Co to są testy penetracyjne? {Kroki, metody, typy}

Usuwanie słabych punktów z systemów i aplikacji jest priorytetem cyberbezpieczeństwa. Firmy korzystają z różnych technik w celu wykrycia wad oprogramowania, ale żadna metoda testowania nie zapewnia bardziej realistycznej i wszechstronnej analizy niż test penetracyjny.

Ten artykuł stanowi wprowadzenie do testów penetracyjnych. Czytaj dalej, aby dowiedzieć się, jak działają testy piórowe i jak firmy korzystają z tych testów, aby zapobiegać kosztownym i szkodliwym naruszeniom.

Definicja testu penetracyjnego

Testy penetracyjne (lub testy piórowe) to symulacja cyberataku, podczas którego testowany jest system komputerowy, sieć lub aplikacja pod kątem słabych punktów bezpieczeństwa. Testy te opierają się na szeregu narzędzi i technik, których prawdziwi hakerzy użyliby do włamania się do firmy.

Inne popularne nazwy testów penetracyjnych to ataki białych kapeluszy i hakowanie etyczne.

Testerzy piórowi zazwyczaj wykorzystują połączenie narzędzi do testowania automatycznego i praktyk ręcznych, aby symulować atak. Testerzy wykorzystują także narzędzia penetracyjne do skanowania systemów i analizowania wyników. Dobre narzędzie do testów penetracyjnych powinno:

• Bądź łatwy w konfiguracji i obsłudze.
• Bądź szybki w skanowaniu systemu.
• Sortuj słabe strony według wagi.
• Zautomatyzuj weryfikację słabych punktów.
• Ponownie zweryfikuj wcześniejsze exploity.
• Dostarczaj szczegółowe raporty i logi.

Głównym celem testu piórkowego jest identyfikacja problemów związanych z bezpieczeństwem systemów operacyjnych, usług, aplikacji, konfiguracji i zachowań użytkowników. Ta forma testowania umożliwia zespołowi odkrycie:

• Luki w systemie i luki w zabezpieczeniach.
• Brak zgodności z przepisami dotyczącymi prywatności i bezpieczeństwa danych (PCI, HIPAA, RODO itp.)
• Brak świadomości bezpieczeństwa w całym zespole.
• Błędy w protokołach identyfikacji zagrożeń.
• Możliwości ulepszeń w planie reagowania na incydenty.
• Błędy w polityce bezpieczeństwa.

Firmy zazwyczaj zatrudniają zewnętrznych wykonawców do przeprowadzania testów piórowych. Brak wiedzy o systemie pozwala zewnętrznemu testerowi być bardziej dokładnym i pomysłowym niż wewnętrzni programiści. Niektóre firmy prowadzą również programy nagród, które zapraszają freelancerów do hakowania systemów z obietnicą zapłaty, jeśli złamią system.

Jaki jest końcowy wynik testu penetracyjnego?

Końcowym rezultatem testu penetracyjnego jest raport z testu piórowego. Raport informuje menedżerów systemów informatycznych i sieciowych o wykrytych wadach i exploitach. Raport powinien również zawierać kroki mające na celu rozwiązanie problemów i ulepszenie zabezpieczeń systemu.

Każdy raport z testu pióra powinien zawierać:

• Podsumowanie: podsumowanie zawiera ogólny przegląd testu. Czytelnicy nietechniczni mogą skorzystać z podsumowania, aby uzyskać wgląd w zagrożenia bezpieczeństwa ujawnione w teście pióra.
• Narzędzia, metody i wektory: w tej sekcji opisano narzędzia i metody stojące za testem. Testerzy opisują także krok po kroku wzorce ataków, które doprowadziły do udanego naruszenia.
• Szczegółowe ustalenia: w tej sekcji znajdują się wszystkie zagrożenia bezpieczeństwa, luki w zabezpieczeniach, zagrożenia i problemy wykryte w wyniku testu penetracyjnego. W odróżnieniu od streszczenia, ta część raportu zawiera szczegółowe omówienie szczegółów technicznych.
• Zalecenia: w sekcji rekomendacji wyjaśniono, jak poprawić bezpieczeństwo i chronić system przed prawdziwymi cyberatakami.

