Iespiešanās pārbaude
Iespiešanās pārbaude vai Pildspalvas pārbaude ir drošības pārbaudes veids, ko izmanto, lai atklātu ievainojamības, draudus un riskus, kurus uzbrucējs varētu izmantot programmatūras lietojumprogrammās, tīklos vai tīmekļa lietojumprogrammās. Iespiešanās pārbaudes mērķis ir identificēt un pārbaudīt visas iespējamās drošības vājās vietas, kas atrodas programmatūras lietojumprogrammā. Iespiešanās testēšanu sauc arī par Pen Test.
Neaizsargātība ir risks, ka uzbrucējs var izjaukt vai iegūt autorizētu piekļuvi sistēmai vai visiem tajā esošajiem datiem. Neaizsargātību parasti ievada nejauši programmatūras izstrādes un ieviešanas posmā. Biežākās ievainojamības ir dizaina kļūdas, konfigurācijas kļūdas, programmatūras kļūdas utt. Iespiešanās analīze ir atkarīga no diviem mehānismiem, proti, ievainojamības novērtēšanas un iespiešanās pārbaudes (VAPT).
Kāpēc iespiešanās pārbaude?
Iekļūšana uzņēmumā ir būtiska, jo -
- Finanšu nozares, piemēram, bankas, investīciju bankas, fondu tirdzniecības biržas, vēlas, lai viņu dati tiktu aizsargāti, un iespiešanās pārbaude ir būtiska, lai nodrošinātu drošību
- Gadījumā, ja programmatūras sistēma jau ir uzlauzta un organizācija vēlas noteikt, vai sistēmā joprojām pastāv kādi draudi, lai izvairītos no turpmākas uzlaušanas.
- Proaktīva iespiešanās pārbaude ir labākais nodrošinājums pret hakeriem
Iespiešanās testēšanas veidi:
Atlasītais iespiešanās testa veids parasti ir atkarīgs no darbības jomas un no tā, vai organizācija vēlas simulēt darbinieka, tīkla administratora (iekšējie avoti) vai ārējo avotu uzbrukumu. Ir trīs iespiešanās testēšanas veidi, un tie ir
- Melnās kastes pārbaude
- Baltās kastes iespiešanās pārbaude
- Pelēkās kastes iespiešanās pārbaude
Melnās kastes iespiešanās testēšanā testētājam nav zināšanu par pārbaudāmajām sistēmām. Viņš ir atbildīgs par informācijas vākšanu par mērķa tīklu vai sistēmu.
Baltās kastes iespiešanās testēšanā testerim parasti tiek sniegta pilnīga informācija par testējamo tīklu vai sistēmām, tostarp IP adrešu shēma, avota kods, OS informācija utt. To var uzskatīt par jebkura uzbrukuma simulāciju. Iekšējie avoti (organizācijas darbinieki).
Pelēkās kastes iespiešanās testēšanā testētājam tiek sniegtas daļējas zināšanas par sistēmu. To var uzskatīt par ārēja hakera uzbrukumu, kurš bija ieguvis nelikumīgu piekļuvi organizācijas tīkla infrastruktūras dokumentiem.
Kā veikt iespiešanās testēšanu
Tālāk ir jāveic darbības, lai veiktu iespiešanās testu -
1. solis) Plānošanas posms
- Tiek noteikts uzdevuma apjoms un stratēģija
- Darbības jomas noteikšanai tiek izmantotas esošās drošības politikas, standarti
2. solis) Atklāšanas fāze
- Vāciet pēc iespējas vairāk informācijas par sistēmu, ieskaitot datus sistēmā, lietotājvārdus un pat paroles. To sauc arī par FINGERPRINTING
- Skenējiet un pārbaudiet ostās
- Pārbaudiet, vai sistēmā nav ievainojamības
3. solis. Uzbrukuma fāze
- Atrodiet dažādu ievainojamību izmantojumus. Lai izmantotu sistēmu, jums ir nepieciešamas nepieciešamās drošības privilēģijas
4. solis. Pārskatu sniegšanas fāze
- Ziņojumā jāietver detalizēti secinājumi
- Atrasto ievainojamību riski un to ietekme uz uzņēmējdarbību
- Ieteikumi un risinājumi, ja tādi ir
Iekļūšanas testēšanas galvenais uzdevums ir apkopot informāciju par sistēmu. Ir divi informācijas vākšanas veidi -
- “Viens pret vienu” vai “viens pret daudziem” modelis attiecībā uz resursdatoru: testeris veic lineāras metodes pret vienu mērķa resursdatoru vai loģisku mērķa resursdatoru grupu (piemēram, apakštīklu).
