Phương pháp đánh giá

Trong thời gian gần đây, cả chính phủ và tổ chức tư nhân đều coi an ninh mạng là một ưu tiên chiến lược. Tội phạm mạng thường khiến chính phủ và các tổ chức tư nhân trở thành mục tiêu mềm của chúng bằng cách sử dụng các vectơ tấn công khác nhau. Thật không may, do thiếu các chính sách, tiêu chuẩn hiệu quả và sự phức tạp của hệ thống thông tin, tội phạm mạng có số lượng lớn mục tiêu và chúng đang trở nên thành công trong việc khai thác hệ thống và đánh cắp thông tin.

Kiểm tra thâm nhập là một chiến lược có thể được sử dụng để giảm thiểu rủi ro của các cuộc tấn công mạng. Sự thành công của thử nghiệm thâm nhập phụ thuộc vào một phương pháp đánh giá hiệu quả và nhất quán.

Chúng tôi có nhiều phương pháp đánh giá liên quan đến thử nghiệm thâm nhập. Lợi ích của việc sử dụng phương pháp luận là nó cho phép người đánh giá đánh giá môi trường một cách nhất quán. Sau đây là một số phương pháp luận quan trọng -

Sổ tay hướng dẫn phương pháp kiểm tra bảo mật nguồn mở (OSSTMM)
Mở Dự án Bảo mật Ứng dụng Web (OWASP)
Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST)
Tiêu chuẩn thực thi kiểm tra thâm nhập (PTES)

PTES là gì?

PTES, tiêu chuẩn thực thi thử nghiệm thâm nhập, như tên của nó, là một phương pháp đánh giá cho thử nghiệm thâm nhập. Nó bao gồm mọi thứ liên quan đến kiểm tra thâm nhập. Chúng tôi có một số hướng dẫn kỹ thuật, trong PTES, liên quan đến các môi trường khác nhau mà người đánh giá có thể gặp phải. Đây là lợi thế lớn nhất của việc sử dụng PTES của các chuyên gia đánh giá mới vì các hướng dẫn kỹ thuật có các đề xuất về giải quyết và đánh giá môi trường trong các công cụ tiêu chuẩn của ngành.

Trong phần sau, chúng ta sẽ tìm hiểu về các giai đoạn khác nhau của PTES.

Bảy giai đoạn của PTES

Tiêu chuẩn thực thi thử nghiệm thâm nhập (PTES) bao gồm bảy giai đoạn. Các giai đoạn này bao gồm mọi thứ liên quan đến kiểm tra thâm nhập - từ giao tiếp ban đầu và lý luận đằng sau sự dồn nén, thông qua các giai đoạn thu thập thông tin tình báo và mô hình mối đe dọa nơi người kiểm tra đang làm việc ở hậu trường. Điều này dẫn đến sự hiểu biết tốt hơn về tổ chức được kiểm tra, thông qua nghiên cứu, khai thác và hậu khai thác lỗ hổng. Ở đây, kiến thức chuyên môn về bảo mật kỹ thuật của những người kiểm tra được kết hợp chặt chẽ với sự hiểu biết của doanh nghiệp về hợp đồng và cuối cùng là báo cáo, ghi lại toàn bộ quy trình, theo cách có ý nghĩa đối với khách hàng và mang lại giá trị cao nhất cho nó.

Chúng ta sẽ tìm hiểu về bảy giai đoạn của PTES trong các phần tiếp theo của chúng tôi -

Giai đoạn tương tác trước khi tương tác

Đây là giai đoạn đầu tiên và rất quan trọng của PTES. Mục đích chính của giai đoạn này là giải thích các công cụ và kỹ thuật có sẵn, giúp thực hiện thành công bước trước khi tham gia của thử nghiệm thâm nhập. Bất kỳ sai sót nào trong khi thực hiện giai đoạn này có thể có ảnh hưởng đáng kể đến phần còn lại của đánh giá. Giai đoạn này bao gồm các bước sau:

Yêu cầu đánh giá

Phần đầu tiên mà giai đoạn này bắt đầu là việc tổ chức tạo ra một yêu cầu đánh giá. ARequest for Proposal (RFP) tài liệu cung cấp các thông tin chi tiết về môi trường, loại đánh giá cần thiết và các kỳ vọng của tổ chức cho người đánh giá.

