Etinio įsilaužimo pagrindai
Šis tinklaraščio įrašas yra įvadas į skvarbos testavimą ir etinį įsilaužimą. Apžvelgsime rašiklių testavimo pagrindus ir paaiškinsime, kodėl skverbimosi testavimas yra svarbus organizacijoms.
Taip pat apimsime įsiskverbimo bandymo etapus ir paaiškinsime, kas vyksta kiekviename etape.
Galiausiai apžvelgsime kai kuriuos įrankius, dažniausiai naudojamus skvarbos bandymuose.
Skverbimosi testavimas - etinio įsilaužimo pagrindai
Kas yra etinis įsilaužimas?
Kai galvojame apie įsilaužimą, tai dažnai siejame su neteisėta ar nusikalstama veikla. Įsilaužėliams užpuolus sistemą, jie tai daro be sistemos savininko žinios ir sutikimo. Paprasčiau tariant, tai yra tarsi patekti į kažkieno namus be visiško savininko leidimo ir išankstinio susitarimo.
Kita vertus, etinis įsilaužimas vis dar yra įsilaužimas. Tai apima informacijos apie sistemą rinkimą, spragų paiešką ir prieigą. Tačiau etinio įsilaužimo metu rašiklių bandytojas turi visišką sutikimą ir leidimą _ sistemos savininko. Todėl veikla tampa etinė, t. Y. Atliekama gerais ketinimais.
Norėdami pagerinti saugumą, klientai pasitelkia etinius įsilaužėlius.
Kas yra įsiskverbimo testavimas?
Prasiskverbimo bandymai apima tikrų atakų imitavimą, siekiant įvertinti riziką, susijusią su galimais saugumo pažeidimais.
Testuodami rašiklius, bandytojai naudoja įvairias priemones ir metodikas, kad surastų pažeidžiamumų. Tada jie bandys pasinaudoti pažeidžiamumais ir įvertinti, ką užpuolikai gali įgyti po sėkmingo išnaudojimo.
Kodėl prasiskverbimo bandymai yra būtini?
Bėgant metams nuolat auga kibernetinių grėsmių ir nusikalstamos veiklos, susijusios su informacinėmis technologijomis, skaičius. Verslas turi reguliariai atlikti pažeidžiamumo vertinimą ir skverbtis, kad nustatytų savo sistemų trūkumus. Tada jie gali naudoti veiksmingas priemones, kad apsaugotų savo sistemas nuo kenkėjiškų įsilaužėlių.
Kas atlieka rašiklio testą?
Etiniai įsilaužėliai yra žmonės, kurie paprastai atlieka įsiskverbimo bandymus.
Norėdami pagauti vagį, turite galvoti kaip vienas.
Tas pats pasakytina ir apie etinį įsilaužimą.
Norėdami rasti ir pašalinti saugos spragas kompiuterio sistemoje, turite galvoti kaip kenkėjiškas įsilaužėlis. Naudotumėte tą pačią taktiką, įrankius ir procesus, kuriuos jie gali naudoti.
Etinis įsilaužėlis naudoja tas pačias priemones ir metodus, kuriuos gali naudoti nusikaltėlis. Bet jie tai daro su visišku kliento palaikymu ir pritarimu, kad padėtų apsaugoti tinklą ar sistemą.
Skverbimosi testavimas ir pažeidžiamumo vertinimas
Pažeidžiamumo vertinimas tikrina, ar nėra atskleisto turto (tinklo, serverio, programų) pažeidžiamumo. Pažeidžiamumo nuskaitymo trūkumas yra tas, kad jis dažnai praneša apie klaidingus teigiamus rezultatus. Klaidingi teigiami rezultatai gali būti ženklas, kad esama kontrolė nėra visiškai veiksminga.
Skverbimosi bandymai žengia dar vieną žingsnį, nagrinėja pažeidžiamumus ir bandys juos išnaudoti.
Skverbimosi testavimo tipai
Juodosios dėžės skverbimosi testavimas
Atliekant juodosios dėžės skverbties testavimą, testuotojas neturi išankstinių žinių apie taikinį. Tai atidžiai imituoja realaus pasaulio atakas ir sumažina klaidingų teigiamų rezultatų.
Šio tipo bandymai reikalauja išsamių tyrimų ir informacijos apie tikslinę sistemą / tinklą rinkimo. Paprastai atliekant juodosios dėžės įsiskverbimo testą reikia daugiau laiko, pastangų ir išlaidų.
Grey-Box skverbimosi testavimas
Atliekant „pilkosios dėžės“ skverbties testavimą, bandytojas turi ribotas arba dalines žinias apie tikslinę infrastruktūrą. Jie turi tam tikrų žinių apie galiojančius saugumo mechanizmus.
Tai imituoja viešai neatskleisto asmens ar išorinio įsilaužėlio, kuris turi, ataką kai kurie tikslinės sistemos žinios ar privilegijos.
Baltųjų dėžių skverbimosi testavimas
Atlikdami baltos dėžės skverbties bandymus, testuotojai turi išsamių žinių apie tikslinę infrastruktūrą. Jie žino apie galiojančius saugumo mechanizmus. Tai daro testą daug greitesnį, lengvesnį ir pigesnį.
Tai imituoja išpuolį, kurį gali įvykti viešai neatskleistas asmuo, turintis visas žinias ir privilegijas tikslinėje sistemoje.
