To pytanie jest naprawdę częste, ale jest niezbędne, aby określić, czy test penetracyjny lub ocena podatności jest najlepszym sposobem oceny systemu. Test penetracyjny to realistyczna symulacja rzeczywistego ataku hakerskiego, ukierunkowana na luki, które mogą być obecne w Twojej infrastrukturze i serwerach. Etyczne hakowanie pomaga wykryć i przeanalizować wszelkie punkty słabości lub błędy konfiguracyjne, dzięki czemu można wprowadzić konkretne poprawki i ulepszenia.

Ocena podatności nie jest tak inwazyjna, ponieważ nie wymaga aktywnej infiltracji środowiska komputerowego. Ten test daje solidny przegląd ogólnego stanu systemu komputerowego i jego podatności, ale nie zapewnia głębszego wglądu w prawdziwe skutki ataku hakerskiego, które oferuje pentest.

Szczerze mówiąc, nie istnieje obecnie żaden inny rodzaj testu bezpieczeństwa, który zapewniałby tak dogłębne informacje w czasie rzeczywistym, jak testy penetracyjne dla zespołów IT, próbujących zrozumieć, gdzie leżą luki w systemie i jak hakerzy mogą próbować je naruszyć.

Każda organizacja może opracować swój własny proces, technikę lub metodę podejścia do testu penetracyjnego, ale istnieją pewne podstawowe zasady i działania wspólne dla wszystkich testów penetracyjnych.

Poniżej przedstawiamy kilka metod, z których można wybrać, aby przeprowadzić pen test dla swojej organizacji:

Testy wewnętrzne. Test wewnętrzny skupia się na sieci lokalnej (LAN), a także na laptopach, komputerach, przełącznikach, drukarkach i innych urządzeniach znajdujących się w biurze. Podczas wykonywania testu wewnętrznego tester, który ma dostęp do aplikacji chronionej przez firewall, udaje, że dokonuje ataku jak przez “złośliwego insidera”. Test nie zakłada, że pracownik koniecznie miał złe intencje. Testerzy zazwyczaj podchodzą do tego typu testów bez zakładania złych intencji, ponieważ równie często ataki takie zdarzają się z powodu kradzieży danych pracownika w wyniku ataku phishingowego.

Testy zewnętrzne. W zewnętrznym teście penetracyjnym, tester celuje w widoczne zasoby organizacji w Internecie, takie jak strona internetowa firmy lub poczta elektroniczna i usługi nazw domen (DNS).

Testy “ślepe” – blackbox. W przypadku blackbox, osoba testująca otrzymuje jedynie nazwę organizacji poddawanej atakowi, co daje personelowi bezpieczeństwa wgląd w czasie rzeczywistym w sposób, w jaki może nastąpić rzeczywisty atak na aplikację.

Podwójnie “ślepy” blackbox test. Zasadniczo, podwójnie ślepy test jest atakiem z zaskoczenia. Personel bezpieczeństwa nie otrzymuje żadnego zaawansowanego ostrzeżenia, że symulowany atak jest na horyzoncie. Ten test jest dobrą okazją do zobaczenia podejścia do obrony przed próbą włamania.

Testy ukierunkowane. Ten rodzaj testów polega na tym, że tester i IT firmy testowanej pracują jako zespół i wzajemnie informują się o swoich ruchach. Testy ukierunkowane są bardziej ćwiczeniem i cennym narzędziem szkoleniowym, które oferuje również informacje zwrotne w czasie rzeczywistym.

Główną zaletą wykonywania pentestów w środowisku produkcyjnym jest to, że widzisz, co dzieje się w rzeczywistych warunkach podczas korzystania z Twojej strony internetowej, aplikacji internetowej lub API, używając najnowszych rozwiązań, które Twój zespół zaktualizował. Jedynym małym możliwym minusem testów na produkcji jest to, że mogą one zakłócać normalne operacje. Rozwiązaniem tego potencjalnego problemu jest uruchomienie testu w środowisku ISO-produkcyjnym, które jest identyczne z Twoim środowiskiem produkcyjnym. Dzięki takiemu podejściu, nadal otrzymujesz wartość prawdziwej symulacji bez ryzyka dla środowiska produkcyjnego.

Przeprowadzenie testu penetracyjnego w środowisku przedprodukcyjnym nie różni się zbytnio od przeprowadzenia go w środowisku produkcyjnym. Jedną kluczową różnicą jest to, że test ten nie ma szansy dotknąć usług, do których mają dostęp Twoi użytkownicy lub klienci. Test penetracyjny przedprodukcyjny jest idealny do sprawdzenia integralności infrastruktury krytycznej.

Opracowanie ogólnego cyklu życia dla twojego pentestu uzbraja cię w solidny i znaczący plan ataku. Bez solidnego i sensownego planu ataku, Twój pentest może zwrócić wyniki, które wyglądają jak jakiś przypadkowy skan. A prawdopodobnie nie chcesz przeprowadzać symulacji ataku, nie mając do dyspozycji żadnych znaczących danych.

Oto jeden z przykładów cyklu życia, który może się sprawdzić w Twoim teście penetracyjnym:

Wykrycie i Rozpoznanie.

Podczas tej fazy rozpoznania, masz szansę dowiedzieć się wszystkiego, co możliwe o Twojej organizacji, w określonym zakresie konkretnego pentestu. Dowiedz się więcej o personelu, usługach online, systemach i innych. Tutaj moga zostac odkryte i zneutralizowane luki, która może dostarczyć ważnych informacji poprzez domenę, co może zwiększyć wysiłki atakującego.

Skanowanie i Sondowanie.

Tutaj, tester przeprowadzi jednocześnie ręczny jak i automatyczny proces identyfikacji podatności. Testy automatyczne i ręczne powinny przebiegać równolegle, dając te same wyniki w czasie rzeczywistym.

Wykorzystanie.

Kiedy tester zidentyfikuje problem, spróbuje go wykorzystać. Najbardziej doświadczeni testerzy będą unikać przeszkód, takich jak oprogramowanie antywirusowe. Proces w tym scenariuszu wymaga od testerów kreatywnego i szczerego narażania na szwank poufności, integralności i, czasami, dostępności systemu.

Post-Eksploitacja.

Kiedy tester wykorzysta lukę, użyje tego dostępu lub informacji, aby uzyskać dodatkowy dostęp do zasobu lub systemu. W tym momencie, cykl się powtarza.

Jedną z najlepszych strategii przygotowania się do testu penetracyjnego jest zidentyfikowanie listy aktywów, które chcesz przetestować, a następnie umówienie się na spotkanie lub rozmowę z zespołem audytorów specjalizujących się w testach penetracyjnych.

Czy jesteś gotowy na swój nadchodzący test penetracyjny? Czy te pytania i odpowiedzi pomogły Ci skierować się we właściwym kierunku do Twojego własnego nadchodzącego testu penetracyjnego? Jeśli potrzebujesz więcej pomocy, nasz zespół  HACKPICK’a jest tutaj dla Ciebie.