Đấu thầu

Bây giờ, dựa trên RFP tài liệu, nhiều công ty đánh giá hoặc các Công ty trách nhiệm hữu hạn (LLC) riêng lẻ sẽ đấu thầu và bên nào, giá thầu phù hợp với công việc được yêu cầu, giá cả và một số thông số cụ thể khác sẽ thắng.

Ký Thư đính hôn (EL)

Bây giờ, tổ chức và bên thắng thầu sẽ ký hợp đồng Thư đính hôn (EL). Bức thư sẽ cóstatement of work (SOW) và sản phẩm cuối cùng.

Cuộc họp xác định phạm vi

Sau khi EL đã được ký, việc tinh chỉnh phạm vi có thể bắt đầu. Các cuộc họp như vậy giúp tổ chức và bên điều chỉnh một phạm vi cụ thể. Mục tiêu chính của cuộc họp xác định phạm vi là thảo luận về những gì sẽ được kiểm tra.

Xử lý độ rão phạm vi

Scope creep là thứ mà khách hàng có thể cố gắng bổ sung hoặc kéo dài mức độ công việc đã hứa để nhận được nhiều hơn mức họ có thể đã hứa trả. Đó là lý do tại sao các sửa đổi đối với phạm vi ban đầu nên được xem xét cẩn thận do thời gian và nguồn lực. Nó cũng phải được hoàn thành dưới một số hình thức văn bản như email, tài liệu đã ký hoặc thư ủy quyền, v.v.

Bảng câu hỏi

Trong quá trình giao tiếp ban đầu với khách hàng, có một số câu hỏi mà khách hàng sẽ phải trả lời để ước tính đúng phạm vi cam kết. Những câu hỏi này được thiết kế để cung cấp sự hiểu biết tốt hơn về những gì khách hàng đang tìm kiếm để đạt được từ thử nghiệm thâm nhập; tại sao khách hàng muốn thực hiện kiểm tra thâm nhập đối với môi trường của họ; và, họ có muốn một số loại thử nghiệm nhất định được thực hiện trong quá trình thử nghiệm thâm nhập hay không.

Cách tiến hành kiểm tra

Phần cuối cùng của giai đoạn trước khi tham gia là quyết định thủ tục tiến hành thử nghiệm. Có nhiều chiến lược thử nghiệm khác nhau như Hộp trắng, Hộp đen, Hộp xám, Thử nghiệm mù đôi để lựa chọn.

Sau đây là một số ví dụ về đánh giá có thể được yêu cầu:

Kiểm tra thâm nhập mạng
Kiểm tra thâm nhập ứng dụng web
Kiểm tra thâm nhập mạng không dây
Kiểm tra thâm nhập vật lý
Kỹ thuật xã hội
Phishing
Giao thức thoại qua Internet (VOIP)
Mạng nội bộ
Mạng bên ngoài

Giai đoạn thu thập thông tin tình báo

Thu thập thông tin tình báo, giai đoạn thứ hai của PTES, là nơi chúng tôi thực hiện khảo sát sơ bộ đối với mục tiêu để thu thập càng nhiều thông tin càng tốt để sử dụng khi thâm nhập mục tiêu trong giai đoạn khai thác và đánh giá tính dễ bị tổn thương. Nó giúp các tổ chức xác định mức độ tiếp xúc bên ngoài của nhóm đánh giá. Chúng ta có thể chia thu thập thông tin theo ba cấp độ sau:

Thu thập thông tin cấp độ 1

Các công cụ tự động có thể có được mức thông tin này gần như hoàn toàn. Nỗ lực thu thập thông tin cấp độ 1 phải phù hợp để đáp ứng yêu cầu tuân thủ.

Thu thập thông tin cấp độ 2

Mức thông tin này có thể thu được bằng cách sử dụng các công cụ tự động từ mức 1 cùng với một số phân tích thủ công. Cấp độ này cần hiểu rõ về doanh nghiệp, bao gồm các thông tin như vị trí thực tế, mối quan hệ kinh doanh, sơ đồ tổ chức, v.v. Nỗ lực thu thập thông tin cấp độ 2 phải phù hợp để đáp ứng yêu cầu tuân thủ cùng với các nhu cầu khác như chiến lược bảo mật dài hạn, mua lại các nhà sản xuất nhỏ hơn, v.v.

