Etyczne hakowanie - testowanie pióra
Testy penetracyjne to metoda stosowana przez wiele firm w celu zminimalizowania naruszeń bezpieczeństwa. Jest to kontrolowany sposób zatrudniania specjalisty, który spróbuje zhakować Twój system i pokaże Ci luki, które powinieneś naprawić.
Przed wykonaniem testu penetracyjnego konieczne jest zawarcie umowy, która będzie wyraźnie określać następujące parametry -
jaki będzie czas testu penetracyjnego,
gdzie będzie źródło adresu IP ataku, i
jakie będą pola penetracji systemu.
Testy penetracyjne są przeprowadzane przez profesjonalnych hakerów etycznych, którzy używają głównie komercyjnych narzędzi open source, narzędzi automatyzujących i ręcznych kontroli. Nie ma żadnych ograniczeń; najważniejszym celem jest odkrycie jak największej liczby luk w zabezpieczeniach.
Rodzaje testów penetracyjnych
Mamy pięć rodzajów testów penetracyjnych -
Black Box- Tutaj etyczny haker nie ma żadnych informacji dotyczących infrastruktury ani sieci organizacji, do której próbuje się przedostać. W testach penetracyjnych czarnej skrzynki haker próbuje samodzielnie znaleźć informacje.
Grey Box - Jest to rodzaj testów penetracyjnych, w których etyczny haker ma częściową wiedzę o infrastrukturze, na przykład o serwerze nazw domen.
White Box - W testach penetracyjnych typu whitebox etyczny haker otrzymuje wszystkie niezbędne informacje o infrastrukturze i sieci organizacji, którą musi penetrować.
External Penetration Testing- Ten rodzaj testów penetracyjnych koncentruje się głównie na infrastrukturze sieciowej lub serwerach i ich oprogramowaniu działającym w ramach infrastruktury. W tym przypadku etyczny haker podejmuje próbę ataku przy użyciu sieci publicznych za pośrednictwem Internetu. Haker próbuje włamać się do infrastruktury firmy, atakując jej strony internetowe, serwery internetowe, publiczne serwery DNS itp.
Internal Penetration Testing - W tego typu testach penetracyjnych etyczny haker znajduje się w sieci firmy i stamtąd przeprowadza swoje testy.
Testy penetracyjne mogą również powodować problemy, takie jak nieprawidłowe działanie systemu, awaria systemu lub utrata danych. Dlatego firma powinna podjąć wyliczone ryzyko przed przystąpieniem do testów penetracyjnych. Ryzyko jest obliczane w następujący sposób i jest ryzykiem zarządzania.
RISK = Threat × Vulnerability
Przykład
Masz witrynę e-commerce online, która jest w produkcji. Chcesz przeprowadzić testy penetracyjne przed uruchomieniem. Tutaj musisz najpierw rozważyć zalety i wady. Jeśli zdecydujesz się na testy penetracyjne, może to spowodować przerwanie usługi. Wręcz przeciwnie, jeśli nie chcesz przeprowadzać testów penetracyjnych, możesz narazić się na ryzyko posiadania niezałatanej luki, która przez cały czas pozostanie zagrożeniem.
Przed wykonaniem testu penetracyjnego zaleca się pisemne zapisanie zakresu projektu. Powinieneś mieć jasność co do tego, co będzie testowane. Na przykład -
Twoja firma ma VPN lub jakąkolwiek inną technikę dostępu zdalnego i chcesz przetestować ten konkretny punkt.
Twoja aplikacja ma serwery sieciowe z bazami danych, więc możesz chcieć przetestować ją pod kątem ataków typu SQL injection, co jest jednym z najważniejszych testów na serwerze internetowym. Ponadto możesz sprawdzić, czy Twój serwer WWW jest odporny na ataki DoS.
Szybkie porady
Przed przystąpieniem do testu penetracji należy pamiętać o następujących kwestiach -
Najpierw zrozum swoje wymagania i oceń wszystkie ryzyka.
Zatrudnij certyfikowaną osobę do przeprowadzenia testu penetracyjnego, ponieważ jest ona przeszkolona w stosowaniu wszystkich możliwych metod i technik, aby odkryć możliwe luki w sieci lub aplikacji internetowej.
Zawsze podpisuj umowę przed wykonaniem testu penetracyjnego.