Paskelbtas testavimas
Tokio tipo bandymuose visi žino, kada bus pradėti bandymai. IT personalas, tinklo komanda ir valdymo komanda, iš anksto žino apie rašiklių testavimo veiklą.
Iš anksto nepranešta
Tokio tipo bandymuose IT darbuotojai ir palaikymo komandos neturi išankstinių žinių apie rašiklių testavimo veiklą.
Testų tvarkaraštį žino tik aukščiausioji vadovybė. Toks testavimas padeda nustatyti IT ir pagalbinio personalo reagavimą saugumo atakos atveju.
Automatinis skverbimosi testavimas
Kadangi įsiskverbimo bandymai apima daugybę užduočių, o atakos paviršiaus plotas kartais taip pat yra sudėtingas, kartais norint naudoti daugelį užduočių, reikia naudoti įrankius.
Įrankis reguliariai veiks su infrastruktūra ir tada pasidalins ataskaitomis su suinteresuotomis komandomis, kad išspręstų problemas.
Automatinių įrankių naudojimo trūkumas yra tas, kad jie tikrins tik iš anksto nustatytus pažeidžiamumus, taip pranešdami apie klaidingus teigiamus rezultatus.
Ji taip pat negali peržiūrėti architektūros ir sistemos integracijos iš saugumo perspektyvos. Tačiau jis tinka pakartotinai nuskaityti kelis taikinius ir papildyti bandymus rankiniu būdu.
Rankinis skverbimosi testavimas
Bandydamas rankiniu būdu, bandytojas naudojasi savo patirtimi ir įgūdžiais, kad galėtų prasiskverbti į tikslinę sistemą. Testuotojas taip pat gali atlikti architektūros ir kitų procedūrinių aspektų apžvalgas, konsultuodamasis su atitinkamomis komandomis. Holistiniam saugumo testavimui geriausia naudoti automatinio ir rankinio testavimo derinį.
Skverbimosi bandymo etapai
Rašiklio testavimas prasideda prieš įtraukimą. Tai reiškia, kad reikia pasikalbėti su klientu apie tikslus, susijusius su rašiklio testu, ir nustatyti bandymo sritį.
Klientas ir rašiklio testeris - klausimai ir lūkesčiai.
Kai kurie klientai nustato veiklos srities ribas.
Pavyzdžiui, klientas bandytojui suteikia leidimą rasti duomenų bazės pažeidžiamumą, bet ne gauti slaptų duomenų.
Išankstinių užduočių etapas taip pat apima kitą informaciją, pvz., Testavimo langą, kontaktinę informaciją ir mokėjimo sąlygas.
Informacijos rinkimas
Informacijos rinkimo etape rašiklių bandytojai ieško viešai prieinamos informacijos apie klientą ir nustato galimus prisijungimo prie kliento sistemų būdus.
Testuotojai pradeda naudoti tokius įrankius kaip prievadų skaitytuvai, kad suprastų, kokios sistemos yra vidiniame tinkle, taip pat kokia programinė įranga veikia.
Grėsmių modeliavimas
Grėsmės modeliavimo etape testuotojai naudojasi ankstesniame etape surinkta informacija, kad nustatytų kiekvieno radinio vertę ir poveikį klientui, jei radus leidimą užpuolikui įsilaužti į sistemą.
Šis įvertinimas leidžia pentesteriui parengti veiksmų planą ir atakos metodus.
Pažeidžiamumo analizė
Prieš rašiklių bandytojai gali pradėti atakuoti sistemą, jie atlieka pažeidžiamumo analizę. Čia rašiklių testuotojai bando atrasti sistemų silpnybes, kuriomis galima pasinaudoti kitame etape.
Operacija
Išnaudojimo etape rašiklių testuotojai pradeda savo išnaudojimą prieš tikslinę sistemą. Jie naudojasi anksčiau atrastomis spragomis bandydami pasiekti kliento sistemas. Jie išbandys įvairius įrankius ir metodus, kad įsiskverbtų į sistemą.
Po išnaudojimo
Po eksploatavimo bandytojai įvertina žalos, kurią galima padaryti naudojant konkretų išnaudojimą, mastą. Kitaip tariant, jie vertina riziką.
Pavyzdžiui, rašiklio testo metu testuotojai pažeidė kliento sistemą. Ar tas įsibrovimas iš tikrųjų reiškia ką nors klientui?
Jei įsilaužėte į sistemą, kuri neatskleidžia jokios gyvybiškai svarbios informacijos, kuri domina užpuoliką, tada kas? Šio pažeidžiamumo rizika yra žymiai mažesnė nei tuo atveju, jei sugebėtumėte išnaudoti kliento kūrimo sistemą.
Ataskaitos
Paskutinis įsiskverbimo bandymų etapas yra ataskaitų teikimas. Šiame etape rašiklių tikrintojai prasmingai perduoda savo išvadas klientui. Ataskaitoje klientas informuojamas, ką jis daro teisingai ir kur reikia pagerinti savo saugumo laikyseną.
Ataskaitoje gali būti išsami informacija apie kiekvieną išnaudojimą ir priemonės joms ištaisyti.
Bendrieji įrankiai, naudojami įsiskverbimo testavimui
Du dažniausiai naudojami įrankiai, naudojami bandant rašiklį, yra Nmap ir Metasploit .
Abi priemonės gali suteikti daug informacijos apie tikslinę sistemą.
„Kali Linux“ iš įžeidžiančio saugumo apima daug kitų įrankiai naudojami įvairiuose bandymų etapuose.
