Programmatūras Testēšana

Iespiešanās pārbaude iesācējiem

2021. gada 30. oktobris

Iespiešanās pārbaude ir datorsistēmas, tīmekļa lietojumprogrammas un tīkla pārbaude, lai atrastu drošības nepilnības, kuras uzbrucējs varētu izmantot. Šāda veida pārbaude var būt automatizēti vai veic manuāli. Process ietver informācijas vākšanu par mērķi pirms testēšanas, iespējamo ieejas punktu noteikšanu, mēģinājumu ielauzties virtuāli vai reāli un ziņot par konstatējumiem.

Pildspalvas testa galvenais mērķis ir identificēt vājās vietas organizācijas drošības pozā, kā arī izmērīt drošības politikas akceptēšanu, pārbaudīt drošības izpratni un noteikt, vai organizācija nebūtu pakļauta drošības katastrofām.

UZ iespiešanās tests arī izceļ uzņēmuma nepilnības drošības politikas.

Pārskati, kas tiek ģenerēti, izmantojot iespiešanās testu, nodrošina atgriezenisko saiti. Pārskati palīdz lietojumprogrammu izstrādātājiem izveidot drošākas lietojumprogrammas.

Satura rādītājs

Pasākumi iespiešanās pārbaudes uzsākšanai

1. solis) Plānošanas fāze

  1. Tiek noteikts uzdevuma apjoms un stratēģija.
  2. Tvēruma noteikšanai tiek izmantotas drošības politikas, standarti.

2. solis) Atklāšanas fāze.

  1. Apkopojiet informāciju par sistēmu, tostarp noformējuma datus, lietotājvārdus un pat paroles.
  2. Skenējiet un pārbaudiet ostās
  3. Pārbaudiet sistēmas ievainojamības

3. solis) Uzbrukuma fāze

  1. Atrodiet dažādus trūkumus. Jūs nesaņemsit nepieciešamās drošības privilēģijas, lai izmantotu sistēmu

4. darbība) Ziņošanas posms

  1. Ziņojumā jāiekļauj detalizēti konstatējumi.
  2. Atklāto trūkumu riski un to ietekme uz uzņēmējdarbību.
  3. Ieteikumi un risinājumi.

Iespiešanās pārbaudes metodes

Ārējā pārbaude

Tā ir vērsta uz uzņēmuma aktīviem, kas ir redzami internetā, piemēram, e-pasta un domēna nosaukumu serveri (DNS) un pašu tīmekļa lietojumprogrammu, uzņēmuma vietni. Galvenais mērķis ir piekļūt un iegūt vērtīgus datus.

Iekšējā pārbaude

Testeris ar piekļuvi lietojumprogrammai aiz ugunsmūra simulē iekšējās personas uzbrukumu. Tas ne vienmēr ietekmē negodīgu darbinieku. Tipisks scenārijs var būt darbinieks, kuram tika nozagti akreditācijas dati.

Aklā pārbaude

Pārbaudītājam tiek piešķirts tikai tā uzņēmuma nosaukums, uz kuru tiek atlasīta mērķauditorija. Tā piedāvā drošības personālam ieskatu, kā notiktu faktiskā pieteikšanās.

Dubultaklā pārbaude

Apsardzes darbiniekiem uzbrukums nav zināms. Viņiem nebūtu laika nostiprināt savu aizsardzību pirms pārkāpuma.

Mērķtiecīga pārbaude

Gan testētājs, gan drošības personāls strādā kopā un informē viens otru par savām kustībām. Tas ir apmācības vingrinājums, kas sniedz drošības komandai reāllaika atgriezenisko saiti no hakeru viedokļa.

