การทดสอบการเจาะ - วิธีการ

การทดสอบการเจาะเป็นการรวมกันของเทคนิคที่พิจารณาประเด็นต่างๆของระบบและการทดสอบวิเคราะห์และให้แนวทางแก้ไข มันขึ้นอยู่กับขั้นตอนที่มีโครงสร้างซึ่งทำการทดสอบการเจาะทีละขั้นตอน

บทนี้จะอธิบายขั้นตอนต่างๆหรือขั้นตอนของวิธีการทดสอบการเจาะ

ขั้นตอนของวิธีการทดสอบการเจาะ

ต่อไปนี้คือเจ็ดขั้นตอนของการทดสอบการเจาะ -

การวางแผนและการเตรียมการ

การวางแผนและการเตรียมความพร้อมเริ่มจากการกำหนดเป้าหมายและวัตถุประสงค์ของการทดสอบการเจาะ

ลูกค้าและผู้ทดสอบร่วมกันกำหนดเป้าหมายเพื่อให้ทั้งสองฝ่ายมีวัตถุประสงค์และความเข้าใจเดียวกัน วัตถุประสงค์ทั่วไปของการทดสอบการเจาะคือ -

• เพื่อระบุช่องโหว่และปรับปรุงความปลอดภัยของระบบทางเทคนิค
• มีการยืนยันความปลอดภัยด้านไอทีโดยบุคคลภายนอกภายนอก
• เพิ่มความปลอดภัยของโครงสร้างพื้นฐานขององค์กร / บุคลากร

การลาดตระเวน

การลาดตระเวนรวมถึงการวิเคราะห์ข้อมูลเบื้องต้น หลายครั้งผู้ทดสอบไม่มีข้อมูลมากนักนอกจากข้อมูลเบื้องต้นเช่นที่อยู่ IP หรือบล็อกที่อยู่ IP ผู้ทดสอบเริ่มต้นด้วยการวิเคราะห์ข้อมูลที่มีอยู่และหากจำเป็นให้ร้องขอข้อมูลเพิ่มเติมเช่นคำอธิบายระบบแผนเครือข่าย ฯลฯ จากไคลเอนต์ ขั้นตอนนี้คือการทดสอบการเจาะแบบพาสซีฟประเภทของ วัตถุประสงค์เพียงอย่างเดียวคือเพื่อให้ได้ข้อมูลที่ครบถ้วนและมีรายละเอียดของระบบ

การค้นพบ

ในขั้นตอนนี้ผู้ทดสอบการเจาะมักจะใช้เครื่องมืออัตโนมัติในการสแกนสินทรัพย์เป้าหมายเพื่อค้นหาช่องโหว่ โดยปกติเครื่องมือเหล่านี้จะมีฐานข้อมูลของตัวเองเพื่อให้รายละเอียดของช่องโหว่ล่าสุด อย่างไรก็ตามผู้ทดสอบค้นพบ

• Network Discovery - เช่นการค้นพบระบบเซิร์ฟเวอร์และอุปกรณ์อื่น ๆ เพิ่มเติม

• Host Discovery - กำหนดพอร์ตที่เปิดบนอุปกรณ์เหล่านี้

• Service Interrogation - ตรวจสอบพอร์ตเพื่อค้นหาบริการจริงที่กำลังทำงานอยู่

การวิเคราะห์ข้อมูลและความเสี่ยง

ในขั้นตอนนี้ผู้ทดสอบจะวิเคราะห์และประเมินข้อมูลที่รวบรวมก่อนขั้นตอนการทดสอบเพื่อเจาะระบบแบบไดนามิก เนื่องจากระบบและขนาดของโครงสร้างพื้นฐานมีจำนวนมากขึ้นจึงใช้เวลานานมาก ในขณะที่ทำการวิเคราะห์ผู้ทดสอบจะพิจารณาองค์ประกอบต่อไปนี้ -

• เป้าหมายที่กำหนดไว้ของการทดสอบการเจาะ

• ความเสี่ยงที่อาจเกิดขึ้นกับระบบ

• เวลาโดยประมาณที่จำเป็นสำหรับการประเมินข้อบกพร่องด้านความปลอดภัยที่อาจเกิดขึ้นสำหรับการทดสอบการเจาะที่ใช้งานในภายหลัง

อย่างไรก็ตามจากรายชื่อระบบที่ระบุผู้ทดสอบอาจเลือกทดสอบเฉพาะระบบที่มีช่องโหว่ที่อาจเกิดขึ้น

ความพยายามในการบุกรุกที่ใช้งานอยู่

นี่เป็นขั้นตอนที่สำคัญที่สุดที่ต้องดำเนินการด้วยความระมัดระวัง ขั้นตอนนี้เกี่ยวข้องกับขอบเขตของช่องโหว่ที่อาจเกิดขึ้นซึ่งถูกระบุในขั้นตอนการค้นพบซึ่งมีความเสี่ยงที่แท้จริง ขั้นตอนนี้ต้องดำเนินการเมื่อจำเป็นต้องมีการตรวจสอบช่องโหว่ที่อาจเกิดขึ้น สำหรับระบบเหล่านั้นที่มีข้อกำหนดด้านความสมบูรณ์สูงมากความเสี่ยงและความเสี่ยงที่อาจเกิดขึ้นจะต้องได้รับการพิจารณาอย่างรอบคอบก่อนดำเนินการขั้นตอนการล้างข้อมูลที่สำคัญ

การวิเคราะห์ขั้นสุดท้าย

ขั้นตอนนี้จะพิจารณาขั้นตอนทั้งหมดที่ดำเนินการเป็นหลัก (กล่าวไว้ข้างต้น) จนถึงเวลานั้นและการประเมินช่องโหว่ที่มีอยู่ในรูปแบบของความเสี่ยงที่อาจเกิดขึ้น นอกจากนี้ผู้ทดสอบแนะนำให้กำจัดช่องโหว่และความเสี่ยง เหนือสิ่งอื่นใดผู้ทดสอบต้องมั่นใจในความโปร่งใสของการทดสอบและช่องโหว่ที่เปิดเผย

การจัดทำรายงาน

การจัดทำรายงานต้องเริ่มต้นด้วยขั้นตอนการทดสอบโดยรวมตามด้วยการวิเคราะห์ช่องโหว่และความเสี่ยง ความเสี่ยงสูงและช่องโหว่ที่สำคัญต้องมีลำดับความสำคัญแล้วตามด้วยลำดับที่ต่ำกว่า

อย่างไรก็ตามในขณะที่จัดทำเอกสารรายงานขั้นสุดท้ายต้องพิจารณาประเด็นต่อไปนี้ -

• สรุปโดยรวมของการทดสอบการเจาะ
• รายละเอียดของแต่ละขั้นตอนและข้อมูลที่รวบรวมระหว่างการทดสอบปากกา
• รายละเอียดของช่องโหว่และความเสี่ยงทั้งหมดที่ค้นพบ
• รายละเอียดการทำความสะอาดและแก้ไขระบบ
• คำแนะนำสำหรับการรักษาความปลอดภัยในอนาคต