Δοκιμή Λογισμικού

Δοκιμή διείσδυσης για αρχάριους

30 Οκτωβρίου 2021

Η δοκιμή διείσδυσης είναι η δοκιμή ενός συστήματος υπολογιστή, μιας εφαρμογής Ιστού και ενός δικτύου για την εύρεση αδυναμιών ασφαλείας που θα μπορούσε να χρησιμοποιήσει ένας εισβολέας. Αυτό το είδος δοκιμής μπορεί να είναι αυτοματοποιημένη ή εκτελείται χειροκίνητα. Η διαδικασία περιλαμβάνει τη συλλογή πληροφοριών σχετικά με τον στόχο πριν από τη δοκιμή, τον εντοπισμό των πιθανών σημείων εισόδου, την προσπάθεια διάρρηξης για εικονικό ή πραγματικό και την αναφορά των ευρημάτων.

Ο κύριος στόχος μιας δοκιμής στυλό είναι να εντοπίσει τα αδύναμα σημεία σε μια στάση ασφαλείας ενός οργανισμού, καθώς και να μετρήσει την αποδοχή της πολιτικής ασφαλείας, να ελέγξει την επίγνωση της ασφάλειας και να καθορίσει εάν ο οργανισμός θα υπόκειται σε καταστροφές ασφαλείας.

ΠΡΟΣ ΤΟ Το τεστ διείσδυσης υπογραμμίζει επίσης τις αδυναμίες μιας εταιρείας πολιτικές ασφαλείας.

Οι αναφορές που δημιουργούνται από μια δοκιμή διείσδυσης παρέχουν ανατροφοδότηση. Οι αναφορές βοηθούν τους προγραμματιστές εφαρμογών να δημιουργήσουν πιο ασφαλείς εφαρμογές.

Πίνακας περιεχομένων

Βήματα για την έναρξη της δοκιμής διείσδυσης

Βήμα 1) Η φάση του προγραμματισμού

  1. Το εύρος και η στρατηγική μιας εργασίας καθορίζονται.
  2. Οι πολιτικές ασφαλείας, τα πρότυπα χρησιμοποιούνται για τον καθορισμό του πεδίου εφαρμογής.

Βήμα 2) Η φάση της Ανακάλυψης.

  1. Συλλέξτε πληροφορίες σχετικά με το σύστημα, συμπεριλαμβανομένων δεδομένων στη σχεδίαση, ονομάτων χρήστη, ακόμη και κωδικών πρόσβασης.
  2. Σάρωση και ανίχνευση στις θύρες
  3. Ελέγξτε για τρωτά σημεία του συστήματος

Βήμα 3) Η Φάση Επίθεσης

  1. Βρείτε εκμεταλλεύσεις για διάφορες αδυναμίες. Δεν θα λάβετε τα απαραίτητα προνόμια ασφαλείας για την εκμετάλλευση του συστήματος

Βήμα 4) Η Φάση Αναφοράς

  1. Η έκθεση πρέπει να περιέχει λεπτομερή ευρήματα.
  2. Κίνδυνοι αδυναμιών που εντοπίστηκαν και ο αντίκτυπός τους στις επιχειρήσεις.
  3. Συστάσεις και λύσεις.

Μέθοδοι δοκιμής διείσδυσης

Εξωτερική δοκιμή

Στοχεύει τα περιουσιακά στοιχεία της εταιρείας που είναι ορατά στο διαδίκτυο, για παράδειγμα, διακομιστές ονομάτων email και domain (DNS) και την ίδια την εφαρμογή web, τον ιστότοπο της εταιρείας. Ο κύριος στόχος είναι η απόκτηση πρόσβασης και η εξαγωγή πολύτιμων δεδομένων.

Εσωτερική δοκιμή

Ένας ελεγκτής με πρόσβαση σε μια εφαρμογή πίσω από το τείχος προστασίας προσομοιώνει μια επίθεση από έναν εσωτερικό. Αυτό δεν επηρεάζει απαραίτητα έναν απατεώνα υπάλληλο. Ένα τυπικό σενάριο μπορεί να είναι ένας υπάλληλος του οποίου τα διαπιστευτήρια έχουν κλαπεί.

Τυφλό τεστ

Σε έναν δοκιμαστή δίνεται μόνο το όνομα της επιχείρησης που στοχεύεται. Προσφέρει στο προσωπικό ασφαλείας μια ματιά στο πώς θα πραγματοποιηθεί μια πραγματική εφαρμογή.

