Mikä on tunkeutumistestaus?

Tunkeutumistestaus, kynätestaus tai eettinen hakkerointi on käytäntöä, jossa testataan tietokonejärjestelmän, verkon tai verkkosovelluksen kyberturvallisuutta etsimällä hyödynnettävissä olevia tietoturva-aukkoja. Tunkeutumistestaus voidaan automatisoida tunkeutumistestaustyökaluilla tai manuaalisesti tunkeutumistestaajien toimesta.

Pohjimmiltaan tunkeutumistestaus pyrkii vastaamaan:

• Miten hyökkäys voittaisi tietoturvaohjelmani?
• Miten he pääsisivät käsiksi minun ja asiakkaani arkaluontoisiin tietoihin?

Se tarkastelee verkkoasi, sovellustasi, laitettasi ja fyysistä turvallisuuttasi haitallisen toimijan ja kokeneen tietoturvatiimin silmin paljastaakseen heikkoudet ja tunnistaakseen, miten suojaustasoasi voitaisiin parantaa. Se on tärkeä kyberturvallisuuden osa-alue, jota kaikkien organisaatioiden tulisi käyttää.

Kynätestaajat käynnistävät valtuutettuja kyberhyökkäyksiä, joiden tarkoituksena on päästä käsiksi arkaluonteisiin tietoihin ja simuloida, mihin tosielämän hyökkäys kohdistuu, miten turvavalvontasi toimisivat ja mikä on mahdollisen tietomurron laajuus.

Mitä tunkeutumistestiin sisältyy?

Tyypillisesti tunnistetaan kohdejärjestelmä ja määritellään tietty tavoite, esimerkiksi pääsy henkilötietoihin ja PHI-tietoihin, jotka johtaisivat ilmoitettavaan tietomurtoon.

Kynätestaajat käyvät sitten läpi saatavilla olevat tiedot ja käyttävät erilaisia menetelmiä yrittääkseen saavuttaa tavoitteensa. He voivat esimerkiksi käyttää SQL-injektioita, tietojenkalastelua ja muita manipulointihyökkäyksiä, sivustojen välisiä komentosarjoja tai hyödyntää haavoittuvuuksia.

Kun tunkeutumistesti on suoritettu, tietoturva-asiantuntijat antavat turvallisuusarvion kohteen omistajille. Arvioinnissa hahmotellaan yleisesti mahdolliset vaikutukset ja vastatoimet, joilla pyritään vähentämään kyberturvallisuusriskejä.

Opi kyberturvallisuuden ja eettisen hakkeroinnin erot.

Mitkä ovat tunkeutumistestauksen yleiset alueet?

Tunkeutumistestauksen yleisiä alueita ovat:

• Sovelluksen tunkeutumistestaus: Tunnistaa ongelmat, kuten sivustojen välisen pyyntöjen väärentämisen, sivustojen väliset komentosarjat, injektiovirheet, heikon istunnon hallinnan ja paljon muuta
• Verkon tunkeutumistestaus: Korostaa verkkotason puutteita, kuten virheellisiä määrityksiä, tuotekohtaisia haavoittuvuuksia, langattomien verkkojen haavoittuvuuksia, vilpillisiä palveluita, heikkoja salasanoja, haavoittuvia protokollia ja oletussalasanoja
• Fyysinen tunkeutumistestaus: Paljastaa, miten fyysiset kontrollit, kuten lukot, biometriset skannaukset, anturit ja kamerat, voidaan voittaa
• IoT-tunkeutumistestaus: Paljastaa esineiden internetin (IoT) laitteiden laitteisto- ja ohjelmistohaavoittuvuudet, mukaan lukien oletussalasanat, turvattomat protokollat, avoimet API:t, virheelliset määritykset ja paljon muuta

Mikä on tunkeutumistestin tavoite?