Jak często należy przeprowadzać testy penetracyjne?

Firmy regularnie przeprowadzają testy penetracyjne, zazwyczaj raz w roku. Oprócz corocznych testów firma powinna również zorganizować test piórowy, gdy zespół:

• Dodaje nową infrastrukturę sieciową.
• Instaluje nowe aplikacje.
• Znacząco aktualizuje lub modyfikuje infrastrukturę lub aplikacje.
• Otwiera biuro w nowej lokalizacji.
• Dodaje nowe poprawki zabezpieczeń.
• Wprowadza zmiany w zasadach dotyczących użytkowników końcowych.

W zależności od wielkości i budżetu Twojej firmy przeprowadzanie testu penetracyjnego za każdym razem, gdy zespół wprowadza zmianę, może nie być realistyczne. W takim przypadku zespół powinien zastosować kombinację testów penetracyjnych i skanowania podatności. Chociaż automatyczne skanowanie podatności na zagrożenia nie jest tak wydajne, jest szybsze i tańsze niż testy piórowe.

Etapy testów penetracyjnych

Testy penetracyjne to złożona praktyka, która składa się z kilku faz. Poniżej znajduje się szczegółowe omówienie sposobu, w jaki test pióra sprawdza system docelowy.

Zakres testów penetracyjnych

Ten etap obejmuje wstępne przygotowanie do badania. Zespół powinien:

• Omów logistykę testu.
• Zdefiniuj zakres testów.
• Ustal oczekiwania.
• Wyznaczaj cele.
• Określ granice agresji zespołu penetracyjnego.
• Rozważ potencjalne skutki prawne.

Rekonesans (gromadzenie wywiadu)

Hakerzy zaczynają poznawać system i szukać potencjalnych punktów wejścia na etapie gromadzenia informacji wywiadowczych. Ta faza wymaga od zespołu przede wszystkim zebrania informacji o celu, ale testerzy mogą również odkryć słabe punkty na poziomie powierzchni.

Etap rozpoznania obejmuje skanowanie:

• Cały sprzęt.
• Sieci lokalne i bezprzewodowe.
• Zapory ogniowe.
• Odpowiednie aplikacje.
• Strony internetowe.
• Systemy oparte na chmurze.
• Zachowanie i protokoły pracowników.

Innym powszechnym terminem określającym etap rozpoznania jest gromadzenie danych wywiadowczych typu open source (OSINT).

Modelowanie zagrożeń

Testerzy wykorzystują spostrzeżenia z fazy rozpoznania do projektowania niestandardowych zagrożeń w celu penetracji systemu. Zespół identyfikuje również i kategoryzuje różne zasoby do testów.

Eksploatacja

Testerzy próbują włamać się do celu poprzez punkty wejścia, które znaleźli na wcześniejszych etapach. Jeśli włamią się do systemu, testerzy próbują podnieść swoje uprawnienia dostępu. Poruszanie się po systemie na boki umożliwia testerom pióra identyfikację:

• Zła konfiguracja segmentacji sieci.
• Dostęp do wrażliwych danych i zasobów.
• Słabe zarządzanie kontami i hasłami.

Poeksploatacyjne

Testerzy pióra oceniają zakres szkód, jakie haker może wyrządzić, wykorzystując słabości systemu. Faza poeksploatacyjna wymaga również od testerów określenia, w jaki sposób zespół ds. bezpieczeństwa powinien odzyskać siły po naruszeniu zasad testu.

Analiza, raportowanie i tworzenie wykonalnych kroków zapewniających ochronę

Testerzy zestawiają wyniki testu w raport, który opisuje:

• Szczegółowy podział działalności hakerów.
• Odkryte słabe punkty i luki.
• Testerom danych udało się dotrzeć.
• Jak długo testerzy pozostawali niewykryci w systemie.
• Kroki, które firma musi podjąć, aby usunąć luki i chronić się przed prawdziwymi atakami.