Διπλή τυφλή δοκιμή

Το προσωπικό ασφαλείας δεν γνωρίζει την επίθεση. Δεν θα είχαν χρόνο να στηρίξουν τις άμυνές τους πριν από ένα ρήγμα.

Στοχευμένες δοκιμές

Τόσο το προσωπικό δοκιμών όσο και το προσωπικό ασφαλείας συνεργάζονται και κρατούν το ένα το άλλο ενήμερο για τις κινήσεις τους. Είναι μια άσκηση εκπαίδευσης που παρέχει στην ομάδα ασφαλείας ανατροφοδότηση σε πραγματικό χρόνο από τη σκοπιά ενός χάκερ.

ΠΛΕΟΝΕΚΤΗΜΑΤΑ

  • Η δοκιμή επιτρέπει μια τολμηρή προσέγγιση ασφαλείας.
  • Επιτρέπει τη μελέτη πραγματικών κινδύνων και την ακριβή αναπαράσταση της θέσης ασφάλειας της υποδομής πληροφορικής μιας εταιρείας τη δεδομένη στιγμή.
  • Βοηθά στη διερεύνηση μιας παραβίασης δεδομένων ή των εισβολών στο δίκτυο για την ανακάλυψη τυχόν αιτίων για διαρροή δεδομένων ή κλοπή πνευματικής ιδιοκτησίας.
  • Επιτρέπει τη συλλογή πληροφοριών σχετικά με το σύστημα να μάθει και ίσως ακόμη και να συναντήσει κάποιες εσωτερικές αναφορές για ενεργούς χάκερ.
  • Μπορεί να βρει άγνωστα και γνωστά ελαττώματα και να εκμεταλλευτεί ευπάθειες ασφαλείας, τα οποία μπορούν να εντοπιστούν και να διορθωθούν πριν χρησιμοποιηθούν με πολύ πιο αποτελεσματικό τρόπο με αυτοματοποιημένα εργαλεία.
  • Μπορεί να επικυρώσει την αποτελεσματικότητα των αμυντικών μηχανισμών πολύ πέρα ​​από την ανάλυση που παρέχεται από την αξιολόγηση τρωτότητας στον εντοπισμό των αδυναμιών.
  • Παρέχει τους πιθανούς τρόπους δοκιμής ενός συστήματος με επιθέσεις που είναι όσο το δυνατόν πιο κοντά σε συμβάντα στον πραγματικό κόσμο, χάρη στη δουλειά των επαγγελματιών που σκέφτονται και χτυπούν όπως θα έκαναν οι περισσότεροι κακόβουλοι χάκερ.

ΣΥΝ

  • Είναι αμφίβολο ότι μια διείσδυση η δοκιμή θα βρει όλη την ασφάλεια προβλήματα ή θα λύσει όλα τα προβλήματα κατά τη σάρωση για αδυναμίες και τη δημιουργία μιας αυτοματοποιημένης αναφοράς.
  • Απαιτείται περισσότερος χρόνος από έναν δοκιμαστή για να επιθεωρήσει το σύστημα για να εντοπίσει την επίθεση παρά να κάνει μια αξιολόγηση αδυναμίας. δεδομένου ότι το πεδίο της δοκιμής είναι πιο σημαντικό. Οι ενέργειές του/της μπορεί επίσης να είναι ενοχλητικές για τις επιχειρηματικές δραστηριότητες καθώς μιμούνται μια πραγματική επίθεση.
  • Είναι υψηλής έντασης εργασίας και μπορεί να αντιπροσωπεύει αυξημένο κόστος και λίγοι οργανισμοί ενδέχεται να μην είναι σε θέση να διαθέσουν έναν προϋπολογισμό για αυτό. Αυτό ισχύει όταν μια εταιρεία προσλαμβάνεται για να εκτελέσει το έργο.
  • Δίνει μια ψευδή αίσθηση ασφάλειας. Στις περισσότερες περιπτώσεις, οι δοκιμές είναι γνωστές στις ομάδες ασφαλείας της εταιρείας που είναι έτοιμες να αναζητήσουν απειλές και είναι έτοιμες να αμυνθούν. Οι πραγματικές επιθέσεις είναι απροειδοποίητες και, κυρίως, απροσδόκητες.

