Metodyka oceny
W ostatnim czasie zarówno rząd, jak i organizacje prywatne potraktowały cyberbezpieczeństwo jako strategiczny priorytet. Cyberprzestępcy często za pomocą różnych wektorów ataków często uczynili sobie cele z organizacji rządowych i prywatnych. Niestety, z powodu braku skutecznych polityk, standardów i złożoności systemu informacyjnego, cyberprzestępcy mają wiele celów i z powodzeniem wykorzystują system, a także kradną informacje.
Testy penetracyjne to jedna ze strategii, którą można zastosować do ograniczenia ryzyka cyberataków. Powodzenie testów penetracyjnych zależy od skutecznej i spójnej metodologii oceny.
Dysponujemy różnymi metodami oceny związanymi z testami penetracyjnymi. Zaletą stosowania metodologii jest to, że umożliwia ona osobom oceniającym spójną ocenę środowiska. Oto kilka ważnych metodologii -
Podręcznik metodologii testowania bezpieczeństwa oprogramowania typu open source (OSSTMM)
Open Web Application Security Project (OWASP)
Narodowy Instytut Standardów i Technologii (NIST)
Standard wykonania testów penetracyjnych (PTES)
Co to jest PTES?
PTES, standard wykonania testów penetracyjnych, jak sama nazwa wskazuje, jest metodologią oceny testów penetracyjnych. Obejmuje wszystko, co wiąże się z testem penetracyjnym. W ramach PTES mamy szereg wytycznych technicznych związanych z różnymi środowiskami, z którymi osoba oceniająca może się spotkać. Jest to największa zaleta korzystania z PTES przez nowych oceniających, ponieważ wytyczne techniczne zawierają sugestie dotyczące uwzględniania i oceny środowiska w ramach standardowych narzędzi branżowych.
W następnej sekcji dowiemy się o różnych fazach PTES.
Siedem faz PTES
Standard wykonania testów penetracyjnych (PTES) składa się z siedmiu faz. Fazy te obejmują wszystko, co wiąże się z testem penetracyjnym - od początkowej komunikacji i rozumowania za pentestem, poprzez gromadzenie informacji i fazy modelowania zagrożeń, podczas których testerzy pracują za kulisami. Prowadzi to do lepszego zrozumienia testowanej organizacji poprzez badanie podatności, eksploatację i poeksploatację. Tutaj wiedza techniczna testerów w zakresie bezpieczeństwa jest krytycznie połączona z biznesowym zrozumieniem zadania, a wreszcie z raportowaniem, które obejmuje cały proces w sposób, który ma sens dla klienta i zapewnia mu największą wartość.
O siedmiu fazach PTES dowiemy się w kolejnych rozdziałach -
Faza interakcji przed zaangażowaniem
To pierwsza i bardzo ważna faza PTES. Głównym celem tej fazy jest wyjaśnienie dostępnych narzędzi i technik, które pomagają w udanym etapie testu penetracyjnego przed zaangażowaniem. Każdy błąd podczas wdrażania tej fazy może mieć znaczący wpływ na pozostałą część oceny. Ta faza obejmuje następujące -
Prośba o ocenę
Pierwszą częścią, od której rozpoczyna się ta faza, jest stworzenie wniosku o ocenę przez organizację. ZARequest for Proposal (RFP) asesorom dostarczany jest dokument zawierający szczegółowe informacje o środowisku, rodzaju wymaganej oceny i oczekiwaniach organizacji.
Licytacja
Teraz, w oparciu o RFP do składania ofert złoży wiele firm oceniających lub pojedyncze spółki z ograniczoną odpowiedzialnością (LLC), a strona, której oferta jest zgodna z żądaną pracą, ceną i innymi określonymi parametrami, wygra.
Podpisanie listu intencyjnego (EL)
Teraz organizacja i strona, która wygrała przetarg, podpiszą umowę o pracę (EL). List będzie miał rozszerzeniestatement of work (SOW) i produkt końcowy.
Spotkanie dotyczące zakresu
Po podpisaniu EL można rozpocząć dostrajanie zakresu. Takie spotkania pomagają organizacji i partii w dopracowaniu określonego zakresu. Głównym celem spotkania określającego zakres jest omówienie tego, co będzie testowane.
Obsługa pełzania zakresu
Pełzanie zakresu to coś, w czym klient może próbować dodać lub rozszerzyć obiecany poziom pracy, aby uzyskać więcej, niż obiecał zapłacić. Dlatego ze względu na czas i zasoby należy dokładnie rozważyć modyfikacje pierwotnego zakresu. Należy go również wypełnić w udokumentowanej formie, takiej jak e-mail, podpisany dokument lub upoważniony list itp.