Ponowne testowanie

Gdy zespół ds. bezpieczeństwa wdroży zmiany z raportu pióra, system jest gotowy do ponownego testowania. Testerzy powinni przeprowadzić te same symulowane ataki, aby sprawdzić, czy cel może teraz oprzeć się próbie naruszenia.

Standaryzowane metodologie testów penetracyjnych

Firmy zazwyczaj korzystają z jednej z pięciu standardowych metod testów penetracyjnych: OWASP, OSSTMM, ISSAF, PTES i NIST.

OWASP

OWASP (Open Web Application Security Project) to platforma służąca do identyfikacji luk w zabezpieczeniach aplikacji. Metoda ta pozwala zespołowi na:

• Rozpoznawanie luk w aplikacjach internetowych i mobilnych.
• Odkryj wady praktyk programistycznych.

OWASP umożliwia także testerom ocenę ryzyka, co oszczędza czas i pomaga ustalić priorytety problemów. Framework ten ma ogromną społeczność użytkowników, więc nie brakuje artykułów, technik, narzędzi i technologii OWASP.

OSSTMM

OSSTMM (Podręcznik metodologii testowania bezpieczeństwa typu open source) opiera się na naukowej metodologii testów penetracyjnych sieci. Ta recenzowana struktura zapewnia dokładną charakterystykę bezpieczeństwa działania, idealną dla etycznego hakowania.

OSSTMM umożliwia testerom piórowym przeprowadzanie niestandardowych testów, które odpowiadają technologicznym i specyficznym potrzebom organizacji.

ISSAF

ISSAF (Ramy oceny bezpieczeństwa systemu informacyjnego) zapewniają wyspecjalizowane i ustrukturyzowane podejście do testowania.

To środowisko jest idealne dla testerów, którzy chcą szczegółowo zaplanować i udokumentować każdy etap testu piórowego. ISSAF jest również przydatny dla testerów korzystających z różnych narzędzi, ponieważ metoda ta pozwala powiązać każdy krok z konkretnym narzędziem.

PTE

PTES (metodologie i standardy testów penetracyjnych) oferuje wysoce ustrukturyzowane, siedmioetapowe podejście do testowania. Metodologia ta prowadzi testerów przez wszystkie etapy testów penetracyjnych, od rozpoznania i gromadzenia danych po eksploatację poeksploatacyjną i raportowanie.

PTES wymaga od testerów znajomości procesów organizacji, aby móc pomyślnie przeprowadzić testy.

NIST

NIST (Krajowy Instytut Standardów i Technologii) oferuje dokładne wytyczne dotyczące testów penetracyjnych w celu poprawy ogólnego bezpieczeństwa cybernetycznego. Ramy te są popularne w branżach wysokiego ryzyka, takich jak bankowość, komunikacja i energia.

Przestrzeganie NIST jest często wymogiem regulacyjnym dla amerykańskich przedsiębiorstw. Aby zachować zgodność z NIST, firma musi przeprowadzać testy penetracyjne aplikacji i sieci.

Rodzaje testów penetracyjnych

Testy penetracyjne różnią się pod względem celów, warunków i celów. W zależności od konfiguracji testu firma udostępnia testerom różny zakres informacji o systemie. W niektórych przypadkach zespół ds. bezpieczeństwa to ten, który ma ograniczoną wiedzę na temat testu.

Testy penetracyjne czarnej skrzynki

Zespół penetracyjny nie ma informacji o systemie docelowym w teście czarnej skrzynki. Hakerzy muszą znaleźć własną drogę do systemu i zaplanować sposób zorganizowania naruszenia.

Zazwyczaj testerzy na początku testu czarnej skrzynki znają tylko nazwę firmy. Zespół penetracyjny musi rozpocząć od szczegółowego rozpoznania, więc ta forma testów wymaga dużo czasu.

Testy penetracyjne szarej skrzynki

Zespół testujący posiada wiedzę użytkownika z podwyższonymi uprawnieniami. Haker wie o:

• Projektowanie i architektura dokumentacji.
• Struktury wewnętrzne.