Τύποι δοκιμών διείσδυσης

Ακολουθούν οι βασικοί τύποι δοκιμών διείσδυσης:

    Δοκιμή διείσδυσης λευκού κουτιού Δοκιμή διείσδυσης μαύρου κουτιού Δοκιμή διείσδυσης γκρίζου κουτιού

Δοκιμή διείσδυσης λευκού κουτιού

Πρόκειται για ολοκληρωμένη δοκιμή, όπου παρέχεται στον ελεγκτή πολλές πληροφορίες σχετικά με τα συστήματα και το δίκτυο, όπως πηγαίος κώδικας, σχήμα, λεπτομέρειες λειτουργικού συστήματος, διεύθυνση IP κ.λπ. Θεωρείται ως προσομοίωση επίθεσης από την εσωτερική πηγή. Ονομάζεται επίσης δοκιμή δομικών, γυάλινων κιβωτίων, διαφανών κιβωτίων και ανοιχτών κουτιών.

Η δοκιμή διείσδυσης λευκού κουτιού εξετάζει την κάλυψη του κώδικα και κάνει δοκιμές ροής δεδομένων, δοκιμή διαδρομής, δοκιμή βρόχου.

ΠΛΕΟΝΕΚΤΗΜΑΤΑ

  • Εξασφαλίζει ότι έχουν ασκηθεί ανεξάρτητες διαδρομές μιας ενότητας.
  • Παρέχει όλες τις λογικές αποφάσεις που επαληθεύονται μαζί με την αληθινή και την ψευδή αξία τους.
  • Ανακαλύπτει τα λάθη και ελέγχει τη σύνταξη.
  • Βρίσκει τα σφάλματα σχεδιασμού που παρουσιάζονται λόγω της διαφοράς μεταξύ της λογικής ροής του προγράμματος και της πραγματικής εκτέλεσης.

ΣΥΝ

  • Η επίθεση στερείται ρεαλισμού.
  • Ο δοκιμαστής σκέφτεται διαφορετικά από έναν μη ενημερωμένο εισβολέα.

Δοκιμή διείσδυσης μαύρου κουτιού

Σε αυτήν τη δοκιμή, ο ελεγκτής δεν έχει ιδέα για το σύστημα που πρόκειται να δοκιμάσει. Ενδιαφέρεται να συλλέξει πληροφορίες σχετικά με το δίκτυο ή το σύστημα. Για παράδειγμα, σε αυτόν τον τύπο δοκιμών, ένας ελεγκτής γνωρίζει μόνο ποια θα πρέπει να είναι η αναμενόμενη έξοδος και δεν ξέρει πώς θα είναι το αποτέλεσμα. Δεν εξετάζει κανέναν κώδικα προγραμματισμού.

ΠΛΕΟΝΕΚΤΗΜΑΤΑ

  • Δεν απαιτεί καμία συγκεκριμένη γνώση γλώσσας προγραμματισμού.
  • Ο ελεγκτής επαληθεύει τις αντιφάσεις στο υπάρχον σύστημα.
  • Η δοκιμή διεξάγεται γενικά από τη σκοπιά του χρήστη και όχι του σχεδιαστή.

ΣΥΝ

  • Οι δοκιμές είναι δύσκολο να σχεδιαστούν.
  • Δεν διεξάγει τα πάντα.

Δοκιμή διείσδυσης γκρίζου κουτιού

Στο Gray Box Penetration Testing, ένας ελεγκτής συνήθως προσφέρει μερικές ή περιορισμένες πληροφορίες σχετικά με το πρόγραμμα ενός συστήματος. Θεωρείται ως επίθεση από εξωτερικό χάκερ που απέκτησε παράνομη πρόσβαση στο δίκτυο ενός οργανισμού.

ΠΛΕΟΝΕΚΤΗΜΑΤΑ

  • Ο ελεγκτής δεν απαιτεί πρόσβαση στον πηγαίο κώδικα.
  • Υπάρχει σαφής διαφορά μεταξύ προγραμματιστή και δοκιμαστή, επομένως υπάρχει μικρότερος κίνδυνος προσωπικής σύγκρουσης.
  • Δεν χρειάζεται να προσφέρετε εσωτερικές πληροφορίες σχετικά με τις λειτουργίες του προγράμματος και άλλες λειτουργίες.

ΣΥΝ

  • Οι δοκιμαστές δεν έχουν πρόσβαση για να δουν τον κώδικα.
  • Η δοκιμή γκρι κουτιού είναι περιττή εάν ο προγραμματιστής της εφαρμογής έχει εκτελέσει παρόμοια δοκιμαστική περίπτωση.
  • Η δοκιμή γκρι κουτιού δεν είναι ιδανική για τη δοκιμή αλγορίθμων.

