Pri nastavovaní nového bezpečnostného systému sa musíte ubezpečiť, že funguje správne s čo najmenším počtom zraniteľností. Pokiaľ ide o digitálne aktíva v hodnote tisícov dolárov, nemôžete si dovoliť poučiť sa zo svojich chýb a vyplniť iba medzery v zabezpečení, ktoré hackeri predtým zneužili.
Najlepším spôsobom, ako vylepšiť a zaručiť zabezpečenie svojej siete, je neustále testovanie a hľadanie chýb na odstránenie.
Čo je to penetračné testovanie?
Čo je to teda test perom?
Penetračné testovanie, tiež známe ako testovanie perom, je postupný útok kybernetickej bezpečnosti, ktorý napodobňuje skutočný bezpečnostný incident. Simulovaný útok môže byť zameraný na jednu alebo viac častí vášho bezpečnostného systému a hľadať slabé miesta, ktoré by mohol zneužiť škodlivý hacker.
To, čo ho odlišuje od skutočného kybernetického útoku, je to, že človek, ktorý to robí, je hacker v bielom klobúku - alebo etický -, ktorého si najmete. Majú schopnosti preniknúť do vašej obrany bez škodlivého úmyslu ich kolegov z čierneho klobúka.
Druhy Pentestov
Existuje niekoľko príkladov pentestu v závislosti od typu útoku, ktorý etický hacker podnikne, od informácií, ktoré dostane vopred, a od obmedzení stanovených ich zamestnancom.
Jeden pentest môže byť jeden alebo kombinácia primárnych typov pentestu, ktoré zahŕňajú:
Insider Pentest
Insider alebo interný pentest simuluje kybernetický útok zasvätených osôb, kde sa škodlivý hacker vydáva za legitímneho zamestnanca a získava prístup do internej siete spoločnosti.
To sa spolieha skôr na hľadanie vnútorných bezpečnostných chýb, ako sú prístupové oprávnenia a monitorovanie siete, než externých, ako je brána firewall, antivírus a ochrana koncových bodov.
Outsider Pentest
Ako už názov napovedá, tento typ pentestu nedáva hackerovi žiadny prístup do internej siete spoločnosti alebo k zamestnancom. Necháva im možnosť hacknúť sa prostredníctvom externých technológií spoločnosti, ako sú verejné webové stránky a otvorené komunikačné porty.
Outsider pentests sa môžu prekrývať s pentests sociálneho inžinierstva, kde hacker triky a manipuluje zamestnanca, aby mu umožnil prístup do internej siete spoločnosti, mimo jej externej ochrana.
Pentest založený na dátach
Vďaka pentestu založenému na dátach sú hackerovi poskytované bezpečnostné informácie a údaje o ich cieľi. To simuluje útok bývalého zamestnanca alebo niekoho, kto získal uniknuté bezpečnostné údaje.
Slepý Pentest
Na rozdiel od testu založeného na dátach znamená slepý test to, že hacker nedostane okrem svojho mena a toho, čo je verejne dostupné, vôbec žiadne informácie o svojom cieli.
Double-Blind Pentest
Okrem testovania digitálnych bezpečnostných opatrení spoločnosti (hardvér a softvér) zahŕňa tento test aj jej zamestnancov v oblasti bezpečnosti a IT. Pri tomto postupnom útoku si nikto zo spoločnosti neuvedomuje to najhoršie, čo ich núti reagovať, akoby narazili na nebezpečný kybernetický útok.
To poskytuje cenné údaje o celkovej bezpečnosti spoločnosti a pripravenosti zamestnancov a o tom, ako sa títo dvaja navzájom ovplyvňujú.
Ako funguje penetračné testovanie
Rovnako ako pri škodlivých útokoch, aj etické hackerstvo si vyžaduje dôkladné plánovanie. Existuje niekoľko krokov, ktoré musí etický hacker dodržať, aby zabezpečil úspešný test pentestu, ktorý prinesie cenné poznatky. Tu je pohľad na najaktuálnejšiu metodiku.
1. Zhromažďovanie informácií a plánovanie
Či už je to slepý test alebo testovaný na základe dát, hacker musí najskôr zhromaždiť informácie o svojom cieli na jednom mieste a naplánovať okolo neho bod útoku.
2. Hodnotenie zraniteľnosti
Druhým krokom je skenovanie ich cesty útoku, hľadanie medzier a zraniteľností, ktoré je možné zneužiť. Hacker vyhľadá prístupové body a potom vykoná niekoľko testov malého rozsahu, aby zistil, ako bezpečnostný systém reaguje.
3. Využívanie zraniteľností
Po nájdení správnych vstupných bodov sa hacker pokúsi preniknúť do jeho bezpečnosti a dostať sa do siete.
Toto je skutočný „hackerský“ krok, v ktorom sa všetkými možnými spôsobmi obchádzajú bezpečnostné protokoly, brány firewall a monitorovacie systémy. Mohli by používať metódy ako injekcie SQL, útoky sociálneho inžinierstvaalebo skriptovanie medzi stránkami.
Naučte sa, ako vás môže sociálne inžinierstvo ovplyvniť, spolu s bežnými príkladmi, ktoré vám pomôžu identifikovať a zachovať bezpečnosť pred týmito schémami.
