Тестването за проникване е разрешена симулирана кибератака срещу компютър, предназначена да оцени сигурността на системата. Извършва се тестване, за да се идентифицират всички слабости (известни също като уязвимости), включително възможността неоторизирани страни да имат достъп до системни функции и данни, както и силни страни, които позволяват на неупълномощени страни да имат достъп до системни функции и данни. оценка на риска за цялата система.
Какво е тест за проникване?
Тестването за проникване, известно още като тестване на писалка, пентест или етично хакване, е симулирана атака срещу компютърна система за тестване за уязвимости, които могат да бъдат използвани. В сигурността на уеб приложенията тестването за проникване често се използва за укрепване на защитните стени на уеб приложенията (Web Application Firewall - WAF).
Тестването на писалка може да включва опит за нарушаване на произволен брой приложни системи (напр. интерфейси на протоколи за приложения - API, предни/бекенд сървъри) за откриване на уязвимости, уязвимости, като невалидиран вход, който е уязвим за инжектиране на злонамерен код.
Прозренията, предоставени от тестовете за проникване, могат да се използват за прецизиране на политиките за сигурност на WAF и за коригиране на открити уязвимости.
Процесът на тестване на писалката може да бъде разделен на 5 етапа.
В първата фаза на тестване за проникване и тестване за грешки, тестерите трябва да съберат информация за целевата система. Тъй като има доста методи за атака и тестване, тестерите за проникване трябва да дадат приоритет въз основа на събраната информация, за да определят най-подходящия метод.
Тази стъпка включва извличане на ценни подробности за инфраструктурата на целевата система, като имена на домейни, мрежови блокове, рутери и IP адреси в нейния обхват. Освен това трябва да се събере всяка подходяща информация, която би могла да подобри успеха на атаката, като данни за служители и телефонни номера.
Данните, получени от открити източници през този период, могат да доведат до изненадващо важни подробности. За да постигнат това, хакерите с бели шапки трябва да използват различни източници, с особен акцент върху уебсайта на целевата организация и социалните медийни платформи. Чрез щателното събиране на тази информация, тестерите ще положат основата за успешно усилие за награди за грешки.
Въпреки това, повечето организации налагат различни правила на тестерите за проникване по време на процеса на награда за грешки. От правна гледна точка е необходимо да не се отклонявате от тези правила.
Тестерът за проникване ще открие кои активни и пасивни устройства са активни в рамките на IP обхвата, обикновено чрез пасивно събиране по време на наградата за грешки. С помощта на информацията, получена по време на този пасивен процес на събиране, пентестърът трябва да определи пътя си - трябва да даде приоритет и да определи точно кои тестове са необходими.
През този период хакерите не могат да избегнат получаването на информация за операционната система, отворените портове и услуги, както и информация за тяхната версия на активни системи.
Освен това, ако организацията законно поиска да позволи на тестери за проникване да наблюдават мрежовия трафик, тогава може да се събере критична информация за системната инфраструктура, поне доколкото е възможно. Повечето организации обаче не искат да предоставят това разрешение. В подобна ситуация тестерът за проникване не трябва да излиза извън правилата.
На този етап тестерът за проникване, след като разбере как целевото приложение ще реагира на различни опити за проникване, се опитва да установи работещи връзки със системите, които открива.е активен и се опитва да изпълни директни заявки. С други думи, това е етапът, в който хакерът с бяла шапка взаимодейства с целевата система, като ефективно използва услуги като FTP, Netcat и Telnet.
Въпреки неуспеха на този етап, основната цел тук е да се проверят данните, получени по време на стъпките за събиране на информация и да се водят бележки.
Фаза на атака на тестване за проникване
Тестерите за проникване събират всички данни, събрани в предишни процеси за една цел: Опитайте се да получите достъп до целевата система по същия начин, по който би го направил истински злонамерен хакер. Ето защо тази стъпка е толкова важна. Защото, когато участват в програми за награди за грешки, тестерите за проникване трябва да мислят като истински хакери.
