Главная Безопасность Основы этического взлома

Основы этического взлома

Это сообщение в блоге представляет собой введение в тестирование на проникновение и этический взлом. Мы рассмотрим основы тестирования на проникновение и объясним, почему тестирование на проникновение важно для организаций.

Мы также рассмотрим этапы тестирования на проникновение и объясним, что происходит на каждом этапе.

Наконец, мы рассмотрим некоторые инструменты, обычно используемые при тестировании на проникновение.

Тестирование на проникновение - основы этического взлома

Что такое этичный взлом?

Когда мы думаем о взломе, мы часто ассоциируем его с незаконной или преступной деятельностью. Когда хакер атакует систему, он делает это без ведома и согласия владельца системы. Проще говоря, это похоже на проникновение в чей-то дом без полного разрешения и предварительного согласия владельца.

С другой стороны, этический хакерство - это хакерство. Он включает в себя сбор информации о системе, поиск лазеек и получение доступа. Однако при этическом взломе у пентестера есть _ полное согласие и разрешение _ владельца системы. Таким образом, деятельность становится этичной, то есть совершаемой с добрыми намерениями.

Клиенты нанимают этичных хакеров для повышения безопасности.

Что такое тестирование на проникновение?

Тестирование на проникновение включает моделирование реальных атак для оценки риска, связанного с потенциальными нарушениями безопасности.

Во время тестирования на проникновение тестировщики используют различные инструменты и методики для поиска уязвимостей. Затем они попытаются использовать уязвимости, чтобы оценить, что злоумышленники могут получить после успешной эксплуатации.

Почему необходимо тестирование на проникновение?

С годами наблюдается постоянный рост количества киберугроз и преступной деятельности, связанной с информационными технологиями. Компаниям необходимо проводить регулярную оценку уязвимостей и тестирование на проникновение для выявления слабых мест в своих системах. Затем они могут использовать эффективные меры для защиты своих систем от злоумышленников.

Кто выполняет тест на проникновение?

Этичные хакеры - это люди, которые обычно проводят тестирование на проникновение.

Чтобы поймать вора, нужно думать как он.

То же верно и в отношении этичного взлома.

Чтобы найти и исправить дыры в безопасности в компьютерной системе, вы должны думать как злонамеренный хакер. Вы бы использовали те же тактики, инструменты и процессы, которые они могли бы использовать.

Этичный хакер использует те же инструменты и методы, что и преступник. Но они делают это при полной поддержке и одобрении клиента, чтобы защитить сеть или систему.

Тестирование на проникновение против оценки уязвимости

Оценка уязвимости исследует открытые активы (сеть, сервер, приложения) на наличие уязвимостей. Обратной стороной сканирования уязвимостей является то, что он часто сообщает о ложных срабатываниях. Ложные срабатывания могут быть признаком того, что существующий контроль не полностью эффективен.

Тестирование на проникновение идет еще дальше и рассматривает уязвимости и пытается их использовать.

Типы тестирования на проникновение

Тестирование на проникновение в черный ящик

При тестировании на проникновение методом черного ящика тестировщик не имеет предварительных знаний о цели. Это точно имитирует реальные атаки и снижает количество ложных срабатываний.

Этот тип тестирования требует обширных исследований и сбора информации о целевой системе / сети. Обычно для выполнения теста на проникновение в черный ящик требуется больше времени, усилий и затрат.

Тестирование на проникновение в сером ящике

При тестировании на проникновение методом серого ящика тестировщик имеет ограниченные или частичные знания о целевой инфраструктуре. У них есть некоторые знания о механизмах безопасности.

Это имитирует атаку инсайдера или внешнего хакера, который некоторый знания или привилегии в целевой системе.

Тестирование на проникновение методом белого ящика

При тестировании на проникновение методом белого ящика тестировщики обладают всесторонними знаниями о целевой инфраструктуре. Они знают о действующих механизмах безопасности. Это делает тест намного быстрее, проще и дешевле.

Это имитирует атаку, которая может произойти инсайдером, обладающим полными знаниями и привилегиями в целевой системе.