Kwestionariusze
Podczas wstępnej komunikacji z klientem pojawia się kilka pytań, na które klient będzie musiał odpowiedzieć, aby właściwie oszacować zakres zlecenia. Te pytania mają na celu zapewnienie lepszego zrozumienia tego, czego klient chce zyskać podczas testu penetracyjnego; dlaczego klient chce wykonać test penetracyjny w swoim środowisku; oraz czy chcą, aby określone typy testów były wykonywane podczas testu penetracji.
Sposób przeprowadzenia testu
Ostatnią częścią fazy przed zaangażowaniem jest podjęcie decyzji o procedurze przeprowadzenia testu. Do wyboru są różne strategie testowania, takie jak biała skrzynka, czarna skrzynka, szara skrzynka, podwójnie ślepa próba.
Poniżej znajduje się kilka przykładów ocen, o które można poprosić -
- Test penetracji sieci
- Test penetracyjny aplikacji internetowych
- Test penetracji sieci bezprzewodowej
- Test penetracji fizycznej
- Inżynieria społeczna
- Phishing
- Voice over Internet Protocol (VOIP)
- Wewnętrzna sieć
- Sieć zewnętrzna
Faza zbierania informacji
Zbieranie danych wywiadowczych, druga faza PTES, polega na przeprowadzaniu wstępnych pomiarów względem celu, aby zebrać jak najwięcej informacji do wykorzystania podczas penetracji celu podczas oceny podatności i faz eksploatacji. Pomaga organizacjom w określaniu narażenia zewnętrznego przez zespół oceniający. Gromadzenie informacji możemy podzielić na trzy poziomy -
Gromadzenie informacji na poziomie 1
Zautomatyzowane narzędzia mogą prawie całkowicie uzyskać ten poziom informacji. Wysiłek w zakresie gromadzenia informacji na poziomie 1 powinien być odpowiedni do spełnienia wymogu zgodności.
Gromadzenie informacji na poziomie 2
Ten poziom informacji można uzyskać za pomocą zautomatyzowanych narzędzi z poziomu 1 wraz z pewną ręczną analizą. Ten poziom wymaga dobrego zrozumienia działalności, w tym informacji, takich jak lokalizacja fizyczna, relacje biznesowe, schemat organizacyjny itp. Wysiłek związany z gromadzeniem informacji na poziomie 2 powinien być odpowiedni, aby spełnić wymóg zgodności, a także inne potrzeby, takie jak długoterminowa strategia bezpieczeństwa, pozyskiwanie mniejszych producentów itp.
Gromadzenie informacji na poziomie 3
Ten poziom zbierania informacji jest używany w najbardziej zaawansowanych testach penetracyjnych. Wszystkie informacje z poziomu 1 i 2 wraz z dużą ilością ręcznych analiz są wymagane do zbierania informacji na poziomie 3.
Faza modelowania zagrożeń
To już trzecia faza PTES. Podejście do modelowania zagrożeń jest wymagane do prawidłowego wykonania testów penetracyjnych. Modelowanie zagrożeń można wykorzystać jako część testu penetracyjnego lub napotkać w oparciu o szereg czynników. W przypadku, gdy używamy modelowania zagrożeń jako części testu penetracyjnego, informacje zebrane w drugiej fazie zostaną cofnięte do pierwszej fazy.
Kolejne kroki stanowią fazę modelowania zagrożeń -
Zbierz niezbędne i istotne informacje.
Musisz zidentyfikować i sklasyfikować podstawowe i dodatkowe zasoby.
Potrzeba identyfikacji i kategoryzacji zagrożeń i społeczności zagrożeń.
Potrzeba mapowania społeczności zagrożonych w odniesieniu do podstawowych i drugorzędnych zasobów.
Społeczności i agenci zagrożeń
Poniższa tabela zawiera listę odpowiednich społeczności zagrożeń i agentów wraz z ich lokalizacją w organizacji -
| Lokalizacja | Wewnętrzny | Zewnętrzny |
|---|---|---|
| Threat agents/communities | Pracowników | Partnerzy biznesowi |
| Osoby zarządzające | wykonawcy | |
| Administratorzy (sieć, system) | Konkurenci | |
| Inżynierowie | Dostawcy | |
| Technicy | Państwa narodowe | |
| Ogólna społeczność użytkowników | Hakerzy |
Dokonując oceny modelowania zagrożeń, musimy pamiętać, że lokalizacja zagrożeń może mieć charakter wewnętrzny. Wystarczy jeden e-mail phishingowy lub jeden zirytowany pracownik, który stawia na szali bezpieczeństwo organizacji poprzez rozpowszechnianie danych uwierzytelniających.