Thu thập thông tin cấp độ 3

Mức độ thu thập thông tin này được sử dụng trong thử nghiệm thâm nhập tiên tiến nhất. Tất cả thông tin từ cấp độ 1 và cấp độ 2 cùng với nhiều phân tích thủ công là bắt buộc để thu thập thông tin cấp độ 3.

Giai đoạn tạo mô hình mối đe dọa

Đây là giai đoạn thứ ba của PTES. Phương pháp mô hình hóa mối đe dọa được yêu cầu để thực hiện chính xác thử nghiệm thâm nhập. Mô hình mối đe dọa có thể được sử dụng như một phần của thử nghiệm thâm nhập hoặc nó có thể phải đối mặt dựa trên một số yếu tố. Trong trường hợp chúng tôi đang sử dụng mô hình mối đe dọa như một phần của thử nghiệm thâm nhập, thì thông tin thu thập được trong giai đoạn thứ hai sẽ được chuyển trở lại giai đoạn đầu tiên.

Các bước sau tạo thành giai đoạn mô hình hóa mối đe dọa:

Thu thập thông tin cần thiết và phù hợp.
Cần xác định và phân loại tài sản chính và phụ.
Cần xác định và phân loại các mối đe dọa & cộng đồng mối đe dọa.
Cần lập bản đồ các cộng đồng đe dọa đối với các tài sản chính và phụ.

Cộng đồng & Đại lý Đe doạ

Bảng sau liệt kê các cộng đồng và tác nhân đe dọa có liên quan cùng với vị trí của họ trong tổ chức -

Vị trí	Nội bộ	Bên ngoài
Threat agents/communities	Nhân viên	Đối tác kinh doanh
	Người quản lý	Nhà thầu
	Quản trị viên (Mạng, Hệ thống)	Đối thủ cạnh tranh
	Kỹ sư	Các nhà cung cấp
	Kỹ thuật viên	Quốc gia
	Cộng đồng người dùng chung	Tin tặc

Trong khi thực hiện đánh giá mô hình mối đe dọa, chúng ta cần nhớ rằng vị trí của các mối đe dọa có thể là nội bộ. Chỉ cần một e-mail lừa đảo duy nhất hoặc một nhân viên khó chịu đang giữ an ninh của tổ chức đang bị đe dọa bằng cách phát thông tin đăng nhập.

Giai đoạn phân tích lỗ hổng

Đây là giai đoạn thứ tư của PTES, trong đó người đánh giá sẽ xác định các mục tiêu khả thi để kiểm tra thêm. Trong ba giai đoạn đầu tiên của PTES, chỉ có các chi tiết về tổ chức được trích xuất và người đánh giá chưa chạm vào bất kỳ nguồn lực nào để kiểm tra. Đây là giai đoạn tốn nhiều thời gian nhất của PTES.

Các giai đoạn sau tạo thành Phân tích lỗ hổng bảo mật -

Kiểm tra lỗ hổng bảo mật

Nó có thể được định nghĩa là quá trình phát hiện ra các sai sót như cấu hình sai và thiết kế ứng dụng không an toàn trong hệ thống và ứng dụng của máy chủ và dịch vụ. Người kiểm tra phải xác định đúng phạm vi kiểm tra và kết quả mong muốn trước khi tiến hành phân tích lỗ hổng. Kiểm tra lỗ hổng bảo mật có thể thuộc các loại sau:

Kiểm tra tích cực
Kiểm tra thụ động

Chúng tôi sẽ thảo luận chi tiết về hai loại trong các phần tiếp theo của chúng tôi.

Kiểm tra tích cực

Nó liên quan đến sự tương tác trực tiếp với thành phần đang được kiểm tra các lỗ hổng bảo mật. Các thành phần có thể ở mức thấp chẳng hạn như ngăn xếp TCP trên thiết bị mạng hoặc ở mức cao như giao diện dựa trên web. Kiểm tra tích cực có thể được thực hiện theo hai cách sau:

Kiểm tra hoạt động tự động

Nó sử dụng phần mềm để tương tác với mục tiêu, kiểm tra các phản hồi và xác định dựa trên các phản hồi này xem có lỗ hổng trong thành phần hay không. Tầm quan trọng của kiểm tra chủ động tự động so với kiểm tra chủ động thủ công có thể được nhận ra từ thực tế là nếu có hàng nghìn cổng TCP trên một hệ thống và chúng ta cần kết nối tất cả chúng theo cách thủ công để kiểm tra, thì sẽ mất một lượng thời gian đáng kể. Tuy nhiên, làm điều đó với các công cụ tự động có thể giảm nhiều thời gian và yêu cầu lao động. Quét lỗ hổng mạng, quét cổng, lấy biểu ngữ, quét ứng dụng web có thể được thực hiện với sự trợ giúp của các công cụ kiểm tra hoạt động tự động.