PROS

  • Testēšana nodrošina drosmīgu drošības pieeju.
  • Tas ļauj izpētīt reālos riskus un precīzi attēlot uzņēmuma IT infrastruktūras drošības stāvokli konkrētajā laikā.
  • Tas palīdz izmeklēt datu pārkāpumu vai tīkla ielaušanos, lai atklātu jebkādus iemeslus datu noplūdei vai intelektuālā īpašuma zādzībai.
  • Tas ļauj apkopot informāciju par sistēmu, lai uzzinātu un, iespējams, pat nonāktu pie dažiem iekšējiem ziņojumiem par aktīviem hakeriem.
  • Tas var atrast gan nezināmus, gan zināmus trūkumus un izmantot drošības ievainojamības, kuras var identificēt un novērst, pirms tās tiek izmantotas daudz efektīvākā veidā, izmantojot automatizētus rīkus.
  • Tā var apstiprināt aizsardzības mehānismu efektivitāti, kas ir daudz plašāka par analīzi, ko sniedz neaizsargātības novērtējums, nosakot nepilnības.
  • Tas sniedz iespējamos veidus, kā pārbaudīt sistēmu ar uzbrukumiem, kas ir pēc iespējas tuvāki reāliem incidentiem, pateicoties profesionāļu darbam, kuri domā un uzbrūk tā, kā to darītu vairums ļaunprātīgo hakeru.

KONS

  • Ir apšaubāms, ka iespiešanās tests atradīs visu drošību problēmas vai atrisinās visas problēmas, meklējot trūkumus un ģenerējot automatizētu ziņojumu.
  • Testētājam ir nepieciešams vairāk laika, lai pārbaudītu sistēmu, lai identificētu uzbrukumu, nekā veiktu vājuma novērtējumu; jo testa joma ir nozīmīgāka. Viņa/viņas darbības var arī traucēt uzņēmējdarbībai, jo tās atdarina īstu uzbrukumu.
  • Tas ir darbietilpīgs, un tas var radīt paaugstinātas izmaksas, un dažas organizācijas, iespējams, nespēs tam piešķirt budžetu. Tas attiecas uz gadījumiem, kad uzdevuma veikšanai tiek nolīgts uzņēmums.
  • Tas rada maldīgu drošības sajūtu. Vairumā gadījumu testēšana ir zināma uzņēmuma drošības komandām, kuras ir gatavas meklēt draudus un ir gatavas aizstāvēties. Reāli uzbrukumi ir nepieteikti un, galvenais, negaidīti.

Iespiešanās pārbaudes veidi

Tālāk ir norādīti galvenie iespiešanās pārbaudes veidi:

    Baltās kastes caurlaidības pārbaude Melnās kastes caurlaidības pārbaude Pelēkās kastes caurlaidības pārbaude

Baltās kastes caurlaidības pārbaude

Šī ir visaptveroša testēšana, kurā testētājs tiek nodrošināts ar daudz informācijas par sistēmām un tīklu, piemēram, avota kodu, shēmu, OS informāciju, IP adresi utt. Tā tiek uzskatīta par iekšējā avota uzbrukuma simulāciju. To sauc arī par strukturālo, stikla kastes, caurspīdīgās kastes un atvērtās kastes testēšanu.

Baltās kastes iespiešanās pārbaude pārbauda koda pārklājumu un veic datu plūsmas testēšanu, ceļa pārbaudi, cilpas testēšanu.

PROS

  • Tas nodrošina, ka ir izmantoti neatkarīgi moduļa ceļi.
  • Tas nodrošina visus loģiskos lēmumus, kas tiek pārbaudīti kopā ar to patieso un nepatieso vērtību.
  • Tā atklāj kļūdas un pārbauda sintaksi.
  • Tā atrod projektēšanas kļūdas, kas rodas, jo atšķiras programmas loģiskā plūsma un faktiskā izpilde.

KONS

  • Uzbrukumam trūkst reālisma.
  • Testētājs domā savādāk nekā neinformēts uzbrucējs.