Объявлено о тестировании

В этом типе тестирования все знают, когда тестирование будет начато. ИТ-персонал, сетевая группа и руководство имеют предварительные знания о тестировании на проникновение.

Необъявленное тестирование

В этом типе тестирования ИТ-персонал и группы поддержки не имеют предварительных знаний о тестировании на проникновение.

О расписании тестирования известно только высшее руководство. Такое тестирование помогает определить реакцию ИТ-персонала и вспомогательного персонала в случае атаки на систему безопасности.

Автоматизированное тестирование на проникновение

Поскольку тестирование на проникновение включает в себя множество задач, а поверхность атаки также иногда бывает сложной, иногда необходимо использовать инструменты для автоматизации многих задач.

Инструмент будет работать с инфраструктурой через регулярные промежутки времени, а затем передавать отчеты заинтересованным группам для решения проблем.

Обратной стороной использования автоматизированных инструментов является то, что они будут проверять только предопределенные уязвимости, таким образом сообщая о ложных срабатываниях.

Он также не может анализировать архитектуру и системную интеграцию с точки зрения безопасности. Однако он подходит для многократного сканирования нескольких целей и в дополнение к ручному тестированию.

Ручное тестирование на проникновение

При ручном тестировании тестировщик использует свой собственный опыт и навыки, чтобы проникнуть в целевую систему. Тестировщик также может выполнять обзоры архитектуры и других процедурных аспектов, консультируясь с соответствующими группами. Для комплексного тестирования безопасности лучше всего использовать сочетание автоматического и ручного тестирования.

Этапы тестирования на проникновение

Тестирование на проникновение начинается с этапа предварительного взаимодействия. Это включает в себя беседу с клиентом об их целях теста на проникновение и определение объема теста.

Клиент и пентестеры задают вопросы и задают ожидания.

Некоторые клиенты ставят границы сферы деятельности.

Например, клиент дает тестеру разрешение на поиск уязвимостей в базе данных, но не на получение конфиденциальных данных.

На этапе перед взаимодействием также рассматриваются другие детали, такие как окно тестирования, контактная информация и условия оплаты.

Сбор информации

На этапе сбора информации пентестеры ищут общедоступную информацию о клиенте и определяют потенциальные способы подключения к его системам.

Тестировщики начинают использовать такие инструменты, как сканеры портов, чтобы получить представление о том, какие системы находятся во внутренней сети, а также какое программное обеспечение работает.

Моделирование угроз

На этапе моделирования угроз тестировщики используют информацию, собранную на предыдущем этапе, для определения ценности каждого вывода и воздействия на клиента, если обнаружение позволило злоумышленнику проникнуть в систему.

Эта оценка позволяет пентестеру разработать план действий и методы атаки.

Анализ уязвимости

Прежде чем Pen-тестеры смогут начать атаковать систему, они проводят анализ уязвимостей. Здесь тестеры Pen пытаются обнаружить слабые места в системах, которыми можно воспользоваться на следующем этапе.

Операция

На этапе эксплуатации Pen-тестеры начинают свою уязвимость против целевой системы. Они используют ранее обнаруженные уязвимости, пытаясь получить доступ к клиентским системам. Они будут пробовать различные инструменты и методы, чтобы проникнуть в систему.

Постэксплуатация

После эксплуатации тестировщики оценивают степень ущерба, который может быть нанесен конкретным эксплойтом. Другими словами, они оценивают риски.

Например, во время теста на проникновение тестировщики взломали систему клиента. Это вторжение действительно что-нибудь значит для клиента?

Если вы взломали систему, которая не раскрывает никакой важной информации, интересующей злоумышленника, что с того? Риск этой уязвимости значительно ниже, чем если бы вы могли использовать систему разработки клиента.

Составление отчетов

Заключительный этап тестирования на проникновение - это отчетность. На этом этапе тестеры пера содержательно передают свои выводы заказчику. Отчет информирует клиента о том, что он делает правильно и где ему необходимо повысить уровень безопасности.

Отчет может включать подробную информацию о каждой эксплойте и мерах по их исправлению.