- “Daudzi pret vienu” vai “daudzi pret daudziem” modelis: testeris izmanto vairākus resursdatorus, lai informācijas vākšanas paņēmienus izpildītu nejauši, ar ierobežotu ātrumu un nelineāri.
Iespiešanās testēšanas rīku piemēri
Iespiešanās testos tiek izmantoti dažādi instrumenti, un svarīgi instrumenti ir:
- NMap - Šis rīks tiek izmantots, lai veiktu ostu skenēšanu, OS identifikāciju, Maršruta izsekošanu un Neaizsargātības skenēšanu.
- Nessus - tas ir tradicionāls tīklā balstīts ievainojamības rīks.
- Pass-The-Hash - Šis rīks galvenokārt tiek izmantots paroļu uzlaušanai.
Iespiešanās testētāju loma un pienākumi:
Iespiešanās testētāju uzdevums ir:
- Testētājiem būtu jāapkopo nepieciešamā informācija no organizācijas, lai varētu veikt iekļūšanas testus
- Atrodiet trūkumus, kas varētu ļaut hakeriem uzbrukt mērķa mašīnai
- Pildspalvu testētājiem vajadzētu domāt un rīkoties kā reāliem hakeriem, lai arī ētiski.
- Penetration testētāju veiktajam darbam jābūt atkārtojamam, lai izstrādātājiem to būtu viegli salabot
- Testa izpildes sākuma un beigu datums ir jādefinē iepriekš.
- Testētājam vajadzētu būt atbildīgam par jebkādiem sistēmas vai informācijas zaudējumiem programmatūras testēšanas laikā
- Testētājam būtu jāglabā dati un informācija konfidenciāli
Manuāla iespiešanās un automātiska iespiešanās pārbaude:
| Manuāla iespiešanās pārbaude | Automatizēta iespiešanās pārbaude |
|---|---|
| Manuālai testēšanai testu veikšanai nepieciešami eksperti profesionāļi | Automatizētie testēšanas rīki sniedz skaidrus ziņojumus ar mazāk pieredzējušiem profesionāļiem |
| Manuālai testēšanai ir nepieciešams Excel un citi rīki, lai to izsekotu | Automatizācijas testēšanai ir centralizēti un standarta rīki |
| Veicot manuālo testēšanu, parauga rezultāti katrā testā atšķiras | Automātisko testu gadījumā rezultāti katrā testā neatšķiras |
| Atmiņas tīrīšana jāatceras lietotājiem | Automatizētajai testēšanai būs jāveic visaptveroša tīrīšana. |
Iespiešanās testēšanas trūkumi
Iespiešanās testēšana nevar atrast visas sistēmas ievainojamības. Iespiešanās testētājiem ir laika, budžeta, apjoma un prasmju ierobežojumi
Šīs būs blakusparādības, kad mēs veicam iespiešanās pārbaudi:
- Datu zaudēšana un korupcija
- Dīkstāves laiks
- Palielināt izmaksas
Secinājums:
Testētājiem jārīkojas kā īstam hakerim un jāpārbauda lietojumprogramma vai sistēma, un viņiem jāpārbauda, vai kods ir droši uzrakstīts. Iespiešanās pārbaude būs efektīva, ja ir labi īstenota drošības politika. Iespiešanās testēšanas politikai un metodikai vajadzētu būt vietai, lai padarītu iespiešanās testēšanu efektīvāku. Šī ir pilnīga iesācēju rokasgrāmata iespiešanās testēšanai.
Pārbaudiet mūsu Live Penetration Testing Project