Випробування на проникнення
Тестування на проникнення або тестування на перо - це тип перевірки безпеки, який використовується для виявлення вразливостей, загроз та ризиків, які зловмисник може використати в програмних додатках, мережах або веб-додатках. Метою тестування на проникнення є виявлення та перевірка всіх можливих уразливих місць безпеки, які є в програмному застосунку. Тестування на проникнення також називають тестом на перо.
Уразливість - це ризик того, що зловмисник може порушити або отримати авторизований доступ до системи або будь-яких даних, що містяться в ній. Вразливості зазвичай виникають випадково на етапі розробки та впровадження програмного забезпечення. Загальні уразливості включають помилки проектування, помилки конфігурації, помилки програмного забезпечення тощо. Аналіз проникнення залежить від двох механізмів, а саме: оцінки вразливості та тестування на проникнення (VAPT).
Чому тестування на проникнення?
Проникнення є важливим на підприємстві, оскільки -
- Фінансові сектори, такі як банки, інвестиційні банки, фондові біржі, хочуть захистити свої дані, а тестування на проникнення є важливим для забезпечення безпеки
- У випадку, якщо система програмного забезпечення вже зламана, і організація хоче визначити, чи є в системі ще якісь загрози, щоб уникнути майбутніх зламів.
- Прогресивне тестування на проникнення є найкращим захистом від хакерів
Види тестування на проникнення:
Обраний тип тесту на проникнення зазвичай залежить від сфери застосування та того, чи хоче організація імітувати атаку працівника, адміністратора мережі (внутрішні джерела) чи зовнішніх джерел. Існує три типи тестування на проникнення, і вони є
- Тестування чорної скриньки
- Тестування на проникнення White Box
- Випробування на проникнення сірої коробки
Під час тестування на проникнення в чорну скриньку тестувальник не має знань про системи, що перевіряються. Він відповідає за збір інформації про цільову мережу або систему.
Під час тестування на проникнення білого поля тестувальнику зазвичай надається повна інформація про мережу або системи, що перевіряються, включаючи схему IP-адрес, вихідний код, деталі ОС тощо. Це можна розглядати як імітацію атаки будь-яким Внутрішні джерела (працівники організації).
Під час тестування на проникнення в сірий ящик тестер отримує часткові знання про систему. Це можна розглядати як напад зовнішнього хакера, який отримав незаконний доступ до документів мережевої інфраструктури організації.
Як зробити тестування на проникнення
Нижче наведені заходи, які необхідно виконати для проведення тесту на проникнення -
Крок 1) Етап планування
- Визначається обсяг і стратегія завдання
- Існуючі політики безпеки, стандарти використовуються для визначення сфери застосування
Крок 2) Фаза виявлення
- Зберіть якомога більше інформації про систему, включаючи дані в системі, імена користувачів та навіть паролі. Це ще називають ПЕЧАТКОМ
- Скануйте та зондуйте порти
- Перевірте наявність уразливостей системи
Крок 3) Фаза атаки
- Знайдіть експлойти для різних вразливостей Вам потрібні привілеї безпеки для експлуатації системи
Крок 4) Фаза звітування
- Звіт повинен містити докладні висновки
- Ризики виявлених вразливостей та їх вплив на бізнес
- Рекомендації та рішення, якщо такі є
Основним завданням тестування на проникнення є збір системної інформації. Є два способи збору інформації -
- Модель "один до одного" або "один до багатьох" щодо хоста: Тестер виконує лінійні методи проти одного цільового хоста або логічного групування цільових хостів (наприклад, підмережі).
- Модель "багато до одного" або "багато до багатьох": тестер використовує декілька хостів для виконання методів збору інформації випадковим, обмеженим та нелінійним.
Приклади інструментів для тестування на проникнення
Існує широкий вибір інструментів, які використовуються при тестуванні на проникнення, і важливими інструментами є:
- NMap - Цей інструмент використовується для сканування портів, ідентифікації ОС, трасування маршруту та сканування вразливостей.
- Nessus - це традиційний мережевий інструмент вразливостей.
- Pass-The-Hash - Цей інструмент в основному використовується для злому паролів.
Роль та обов'язки тестувальників на проникнення:
Робота тестерів на проникнення полягає в:
- Тестери повинні збирати необхідну інформацію від Організації, щоб дозволити тести на проникнення
- Знайдіть недоліки, які можуть дозволити хакерам атакувати цільову машину
- Тестери перу повинні мислити і діяти як справжні хакери, хоча і етично.
- Робота, проведена тестерами Penetration, повинна бути відтворюваною, щоб розробникам було легко її виправити
- Дата початку та дата закінчення тесту повинні бути визначені заздалегідь.
- Тестер повинен нести відповідальність за будь-які втрати в системі або інформації під час тестування програмного забезпечення
- Тестер повинен зберігати конфіденційність даних та інформації
Ручне проникнення проти автоматичного тестування на проникнення:
| Тестування на проникнення вручну | Автоматизоване тестування на проникнення |
|---|---|
| Ручне тестування вимагає наявності експертів для проведення тестів | Автоматизовані інструменти тестування забезпечують чіткі звіти з менш досвідченими професіоналами |
| Для ручного тестування потрібен Excel та інші інструменти для його відстеження | Тестування автоматизації має централізовані та стандартні інструменти |
| При ручному тестуванні результати вибірки різняться залежно від тесту | У випадку автоматизованих тестів результати не відрізняються від тесту до тесту |
| Користувачі повинні пам’ятати про очищення пам’яті | Автоматизоване тестування матиме комплексні очищення. |
Недоліки тестування на проникнення
Тестування на проникнення не може знайти всіх уразливостей у системі. Існують обмеження часу, бюджету, обсягу, навичок тестувальників на проникнення
Наступні будуть побічні ефекти, коли ми проводимо тестування на проникнення:
- Втрата даних та корупція
- Час простою
- Збільшення витрат
Висновок:
Тестери повинні діяти як справжній хакер, протестувати додаток чи систему, а також перевірити, чи надійно написаний код. Тест на проникнення буде ефективним, якщо буде добре впроваджена політика безпеки. Політика та методологія тестування на проникнення повинні стати місцем для підвищення ефективності тестування на проникнення. Це повний посібник для тестування на проникнення для початківців.
Перевірте наш проект тестування на проникнення в реальному часі
