Testy penetracyjne - ograniczenia
Ze względu na szybkie tempo rozwoju w dziedzinie informacji i technologii historia sukcesu testów penetracyjnych jest stosunkowo krótkotrwała. Ponieważ wymagana jest większa ochrona systemów, częściej niż potrzeba przeprowadzać testy penetracyjne, aby zmniejszyć możliwość udanego ataku do poziomu, który jest doceniany przez firmę.
Poniżej przedstawiono główne ograniczenia testów penetracyjnych -
Limitation of Time- Jak wszyscy wiemy, testy penetracyjne wcale nie są ćwiczeniami ograniczonymi w czasie; niemniej jednak eksperci od testów penetracyjnych przeznaczyli stałą ilość czasu na każdy test. Z drugiej strony napastnicy nie mają ograniczeń czasowych, planują to na tydzień, miesiąc, a nawet lata.
Limitation of Scope - Wiele organizacji nie testuje wszystkiego z powodu własnych ograniczeń, w tym ograniczeń zasobów, ograniczeń bezpieczeństwa, ograniczeń budżetowych itp. Podobnie tester ma ograniczony zakres i musi zostawić wiele części systemów, które mogą być znacznie więcej wrażliwe i może być doskonałą niszą dla atakującego.
Limitation on Access- Częściej testerzy mają ograniczony dostęp do środowiska docelowego. Na przykład, jeśli firma przeprowadziła test penetracyjny na swoje systemy DMZ ze wszystkich swoich sieci internetowych, ale co zrobić, jeśli osoby atakujące zaatakują przez normalną bramę internetową.
Limitation of Methods- Istnieją szanse, że system docelowy może ulec awarii podczas testu penetracji, więc niektóre z określonych metod ataku prawdopodobnie zostaną wyłączone z tabeli dla profesjonalnego testera penetracji. Na przykład wywołanie ataku typu „odmowa usługi” w celu przekierowania administratora systemu lub sieci od innej metody ataku, co jest zwykle idealną taktyką dla naprawdę złego faceta, ale prawdopodobnie wykracza poza zasady zaangażowania większości profesjonalnych testerów penetracji .
Limitation of Skill-sets of a Penetration Tester- Zwykle zawodowi testerzy penetracji są ograniczeni, ponieważ mają ograniczone umiejętności niezależnie od ich wiedzy i doświadczenia z przeszłości. Większość z nich koncentruje się na określonej technologii i ma rzadką wiedzę z innych dziedzin.
Limitation of Known Exploits- Wielu testerów zna tylko te exploity, które są publiczne. W rzeczywistości ich siła wyobraźni nie jest tak rozwinięta jak napastnicy. Atakujący zazwyczaj myślą znacznie poza myśleniem testera i odkrywają wadę ataku.
Limitation to Experiment- Większość testerów jest ograniczona czasowo i postępuje zgodnie z instrukcjami przekazanymi im przez ich organizację lub seniorów. Nie próbują czegoś nowego. Nie myślą poza podanymi instrukcjami. Z drugiej strony atakujący mogą swobodnie myśleć, eksperymentować i tworzyć nową ścieżkę ataku.
Co więcej, testy penetracyjne nie mogą ani zastąpić rutynowych testów bezpieczeństwa IT, ani też zastąpić ogólnej polityki bezpieczeństwa, ale raczej uzupełniają ustalone procedury przeglądu i odkrywają nowe zagrożenia.