Tunkeutumistestin tavoite riippuu hyväksytyn toiminnan tyypistä ja vaatimustenmukaisuusvaatimuksistasi. Tunkeutumistestaus voi auttaa organisaatioita:

• Määritä tiettyjen hyökkäysvektorien toteutettavuus
• Tunnista korkean riskin haavoittuvuudet, jotka johtuvat tietyllä tavalla hyödynnetyistä pienemmän riskin haavoittuvuuksista
• Korosta haavoittuvuuksia, jotka jäävät havaitsematta automaattisessa verkon tai sovelluksen haavoittuvuuksien tarkistusohjelmistossa
• Arvioi onnistuneiden kyberhyökkäysten mahdollisia vaikutuksia liiketoimintaan, toimintaan ja sääntelyyn
• Testaa verkon puolustus ja organisaatiosi kyky havaita, reagoida ja pysäyttää hyökkäys onnistuneesti
• Tarjoa konteksti, joka tukee lisäinvestointeja tietoturvakäytäntöihin, -menettelyihin, henkilöstöön tai teknologiaan
• Täytä vaatimustenmukaisuusvaatimukset, esimerkiksi kaikkien FISMA:n sääntelemien yksiköiden on noudatettava NIST SP 800-115, Technical Guide to Information Security Testing and Assessment. Maksukorttialan tietoturvastandardi (PCI DSS) edellyttää myös säännöllistä tunkeutumistestausta.
• Vahvista vastaavien hyökkäysten estämiseksi käyttöön otettujen uusien tietoturvakontrollien käyttöönotto

Loppujen lopuksi vakiotavoitteena on löytää tietoturvaongelmia, joita hyökkääjä voi hyödyntää, ja jakaa sitten nämä tiedot sekä asiaankuuluvat lievennysstrategiat kohteen kanssa.

Vaikka tunkeutumistestaus voi auttaa tunnistamaan verkkoturvallisuuden, tietoturvan, sovellusturvallisuuden ja tietoturvan heikkoudet, se on vain yksi osa täydellistä tietoturva-auditointia.

Mitkä ovat tunkeutumistestauksen kuusi vaihetta?

Tunkeutumistestaus voidaan jakaa kuuteen vaiheeseen:

• Tiedustelu: Tietojen kerääminen kohteesta, jota voidaan käyttää kohteeseen hyökkäämiseen. Esimerkiksi Google-hakkeroinnin käyttäminen sellaisten tietojen löytämiseen, joita voidaan käyttää manipulointihyökkäyksessä.
• Skannaus: Teknisten työkalujen käyttäminen lisätiedon saamiseksi kohteen ulkopuolisista resursseista, esimerkiksi Nmapin käyttäminen avoimien porttien etsimiseen.
• Pääsy: Tiedustelu- ja skannausvaiheissa kerättyjen tietojen avulla kynätestaaja voi toimittaa hyötykuorman kohteen hyödyntämiseksi. Metasploitin avulla voidaan esimerkiksi automatisoida hyökkäyksiä tunnettuihin haavoittuvuuksiin, kuten CVE:ssä lueteltuihin.
• Käyttöoikeuden ylläpitäminen: Pääsyn jälkeen kynätestaaja voi ryhtyä toimiin saadakseen pysyvän pääsyn kohteeseen poimiakseen mahdollisimman paljon tietoa.
• Jälkien peittäminen: Viimeinen vaihe on poistaa kaikki jäljet heidän pääsystään poistamalla kirjausketjut, lokitapahtumat jne.
• Raportointi: Hahmottelee havainnot ja tarjoaa haavoittuvuusarvioinnin ja ehdotetut korjaustoimenpiteet.

Huomaa, että tämä prosessi voidaan toistaa, kun kynätestaaja löytää uusia tietoturvaongelmia.

Kuka tarjoaa tunkeutumistestauspalveluita?

Tunkeutumistestauspalveluita tarjoaa yleensä ulkopuolinen konsultti tai sisäinen punainen tiimi, jolla on vain vähän tai ei ollenkaan aiempaa tietoa kohteen turvaamisesta.

Näin he voivat paljastaa mahdolliset sokeat viestit, jotka sisäinen turvallisuustiimi jättää huomiotta.

Mitkä ovat tunkeutumistestien tyypit?

