Mikä on penetraatiotestaus?

Läpäisytestillä tai "kynätestillä", kuten se muuten tunnetaan, organisaatiot suorittavat simuloituja kyberhyökkäyksiä verkkoihinsa tunnistaakseen haavoittuvuuksia, jolloin ne voivat hienosäätää suojauskäytäntöjä ja varmistaa, että asiaankuuluvat korjaustiedostot ovat kunnossa. asennettu.

Monet tietosuojasäännökset, kuten PCI DSS, HIPAA, FINRA ja muut, edellyttävät, että kattamat tahot testaavat säännöllisesti käyttämiään turvatoimia. Penetraatiotestaus on tapa tehdä se.

Miten kynätestausta käytetään

Kynätestauksella voidaan testata erilaisia järjestelmiä, ominaisuuksia, laitteita ja sovelluksia, kuten sovellusohjelmointirajapintoja (API), Web-sovellusten palomuureja (WAF), DNS-palvelimia ja verkkosivustoja. On aina hyvä idea testata tarkasti kaikkia julkisia verkkolomakkeita, koska usein käy niin, että syötteitä ei ole desinfioitu kunnolla, mikä avaa mahdollisuuden koodin lisäyshyökkäyksiin. Kynätestaus on tyypillisesti jaettu viiteen vaiheeseen, joihin kuuluvat;

Läpäisytestausvaiheet

1. Suunnittelu ja tiedustelu

Tässä voit määrittää kynätestaustoimintojesi laajuuden, johon kuuluu luettelon luominen kaikista järjestelmistä, ominaisuuksista, resursseista ja laitteista. Se sisältää myös testausmenetelmien määrittelyn sekä tavoitteidesi ja tavoitteiden määrittelemisen.

2. Sovelluksen suojausskannaus

Tässä vaiheessa käytetään haavoittuvuuksien tarkistustyökaluja saadakseen tietoa siitä, kuinka sovellus reagoi tietoturvauhkiin. Haavoittuvuustarkistuksia on kahta tyyppiä, joihin kuuluvat: staattinen analyysi ja dynaaminen analyysi. Staattisessa analyysissä skannaat sovelluksen koodia mahdollisten haavoittuvuuksien tunnistamiseksi. Dynaaminen analyysi on pohjimmiltaan sama, vain tarkistus suoritetaan sovelluksen ollessa käynnissä, jotta voidaan seurata, kuinka se reagoi mahdollisiin uhkiin reaaliajassa.

3. Pääsyn saaminen ja haavoittuvuuksien hyödyntäminen

Jos onnistut löytämään verkostasi haavoittuvuuksia, seuraava askel on yrittää hyödyntää niitä. Tämä voi sisältää SQL-lisäyksen tai sivustojen välisen komentosarjahyökkäyksen käynnistämisen, liikenteen sieppaamisen, oikeuksien laajentamisen ja niin edelleen. Sinun on varmistettava, että kaikki haavoittuvuudet ja onnistuneet hyväksikäytöt on dokumentoitu hyvin.

4. Pääsyn ylläpitäminen

Kun olet saanut pääsyn verkkoosi, temppu on nähdä, kuinka kauan voit ylläpitää pääsyä ilman hälytyksiä. Advanced Persistent Threats (ATP:t), kuten ne tunnetaan, voivat pysyä järjestelmässä kuukausia ja vuotaa hiljaa arkaluonteisia tietoja.

5. Analyysi ja raportointi

Kun olet suorittanut läpäisytestit, sinun on koottava kaikki löydöksi yhteen tai useampaan yksityiskohtaiseen raporttiin. Raportin tulee sisältää yksityiskohtaiset tiedot;

• Löydetyt haavoittuvuudet;
• Haavoittuvuudet, joita hyödynnettiin ja miten niitä hyödynnettiin;
• Mukana olleet järjestelmät, ominaisuudet, resurssit ja laitteet;
• Aika, jonka kynätesteri pystyi viipymään järjestelmässä ennen kuin se huomattiin.

Asianmukaisen tietoturvahenkilöstön on analysoitava nämä tiedot, jotta he voivat laatia suunnitelman näiden ongelmien korjaamiseksi, mukaan lukien asiaankuuluvien korjaustiedostojen asentaminen, mahdollisten lomakkeiden vahvistusongelmien ratkaiseminen, palomuurien määrittäminen ja sovellusliittymiensä parantaminen.

Läpäisytestausmenetelmät

On olemassa useita kynätestausmenetelmiä, joita voidaan käyttää, joista osa sisältää;

Ulkoinen testaus

Tässä kynätestauslaite kohdistaa julkisiin palvelimiin, sovelluksiin, verkkosivustoihin ja tietoihin. Tämä sisältää sähköpostitilit ja pilvitallennussäiliöt.

Sisäinen testaus

Tässä kynätestaaja ottaa ilkeän tai huolimattoman työntekijän aseman. He yrittävät niin monella tavalla kuin mahdollista joko laajentaa oikeuksiaan tai paljastaa arkaluonteisia tietoja.

Sokea/kaksoissokkotestaus

Sokkotestissä testaajalla on rajalliset tiedot järjestelmästä, johon hänen on hyökättävä. Yleensä heille annetaan vain organisaation nimi. Kaksoissokkotestauksella turvatiimille ei ilmoiteta etukäteen hyökkäyksestä.

Kohdennettu testaus

Toisin kuin sokko- ja kaksoissokkotestaus, kohdistetussa testauksessa sekä kynän testaaja että turvallisuustiimi työskentelevät yhdessä pitäen toisiaan ajan tasalla tekemisistä, jotta he voivat seurata sekä turvavalvontansa että kynätestaustoimiensa tehokkuutta.

Jos haluat nähdä, kuinka Lepide Data Security Platform voi lisätä kontekstia ja parantaa kynätestaustasi, varaa esittely insinöörimme kanssa tai aloita ilmainen kokeilu jo tänään.