Test pióra w szarej ramce pozwala zespołowi od początku skoncentrować się na celach o największym ryzyku i wartości. Ten typ testów idealnie nadaje się do naśladowania atakującego, który ma długotrwały dostęp do sieci.

Testy penetracyjne białej skrzynki

Testerzy piórowi mają informacje o systemie docelowym jeszcze przed rozpoczęciem pracy. Informacje te mogą obejmować:

• Adresy IP.
• Schematy infrastruktury sieciowej.
• Protokoły użytkownika.
• Artefakty systemowe (kod źródłowy, pliki binarne, kontenery).

W zależności od konfiguracji testerzy mogą nawet uzyskać dostęp do serwerów, na których działa system. Chociaż nie jest tak autentyczny jak testowanie czarnej skrzynki, zorganizowanie białej skrzynki jest szybkie i tanie.

Ukierunkowane testowanie

Personel IT firmy i zespół testerów współpracują przy przeprowadzaniu testów ukierunkowanych. Testerzy i pracownicy ochrony znają się nawzajem na wszystkich etapach.

Innym określeniem testów ukierunkowanych jest podejście „włączonych świateł”, ponieważ test jest przejrzysty dla wszystkich uczestników.

Testowanie zewnętrzne

Testowanie zewnętrzne symuluje atak na widoczne zewnętrznie serwery lub urządzenia. Typowe cele testów zewnętrznych to:

• Serwery nazw domen (DNS).
• Aplikacje internetowe.
• Serwery pocztowe.
• Strony internetowe.
• Serwery WWW i aplikacji.
• Zapory ogniowe.

Celem testów zewnętrznych jest sprawdzenie, czy osoba atakująca z zewnątrz może włamać się do systemu. Drugorzędnym celem jest sprawdzenie, jak daleko atakujący może dotrzeć po naruszeniu.

Testy wewnętrzne

Testy wewnętrzne imitują zagrożenie wewnętrzne pochodzące zza zapory sieciowej. Typowym punktem wyjścia dla tego testu jest użytkownik ze standardowymi uprawnieniami dostępu. Dwa najczęstsze scenariusze to:

• Niezadowolony pracownik, który postanowił uszkodzić system.
• Osoba atakująca, która uzyskała dostęp do systemu poprzez atak phishingowy.

Testy wewnętrzne idealnie nadają się do określenia, jakie szkody może wyrządzić systemowi złośliwy lub zainfekowany pracownik.

Ślepe testy

Ślepe testy symulują prawdziwy atak. Chociaż zespół ds. bezpieczeństwa wie o teście, personel ma ograniczone informacje na temat strategii naruszenia lub aktywności testera.

Podwójnie ślepe badanie

W przypadku metody podwójnie ślepej tylko jedna lub dwie osoby w firmie wiedzą o nadchodzącym teście. Podwójnie ślepe testy są idealne do badania:

• Systemy monitorowania bezpieczeństwa.
• Protokoły identyfikacji zdarzeń.
• Procedury reagowania.

Podwójnie ślepy test zapewnia autentyczny wgląd w zdolność zespołu ds. bezpieczeństwa do wykrywania prawdziwego ataku i reagowania na niego.

Podejścia do testów penetracyjnych (obszary testowania)

Poniżej znajdują się różne podejścia do testów penetracyjnych, które możesz zastosować, aby sprawdzić zabezpieczenia swojej firmy.

Testy penetracyjne i eksploatacja sieci

Testy penetracyjne sieci naśladują techniki hakerskie w celu włamania się do sieci, routerów, przełączników i hostów.

Ta forma testowania obejmuje:

• Omijanie zapory ogniowej.
• Ominięcie systemu zapobiegania włamaniom nowej generacji (NGIPS).
• Testowanie routerów i serwerów proxy.
• Unikanie IPS i DPS.
• Otwórz skanowanie portów.
• Ataki bezpieczeństwa SSH.
• Testowanie polityk zatrzymujących ruch boczny.
• Przechwytywanie ruchu sieciowego.
• Odkrywanie starszych urządzeń i urządzeń innych firm.

