Uue turvasüsteemi seadistamisel peate veenduma, et see töötab võimalikult väheste haavatavustega korralikult. Kui tegemist on tuhandete dollarite väärtuses digitaalse varaga, ei saa te lubada oma vigadest õppida ja täita ainult oma turvalisuse lüngad, mida häkkerid varem kasutasid.
Parim viis oma võrgu turvalisuse parandamiseks ja tagamiseks on selle pidev testimine ja vigade otsimine.
Mis on läbitungimise testimine?
Mis on pliiatsi test?
Tungimistestimine, tuntud ka kui pastakatest, on järkjärguline küberturvalisuse rünnak, mis jäljendab tegelikku turvaintsidenti. Simuleeritud rünnak võib sihtida ühte või mitut teie turvasüsteemi osa, otsides nõrku kohti, mida pahatahtlik häkker saaks ära kasutada.
Eristab seda tegelikust küberrünnakust see, et seda tegev inimene on valge müts - või eetiline - häkker, kelle te palkate. Neil on oskused tungida teie kaitsemehhanismidesse ilma oma musta mütsiga kolleegide pahatahtliku kavatsuseta.
Pentesti tüübid
On mitmeid näiteid pentestidest, sõltuvalt eetilise häkkeri käivitatava rünnaku tüübist, eelnevalt saadud teabest ja töötaja seatud piirangutest.
Üks pentest võib olla üks või kombinatsioon peamistest pentestitüüpidest, mis hõlmavad järgmist:
Insider Pentest
Siseringi sisemine või sisemine pentest simuleerib siseringi küberrünnakut, kus pahatahtlik häkker esitleb seaduslikku töötajat ja pääseb juurde ettevõtte sisevõrgule.
See tugineb sisemistele turvavigadele, nagu juurdepääsuõigused ja võrgu jälgimine, mitte välistele, näiteks tulemüürile, viirusetõrjele ja lõpp-punktide kaitsele.
Väline Pentest
Nagu nimigi ütleb, ei anna selline pentest häkkerile mingit juurdepääsu ettevõtte sisevõrgule ega töötajatele. See jätab neile võimaluse sisse häkkida ettevõtte välise tehnoloogia kaudu, nagu avalikud veebisaidid ja avatud suhtlusport.
Välised pentestid võivad kattuda sotsiaaltehnika inseneridega, kus häkker trikitab ja manipuleerib töötajaga, võimaldades neile juurdepääsu ettevõtte sisevõrgule, väljaspool selle välist võrku kaitse.
Andmetest juhitud Pentest
Andmepõhise pentesti korral antakse häkkerile turbeteavet ja andmeid sihtmärgi kohta. See simuleerib endise töötaja või lekitatud turvaandmete hankinud isiku rünnakut.
Pime Pentest
Vastupidiselt andmepõhisele testile tähendab pimekatse, et häkker ei saa oma sihtmärgi kohta muud teavet kui nimi ja avalikult kättesaadav teave.
Topeltpime Pentest
Lisaks ettevõtte digitaalsete turvameetmete (riist- ja tarkvara) testimisele hõlmab see test ka selle turva- ja IT-töötajaid. Selles etapiviisilises rünnakus pole keegi ettevõttes pentest teadlik, sundides neid reageerima justkui pahatahtliku küberrünnakuga.
See annab väärtuslikke andmeid ettevõtte üldise turvalisuse ja töötajate valmisoleku ning nende kahe suhtlemise kohta.
Kuidas läbitungimise testimine töötab
Sarnaselt pahatahtlike rünnakutega vajab ka eetiline häkkimine hoolikat planeerimist. Eetiline häkker peab järgima mitut sammu, et tagada edukas pentest, mis annab väärtuslikku teavet. Siit saate ülevaate pentesti metoodikast.
1. Teabe kogumine ja planeerimine
Olgu selleks pime või andmepõhine pentest, häkkeril tuleb kõigepealt koguda ühes kohas teavet oma sihtmärgi kohta ja planeerida selle ümber rünnakukoht.
2. Haavatavuse hindamine
Teine samm on nende rünnakute leidmine, otsides lünki ja haavatavusi, mida kasutada. Häkker otsib pääsupunkte ja seejärel korraldab mitu väikesemahulist testi, et näha, kuidas turvasüsteem reageerib.
3. Haavatavuste kasutamine
Pärast õigete sisenemispunktide leidmist püüab häkker tungida oma turvalisusesse ja pääseda võrku.
See on tegelik „häkkimise” etapp, mille käigus nad kasutavad turvaprotokollidest, tulemüüridest ja jälgimissüsteemidest mööda hiilimist igal võimalikul viisil. Nad võiksid kasutada selliseid meetodeid nagu SQL-süstid, sotsiaalse inseneri rünnakudvõi saididevaheline skriptimine.
Siit saate teada, kuidas sotsiaalne insener võib teid mõjutada, ning levinud näited, mis aitavad teil neid skeeme tuvastada ja nende eest kaitsta.
4. Varjatud juurdepääsu säilitamine
Enamik kaasaegseid küberturvalisuse kaitsesüsteeme tugineb avastamisele sama palju kui kaitsele. Rünnaku edukaks toimimiseks peab häkker võrgus püsima kaua avastamata piisab nende eesmärgi saavutamiseks, olgu selleks andmete lekitamine, süsteemide või failide rikkumine või installimine pahavara.
