Testy penetracyjne są w pewnym sensie symulacją ataków, których dopuścić się może cyberprzestępca. Wynik testów pozwoli na obnażenie luk w zabezpieczeniach w infrastrukturze sieci lub w aplikacji. Sprawdź szczegóły!
Oto artykuł, który jest rezultatem naszej kreatywnej współpracy z seohouse.pl
Czym są profesjonalne testy penetracyjne (pentesty)?
Głównym założeniem przy przeprowadzeniu kontrolowanego testu penetracyjnego jest:
- sprawdzenie kondycji sieci czy aplikacji;
- zidentyfikowanie słabych punktów;
- sprawdzenie konfiguracji systemu operacyjnego;
- weryfikacja poziomu zabezpieczenia haseł użytkowników domeny;
- analiza bezpieczeństwa systemu strzeżonego przez firewall.
Pentesty wykonywane są przez etycznych hakerów, którzy przeprowadzają symulację prawdziwego włamania cybernetycznego. Tacy hakerzy nazywani są pentesterami lub z angielskiego white hat hacker. Sama usługa wykonywania rzeczonych testów i sprawdzania bezpieczeństwa infrastruktury teleinformatycznej nazywana jest natomiast etycznym hackingiem.
Jak wygląda usługa przetestowania cyberbezpieczeństwa w firmie?
Testy bezpieczeństwa IT mogą być zlecone legalnym hakerom, którzy korzystając ze specjalnych narzędzi spróbują przedostać się do sieci i ustalić jej najsłabsze ogniwa. W erze cyfryzacji zawód legalnego włamywacza jest bardzo pożądany i nie brakuje ofert pracy dla specjalistów, którzy są w stanie szybko znaleźć słabość sieci, systemów operacyjnych czy różnych aplikacji. Duże korporacje często decydują się na zatrudnianie pentesterów, którzy cyklicznie analizują korporacyjne sieci i dostarczają kierownictwu szczegółowe raporty.
Outsourcing i czas trwania testów
Usługi legalnego przełamania zabezpieczeń najczęściej zleca się na zasadzie outsourcingu. Zewnętrzne firmy często przedstawiają wycenę swoich usług i dochodzi do podpisania umowy. Gdy prace zostały wykonane to tester przedstawia efekty w postaci raportu z próby przełamania zabezpieczeń testowanego systemu czy sieci. Czas trwania testów jest z reguły trudny do określenia, ale wynosi od kilku do kilkunastu dni.
Testowanie zabezpieczeń aplikacji webowych, desktopowych i sieci
Test penetracyjny niekoniecznie obejmować musi stronę hardware. Oprócz konfiguracji fizycznych zasobów informatycznych analizować można:
- systemy operacyjne;
- aplikacje desktopowe;
- aplikacje webowe;
- strony internetowe.
Do sprawdzania aplikacji, czy stron WWW przydaje się znajomość języków programowania. Jednak taka znajomość nie jest koniecznym warunkiem przy zatrudnianiu pentesterów. Bardziej ocenia się poziom doświadczenia zawodowego i wiedzę.
Główne rodzaje testów penetracyjnych sieci – automatyczne i manualne
Wyróżniając podział testów penetracyjnych, trzeba podkreślić dwa główne rodzaje – automatyczne i ręczne. Szczegóły znajdziesz poniżej:
- Testy automatyczne – do ich przeprowadzenia wykorzystuje się gotowe narzędzia. Przeprowadzane jest automatyczne skanowanie sieci w czasie rzeczywistym. Z użyciem różnych programów dochodzi do prób uzyskania dostępu do zasobów znajdujących się wewnątrz badanej sieci. Sprawdza się przykładowo otwarte porty;
- Testy manualne – przeprowadzane są po testach automatycznych. Tutaj sprawdza się wyniki skanowania z powyżej opisanego testu. Na podstawie logów uzyskuje się pełną wiedzę na temat sieci i ręcznie wykonuje się dodatkowe próby legalnych ataków. Ręczne analizowanie jest już bardziej skrupulatne i pozwala na wykrycie mniej eksponowanych błędów.