На този етап тестерът за проникване се опитва да проникне в системата, като използва операционната система, работеща на целевата система, отворени портове и услуги, обслужващи тези портове, както и възможни експлойти, които могат да бъдат приложими в зависимост от тяхната версия. Тъй като уеб базираните портали и приложения се състоят от много код и много библиотеки, злонамерените хакери имат по-голям обхват за атака. В това отношение добрият тестер за проникване трябва да обмисли всички възможности и да разгърне всички възможни вектори на атака, разрешени в рамките на правилата.
Това изисква сериозна експертиза и опит, за да можете успешно и гъвкаво да използвате съществуващите експлойти, без да повредите системата и без да оставите никакви следи при превземането на системата. Следователно тази фаза на тестване за проникване е най-важната стъпка.
Силата на една система се определя от нейното най-слабо звено. Ако хакер с бяла шапка получи достъп до система, той обикновено влиза в системата като потребител с ниски права на достъп. На този етап тестерите за проникване трябва да имат администраторски права, използващи уязвимости в операционната система или среда.
След това те ще се стремят да поемат други устройства в мрежовата среда, като използват допълнителните привилегии, които са постигнали и евентуално потребителски привилегии от най-високо ниво, като администратор на домейн или администратор на база данни.
Тестерите за проникване отчитат резултатите от търсенето на грешки и получават награди
След като тестването за проникване и стъпките за награда за грешки са завършени, тестерът за проникване или ловецът на грешки трябва да представи уязвимостите в сигурността, които е открил в целевата система, следващите стъпки и как могат да използват тези уязвимости за организацията с подробен доклад. Това трябва да включва информация като екранни снимки, примерен код, етапи на атака и как може да възникне тази уязвимост.
Окончателният доклад трябва също така да включва препоръки за решение как да затворите всяка уязвимост в сигурността. Чувствителността и независимостта на тестовете за проникване остават загадка. Хакерите с бели шапки никога не трябва да споделят поверителна информация, получена на този етап, и никога не трябва да злоупотребяват с тази информация, като предоставят невярна информация, тъй като това обикновено е незаконно.
Външното тестване за проникване е насочено към „активите“ на компанията, които са видими в Интернет, като самото уеб приложение, уебсайта на компанията, имейл и сървъри за имена на домейни (DNS) . Целта е да получите достъп и да извлечете ценни данни.
При тестване за вътрешно проникване, тестер с достъп до приложение зад защитна стена симулира атака от вътрешен човек. Тази атака не само предупреждава за перспективата, че вътрешен служител може да бъде хакер, но също така напомня на администраторите да предотвратят кражба на данните за влизане на служител в организацията след фишинг атака .
При сляпо тестване на тестера се дава само името на целевия бизнес. Това дава на персонала по сигурността представа в реално време за това как една атака на приложение ще се проведе на практика.
При двойно-сляп тест служителят по сигурността няма предварителни познания за симулираната атака. Точно както в реалния свят, не винаги е възможно да се знаят атаките предварително, за да се подобрят защитите.
При този сценарий и тестерът, и служителят по сигурността ще работят заедно и непрекъснато ще оценяват действията на другия. Това е ценно упражнение за обучение, което предоставя на екипа по сигурността обратна връзка в реално време от гледна точка на хакера.
Тестването за проникване и WAF са независими мерки за сигурност, но предоставят допълнителни предимства.
За много видове тестване на писалка (с изключение на сляпо и двойно сляпо тестване), тестерите могат да използват WAF данни, като регистрационни файлове, за да открият и използват слабостите на приложението.
На свой ред администраторите на WAF могат да се възползват от данните от теста на писалката. След като тестването приключи, конфигурацията на WAF може да бъде актуализирана, за да се предпази от слабости, открити по време на тестването.
И накрая, тестването на писалка отговаря на редица изисквания за съответствие на тестовете за сигурност, включително PCI DSS и SOC 2. Някои стандарти, като PCI-DSS 6.6, могат да бъдат удовлетворени само чрез използването на сертифициран WAF.
Хакерите с бели шапки използват тестване на писалка, за да намерят грешки и уязвимости
Етичното хакване не е работа, която изисква само умения. Повечето бели хакери (етични хакери) използват специализирани операционни системи и софтуер, за да улеснят работата си, избягвайки ръчни грешки.
