Penetrační test nebo bezpečnostní audit je autorizovaný simulovaný útok prováděný na domluvený cíl za účelem zhodnocení zabezpečení testovaného systému. Testeři používají postupy, nástroje a techniky podobné těm co používají reální útočníci.
Při testování tester postupuje po krocích, které po sobě následují. Většinou se uvádí 6 fází penetračního testu.
- Příprava testu (Pre-Engagement Interactions)
- Průzkum (Reconnaissance and OSINT)
- Identifikace zranitelnosti (Threat Modeling & Vulnerability Identification)
- Exploitace (Exploitation)
- Zpracování nálezu (Post-Exploitation, Risk Analysis & Recommendations)
- Závěrečná zpráva (Reporting)
1. Příprava testu
Souhlas vlastníka systému s testování je podmínkou proto aby test byl legální. Za formální souhlas s tetování se považuje podepsání RoE. V RoE jsou domluveny podmínky za který test proběhne. Návrh RoE zpracovává dodavatel testu.
2. Průzkum
Kombinací aktivního skenování a vytěžovaní veřejně dostupných zdrojů tester shromažďuje maximum informací o cíli testováni. Množina všech míst kam je možné vést útok se nazývá "Attack surface". Průzkum se někdy taky označuje "Attack surface mapping"
3. Identifikace zranitelnosti
Nalezení zranitelnosti, které je alespoň teoreticky možné exploitovat je cílem této fáze. Stanovení "Attack vectoru"
4.Exploitace
Ověření zda je možné zranitelnost zneužít k provedení útoku. Při penetračním testu se používají veřejně dostupné databáze exploitu.
5. Zpracování nálezu
V případě že pomocí testů identifikuje tester bezpečnostní riziko, zpracuje jejich výsledky do nálezu. U nálezu by mělo být vyhodnoceno riziko, stanovena úroveň zranitelnosti, provedena kategorizace zranitelnosti a návrh opatření pro zmírnění rizik sovisejících s nálezem.
6. Závěrečná zpráva
Penetrační test končí vypracování závěrečné zprávy, kromě technických detailů o nálezech by ve správě mělo být manažerské shrnutí, souhrn nálezu a popis testu.
Komentáře
Okomentovat