4. Udržiavanie skrytého prístupu
Väčšina moderných systémov obrany proti kybernetickej bezpečnosti sa rovnako ako ochrana spolieha na detekciu. Aby bol útok úspešný, musí hacker zostať v sieti nezistený dlho na splnenie svojho cieľa, či už ide o únik údajov, poškodenie systémov alebo súborov alebo inštaláciu malware.
5. Podávanie správ, analýza a oprava
Po ukončení útoku - úspešnom alebo neúspechu - sa hacker nahlási svojmu zamestnávateľovi so svojimi zisteniami. Bezpečnostní profesionáli potom analyzujú údaje o útoku, porovnávajú ich s údajmi hlásenými ich monitorovacími systémami a implementujú príslušné úpravy na zlepšenie ich bezpečnosti.
6. Opláchnite a opakujte
Existuje často šiesty krok, v ktorom spoločnosti testujú vylepšenia, ktoré vykonali vo svojom bezpečnostnom systéme, vykonaním ďalšieho penetračného testu. Môžu si najať toho istého etického hackera, ak chcú otestovať útoky založené na dátach, alebo iného, či nie sú slepí.
Etické hackerstvo nie je profesiou zameranou iba na získanie zručností. Väčšina etických hackerov používa na uľahčenie svojej práce špecializované operačné systémy a softvér a vyhýba sa manuálnym chybám. Každý z nich tak urobí všetko.
Čo teda používajú hackeri na testovanie perom? Tu uvádzam niekoľko príkladov.
Parrot Security je operačný systém založený na Linuxe, ktorý bol navrhnutý pre penetračné testovanie a hodnotenie zraniteľnosti. Je vhodný pre cloud, ľahko sa používa a podporuje najrôznejší open source softvér.
Live Hacking, ktorý je tiež operačným systémom Linux, je nástrojom pentesteru, pretože je ľahký a nemá vysoké hardvérové požiadavky. Dodáva sa tiež vopred zabalený s nástrojmi a softvérom na penetračné testovanie a etické hackerstvo.
Nmap je nástroj otvoreného spravodajstva (OSINT) ktorá monitoruje sieť a zhromažďuje a analyzuje údaje o hostiteľoch a serveroch zariadení, čo ju robí cennou pre čiernych, sivých aj bielych hackerov.
Je tiež multiplatformový a funguje s operačnými systémami Linux, Windows a macOS, takže je ideálny pre začínajúcich etických hackerov.
WebShag je tiež nástrojom OSINT. Je to nástroj na auditovanie systému, ktorý skenuje protokoly HTTPS a HTTP a zhromažďuje relatívne údaje a informácie. Používajú ju etickí hackeri, ktorí prostredníctvom verejných webových stránok uskutočňujú pokusy o zneužitie.
Kam ísť na testovanie penetrácie
Testovanie vlastnej siete perom nie je vašou najlepšou voľbou, pretože o nej pravdepodobne máte rozsiahle znalosti, čo sťažuje myslenie mimo krabicu a hľadanie skrytých slabých miest. Mali by ste si najať nezávislého etického hackera alebo služby spoločnosti, ktorá ponúka testovanie perom.
Najatie outsidera, ktorý by sa nabúral do vašej siete, môže byť stále veľmi riskantné, najmä ak im poskytujete bezpečnostné informácie alebo prístup zasvätených osôb. Preto by ste sa mali držať dôveryhodných poskytovateľov tretích strán. Tu je malá ukážka tých, ktoré sú k dispozícii.
HackerOne je spoločnosť so sídlom v San Franciscu, ktorá poskytuje služby penetračného testovania, hodnotenia zraniteľnosti a testovania súladu s protokolmi.
Spoločnosť ScienceSoft so sídlom v Texase ponúka služby v oblasti hodnotenia zraniteľnosti, testovania perom, testovania súladu s predpismi a auditov infraštruktúry.
Spoločnosť Raxis so sídlom v Atlante v štáte Georgia ponúka cenné služby od testovania pera a kontroly bezpečnostných kódov na školenie reakcie na incidenty, hodnotenia zraniteľnosti a preventívne školenie sociálneho inžinierstva.
Maximálne využitie penetračného testovania
Aj keď je to stále relatívne nové, testovanie perom ponúka jedinečný pohľad na fungovanie mozgu hackera, keď útočí. Sú to cenné informácie, ktoré ani tí najkvalifikovanejší odborníci v oblasti kybernetickej bezpečnosti nemôžu poskytnúť pri práci na povrchu.
Testovanie perom môže byť jediným spôsobom, ako sa vyhnúť tomu, aby vás hackeri „black-hat“ zamerali a utrpeli následky.
Obrázok: Unsplash.
Etické hackerstvo je spôsob, ako bojovať proti bezpečnostným rizikám, ktoré predstavuje počítačová kriminalita. Je etické hackerstvo legálne? Prečo to vlastne potrebujeme?
- Bezpečnosť
- Online bezpečnosť
Anina je nezávislá spisovateľka v oblasti technológií a internetovej bezpečnosti v MakeUseOf. V kybernetickej bezpečnosti začala písať pred 3 rokmi v nádeji, že sa stane dostupnejším pre priemerného človeka. Chcete sa učiť nové veci a máte obrovského šialenca z astronómie.
Prihlásiť sa ku odberu noviniek
Pripojte sa k nášmu bulletinu s technickými tipmi, recenziami, bezplatnými elektronickými knihami a exkluzívnymi ponukami!
Ešte jeden krok…!
V e-maile, ktorý sme vám práve poslali, potvrďte svoju e-mailovú adresu.