Εργαλεία για τη δοκιμή διείσδυσης

Ο χαρτογράφηση δικτύου (γνωστός και ως NMAP)

Χρησιμοποιείται για την ανακάλυψη του είδους των αδυναμιών στο περιβάλλον δικτύου μιας επιχείρησης ή μιας εταιρείας. Μπορεί να χρησιμοποιηθεί και για σκοπούς ελέγχου. Το NMAP λαμβάνει τα πακέτα ακατέργαστων δεδομένων που δημιουργούνται

  • Τι είδους κεντρικούς υπολογιστές είναι διαθέσιμοι σε έναν συγκεκριμένο κορμό ή τμήμα δικτύου
  • Αυτοί οι οικοδεσπότες παρέχουν πληροφορίες σχετικά με τις υπηρεσίες
  • Οποιοσδήποτε συγκεκριμένος κεντρικός υπολογιστής χρησιμοποιεί τις εκδόσεις και τους τύπους φίλτρων/τείχη προστασίας πακέτων δεδομένων

Μπορείτε να δημιουργήσετε έναν χάρτη του δικτύου και από εκεί, να επισημάνετε τις σημαντικές περιοχές τρωτών σημείων που μπορεί να διεισδύσει ένας εισβολέας Cyber.

img 617dd209ddbd1

Wireshark

Αυτό το εργαλείο είναι ένας πραγματικός αναλυτής πακέτων δεδομένων και πρωτόκολλο δικτύου που αναλύει την ασφάλεια αδυναμίες της κυκλοφορίας σε πραγματικό χρόνο. Πληροφορίες και δεδομένα μπορούν να συλλεχθούν από:

  • Bluetooth
  • IEEE 802.11
  • IPsec
  • Token Ring
  • Ρελέ καρέ
  • Kerberos
  • SNMPv3
  • SSL/TLS
  • WEP
  • Οποιεσδήποτε συνδέσεις που βασίζονται σε Ethernet
img 617dd20a27ffd

W3AF

ο προγραμματιστές λογισμικού δημιουργήστε αυτήν τη σουίτα και ο κύριος στόχος είναι να βρείτε και να αξιοποιήσετε τυχόν αδυναμίες ασφαλείας που υπάρχουν στις εφαρμογές που βασίζονται στο web. Αποτελείται από πολλά εργαλεία που μπορούν να ξεριζώσουν απειλές όπως:

  • Παραποίηση χρήστη-πράκτορα
  • Προσαρμοσμένες κεφαλίδες σε αιτήματα
  • DNS Δηλητηρίαση κρυφής μνήμης
img 617dd20aa10c4

Οι καλύτερες εταιρείες για δοκιμές διείσδυσης

Sciencesoft

Είναι πάροχος υπηρεσιών κυβερνοασφάλειας και εταιρεία ανάπτυξης λογισμικού. Βοηθά τους πελάτες τους που δραστηριοποιούνται στον τραπεζικό κλάδο, την υγειονομική περίθαλψη, τη μεταποίηση και άλλους κλάδους να σχεδιάσουν και να εφαρμόσουν την πιο σχετική άμυνα για τα περιβάλλοντα πληροφορικής τους.

img 617dd20ae7785

netsparker

είναι ένας ακριβής αυτοματοποιημένος σαρωτής που εντοπίζει τρωτά σημεία στο διαδικτυακές εφαρμογές και web API . Επαληθεύει μοναδικά τα τρωτά σημεία αποδεικνύοντας ότι είναι πραγματικά και όχι ψευδώς θετικά.

Διατίθεται ως λογισμικό παραθύρων και ως ηλεκτρονική υπηρεσία.

img 617dd20b464c0

Indusface ΗΤΑΝ

Παρέχει τη μη αυτόματη δοκιμή διείσδυσης σε συνδυασμό με έναν αυτοματοποιημένο σαρωτή αδυναμιών εφαρμογών web που εντοπίζει και αναφέρει αδυναμίες με βάση το OWASP top 10.