И така, за какво използват тези хакери тестване на писалка? По-долу има няколко примера.
Parrot Security е базирана на Linux операционна система, предназначена за тестове за проникване и оценка на уязвимостите. Той е удобен за облак, лесен за използване и поддържа различен софтуер с отворен код.
Също като операционна система Linux, Live Hacking е подходящ избор за тези, които правят пентест, тъй като е лек и не изисква висок хардуер. Live Hacking се предлага предварително пакетиран с инструменти и софтуер за тестове за проникване и етично хакване.
Nmap е инструмент за разузнаване с отворен код (OSINT), който наблюдава мрежи, събира и анализира данни за хостове и сървъри на устройства, което го прави ценен за черни, сиви и бели хакери.
Nmap също е междуплатформен и работи с Linux, Windows и macOS, така че е идеален за начинаещи етични хакери.
WebShag също е OSINT инструмент. Това е инструмент за системно тестване, който сканира HTTPS и HTTP протоколи и събира относителни данни и информация. Използва се от етичните хакери за извършване на външни тестове за проникване чрез публични уебсайтове.
Тестването с писалка на вашата собствена мрежа не е най-добрият вариант, тъй като може да не сте натрупали достатъчно задълбочени познания за нея, което ви затруднява да мислите креативно и да намирате скрити уязвимости. Трябва да наемете независим хакер с бяла шапка или услугите на компания, която предоставя услуги за тестване на писалка.
Въпреки това наемането на външни хора да хакнат вашата мрежа може да бъде много рисковано, особено ако им предоставяте поверителна информация или вътрешен достъп. Ето защо трябва да използвате доверени доставчици на трети страни. Ето някои предложения за справка:
HackerOne е базирана в Сан Франциско компания, която предоставя услуги за тестване за проникване, оценка на уязвимостта и тестване за съответствие на протокола.
Разположена в Тексас, ScienceSoft предоставя услуги за оценка на уязвимостта, тестване на писалка, съответствие и услуги за тестване на инфраструктура.
Със седалище в Атланта, Джорджия, Raxis предоставя ценни услуги от тестване на писалка и прегледи на кодове за сигурност до обучение за реакция при инциденти, оценки на уязвимостта и обучение за предотвратяване на атаки чрез социално инженерство .
Зеленото също е тема, която много фотографи и дизайнери използват за създаване на комплекти тапети, като основният цветови тон е зелен. По-долу има набор от зелени тапети за компютри и телефони.
Твърди се, че този метод за търсене и отваряне на файлове е по-бърз от използването на File Explorer.
Scareware е злонамерена компютърна програма, предназначена да подмами потребителите да мислят, че е легитимно приложение и ви моли да харчите пари за нещо, което не прави нищо.
cFosSpeed е софтуер, който увеличава скоростта на интернет връзката, намалява латентността на предаване и увеличава силата на връзката до около 3 пъти. Специално за тези, които играят онлайн игри, cFosSpeed ще поддържа, за да можете да изпитате играта без проблеми с мрежата.
Защитната стена на Windows с разширена защита е защитна стена, която работи на Windows Server 2012 и е активирана по подразбиране. Настройките на защитната стена в Windows Server 2012 се управляват в конзолата за управление на защитната стена на Windows.
Когато променят паролата на администраторската страница за вход на Vigor Draytek Modem и Router, потребителите ще ограничат неоторизиран достъп за промяна на паролата на модема, осигурявайки важна мрежова информация.
За щастие, потребителите на компютри с Windows, работещи с процесори AMD Ryzen, могат да използват Ryzen Master за лесно овърклокване на RAM, без да докосват BIOS.
USB-C портът се превърна в стандарт за пренос на данни, видео изход и зареждане на модерни лаптопи с Windows. Въпреки че това е удобно, може да бъде разочароващо, когато включите лаптопа си в USB-C зарядно устройство и то не се зарежда.
Грешката Cannot Create Service на Ultraviewer възниква, когато инсталираме софтуера с код на грешка 1072.
Грешката да не се показва ID на Ultraviewer ще засегне връзката с отдалечен компютър.