Melnās kastes caurlaidības pārbaude

Šajā testēšanā testētājam nav ne jausmas par sistēmu, kuru viņš/viņa testēs. Viņš/viņa ir ieinteresēts vākt informāciju par tīklu vai sistēmu. Piemēram, šāda veida testēšanā testētājs zina tikai to, kādam jābūt sagaidāmajam rezultātam, un viņš/viņa nezina, kāds būs rezultāts. Viņš/viņa nepārbauda nevienu programmēšanas kodu.

PROS

  • Tas neprasa nekādas īpašas programmēšanas valodas zināšanas.
  • Testētājs pārbauda esošās sistēmas pretrunas.
  • Pārbaudi parasti veic no lietotāja, nevis dizainera perspektīvas.

KONS

  • Testa gadījumus ir grūti izstrādāt.
  • Tas nevada visu.

Pelēkās kastes caurlaidības pārbaude

Grey Box Penetration Testing testētājs parasti piedāvā daļēju vai ierobežotu informāciju par sistēmas programmu. Tas tiek uzskatīts par ārēja hakera uzbrukumu, kurš ieguva nelegālu piekļuvi organizācijas tīklam.

PROS

  • Testētājam nav nepieciešama piekļuve avota kodam.
  • Pastāv skaidra atšķirība starp izstrādātāju un testētāju, tāpēc pastāv mazāks personisku konfliktu risks.
  • Jums nav jāpiedāvā iekšēja informācija par programmas funkcijām un citām darbībām.

KONS

  • Testētājiem nav piekļuves, lai redzētu kodu.
  • Pelēkās kastes pārbaude ir lieka, ja lietojumprogrammas izstrādātājs ir veicis līdzīgu testa gadījumu.
  • Pelēkās kastes pārbaude nav ideāla algoritmu pārbaudei.

Rīki iespiešanās pārbaudei

Tīkla kartētājs (pazīstams arī kā NMAP)

To izmanto, lai atklātu trūkumus uzņēmuma vai korporācijas tīkla vidē. To var izmantot arī audita nolūkos. NMAP ņem neapstrādātas datu paketes, kas ir izveidotas

  • Kāda veida saimniekdatori ir pieejami noteiktā tīkla maģistrālē vai segmentā
  • Šie saimnieki sniedz informāciju par pakalpojumiem
  • Jebkurš konkrēts resursdators izmanto datu pakešu filtru/ugunsmūru versijas un veidus

Varat izveidot tīkla karti un no turienes norādīt ievērojamās ievainojamības zonas, kurās var iekļūt kiberuzbrucējs.

img 617dd209ddbd1

Wireshark

Šis rīks ir faktiskais datu pakešu analizators un tīkla protokols, kas analizē drošību satiksmes nepilnības reāllaikā. Informāciju un datus var ievākt no:

  • Bluetooth
  • IEEE 802.11
  • IPsec
  • Žetonu gredzens
  • Rāmja relejs
  • Kerberos
  • SNMPv3
  • SSL/TLS
  • WEP
  • Jebkuri uz Ethernet balstīti savienojumi
img 617dd20a27ffd

W3AF

The programmatūras izstrādātājiem izveidot šo komplektu, un galvenais mērķis ir atrast un izmantot visas tīmekļa lietojumprogrammās esošās drošības nepilnības. Tas sastāv no daudziem rīkiem, kas var novērst tādus draudus kā:

  • Lietotāja aģenta viltošana
  • Pielāgotas pieprasījumu galvenes
  • DNS Kešatmiņas saindēšanās
img 617dd20aa10c4

Labākie uzņēmumi iespiešanās testēšanai

Sciencesoft

Tas ir kiberdrošības pakalpojumu sniedzējs un programmatūras izstrādes uzņēmums. Tas palīdz saviem klientiem, kas darbojas banku, veselības aprūpes, ražošanas un citās nozarēs, izstrādāt un ieviest vispiemērotāko aizsardzību savai IT videi.

img 617dd20ae7785

netsparker

ir precīzs automatizēts skeneris, kas identificē ievainojamības tīmekļa lietojumprogrammas un tīmekļa API . Tas unikāli pārbauda ievainojamības, pierādot, ka tās ir īstas, nevis kļūdaini.