Kiểm tra hoạt động thủ công

Kiểm tra hiệu quả thủ công hiệu quả hơn khi so sánh với kiểm tra hoạt động tự động. Biên độ sai sót luôn tồn tại với quy trình hoặc công nghệ tự động. Đó là lý do tại sao bạn nên thực hiện các kết nối trực tiếp thủ công tới từng giao thức hoặc dịch vụ có sẵn trên hệ thống đích để xác nhận kết quả của kiểm tra tự động.

Kiểm tra thụ động

Kiểm thử thụ động không liên quan đến tương tác trực tiếp với thành phần. Nó có thể được thực hiện với sự trợ giúp của hai kỹ thuật sau:

Phân tích siêu dữ liệu

Kỹ thuật này liên quan đến việc xem xét dữ liệu mô tả tệp hơn là dữ liệu của chính tệp. Ví dụ, tệp MS word có siêu dữ liệu về tên tác giả, tên công ty, ngày và giờ khi tài liệu được sửa đổi và lưu lần cuối. Sẽ có một vấn đề bảo mật nếu kẻ tấn công có thể truy cập thụ động vào siêu dữ liệu.

Giám sát giao thông

Nó có thể được định nghĩa là kỹ thuật kết nối với mạng nội bộ và thu thập dữ liệu để phân tích ngoại tuyến. Nó chủ yếu được sử dụng để chụp“leaking of data” vào một mạng chuyển mạch.

Thẩm định

Sau khi kiểm tra lỗ hổng, việc xác thực các phát hiện là rất cần thiết. Nó có thể được thực hiện với sự trợ giúp của các kỹ thuật sau:

Tương quan giữa các công cụ

Nếu một người đánh giá đang thực hiện kiểm tra lỗ hổng bằng nhiều công cụ tự động thì để xác thực các phát hiện, rất cần có mối tương quan giữa các công cụ này. Các phát hiện có thể trở nên phức tạp nếu không có sự tương quan giữa các công cụ. Nó có thể được chia nhỏ thành tương quan cụ thể của các mặt hàng và tương quan phân loại của các mặt hàng.

Xác thực giao thức cụ thể

Việc xác thực cũng có thể được thực hiện với sự trợ giúp của các giao thức. VPN, Citrix, DNS, Web, máy chủ thư có thể được sử dụng để xác thực các phát hiện.

Nghiên cứu

Sau khi phát hiện và xác nhận lỗ hổng trong hệ thống, điều cần thiết là xác định độ chính xác của việc xác định vấn đề và nghiên cứu khả năng khai thác tiềm năng của lỗ hổng trong phạm vi kiểm tra thâm nhập. Nghiên cứu có thể được thực hiện công khai hoặc riêng tư. Trong khi thực hiện nghiên cứu công khai, cơ sở dữ liệu lỗ hổng bảo mật và lời khuyên của nhà cung cấp có thể được sử dụng để xác minh tính chính xác của vấn đề được báo cáo. Mặt khác, trong khi thực hiện nghiên cứu riêng tư, một môi trường sao chép có thể được thiết lập và các kỹ thuật như cấu hình mờ hoặc kiểm tra có thể được áp dụng để xác minh tính chính xác của vấn đề được báo cáo.