• Valkoisen laatikon kynätesti: Eettisille hakkereille annetaan tausta- ja järjestelmätietoja, kuten työntekijöiden sähköpostiosoitteet, käyttöjärjestelmät, tietoturvakäytännöt tai lähdekoodi. Tämäntyyppisen tietoturvatestauksen voidaan sanoa jäljittelevän sisäpiirin uhkia.
• Mustan laatikon kynätesti: Tietoturva-ammattilaisille annetaan perustietoja tai ei ollenkaan kohteen nimen lisäksi. Tämä tarkoittaa, että kynätestaajilla on pääsy vain tietoihin, joita he voivat kerätä haavoittuvuusskannauksen, OPSEC-virheiden, sosiaalisen manipuloinnin ja ulkoisen tietoturva-analyysin avulla. Tämä jäljittelee ulkopuolisia hyökkääjiä, jotka yrittävät päästä organisaatioosi.
• Harmaan laatikon kynätesti: Valkoisen laatikon ja mustan laatikon testin yhdistelmä, jossa rajallinen tieto kohteesta jaetaan kynätestaajan kanssa. Tämäntyyppinen tietoturvatestaus voi auttaa määrittämään, mitkä järjestelmät ovat alttiita hyökkääjille, jotka voivat päästä sisäiseen verkkoosi.
• Piilotettu/kaksoissokkoutettu kynätesti: Kuvaa tilannetta, jossa hyvin harvat ihmiset tietävät, että kynätesti tapahtuu, mukaan lukien hyökkäykseen vastaavat IT- ja tietoturvatiimit.
• Ulkoinen kynätesti: Tällöin eettinen hakkeri kohdistaa yrityksen ulkoiseen teknologiaan, kuten verkkosivustoon ja ulkoisiin verkkopalvelimiin. Tämäntyyppiset kynätestit suoritetaan yleensä etäpaikasta.
• Sisäinen kynätesti: Tämä testi suoritetaan yrityksen sisäisestä verkosta, ja se on hyödyllinen määritettäessä, kuinka paljon vahinkoa sisäpiiriläinen voi aiheuttaa yrityksen palomuurin sisällä.
• Kohdennettu kynätesti: Tunkeutumistestaaja ja tietoturvatiimi työskentelevät yhdessä ja ilmoittavat toisilleen toimista, joihin on ryhdytty kohteeseen hyökkäämiseksi ja hyökkäyksen puolustamiseksi. Tämä toimii harjoitusharjoituksena, joka antaa reaaliaikaista palautetta.

Miksi tunkeutumistestaus on tärkeää?

Tunkeutumistestaus on tärkeää, koska se auttaa määrittämään, kuinka hyvin organisaatiosi saavuttaa tietoturvatavoitteensa.

Näiden simuloitujen hyökkäysten tarkoituksena on tunnistaa suojausvalvonnan heikkoudet, joita hyökkääjät voivat hyödyntää.

Tunkeutumistestaus ja kyberturvallisuus yleisemmin ovat yhä tärkeämpiä, kun olemme yhä riippuvaisempia teknologiasta arkaluonteisten tietojen käsittelyssä.

Osana kyberturvallisuusohjelmaa tunkeutumistestaus auttaa sinua parantamaan tietoturvavalvontasi laatua. Se voi myös auttaa vähentämään seisokkien kustannuksia ja tiheyttä, parantamaan keskimääräistä korjausaikaa (MTTR), suojaamaan brändin mainetta, ylläpitämään asiakkaiden luottamusta, välttämään oikeudenkäyntejä ja varmistamaan säännösten noudattamisen.

Miksi tunkeutumistestaus ei riitä

Tietoturva-ammattilaiset ovat eri mieltä tunkeutumistestauksen tärkeydestä. Jotkut uskovat, että se on tärkein asia, toiset uskovat, että se on ajanhukkaa.

Kuten useimmissa tietoturvakäytännöissä, totuus on jossain siltä väliltä, ja sen tehokkuus riippuu sovelluksesta ja laajuudesta.

Kynätestaus ei koskaan yksin riitä estämään tietomurtoja, mutta siitä saaduilla tiedoilla voi olla ratkaiseva rooli organisaatiosi tietoturvavalvonnan vahvistamisessa.

Vaikka on olemassa lukuisia kehyksiä, jotka hahmottelevat kynän testausprosessia, se on edelleen laaja termi, joka kattaa joukon erilaisia toimintoja, jotka on suunniteltu tunnistamaan kyberturvallisuutesi heikkoudet.

