Недостаточно создать надежную среду безопасности — также важно регулярно проверять ее на наличие потенциальных уязвимостей. Чтобы узнать, насколько восприимчива система к различным уязвимостям и угрозам, организации обычно используют тестирование на проникновение (pen) и / или оценку уязвимости. И хотя термины легко перепутать, каждой организации необходимо четко различать их.
В этой статье мы сравниваем тест на проникновение и сканирование уязвимостей, перечисляем основные различия https://yerkramas.org/article/191680/analiz-uyazvimostej-ili-pentest между ними и объясняем, почему они имеют решающее значение для вашей кибербезопасности. Если вы еще не запланировали следующую оценку кибербезопасности, возможно, сейчас самое подходящее время ее спланировать!
Что такое тестирование пером?
Тестирование на проникновение — это набор этичных методов взлома, направленных на оценку безопасности системы. Другими словами, этот процесс подразумевает использование методов взлома для того, чтобы «взломать» систему, оценить, какие уязвимости присутствуют и насколько они критичны.
Обратите внимание, что основное различие между взломом и этичным взломом заключается в том, что последний не выполняется с целью кражи конфиденциальных данных или получения к ним доступа. Его основная цель — протестировать систему, и все вовлеченные стороны осведомлены о процессе и применяемых методах.
Поскольку тестирование на проникновение предварительно одобрено, логично предположить, что существуют определенные рамки и рекомендации, которым следует следовать при планировании тестирования с помощью пера. Наиболее известными являются:
- Рекомендации по тестированию на проникновение OWASP;
- Руководство по методологии тестирования безопасности с открытым исходным кодом (сокращенно OSSTMM);
- Платформа кибербезопасности от Национального института стандартов и технологий (NIST);
- Стандарт выполнения тестирования на проникновение, известный как PTES.
Если мы возьмем, к примеру, рекомендации OWASP, в документах содержится подробное объяснение требований к тестированию пером, отчетности и всех связанных с этим аспектов. Следуя таким стандартам, организации могут быть уверены, что тестирование с помощью пера будет безопасным и никоим образом не повредит ему.
Типы тестирования на проникновение
Прежде чем двигаться дальше, важно различать различные типы тестирования пером.
Вы можете классифицировать типы тестов в зависимости от вашей цели:
- Внешние тесты: атака направлена на активы, которые видны людям за пределами организации (т.Е. веб-сайты, приложения). Таким образом, вы можете проверить эффективность возможных внешних атак.
- Внутренние тесты: выполняются в сценарии, когда злоумышленник имеет доступ к внутренним активам и ресурсам.
- Слепые тесты: в этом случае злоумышленник может получить общедоступную информацию, но не имеет представления о внутренних активах.
Теперь давайте перейдем к семи этапам теста на проникновение и процессам, которые содержит каждый этап.
Основные этапы тестирования пером
Хотя каждый тест на проникновение будет разным для каждой организации, существуют определенные рекомендации, которым следует следовать, и определенные шаги, которые необходимо предпринять. Ниже мы перечислим основные этапы pen-тестирования, которые могут послужить основой для планирования вашей стратегии. Обратите внимание, что мы использовали рекомендации OWASP в качестве основы, хотя в некоторых источниках перечислены только шесть шагов.
- Взаимодействие перед началом взаимодействия: подготовка к предстоящему тестированию на проникновение и настройка всех необходимых процессов.
- Сбор разведданных: другими словами, сбор соответствующей информации (т.Е. о системе), а также гарантированное одобрение со стороны руководства организации.
- Моделирование угроз: процесс моделирования будущих угроз и способов их использования на цели.
- Анализ уязвимостей: включает оценку уязвимости (подробнее об этом ниже), и основная цель состоит в том, чтобы понять, подвержена ли цель известным или ожидаемым угрозам.
- Эксплуатация: процесс выполнения атаки на систему.
- После эксплуатации: включает в себя все процессы, связанные с восстановлением системы.
- Составление отчетов: очень важный шаг, поскольку каждое тестирование с помощью пера требует подробного составления отчетов после его завершения. Дополнительную информацию об составлении отчетов вы можете найти в документации OWASP.