5. Aruandlus, analüüsimine ja parandamine
Pärast rünnaku lõppu - edukas või mitte - annab häkker oma leidudega teada oma tööandjale. Turvalisuse spetsialistid analüüsivad seejärel rünnaku andmeid, võrdlevad neid nende seiresüsteemide aruannetega ja rakendavad turvalisuse parandamiseks asjakohaseid muudatusi.
6. Loputage ja korrake
Sageli on kuues etapp, kus ettevõtted testivad oma turvasüsteemi tehtud täiustusi, korraldades uue läbitungimistesti. Nad võivad palgata sama eetilise häkkeri, kui nad soovivad testida andmepõhiseid rünnakuid või mõnda teist pimedaks pentestiks.
Eetiline häkkimine ei ole ainult oskusi arvestav amet. Enamik eetilisi häkkerid kasutavad oma töö hõlbustamiseks ja käsitsi tehtud vigade vältimiseks spetsiaalseid operatsioonisüsteeme ja tarkvara, andes igale pentestile kõik endast oleneva.
Mida siis pliiatsi testimise häkkerid kasutavad? Siin on mõned näited.
Parrot Security on Linuxil põhinev operatsioonisüsteem, mis oli mõeldud läbitungimise testimiseks ja haavatavuse hindamiseks. See on pilvesõbralik, hõlpsasti kasutatav ja toetab mitmesugust avatud lähtekoodiga tarkvara.
Ka Linuxi operatsioonisüsteem Live Hacking on pentesteri valik, kuna see on kerge ja sellel pole suuri riistvaranõudeid. Samuti on see eelnevalt pakendatud tööriistade ja tarkvaraga läbitungimise testimiseks ja eetiliseks häkkimiseks.
Nmap on avatud lähtekoodiga luure (OSINT) tööriist mis jälgib võrku ning kogub ja analüüsib andmeid seadmete hostide ja serverite kohta, muutes selle väärtuslikuks nii mustade, hallide kui ka valgete mütsidega häkkerite jaoks.
See on ka platvormidevaheline ja töötab Linuxi, Windowsi ja MacOS-iga, seega sobib ideaalselt algajale eetilisele häkkerile.
WebShag on ka OSINT-i tööriist. See on süsteemi auditeerimise tööriist, mis skannib HTTPS- ja HTTP-protokolle ning kogub suhtelisi andmeid ja teavet. Seda kasutavad eetilised häkkerid, kes viivad avalike veebisaitide kaudu läbi autsaideripatente.
Kuhu minna läbitungimise testimiseks
Teie enda võrgu testimine pliiatsi abil ei ole teie parim valik, kuna teil on tõenäoliselt selle kohta laialdased teadmised, mistõttu on kastist väljas mõtlemine ja peidetud nõrkade kohtade leidmine raskem. Peaksite kas palkama sõltumatu eetilise häkkeri või pliiatsi testimist pakkuva ettevõtte teenused.
Sellegipoolest võib kõrvalise isiku palkamine võrku häkkimiseks olla väga riskantne, eriti kui pakute neile turvateavet või siseringi juurdepääsu. Seetõttu peaksite jääma usaldusväärsete kolmandate osapoolte poole. Siin on väike näidis saadaolevatest.
HackerOne on San Franciscos asuv ettevõte, mis pakub läbitungimise, haavatavuse hindamise ja protokollide vastavuse testimise teenuseid.
Texases asuv ScienceSoft pakub haavatavuse hindamist, pliiatsi testimist, vastavuskontrolli ja infrastruktuuri auditeerimisteenuseid.
Gruusias Atlantas asuv Raxis pakub väärtuslikke teenuseid pliiatsi testimise ja turvakoodide ülevaatamise kaudu juhtumitele reageerimise koolitusele, haavatavuse hindamisele ja sotsiaaltehnika ennetavale koolitusele.
Tungimiskatsete maksimaalne kasutamine
Kuigi see on veel suhteliselt uus, pakub pliiatsi testimine ainulaadseid teadmisi häkkerite aju toimimisest nende rünnaku ajal. See on väärtuslik teave, mida isegi kõige osavamad küberjulgeoleku spetsialistid ei suuda pinnal töötada.
Pliiatsi testimine võib olla ainus viis vältida must-mütsiga häkkerite sattumist ja tagajärgede kannatamist.
Pildikrediit: Unstrash.
Eetiline häkkimine on viis küberkuritegevuse turvariskide vastu võitlemiseks. Kas eetiline häkkimine on seaduslik? Miks me seda üldse vajame?
- Turvalisus
- Veebiturvalisus
Anina on MakeUseOfi vabakutseline tehnoloogia- ja Interneti-turvalisuse kirjutaja. Ta hakkas küberturvalisuses kirjutama 3 aastat tagasi, lootuses muuta see tavainimesele paremini kättesaadavaks. Soovib õppida uusi asju ja tohutu astronoomia nohik.
Telli meie uudiskiri
Liituge meie uudiskirjaga, kus leiate tehnilisi näpunäiteid, ülevaateid, tasuta e-raamatuid ja eksklusiivseid pakkumisi!
Veel üks samm !!!
Palun kinnitage oma e-posti aadress meilis, mille me just saatsime.