Faza analizy podatności
To czwarta faza PTES, w której osoba oceniająca określi możliwe cele do dalszych testów. W pierwszych trzech fazach PTES wydobyto tylko szczegóły dotyczące organizacji, a osoba oceniająca nie poruszyła żadnych zasobów do testowania. Jest to najbardziej czasochłonna faza PTES.
Poniższe etapy składają się na analizę podatności -
Testowanie podatności
Można go zdefiniować jako proces wykrywania błędów, takich jak błędna konfiguracja i niezabezpieczone projekty aplikacji w systemach oraz aplikacjach hosta i usług. Tester musi odpowiednio określić zakres testów i pożądany wynik przed przeprowadzeniem analizy podatności. Testy podatności mogą być następujących typów -
- Aktywne testy
- Testowanie pasywne
Omówimy szczegółowo te dwa typy w naszych kolejnych sekcjach.
Aktywne testy
Obejmuje bezpośrednią interakcję z testowanym komponentem pod kątem luk w zabezpieczeniach. Komponenty mogą być na niskim poziomie, na przykład stos TCP na urządzeniu sieciowym, lub na wysokim poziomie, na przykład w interfejsie internetowym. Aktywne testy można przeprowadzić na dwa sposoby -
Zautomatyzowane aktywne testowanie
Wykorzystuje oprogramowanie do interakcji z celem, badania odpowiedzi i określania na podstawie tych odpowiedzi, czy luka w komponencie jest obecna, czy nie. Znaczenie automatycznego testowania aktywnego w porównaniu z ręcznym testowaniem aktywnym można uświadomić sobie z faktu, że jeśli w systemie są tysiące portów TCP i musimy połączyć je wszystkie ręcznie w celu przetestowania, zajęłoby to znacznie dużo czasu. Jednak robienie tego za pomocą zautomatyzowanych narzędzi może zmniejszyć wiele czasu i nakładów pracy. Skanowanie podatności sieci, skanowanie portów, przechwytywanie banerów, skanowanie aplikacji internetowych można wykonać za pomocą zautomatyzowanych aktywnych narzędzi testujących.
Ręczne aktywne testowanie
Ręczne testowanie efektywne jest bardziej efektywne w porównaniu do automatycznego testowania aktywnego. Margines błędu zawsze istnieje w przypadku zautomatyzowanego procesu lub technologii. Dlatego zawsze zaleca się ręczne wykonywanie bezpośrednich połączeń z każdym protokołem lub usługą dostępną w systemie docelowym w celu sprawdzenia wyników testów automatycznych.
Testowanie pasywne
Testowanie pasywne nie obejmuje bezpośredniej interakcji z komponentem. Można go wdrożyć za pomocą dwóch następujących technik -
Analiza metadanych
Ta technika polega na spojrzeniu na dane opisujące plik, a nie na dane samego pliku. Na przykład plik MS Word zawiera metadane dotyczące nazwiska autora, nazwy firmy, daty i godziny ostatniej modyfikacji i zapisania dokumentu. Wystąpiłby problem z bezpieczeństwem, gdyby osoba atakująca mogła uzyskać pasywny dostęp do metadanych.
Monitorowanie ruchu
Można to zdefiniować jako technikę łączenia się z siecią wewnętrzną i przechwytywania danych do analizy offline. Służy głównie do przechwytywania“leaking of data” do sieci komutowanej.
Uprawomocnienie
Po przeprowadzeniu testów podatności weryfikacja wyników jest bardzo konieczna. Można to zrobić za pomocą następujących technik -
Korelacja między narzędziami
Jeśli osoba oceniająca przeprowadza testy podatności za pomocą wielu zautomatyzowanych narzędzi, wówczas w celu walidacji wyników bardzo konieczna jest korelacja między tymi narzędziami. Wyniki mogą się skomplikować, jeśli nie ma takiego rodzaju korelacji między narzędziami. Można go podzielić na określone korelacje pozycji i kategoryczne korelacje pozycji.
Walidacja specyficzna dla protokołu
Walidację można również przeprowadzić za pomocą protokołów. VPN, Citrix, DNS, Web, serwer pocztowy mogą być użyte do weryfikacji wyników.
