Metodologi Penilaian
Belakangan ini, organisasi pemerintah dan swasta telah menggunakan keamanan dunia maya sebagai prioritas strategis. Penjahat dunia maya sering menjadikan organisasi pemerintah dan swasta sebagai sasaran empuk mereka dengan menggunakan vektor penyerang yang berbeda. Sayangnya, karena kurangnya kebijakan yang efisien, standar dan kompleksitas sistem informasi, penjahat dunia maya memiliki banyak sasaran dan mereka menjadi sukses dalam mengeksploitasi sistem dan mencuri informasi juga.
Pengujian penetrasi merupakan salah satu strategi yang dapat digunakan untuk memitigasi risiko serangan siber. Keberhasilan pengujian penetrasi bergantung pada metodologi penilaian yang efisien & konsisten.
Kami memiliki berbagai metodologi penilaian yang terkait dengan pengujian penetrasi. Manfaat menggunakan metodologi adalah memungkinkan penilai untuk mengevaluasi lingkungan secara konsisten. Berikut adalah beberapa metodologi penting -
Manual Metodologi Pengujian Keamanan Sumber Terbuka (OSSTMM)
Proyek Keamanan Aplikasi Web Terbuka (OWASP)
Institut Standar dan Teknologi Nasional (NIST)
Standar Eksekusi Pengujian Penetrasi (PTES)
Apakah PTES itu?
PTES, standar pelaksanaan pengujian penetrasi, sesuai namanya adalah metodologi penilaian untuk pengujian penetrasi. Ini mencakup semua yang berhubungan dengan tes penetrasi. Kami memiliki sejumlah pedoman teknis, dalam PTES, terkait dengan lingkungan berbeda yang mungkin ditemui oleh penilai. Ini adalah keuntungan terbesar menggunakan PTES oleh penilai baru karena pedoman teknis memiliki saran untuk menangani dan mengevaluasi lingkungan dalam alat standar industri.
Pada bagian berikut, kita akan belajar tentang berbagai fase PTES.
Tujuh Tahap PTES
Standar pelaksanaan pengujian penetrasi (PTES) terdiri dari tujuh fase. Fase ini mencakup semua yang terkait dengan tes penetrasi - dari komunikasi awal dan penalaran di balik pentest, hingga fase pengumpulan intelijen dan pemodelan ancaman di mana penguji bekerja di belakang layar. Ini mengarah pada pemahaman yang lebih baik tentang organisasi yang diuji, melalui penelitian kerentanan, eksploitasi dan pasca eksploitasi. Di sini, keahlian keamanan teknis dari para penguji secara kritis dikombinasikan dengan pemahaman bisnis tentang pengikatan, dan akhirnya ke pelaporan, yang menangkap seluruh proses, dengan cara yang masuk akal bagi pelanggan dan memberikan nilai paling tinggi untuknya.
Kita akan belajar tentang tujuh fase PTES di bagian selanjutnya -
Fase Interaksi Pra-keterlibatan
Ini adalah fase pertama dan sangat penting dari PTES. Tujuan utama dari fase ini adalah untuk menjelaskan alat dan teknik yang tersedia, yang membantu langkah pra-keterlibatan yang berhasil dari uji penetrasi. Setiap kesalahan saat menerapkan tahap ini dapat berdampak signifikan pada penilaian lainnya. Fase ini terdiri dari:
Minta penilaian
Bagian pertama yang memulai fase ini adalah pembuatan permintaan penilaian oleh organisasi. SEBUAHRequest for Proposal (RFP) dokumen yang berisi rincian tentang lingkungan, jenis penilaian yang diperlukan dan harapan organisasi diberikan kepada penilai.
Menawar
Sekarang, berdasarkan RFP dokumen, beberapa perusahaan penilai atau Korporasi Perseroan Terbatas (LLC) akan mengajukan tawaran dan pihak, tawaran yang cocok dengan pekerjaan yang diminta, harga dan beberapa parameter spesifik lainnya akan menang.
Penandatanganan Surat Pertunangan (EL)
Kini, pihak organisasi dan pihak yang memenangkan tender akan menandatangani kontrak Engagement Letter (EL). Surat itu akan memilikistatement of work (SOW) dan produk akhir.
Pertemuan Pelingkupan
Setelah EL ditandatangani, penyempurnaan cakupan dapat dimulai. Pertemuan semacam itu membantu organisasi dan partai untuk menyesuaikan ruang lingkup tertentu. Tujuan utama dari scoping meeting adalah untuk mendiskusikan apa yang akan diujikan.
