υπεύθυνος για οποιαδήποτε απώλεια στο σύστημα ή πληροφορίες κατά τη διάρκεια του Δοκιμή λογισμικού
• Ένας υπεύθυνος δοκιμής θα πρέπει να διατηρεί εμπιστευτικά τα δεδομένα και τις πληροφορίες

Μη αυτόματη διείσδυση έναντι αυτόματης δοκιμής διείσδυσης:

Μη αυτόματη δοκιμή διείσδυσης	Αυτόματος έλεγχος διείσδυσης
Η μη αυτόματη δοκιμή απαιτεί από ειδικούς επαγγελματίες να εκτελέσουν τις δοκιμές	Τα αυτοματοποιημένα εργαλεία δοκιμών παρέχουν σαφείς αναφορές με λιγότερο έμπειρους επαγγελματίες
Η μη αυτόματη δοκιμή απαιτεί το Excel και άλλα εργαλεία για την παρακολούθησή του	Το Automation Testing έχει κεντρικά και τυποποιημένα εργαλεία
Στη μη αυτόματη δοκιμή, τα αποτελέσματα του δείγματος διαφέρουν από δοκιμή σε δοκιμή	Στην περίπτωση των αυτοματοποιημένων δοκιμών, τα αποτελέσματα δεν διαφέρουν από δοκιμή σε δοκιμή
Ο καθαρισμός μνήμης πρέπει να θυμόμαστε από τους χρήστες	Οι αυτοματοποιημένες δοκιμές θα έχουν ολοκληρωμένες εκκαθαρίσεις.

Μειονεκτήματα της δοκιμής διείσδυσης

Ο έλεγχος διείσδυσης δεν μπορεί να βρει όλες τις ευπάθειες στο σύστημα. Υπάρχουν περιορισμοί του χρόνου, του προϋπολογισμού, του πεδίου, των δεξιοτήτων των δοκιμαστών διείσδυσης

Παρακάτω θα είναι παρενέργειες όταν κάνουμε δοκιμές διείσδυσης:

• Απώλεια δεδομένων και διαφθορά
• Down Time
• Αύξηση κόστους

Συμπέρασμα:

Οι υπεύθυνοι δοκιμών θα πρέπει να ενεργούν σαν πραγματικοί χάκερ και να δοκιμάζουν την εφαρμογή ή το σύστημα και πρέπει να ελέγχουν εάν ένας κώδικας είναι γραμμένος με ασφάλεια. Μια δοκιμή διείσδυσης θα είναι αποτελεσματική εάν υπάρχει μια καλά εφαρμοσμένη πολιτική ασφάλειας. Η πολιτική και η μεθοδολογία δοκιμών διείσδυσης θα πρέπει να είναι ένα μέρος για να καταστήσουν πιο αποτελεσματικές τις δοκιμές διείσδυσης Αυτός είναι ένας πλήρης οδηγός για αρχάριους για το Penetration Testing.

Ελέγξτε το Έργο Live Penetration Testing