Badania
Po znalezieniu i walidacji podatności w systemie niezbędne jest określenie dokładności identyfikacji problemu i zbadanie potencjalnej możliwości wykorzystania luki w ramach testu penetracyjnego. Badania można prowadzić publicznie lub prywatnie. Przeprowadzając publiczne badania, można wykorzystać bazę danych luk i porady dostawców, aby zweryfikować dokładność zgłoszonego problemu. Z drugiej strony, podczas prywatnych badań, można ustawić środowisko repliki i zastosować techniki, takie jak fuzzing lub konfiguracje testowe, w celu zweryfikowania dokładności zgłoszonego problemu.
Faza eksploatacji
To już piąta faza PTES. Ta faza skupia się na uzyskaniu dostępu do systemu lub zasobu poprzez ominięcie ograniczeń bezpieczeństwa. W tej fazie cała praca wykonana w poprzednich fazach prowadzi do uzyskania dostępu do systemu. Istnieje kilka popularnych terminów używanych do uzyskiwania dostępu do systemu -
- Popped
- Shelled
- Cracked
- Exploited
Logowanie do systemu w fazie eksploatacji może odbywać się za pomocą kodu, zdalnego exploita, utworzenia exploita, ominięcia programu antywirusowego lub może być tak proste, jak logowanie za pomocą słabych danych uwierzytelniających. Po uzyskaniu dostępu, tj. Po zidentyfikowaniu głównego punktu wejścia, rzeczoznawca musi skupić się na zidentyfikowaniu aktywów docelowych o wysokiej wartości. Jeśli faza analizy podatności została prawidłowo zakończona, należało przestrzegać listy celów o wysokiej wartości. Ostatecznie wektor ataku powinien uwzględniać prawdopodobieństwo sukcesu i największy wpływ na organizację.
Faza poeksploatacyjna
To już szósta faza PTES. Asesor podejmuje na tym etapie następujące czynności -
Analiza infrastruktury
W tej fazie przeprowadzana jest analiza całej infrastruktury używanej podczas testów penetracyjnych. Na przykład analizę sieci lub konfiguracji sieci można przeprowadzić za pomocą interfejsów, routingu, serwerów DNS, buforowanych wpisów DNS, serwerów proxy itp.
Plądrowanie
Można to zdefiniować jako uzyskiwanie informacji od docelowych hostów. Informacje te są istotne dla celów określonych na etapie oceny wstępnej. Informacje te można uzyskać z zainstalowanych programów, określonych serwerów, takich jak serwery baz danych, drukarki itp. W systemie.
Eksfiltracja danych
W ramach tego działania osoba oceniająca jest zobowiązana do mapowania i testowania wszystkich możliwych ścieżek eksfiltracji, tak aby można było przeprowadzić pomiary siły kontrolnej, tj. Wykrywać i blokować poufne informacje z organizacji.
Tworzenie trwałości
Czynność ta obejmuje instalację backdoora wymagającego uwierzytelnienia, ponowne uruchomienie backdoora, gdy jest to wymagane, oraz utworzenie alternatywnych kont ze złożonymi hasłami.
Sprzątać
Jak sama nazwa wskazuje, proces ten obejmuje wymagania dotyczące czyszczenia systemu po zakończeniu testu penetracyjnego. Ta czynność obejmuje przywrócenie pierwotnych wartości ustawień systemowych, parametrów konfiguracyjnych aplikacji oraz usunięcie wszystkich zainstalowanych backdoorów i wszelkich utworzonych kont użytkowników.
Raportowanie
To ostatnia i najważniejsza faza PTES. Tutaj klient płaci na podstawie raportu końcowego po zakończeniu testu penetracyjnego. Raport jest w zasadzie odzwierciedleniem ustaleń dokonanych przez osobę oceniającą na temat systemu. Oto najważniejsze części dobrego raportu:
Streszczenie dla kierownictwa
Jest to raport, który przekazuje czytelnikowi szczegółowe informacje o celach testu penetracyjnego i ogólnych wynikach ćwiczeń testowych. Docelowym odbiorcą może być członek komitetu doradczego głównego gabinetu.
Fabuła
Raport musi zawierać fabułę, która wyjaśnia, co zostało zrobione podczas zlecenia, rzeczywiste ustalenia lub słabości w zakresie bezpieczeństwa oraz pozytywne kontrole ustanowione przez organizację.
Dowód koncepcji / raport techniczny
Dowód koncepcji lub raport techniczny musi zawierać szczegóły techniczne testu i wszystkie aspekty / komponenty uzgodnione jako kluczowe wskaźniki sukcesu w ćwiczeniu przed zaangażowaniem. Sekcja raportu technicznego szczegółowo opisuje zakres, informacje, ścieżkę ataku, wpływ i sugestie naprawcze testu.