Тестирование на проникновение - Тестеры
Есть проблема защиты наиболее важных данных организации; поэтому роль тестера на проникновение очень важна, небольшая ошибка может подвергнуть риску обе стороны (тестировщика и его клиента).
Поэтому в этой главе обсуждаются различные аспекты тестировщика на проникновение, включая его квалификацию, опыт и обязанности.
Квалификация тестеров на проникновение
Этот тест может быть выполнен только квалифицированным тестером на проникновение; поэтому очень важна квалификация тестера на проникновение.
Либо квалифицированный внутренний эксперт, либо квалифицированный внешний эксперт может выполнять тест на проникновение, пока они не станут организационно независимыми. Это означает, что тестер на проникновение должен быть организационно независимым от управления целевыми системами. Например, если сторонняя компания участвует в установке, обслуживании или поддержке целевых систем, то эта сторона не может выполнять тестирование на проникновение.
Вот несколько рекомендаций, которые помогут вам при вызове тестера на проникновение.
Сертификация
Сертифицированный человек может выполнить тестирование на проникновение. Аттестация тестировщика свидетельствует о его навыках и компетенции квалифицированного тестировщика на проникновение.
Ниже приведены важные примеры сертификации тестирования на проникновение.
Сертифицированный этический хакер (CEH).
Сертифицированный специалист по наступательной безопасности (OSCP).
Сертификаты тестирования на проникновение CREST.
Сертификация службы проверки работоспособности ИТ компании Communication Electronic Security Group (CESG).
Сертификаты Global Information Assurance Certification (GIAC), например, GIAC Certified Penetration Tester (GPEN), GIAC Web Application Penetration Tester (GWAPT), Advanced Penetration Tester (GXPN), and GIAC Exploit Researcher.
Прошлый опыт
Следующие вопросы помогут вам нанять эффективного тестера на проникновение:
Сколько лет опыта у тестера на проникновение?
Он независимый тестер на проникновение или работает в организации?
Со сколькими компаниями он работал тестером на проникновение?
Проводил ли он тестирование на проникновение для какой-либо организации, которая имеет такой же размер и масштабы, как ваша?
Какой опыт имеет тестер на проникновение? Например, проведение тестирования проникновения на сетевом уровне и т. Д.
Вы также можете попросить рекомендации у других клиентов, на которых он работал.
При приеме на работу тестировщика на проникновение важно оценить прошлогодний опыт тестирования организации, в которой он (тестировщик) работал, поскольку он связан с технологиями, специально развернутыми им в целевой среде.
В дополнение к вышесказанному, для сложных ситуаций и типичных требований клиентов рекомендуется оценить способность тестировщика работать с аналогичной средой в его / ее более раннем проекте.
Роль тестера на проникновение
У тестера проникновения есть следующие роли -
Выявить неэффективное распределение инструментов и технологий.
Тестирование систем внутренней безопасности.
Выявление уязвимостей для защиты наиболее важных данных.
Откройте для себя бесценные знания об уязвимостях и рисках всей инфраструктуры.
Отчетность и определение приоритетности рекомендаций по исправлению, чтобы гарантировать, что группа безопасности использует свое время наиболее эффективно, защищая при этом самые большие бреши в безопасности.