Penanganan creep scope
Scope creep adalah sesuatu di mana klien dapat mencoba menambah atau memperpanjang tingkat pekerjaan yang dijanjikan untuk mendapatkan lebih dari yang mungkin dijanjikan untuk dibayar. Itulah mengapa modifikasi pada ruang lingkup asli harus dipertimbangkan dengan hati-hati karena waktu dan sumber daya. Itu juga harus dilengkapi dalam beberapa bentuk terdokumentasi seperti email, dokumen yang ditandatangani atau surat resmi dll.
Kuesioner
Selama komunikasi awal dengan pelanggan, ada beberapa pertanyaan yang harus dijawab klien untuk perkiraan yang tepat dari ruang lingkup keterlibatan. Pertanyaan-pertanyaan ini dirancang untuk memberikan pemahaman yang lebih baik tentang apa yang ingin diperoleh klien dari uji penetrasi; mengapa klien ingin melakukan uji penetrasi terhadap lingkungannya; dan, apakah mereka ingin jenis pengujian tertentu dilakukan selama pengujian penetrasi atau tidak.
Cara melakukan tes
Bagian terakhir dari fase pra-perikatan adalah memutuskan prosedur untuk melakukan pengujian. Ada berbagai strategi pengujian seperti White Box, Black Box, Grey Box, pengujian Double-blind untuk dipilih.
Berikut adalah beberapa contoh penilaian yang mungkin diminta -
- Tes penetrasi jaringan
- Tes penetrasi aplikasi web
- Tes penetrasi jaringan nirkabel
- Tes penetrasi fisik
- Rekayasa sosial
- Phishing
- Voice Over Internet Protocol (VOIP)
- Jaringan internal
- Jaringan eksternal
Fase Pengumpulan Intelijen
Pengumpulan intelijen, fase kedua dari PTES, adalah tempat kami melakukan survei pendahuluan terhadap suatu target untuk mengumpulkan informasi sebanyak mungkin untuk digunakan saat menembus target selama fase penilaian kerentanan dan eksploitasi. Ini membantu organisasi dalam menentukan eksposur eksternal oleh tim penilai. Kita dapat membagi pengumpulan informasi dalam tiga tingkat berikut -
Pengumpulan Informasi Tingkat 1
Alat otomatis dapat memperoleh tingkat informasi ini hampir seluruhnya. Upaya pengumpulan informasi Tingkat 1 harus sesuai untuk memenuhi persyaratan kepatuhan.
Pengumpulan Informasi Level 2
Level informasi ini dapat diperoleh dengan menggunakan alat otomatis dari level 1 bersama dengan beberapa analisis manual. Tingkat ini membutuhkan pemahaman yang baik tentang bisnis, termasuk informasi seperti lokasi fisik, hubungan bisnis, bagan organisasi, dll. Upaya pengumpulan informasi Tingkat 2 harus sesuai untuk memenuhi persyaratan kepatuhan bersama dengan kebutuhan lain seperti strategi keamanan jangka panjang, mengakuisisi produsen yang lebih kecil, dll.
Pengumpulan Informasi Level 3
Tingkat pengumpulan informasi ini digunakan dalam uji penetrasi paling canggih. Semua informasi dari level 1 dan level 2 bersama dengan banyak analisis manual diperlukan untuk pengumpulan informasi level 3.
Tahap Pemodelan Ancaman
Ini adalah fase ketiga PTES. Pendekatan pemodelan ancaman diperlukan untuk pelaksanaan pengujian penetrasi yang benar. Pemodelan ancaman dapat digunakan sebagai bagian dari uji penetrasi atau mungkin dihadapi berdasarkan sejumlah faktor. Jika kami menggunakan pemodelan ancaman sebagai bagian dari uji penetrasi, maka informasi yang dikumpulkan pada fase kedua akan dikembalikan ke fase pertama.
Langkah-langkah berikut merupakan fase pemodelan ancaman -
Kumpulkan informasi yang diperlukan dan relevan.
Perlu mengidentifikasi dan mengkategorikan aset primer & sekunder.
Perlu mengidentifikasi dan mengkategorikan komunitas ancaman & ancaman.
Perlu memetakan komunitas ancaman terhadap aset primer & sekunder.
Komunitas & Agen Ancaman
Tabel berikut mencantumkan komunitas dan agen ancaman yang relevan beserta lokasinya di organisasi -
| Lokasi | Intern | Luar |
|---|---|---|
| Threat agents/communities | Para karyawan | Mitra Bisnis |
| Orang manajemen | Kontraktor | |
| Administrator (Jaringan, Sistem) | Pesaing | |
| Insinyur | Pemasok | |
| Teknisi | Negara Bangsa | |
| Komunitas pengguna umum | Peretas |
Saat melakukan penilaian pemodelan ancaman, kita perlu mengingat bahwa lokasi ancaman dapat bersifat internal. Hanya dibutuhkan satu email phishing atau satu karyawan yang kesal yang menjaga keamanan organisasi yang dipertaruhkan dengan menyiarkan kredensial.