Tas ir pieejams kā logu programmatūra un tiešsaistes pakalpojums.

img 617dd20b464c0

Indusface BIJA

Tas nodrošina manuālu iespiešanās testēšanu, kas ir komplektā ar automatizētu tīmekļa lietojumprogrammu vājo vietu skeneri, kas atklāj un ziņo par trūkumiem, pamatojoties uz OWASP 10 populārākajiem.

Uzņēmums atrodas Indijā ar citiem birojiem Mumbajā, Bengaluru, Vadodarā, Deli un Sanfrancisko, un pakalpojumus izmanto vairāk nekā 1100 klientu 25+ valstīs visā pasaulē.

img 617dd20c1f727

Iebrucējs

Tas ir kiberdrošības uzņēmums kas nodrošina automatizētu SaaS risinājumu saviem klientiem. Jaudīgais skenēšanas rīks ir izstrādāts, lai nodrošinātu ļoti praktiskus rezultātus, palīdzot aizņemtām komandām koncentrēties uz to, kas patiešām ir svarīgs.

Intruder izmanto to pašu dzinēju, ko izmanto lielās bankas, lai jūs varētu baudīt augstas kvalitātes drošības pārbaudes bez sarežģījumiem. Iebrucējs piedāvā arī hibrīda iespiešanās pārbaudes pakalpojumu, kas ietver manuālas pārbaudes, lai palīdzētu noteikt problēmas, kas pārsniedz automātiskās skenēšanas iespējas.

iespiešanās pārbaude

FAQ

Cik bieži mums jāveic iespiešanās pārbaude?

Tas ir atkarīgs no dažādiem faktoriem, kas būtu rūpīgi jāpārdomā, apsverot iespiešanās testu veikšanas biežumu. Tālāk ir norādītas lietas, kas jums jāpatur prātā
Cik bieži vide mainās: Pārbaudes bieži tiek pielāgotas izmaiņām, jo ​​tās ir gandrīz gatavas ražošanai.
Cik liela ir vide: Plašāki iestatījumi tiek pārbaudīti fāzēs, lai izlīdzinātu testēšanas piepūli un slodzi uz zemes.

Kādas ir iespiešanās testa tipiskās izmaksas?

Iespiešanās pārbaudes izmaksas ir ļoti atšķirīgas.
Pildspalvas testa cenu noteikšanai tiek izmantoti vairāki faktori, tostarp. Pirms jebkādas iespiešanās pārbaudes veikšanas ir svarīgi sarīkot detalizētu darbības jomas sapulci, lai iegūtu skaidru izpratni par vajadzībām un izstrādātu darba pārskatu. Ideālā gadījumā iespiešanās pārbaude jāveic par fiksētu maksu, lai novērstu jebkādus neplānotus izdevumus. Norādītajā maksā jāiekļauj visi darbi un nepieciešamie testēšanas rīki.

Ko vajadzētu sagaidīt no iespiešanās pārbaudes procesa?

Iespiešanās pārbaude ir disciplinēts process. Testēšanas uzņēmumam ir rūpīgi jāinformē visas ieinteresētās personas par katru procesa kritisko posmu. Tā kā uzņēmums meklē iespiešanās pārbaudes pakalpojumus, jāņem vērā:
Plānota, dokumentēta un paziņota pieeja, lai uzzinātu, kas un kad notiek.
Jāievēro disciplinēta, atkārtojama pieeja.
Sistēma ir jāpielāgo, lai tā atbilstu uzņēmuma videi.
Noteikts uzsākšanas process, plānošanas process, koordinēta pārbaude un sadarbības piegādes process, lai nodrošinātu precīzus rezultātus un skaidru izpratni par sanāciju.