Ten typ testów obejmuje zarówno wykorzystanie sieci wewnętrznej, jak i zewnętrznej. Typowe słabe punkty odkrywane przez penetrację sieci to:

• Źle skonfigurowane zasoby.
• Luki specyficzne dla produktu.
• Słabe strony sieci bezprzewodowej.
• Nieuczciwe usługi.
• Słabe protokoły haseł.

Symulowany atak na infrastrukturę sieciową firmy to najczęstszy rodzaj testu piórowego.

Testy bezpieczeństwa aplikacji internetowych

Testy bezpieczeństwa aplikacji wyszukują potencjalne zagrożenia w aplikacjach po stronie serwera. Typowymi przedmiotami tych testów są:

• Aplikacje internetowe.
• Pszczoła.
• Znajomości.
• Ramy.
• Aplikacje mobilne.

Typowe luki w aplikacjach obejmują:

• Fałszowanie żądań między witrynami i tworzenie skryptów.
• Wady wtrysku.
• Złe zarządzanie sesją.
• Niebezpieczne bezpośrednie odniesienia do obiektów.
• Błędy kodowania.
• Uszkodzone protokoły uwierzytelniania lub autoryzacji.
• Słaba kryptografia.

Po stronie klienta lub w witrynie internetowej i sieci bezprzewodowej

Ten typ testów sprawdza urządzenia i infrastrukturę bezprzewodową pod kątem luk w zabezpieczeniach. Test pióra bezprzewodowego pozwala wykryć niezabezpieczone konfiguracje sieci bezprzewodowej i słabe testy uwierzytelniania.

Ten typ testów obejmuje skanowanie:

• Błędne konfiguracje serwera WWW.
• Strategie ochrony przed złośliwym oprogramowaniem i atakami DDoS.
• Zastrzyki SQL.
• Fałszowanie adresów MAC.
• Odtwarzacze multimedialne i oprogramowanie do tworzenia treści.
• Skrypty między witrynami.
• Hotspoty i punkty dostępowe.
• Protokoły szyfrowania.

Ataki inżynierii społecznej

Testy socjotechniczne wyszukują luki w protokołach i zachowaniach pracowników. Padnięcie ofiarą ataku socjotechnicznego może skutkować nieautoryzowanym dostępem, złośliwym oprogramowaniem, oprogramowaniem ransomware lub naruszeniem danych uwierzytelniających.

Testy pióra wykorzystujące socjotechnikę zazwyczaj naśladują ataki w świecie rzeczywistym, takie jak:

• Podsłuchiwanie.
• Ogon.
• Ataki phishingowe.
• Spear-phishing.
• Przynęta.
• Straszne.
• Pretekst.

Testy fizyczne

Fizyczne testy penetracyjne mają na celu uzyskanie fizycznego dostępu do obszarów biznesowych. Ten rodzaj testów zapewnia integralność:

• Systemy RFID.
• Kamery.
• Systemy domofonowe i klawiatury.
• Zachowanie pracowników i dostawców.
• Czujniki ruchu i światła.

Hakerzy często łączą testy fizyczne z inżynierią społeczną, aby stworzyć realistyczne warunki ataku.

Testowanie pióra w chmurze

Testy penetracyjne chmury badają mechanizmy obronne chroniące zasoby chmury. Testy piórkowe identyfikują potencjalne zagrożenia w aplikacjach, sieciach i konfiguracjach w chmurze, które mogą zapewnić hakerom dostęp do:

• Dane uwierzytelniające firmy.
• Systemy wewnętrzne.
• Wrażliwe dane.

Tego typu testy są niezbędne dla firm korzystających z rozwiązań IaaS, PaaS i SaaS. Testowanie pióra w chmurze jest również ważne dla zapewnienia bezpiecznych wdrożeń w chmurze.

Kluczowa część każdej strategii oceny ryzyka

Testy penetracyjne umożliwiają firmie proaktywne wykrywanie słabych punktów systemu, zanim hakerzy będą mieli okazję wyrządzić szkody. Regularnie przeprowadzaj symulowane ataki na swoje systemy, aby zapewnić bezpieczeństwo operacji IT i zapobiegać kosztownym naruszeniom.