Fase Analisis Kerentanan
Ini adalah fase keempat dari PTES di mana penilai akan mengidentifikasi target yang layak untuk pengujian lebih lanjut. Dalam tiga fase pertama PTES, hanya detail tentang organisasi yang telah diekstraksi dan penilai belum menyentuh sumber daya apa pun untuk pengujian. Ini adalah fase PTES yang paling memakan waktu.
Tahapan berikut merupakan Analisis Kerentanan -
Pengujian kerentanan
Ini dapat didefinisikan sebagai proses menemukan kekurangan seperti kesalahan konfigurasi dan desain aplikasi yang tidak aman dalam sistem dan aplikasi host dan layanan. Penguji harus mencakup pengujian dengan benar dan hasil yang diinginkan sebelum melakukan analisis kerentanan. Pengujian kerentanan dapat dari jenis berikut -
- Pengujian aktif
- Pengujian pasif
Kami akan membahas kedua jenis secara rinci di bagian selanjutnya.
Pengujian aktif
Ini melibatkan interaksi langsung dengan komponen yang diuji untuk kerentanan keamanan. Komponen dapat berada pada level rendah seperti tumpukan TCP pada perangkat jaringan atau pada level tinggi seperti antarmuka berbasis web. Pengujian aktif dapat dilakukan dengan dua cara berikut -
Pengujian aktif otomatis
Ini menggunakan perangkat lunak untuk berinteraksi dengan target, memeriksa tanggapan dan menentukan berdasarkan tanggapan ini apakah ada kerentanan dalam komponen atau tidak. Pentingnya pengujian aktif otomatis dibandingkan dengan pengujian aktif manual dapat disadari dari fakta bahwa jika ada ribuan port TCP pada suatu sistem dan kita perlu menghubungkan semuanya secara manual untuk pengujian, itu akan memakan banyak waktu. Namun, melakukannya dengan alat otomatis dapat mengurangi banyak waktu dan kebutuhan tenaga kerja. Pemindaian kerentanan jaringan, pemindaian port, pengambilan spanduk, pemindaian aplikasi web dapat dilakukan dengan bantuan alat pengujian aktif otomatis.
Pengujian aktif manual
Pengujian efektif manual lebih efektif jika dibandingkan dengan pengujian aktif otomatis. Margin kesalahan selalu ada dengan proses atau teknologi otomatis. Itulah mengapa selalu disarankan untuk menjalankan koneksi langsung secara manual ke setiap protokol atau layanan yang tersedia pada sistem target untuk memvalidasi hasil pengujian otomatis.
Pengujian pasif
Pengujian pasif tidak melibatkan interaksi langsung dengan komponen. Ini dapat diimplementasikan dengan bantuan dua teknik berikut -
Analisis Metadata
Teknik ini melibatkan melihat data yang mendeskripsikan file daripada data dari file itu sendiri. Misalnya, file MS word memiliki metadata dalam istilah nama penulisnya, nama perusahaan, tanggal & waktu ketika dokumen terakhir diubah dan disimpan. Akan ada masalah keamanan jika penyerang bisa mendapatkan akses pasif ke metadata.
Pemantauan Lalu Lintas
Ini dapat didefinisikan sebagai teknik untuk menghubungkan ke jaringan internal dan menangkap data untuk analisis offline. Ini terutama digunakan untuk menangkap file“leaking of data” ke jaringan yang dialihkan.
Validasi
Setelah pengujian kerentanan, validasi temuan sangat diperlukan. Itu dapat dilakukan dengan bantuan teknik berikut -
Korelasi antar alat
Jika asesor melakukan pengujian kerentanan dengan beberapa alat otomatis maka untuk memvalidasi temuannya, sangat diperlukan adanya korelasi antar alat tersebut. Penemuan ini dapat menjadi rumit jika tidak ada korelasi antara alat tersebut. Ini dapat dipecah menjadi korelasi item tertentu dan korelasi kategori item.
Validasi khusus protokol
Validasi juga dapat dilakukan dengan bantuan protokol. VPN, Citrix, DNS, Web, server email dapat digunakan untuk memvalidasi temuan.