Giai đoạn khai thác

Đây là giai đoạn thứ năm của PTES. Giai đoạn này tập trung vào việc giành quyền truy cập vào hệ thống hoặc tài nguyên bằng cách bỏ qua các hạn chế bảo mật. Trong giai đoạn này, tất cả các công việc được thực hiện bởi các giai đoạn trước dẫn đến việc đạt được quyền truy cập của hệ thống. Có một số thuật ngữ phổ biến như sau được sử dụng để truy cập vào hệ thống:

Popped
Shelled
Cracked
Exploited

Hệ thống đăng nhập, trong giai đoạn khai thác, có thể được thực hiện với sự trợ giúp của mã, khai thác từ xa, tạo khai thác, vượt qua phần mềm chống vi-rút hoặc có thể đơn giản như đăng nhập thông qua thông tin đăng nhập yếu. Sau khi có được quyền truy cập, tức là sau khi xác định được điểm vào chính, người đánh giá phải tập trung vào việc xác định các tài sản mục tiêu có giá trị cao. Nếu giai đoạn phân tích lỗ hổng được hoàn thành đúng cách, một danh sách mục tiêu có giá trị cao nên được tuân thủ. Cuối cùng, vectơ tấn công nên xem xét xác suất thành công và tác động cao nhất đến tổ chức.

Giai đoạn khai thác sau

Đây là giai đoạn thứ sáu của PTES. Chuyên gia đánh giá thực hiện các hoạt động sau trong giai đoạn này:

Phân tích cơ sở hạ tầng

Việc phân tích toàn bộ cơ sở hạ tầng được sử dụng trong quá trình thử nghiệm thâm nhập được thực hiện trong giai đoạn này. Ví dụ: phân tích mạng hoặc cấu hình mạng có thể được thực hiện với sự trợ giúp của giao diện, định tuyến, máy chủ DNS, mục DNS được lưu trong bộ nhớ cache, máy chủ proxy, v.v.

Pillaging

Nó có thể được định nghĩa là lấy thông tin từ các máy chủ được nhắm mục tiêu. Thông tin này có liên quan đến các mục tiêu được xác định trong giai đoạn đánh giá trước. Thông tin này có thể được lấy từ các chương trình đã cài đặt, các máy chủ cụ thể như máy chủ cơ sở dữ liệu, máy in, v.v. trên hệ thống.

Lọc dữ liệu

Theo hoạt động này, người đánh giá được yêu cầu lập bản đồ và thử nghiệm tất cả các đường dẫn lọc có thể có để có thể thực hiện việc đo cường độ kiểm soát, tức là phát hiện và chặn thông tin nhạy cảm từ tổ chức.

Tạo sự bền bỉ

Hoạt động này bao gồm cài đặt backdoor yêu cầu xác thực, khởi động lại backdoor khi được yêu cầu và tạo tài khoản thay thế với mật khẩu phức tạp.

Dọn dẹp

Như tên cho thấy, quy trình này bao gồm các yêu cầu làm sạch hệ thống sau khi kiểm tra thâm nhập hoàn thành. Hoạt động này bao gồm việc quay trở lại giá trị ban đầu cài đặt hệ thống, thông số cấu hình ứng dụng và xóa tất cả các cửa hậu đã cài đặt và bất kỳ tài khoản người dùng nào đã tạo.

Báo cáo

Đây là giai đoạn cuối cùng và quan trọng nhất của PTES. Tại đây, khách hàng thanh toán trên cơ sở báo cáo cuối cùng sau khi hoàn thành thử nghiệm thâm nhập. Về cơ bản, báo cáo là một phản ánh của những phát hiện được thực hiện bởi người đánh giá về hệ thống. Sau đây là những phần quan trọng của một báo cáo tốt -

Tóm tắt điều hành

Đây là một báo cáo truyền đạt cho người đọc về các mục tiêu cụ thể của thử nghiệm thâm nhập và những phát hiện cấp cao của bài tập thử nghiệm. Đối tượng dự kiến có thể là thành viên của ban cố vấn của bộ trưởng.

Cốt truyện

Báo cáo phải có cốt truyện giải thích những gì đã được thực hiện trong quá trình hợp tác, các phát hiện hoặc điểm yếu về an ninh thực tế và các biện pháp kiểm soát tích cực mà tổ chức đã thiết lập.

Bằng chứng về khái niệm / báo cáo kỹ thuật

Bằng chứng về khái niệm hoặc báo cáo kỹ thuật phải bao gồm các chi tiết kỹ thuật của thử nghiệm và tất cả các khía cạnh / thành phần đã được thỏa thuận như là các chỉ số thành công chính trong quá trình thực hiện trước hợp đồng. Phần báo cáo kỹ thuật sẽ mô tả chi tiết phạm vi, thông tin, đường dẫn tấn công, tác động và đề xuất khắc phục của thử nghiệm.