Η εταιρεία βρίσκεται στην Ινδία με άλλα γραφεία στη Βομβάη, το Μπανγκαλόρ, τη Βαντοντάρα, το Δελχί και το Σαν Φρανσίσκο και οι υπηρεσίες χρησιμοποιούνται από 1100+ πελάτες σε 25+ χώρες παγκοσμίως.

img 617dd20c1f727

Ένας εισβολέας

Είναι ένα εταιρεία κυβερνοασφάλειας που παρέχει μια αυτοματοποιημένη λύση SaaS για τους πελάτες τους. Το πανίσχυρο εργαλείο σάρωσης έχει σχεδιαστεί για να προσφέρει αποτελέσματα με μεγάλη δυνατότητα δράσης, βοηθώντας τις πολυάσχολες ομάδες να επικεντρωθούν σε αυτό που πραγματικά έχει σημασία.

Το Intruder χρησιμοποιεί τον ίδιο κινητήρα που κάνουν οι μεγάλες τράπεζες, ώστε να μπορείτε να απολαύσετε υψηλής ποιότητας ελέγχους ασφαλείας, χωρίς την πολυπλοκότητα. Ο εισβολέας προσφέρει επίσης υβριδική υπηρεσία δοκιμών διείσδυσης, η οποία περιλαμβάνει χειροκίνητες δοκιμές για να βοηθήσει στον εντοπισμό ζητημάτων πέρα ​​από τις δυνατότητες των αυτοματοποιημένων σαρώσεων.

δοκιμή διείσδυσης

Συχνές ερωτήσεις

Πόσο συχνά πρέπει να κάνουμε ένα τεστ διείσδυσης;

Εξαρτάται από διάφορους παράγοντες που πρέπει να ληφθούν υπόψη κατά την εξέταση της συχνότητας διεξαγωγής δοκιμών διείσδυσης. Ακολουθούν τα πράγματα που πρέπει να έχετε υπόψη σας
Πόσο συχνά αλλάζει το περιβάλλον: Οι δοκιμές συχνά ρυθμίζονται σε αλλαγές, καθώς βρίσκονται κοντά σε κατάσταση ετοιμότητας παραγωγής.
Πόσο μεγάλο είναι το περιβάλλον: Οι πιο εκτεταμένες ρυθμίσεις δοκιμάζονται σε φάσεις για να εξισορροπηθεί η προσπάθεια δοκιμής και το φορτίο που τοποθετείται στο έδαφος.

Ποιο είναι το τυπικό κόστος για μια δοκιμή διείσδυσης;

Το κόστος της δοκιμής διείσδυσης ποικίλλει σημαντικά.
Διάφοροι παράγοντες χρησιμοποιούνται για την τιμολόγηση δοκιμής στυλό, μεταξύ των οποίων. Είναι απαραίτητο να πραγματοποιήσετε μια λεπτομερή συνάντηση για το πεδίο εφαρμογής για να δημιουργήσετε μια σαφή κατανόηση των αναγκών και να αναπτύξετε μια δήλωση εργασίας πριν από τη διεξαγωγή οποιουδήποτε τεστ διείσδυσης. Στην ιδανική περίπτωση, μια δοκιμή διείσδυσης πρέπει να εκτελείται με σταθερή αμοιβή για την εξάλειψη τυχόν απρογραμμάτιστων δαπανών. Η αναφερόμενη αμοιβή θα πρέπει να περιλαμβάνει όλη την εργασία και τα απαιτούμενα εργαλεία δοκιμών.

Τι πρέπει να περιμένει κανείς από τη διαδικασία δοκιμής διείσδυσης;

Η δοκιμή διείσδυσης είναι μια πειθαρχημένη διαδικασία. Μια εταιρεία δοκιμών θα πρέπει να ενημερώνει καλά όλους τους ενδιαφερόμενους σε κάθε κρίσιμο στάδιο της διαδικασίας. Ως εταιρεία που αναζητά υπηρεσίες δοκιμών διείσδυσης, θα πρέπει να έχετε υπόψη σας:
Μια προγραμματισμένη, τεκμηριωμένη και κοινοποιημένη προσέγγιση για να γνωρίζουμε τι συμβαίνει και πότε.
Θα πρέπει να ακολουθηθεί μια πειθαρχημένη, επαναλαμβανόμενη προσέγγιση.
Το σύστημα πρέπει να προσαρμοστεί ώστε να ταιριάζει στο περιβάλλον της επιχείρησης.
Μια καθορισμένη διαδικασία έναρξης, διαδικασία σχεδιασμού, συντονισμένες δοκιμές και μια διαδικασία συλλογικής παράδοσης για να διασφαλιστούν ακριβή αποτελέσματα και σαφής κατανόηση της αποκατάστασης.