Penelitian
Setelah menemukan dan memvalidasi kerentanan dalam suatu sistem, penting untuk menentukan keakuratan identifikasi masalah dan untuk meneliti potensi eksploitasi kerentanan dalam ruang lingkup uji penetrasi. Penelitian dapat dilakukan secara publik atau pribadi. Saat melakukan penelitian publik, database kerentanan dan saran vendor dapat digunakan untuk memverifikasi keakuratan masalah yang dilaporkan. Di sisi lain, saat melakukan penelitian pribadi, lingkungan replika dapat disetel dan teknik seperti fuzzing atau konfigurasi pengujian dapat diterapkan untuk memverifikasi keakuratan masalah yang dilaporkan.
Tahap Eksploitasi
Ini adalah fase kelima PTES. Fase ini berfokus pada mendapatkan akses ke sistem atau sumber daya dengan melewati batasan keamanan. Dalam fase ini, semua pekerjaan yang dilakukan oleh fase sebelumnya mengarah pada mendapatkan akses ke sistem. Ada beberapa istilah umum sebagai berikut yang digunakan untuk mendapatkan akses ke sistem -
- Popped
- Shelled
- Cracked
- Exploited
Sistem masuk, dalam fase eksploitasi, dapat dilakukan dengan bantuan kode, eksploitasi jarak jauh, pembuatan eksploitasi, melewati antivirus atau bisa juga sesederhana masuk melalui kredensial yang lemah. Setelah mendapatkan akses, yakni setelah mengidentifikasi pintu masuk utama, penilai harus fokus untuk mengidentifikasi aset target yang bernilai tinggi. Jika fase analisis kerentanan diselesaikan dengan benar, daftar target bernilai tinggi harus dipenuhi. Pada akhirnya, vektor serangan harus mempertimbangkan probabilitas keberhasilan dan dampak tertinggi pada organisasi.
Fase Pasca Eksploitasi
Ini adalah fase keenam PTES. Penilai melakukan aktivitas berikut dalam fase ini -
Analisis infrastruktur
Analisis seluruh infrastruktur yang digunakan selama pengujian penetrasi dilakukan pada tahap ini. Misalnya, analisis jaringan atau konfigurasi jaringan dapat dilakukan dengan bantuan antarmuka, perutean, server DNS, entri DNS Cache, server proxy, dll.
Perampokan
Ini dapat didefinisikan sebagai memperoleh informasi dari host yang ditargetkan. Informasi ini relevan dengan tujuan yang ditentukan dalam fase pra-penilaian. Informasi ini dapat diperoleh dari program yang diinstal, server tertentu seperti server basis data, printer, dll. Pada sistem.
Eksfiltrasi data
Dalam kegiatan ini asesor dituntut untuk melakukan pemetaan dan pengujian terhadap semua jalur eksfiltrasi yang memungkinkan sehingga dapat dilakukan pengukuran kekuatan kendali, yaitu mendeteksi dan memblokir informasi sensitif dari organisasi.
Menciptakan ketekunan
Aktivitas ini mencakup penginstalan pintu belakang yang memerlukan otentikasi, boot ulang pintu belakang saat diperlukan, dan pembuatan akun alternatif dengan sandi yang kompleks.
Membersihkan
Seperti namanya, proses ini mencakup persyaratan untuk sistem pembersihan setelah uji penetrasi selesai. Aktivitas ini mencakup pengembalian ke pengaturan sistem nilai asli, parameter konfigurasi aplikasi, dan penghapusan semua pintu belakang yang diinstal dan setiap akun pengguna yang dibuat.
Pelaporan
Ini adalah fase terakhir dan terpenting dari PTES. Di sini, klien membayar berdasarkan laporan akhir setelah menyelesaikan uji penetrasi. Laporan pada dasarnya adalah cermin dari temuan asesor tentang sistem. Berikut adalah bagian penting dari laporan yang baik -
Ringkasan bisnis plan
Ini adalah laporan yang mengkomunikasikan kepada pembaca tentang tujuan spesifik dari uji penetrasi dan temuan tingkat tinggi dari latihan pengujian. Audiens yang dituju dapat menjadi anggota dewan penasihat dari ketua suite.
Alur cerita
Laporan tersebut harus berisi alur cerita, yang akan menjelaskan apa yang telah dilakukan selama penugasan, temuan atau kelemahan keamanan aktual, dan kontrol positif yang telah ditetapkan organisasi.
Bukti konsep / laporan teknis
Bukti konsep atau laporan teknis harus terdiri dari rincian teknis pengujian dan semua aspek / komponen yang disepakati sebagai indikator keberhasilan utama dalam latihan pra pengikatan. Bagian laporan teknis akan menjelaskan secara rinci ruang lingkup, informasi, jalur serangan, dampak dan saran perbaikan dari pengujian tersebut.