Тест безопасности, имитирующий реальную кибератаку в контролируемой среде, называют «пентестом» или тестом на вторжение. Основная цель этого типа тестирования — выявить возможные бреши в безопасности системы, чтобы, имитируя поведение реальных злоумышленников, мы могли обнаружить уязвимости и дыры в безопасности, которые необходимо исправить.
При поиске уязвимостей во время пентеста должны быть охвачены все возможные части системы с учетом того, какие методы проникновения собираются использовать злоумышленники.
Наиболее распространенные методы вторжения, используемые злоумышленниками:
- Установка вредоносных программ, вирусов, троянов или кейлоггеров.
- Доступ к системам, использующим плохую конфигурацию.
- Социальная инженерия.
Тесты на проникновение — это форма этического взлома, которая не выходит за рамки закона, поскольку существуют юридические ограничения, согласованные между лицом или организацией, запрашивающей этот тип услуг, и компанией, которая их выполняет.
Пентесты не только обнаруживают нарушения безопасности или соответствующие им уязвимости, но и эксплуатируют их. Он показывает возможные способы доступа к компании, чтобы исправить найденные бреши.
Важно быть в курсе технологических вопросов. Пентест — это шоковая терапия для компаний, позволяющая лучше понять текущую ситуацию в их бизнесе и то, что они могли бы потерять, если бы атака была реальной.
Отчеты
Последней частью теста на проникновение всегда будет информативное резюме (это документ о том, как прошел тест на проникновение), куда будут включены все обнаруженные уязвимости и риски, которыми могут воспользоваться злоумышленники.
Также должен быть приложен документ, где собрано все, что получено на тесте.
Наконец, если это было предварительно согласовано, должен быть документ о контрмерах для решения (или смягчения) этих проблем в максимально возможной степени.
Условия пентеста
Черный ящик
Эта модель тестирования заключается в отсутствии знаний об инфраструктуре клиента. На момент проведения пентеста никакой информации по этому поводу нет. Эта модальность имитирует атаку извне со стороны злоумышленника, не знающего об атакуемой системе.
Белый ящик
Этот метод имитирует внутреннюю атаку со стороны работника или другого человека, который имеет полный доступ к системе.
Серый ящик
В этом последнем способе будет доступна определенная частичная информация о цели, такая как учетные записи, информация об определенных технологиях, которые необходимо оценить, домены или любой другой тип ценной информации. Он отличается от Белого ящика уровнем и глубиной знаний, которые предоставляет сущность. Этот гибридный способ имитирует атаку с относительной осведомленностью о ситуации, подобную той, которую может осуществить клиент или конкурент.
Используемые методологии
Open Web Application Security Project (OWASP) — это глобальная некоммерческая организация, занимающаяся повышением безопасности приложений и программного обеспечения в целом.
Методология OWASP делится на 2 этапа:
- Пассивная фаза, на которой проводятся тесты до понимания логики приложения, находящегося на стадии аудита.
- И активная фаза, на которой аудитор тестирует все процессы, рекомендованные в методологии, в соответствии со стандартной методологией этического взлома.