OWASP, PTES i inne, czyli metodyka sprawdzania bezpieczeństwa sieci
Pierwsza z wymienionych jest fundacją, której głównym zadaniem jest stanie na straży bezpieczeństwa danych, infrastruktury IT i całych sieci. Rozpoznają błędy najbardziej krytyczne, czyli takie, które mogą pomóc realizować potencjalny atak hakerski. Każdy pentester powinien zapoznać się z zestawieniem OWASP TOP 10. Jest to lista dziesięciu najbardziej powszechnych błędów, które pojawiają się w zabezpieczeniach aplikacji internetowych.
Metodyka black box
Powyższa organizacja zakłada, że przeprowadzenie testu penetracyjnego ma odbywać się na zasadzie czarnej skrzynki (black box). W tym założeniu chodzi o to, że atakujący nie zna szczegółów odnośnie infrastruktury krytycznej czy nie zna nawet części kodu źródłowego, który jest tajemnicą twórcy. Metoda black box jest najbardziej zbliżona do realnego ataku. Przy tym jej implementacja jest najbardziej czasochłonna, ale daje świetne wyniki.
White box
Tutaj mowa o łatwiejszej ścieżce etycznego hakowania. Osoba mająca zrealizować test bezpieczeństwa posiada dostęp do dodatkowych informacji, których nie może otrzymać nikt z zewnątrz. Tutaj praktycznie zupełnie pomija się rolę użytkownika zewnętrznego. Sprawdza się szczegółowo kod źródłowy, pracę formularzy na stronie WWW oraz sposób przesyłania danych z tego formularza. Tester otrzymuje również pełną dokumentację, która pozwoli mu lepiej zapoznać się z oprogramowaniem.
PTES
To kolejna metodologia sprawdzania bezpieczeństwa w branży IT. W jej skład wchodzi kilka fraz, które są stopniowo realizowane. Te frazy to:
- Pre-engagement Interactions;
- Intelligence Gathering;
- Threat Modeling;
- Vulnerability Analysis;
- Exploitation;
- Post Exploitation;
- Reporting.
Powyższa lista po rozwinięciu jest w zasadzie listą kroków, które wykonać musi pentester. Trzeba zaznaczyć, że PTES jest uznawany bardziej za poradnik mający na celu ukierunkowanie początkowych amatorów przeprowadzania testów bezpieczeństwa.
Kogo zatrudnić do legalnych ataków hakerskich? Zwróć uwagę na certyfikat
Do przeprowadzania testów urządzeń sieciowych i całej fizycznej infrastruktury warto angażować osoby, które mają doświadczenie w administrowaniu sieciami. Za najlepszych pentesterów uchodzą osoby, które przekwalifikowały się z bycia programistą lub administratorem systemów i sieci. Dobry etyczny haker to osoba, która jest dociekliwa i nie jest mu straszna duża złożoność problemu. Jeśli nie jest to osoba potrafiąca programować to warto, aby posiadała przynajmniej techniczne kompetencje z zakresu branży IT i konfiguracji krytycznych systemów i infrastruktury. Warto też zwrócić uwagę na rekomendacje oraz posiadanie certyfikatu OSCP lub innego rozpoznawalnego.
Zobacz także:
- Testy dotyczące skalowalności oprogramowania: czy twoja aplikacja jest gotowa?
- Ten komputer nie spełnia obecnie minimalnych wymagań systemowych do uruchomienia systemu windows 11
- Niejawny program testów systemu windows : co kryje się w aard code?
- Specyficzne cechy analitycznych faz testowania związanych z cyklem życia testowania oprogramowania
- Czym zajmuje sie tester oprogramowania: wymagania, umiejętności i narzędzia
