Testy penetracyjne
Testy penetracyjne to kontrolowane próby przełamania zabezpieczeń systemu Klienta. Ta metoda badania bezpieczeństwa polega na jak najbliższym naśladowaniu działań intruzów.
Celem testów penetracyjnych jest sprawdzenie poziomu bezpieczeństwa testowanego obiektu na drodze badań empirycznych. Jest to rodzaj metody badawczej polegającej na określeniu stopnia bezpieczeństwa danego obiektu z punktu widzenia intruza. Właśnie to „z punktu widzenia intruza” jest najważniejszym założeniem dotyczącym testów penetracyjnych, które przekłada się na sposób działania zespołu testującego, dobór narzędzi, a nawet miejsce, z którego działają specjaliści oraz zestaw początkowych uprawnień.
METODYKA DZIAŁANIA
Test penetracyjny jest symulacją włamania do sieci (bardziej ogólnie – do obiektu poddawanego testom). Metody i narzędzia, jakimi posługuje się zespół testujący powinny odpowiadać metodom i narzędziom stosowanym przez potencjalnych „włamywaczy”.
Na początku testu zespół testujący dysponuje jedynie informacjami ustalonymi na etapie planowania testu. Przy testach „black-box” nie dysponuje żadną informacją poza adresami IP lub nazwą klienta. Celem testu jest pozyskanie jak największej ilości informacji o testowanym obiekcie, a jeśli będzie to możliwe – przełamanie zabezpieczeń. Zadanie polega więc na spenetrowaniu obiektu.
Proces penetrowania systemu informatycznego to proces iteracyjny. Każdy z kroków zmierza do zdobycia coraz większej ilości informacji o testowanym obiekcie. Dane zebrane podczas wcześniejszych kroków służą jako dane wejściowe dla kolejnych. Warto podkreślić, że w wyniku takiego działania uzyskuje się nie tylko odpowiedź na pytanie: jakie zagrożenia istnieją w testowanej instalacji, ale również możliwe jest sprawdzenie, jak wiele informacji o obiekcie może zdobyć potencjalny intruz.
Test penetracyjny składa się z następujących zadań:
- Planowanie
- Poszukiwanie podatności
- Weryfikacja podatności (ataki i analiza)
- Usuwanie śladów
- Raportowanie
RAPORT
Produktem testów penetracyjnych jest raport szczegółowy. Warto zdać sobie sprawę, że zamawiając testy płacimy de facto za raport. Samo wykonanie testów jest w praktyce nierozliczalne i nie wnosi nic do oceny bezpieczeństwa.
Raport, który jest wynikiem testów penetracyjnych przeprowadzanych przez nasz zespół zawiera następujące elementy:
- Streszczenie dla kadry zarządzającej – syntetyczne streszczenie wyników testu językiem zrozumiałym dla osób, które nie muszą być specjalistami w dziedzinie bezpieczeństwa IT.
- Wykaz przeprowadzonych testów.
- Spis znalezionych podatności z dokładnymi opisami zawierającymi m.in.: opis techniczny, skutki wykorzystania podatności, ocenę wpływu na ryzyko, zalecenia co do usunięcia podatności.