Testy penetracyjne - środki zaradcze

Wysiłki w zakresie testów penetracyjnych - jakkolwiek by one były dokładne - nie zawsze mogą zapewnić wyczerpujące wykrycie każdego przypadku, w którym skuteczność kontroli bezpieczeństwa jest niewystarczająca. Zidentyfikowanie luki lub ryzyka związanego z cross-site scripting w jednym obszarze aplikacji może nie ujawnić wszystkich wystąpień tej luki obecnych w aplikacji. W tym rozdziale przedstawiono koncepcję i użyteczność środków zaradczych.

Co to jest środki zaradcze?

Środki zaradcze to działanie polegające na oferowaniu ulepszeń w celu zastąpienia błędu i naprawienia go. Często obecność luki w jednym obszarze może wskazywać na słabość procesów lub praktyk programistycznych, które mogły spowodować replikację lub włączenie podobnej luki w innych lokalizacjach. Dlatego podczas działań naprawczych tester powinien dokładnie zbadać testowaną jednostkę lub aplikacje, mając na uwadze nieskuteczne mechanizmy zabezpieczeń.

Z tych powodów odpowiednia firma powinna podjąć kroki w celu usunięcia wszelkich możliwych do wykorzystania luk w zabezpieczeniach w rozsądnym czasie po pierwotnym teście penetracyjnym. W rzeczywistości, gdy tylko firma zakończy te kroki, pen tester powinien przeprowadzić ponowny test w celu walidacji nowo wdrożonych kontroli, które są w stanie złagodzić pierwotne ryzyko.

Działania naprawcze rozciągające się na dłuższy okres po wstępnym teście penetracyjnym mogą wymagać wykonania nowego zadania testowego, aby zapewnić dokładne wyniki w najbardziej aktualnym środowisku. To określenie powinno być dokonane po analizie ryzyka, jaka zmiana zaszła od zakończenia pierwotnego badania.

Ponadto, w określonych warunkach, oznaczony problem bezpieczeństwa może ilustrować podstawową usterkę w odpowiednim środowisku lub aplikacji. Dlatego zakres ponownego testu powinien uwzględniać, czy jakiekolwiek zmiany spowodowane działaniami naprawczymi zidentyfikowanymi w trakcie testu są klasyfikowane jako znaczące. Wszystkie zmiany powinny zostać ponownie przetestowane; jednakże to, czy ponowne sprawdzenie całego systemu jest konieczne, czy też nie, zostanie określone na podstawie oceny ryzyka zmian.