Tämä voi tarkoittaa erikoistuneiden tietoturvatyökalujen, kuten Kali Linuxin tai Backboxin ja Metasploitin tai Nmapin, käyttöä haavoittuvuuksien löytämiseksi ja hyödyntämiseksi, manipulointihyökkäyksiä fyysisten kontrollien testaamiseksi tai eettisten hakkereiden käyttämistä kyberhyökkäysten simulointiin.

Loppujen lopuksi tavoite on sama: parantaa tietoturvaa ja vähentää kyberturvallisuusriskejä.

Jopa perusteellimmin testatut sovellukset ja infrastruktuuri voivat joutua tietomurtojen tai tietovuotojen uhreiksi. Tämä on kyberturvallisuuden masentava totuus - joskus hyökkääjät ovat askeleen edellä tietoturvatiimiäsi.

Lisäksi parhaatkin kynätestaajat voivat työskennellä vain käytettävissään olevilla tiedoilla ja työkaluilla.

Nollapäivähyökkäysten tapauksessa, kuten EternalBlue, joka johti WannaCry-kiristysohjelmamatoon, parasta, mitä voit tehdä, on reagoida nopeasti. Kun tämä yhdistetään siihen tosiasiaan, että kolmannen osapuolen toimittajat käsittelevät yhä enemmän arkaluonteisia tietoja, ei ole vaikea ymmärtää, että vaikka kynätestaus on tärkeää, se ei voi olla ainoa asia, jonka teet.

Jotta kynätestauksella olisi pysyvä vaikutus organisaatioon, se on integroitava ensimmäisen, kolmannen ja neljännen osapuolen reaaliaikaiseen jatkuvaan tietoturvavalvontaan.

Nämä työkalut voivat automaattisesti tunnistaa tunnetut haavoittuvuudet, auttaa lieventämään korkean riskin haavoittuvuuksia, tarjota jatkuvia toimittajien riskiarviointeja ja auttaa sinua skaalaamaan toimittajien riskinhallintatoimia.

Mitkä ovat yleiset tunkeutumistestauskehykset?

Tunkeutumistestien suorittamiseen on olemassa useita kehyksiä ja menetelmiä, mukaan lukien:

• Avoimen lähdekoodin tietoturvatestauksen metodologian käsikirja (OSSTMM)
• Tunkeutumistestauksen suoritusstandardi (PTES)
• NIST SP 800-115
• Tietojärjestelmien turvallisuuden arviointikehys (ISSAF)
• OWASP-testausopas

Yritykset, kuten Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar ja NASA, käyttävät UpGuardia tietojensa suojaamiseen, tietomurtojen estämiseen, haavoittuvuuksien seurantaan ja haittaohjelmien välttämiseen.

Olemme tietomurtojen ja tietovuotojen asiantuntijoita, ja tutkimuksemme on ollut esillä New York Timesissa, Wall Street Journalissa, Bloombergissa, Washington Postissa, Forbesissa, Reutersissa ja Techcrunchissa.

UpGuardin toimittajariski voi minimoida organisaatiosi kolmannen osapuolen suhteiden hallintaan käyttämän ajan automatisoimalla toimittajakyselyt ja tarjoamalla toimittajien kyselylomakkeita, jotka vastaavat NIST:n kyberturvallisuuskehystä ja muita parhaita käytäntöjä. Voimme auttaa sinua jatkuvasti seuraamaan toimittajiesi tietoturva-asemaa ajan mittaan ja vertaamaan niitä toimialaansa.

Jokainen toimittaja on luokiteltu 50+ kriteerin perusteella, kuten SSL:n ja DNSSEC:n olemassaolo sekä verkkotunnuksen kaappauksen, väliintulohyökkäysten ja sähköpostin väärentämisen riski tietojenkalastelua varten.

Alustamme antaa joka päivä myyjillesi kyberturvallisuusluokituksen 950:stä. Ilmoitamme sinulle, jos heidän pistemääränsä laskee.

UpGuard BreachSight voi auttaa valvomaan DMARC:tä, torjumaan kirjoitusvirheitä, estämään tietomurtoja ja tietovuotoja, välttämään lakisääteisiä sakkoja ja suojaamaan asiakkaidesi luottamusta kyberturvallisuusluokitusten ja jatkuvan altistumisen havaitsemisen avulla.