Ethisches Hacken - Pen Testing

Penetrationstests sind eine Methode, die viele Unternehmen anwenden, um ihre Sicherheitsverletzungen zu minimieren. Dies ist eine kontrollierte Methode, um einen Fachmann einzustellen, der versucht, Ihr System zu hacken und Ihnen die Lücken zu zeigen, die Sie beheben sollten.

Vor einem Penetrationstest ist eine Vereinbarung erforderlich, in der die folgenden Parameter ausdrücklich erwähnt werden:

Was wird die Zeit des Penetrationstests sein?
Wo wird die IP-Quelle des Angriffs sein, und
Was werden die Penetrationsfelder des Systems sein.

Penetrationstests werden von professionellen ethischen Hackern durchgeführt, die hauptsächlich kommerzielle Open-Source-Tools verwenden, Tools automatisieren und manuelle Überprüfungen durchführen. Es gibt keine Einschränkungen; Das wichtigste Ziel hierbei ist es, möglichst viele Sicherheitslücken aufzudecken.

Arten von Penetrationstests

Wir haben fünf Arten von Penetrationstests -

Black Box- Hier hat der ethische Hacker keine Informationen über die Infrastruktur oder das Netzwerk der Organisation, in die er eindringen möchte. Bei Black-Box-Penetrationstests versucht der Hacker, die Informationen auf eigene Faust zu finden.
Grey Box - Es handelt sich um eine Art Penetrationstest, bei dem der ethische Hacker die Infrastruktur teilweise kennt, wie z. B. seinen Domain Name Server.
White Box - Bei White-Box-Penetrationstests erhält der ethische Hacker alle erforderlichen Informationen über die Infrastruktur und das Netzwerk der Organisation, in die er eindringen muss.
External Penetration Testing- Diese Art von Penetrationstests konzentriert sich hauptsächlich auf die Netzwerkinfrastruktur oder Server und deren Software, die unter der Infrastruktur betrieben werden. In diesem Fall versucht der ethische Hacker den Angriff über öffentliche Netzwerke über das Internet. Der Hacker versucht, die Unternehmensinfrastruktur zu hacken, indem er seine Webseiten, Webserver, öffentlichen DNS-Server usw. angreift.
Internal Penetration Testing - Bei dieser Art von Penetrationstests befindet sich der ethische Hacker im Netzwerk des Unternehmens und führt von dort aus seine Tests durch.

Penetrationstests können auch Probleme wie Systemstörungen, Systemabstürze oder Datenverlust verursachen. Daher sollte ein Unternehmen kalkulierte Risiken eingehen, bevor es mit Penetrationstests fortfährt. Das Risiko wird wie folgt berechnet und ist ein Managementrisiko.

RISK = Threat × Vulnerability

Beispiel

Sie haben eine Online-E-Commerce-Website, die in Produktion ist. Sie möchten einen Penetrationstest durchführen, bevor Sie ihn live schalten. Hier müssen Sie zuerst die Vor- und Nachteile abwägen. Wenn Sie Penetrationstests durchführen, kann dies zu einer Betriebsunterbrechung führen. Im Gegenteil, wenn Sie keinen Penetrationstest durchführen möchten, besteht das Risiko, dass eine nicht gepatchte Sicherheitsanfälligkeit vorliegt, die die ganze Zeit als Bedrohung bleibt.

Bevor Sie einen Penetrationstest durchführen, wird empfohlen, den Umfang des Projekts schriftlich festzuhalten. Sie sollten sich darüber im Klaren sein, was getestet werden soll. Zum Beispiel -

Ihr Unternehmen verfügt über ein VPN oder andere RAS-Techniken, und Sie möchten diesen bestimmten Punkt testen.
Ihre Anwendung verfügt über Webserver mit Datenbanken. Daher möchten Sie sie möglicherweise auf SQL-Injection-Angriffe testen lassen. Dies ist einer der wichtigsten Tests auf einem Webserver. Außerdem können Sie überprüfen, ob Ihr Webserver gegen DoS-Angriffe immun ist.

Schnelle Tipps

Bevor Sie einen Penetrationstest durchführen, sollten Sie die folgenden Punkte beachten:

Verstehen Sie zuerst Ihre Anforderungen und bewerten Sie alle Risiken.
Stellen Sie eine zertifizierte Person für die Durchführung von Penetrationstests ein, da diese darin geschult ist, alle möglichen Methoden und Techniken anzuwenden, um mögliche Lücken in einem Netzwerk oder einer Webanwendung aufzudecken.
Unterzeichnen Sie immer eine Vereinbarung, bevor Sie einen Penetrationstest durchführen.