Penetrationstest er et autoriseret simuleret cyberangreb på en computer, beregnet til at evaluere et systems sikkerhed. Test udføres for at identificere alle svagheder (også kendt som sårbarheder), herunder muligheden for, at uautoriserede parter får adgang til systemfunktioner og data, samt styrker, der giver uautoriserede parter adgang til systemfunktioner og -data.
Hvad er penetrationstest?
Penetrationstest, også kendt som pentest, pentest eller etisk hacking, er et simuleret angreb på et computersystem for at teste for sårbarheder, der kan udnyttes. Inden for webapplikationssikkerhed bruges Penetration Testing ofte til at styrke webapplikationsfirewalls (Web Application Firewall - WAF).
Pen-test kan involvere forsøg på at bryde et vilkårligt antal applikationssystemer (f.eks. Application Protocol Interfaces - API'er, frontend/backend-servere) for at opdage sårbarheder. sårbarheder, såsom uvalideret input, der er sårbart over for ondsindet kodeinjektion.
Indsigt fra penetrationstest kan bruges til at forfine WAF-sikkerhedspolitikker og korrigere opdagede sårbarheder.
Pen-testprocessen kan opdeles i 5 trin.
I den første fase af penetrationstest og bug bounty test skal testere indsamle information om målsystemet. Da der er en del angrebs- og testmetoder, skal penetrationstestere prioritere ud fra den indsamlede information for at bestemme den bedst egnede metode.
Dette trin involverer udtrækning af værdifulde detaljer om målsystemets infrastruktur, såsom domænenavne, netværksblokke, routere og IP-adresser inden for dets omfang. Derudover skal alle relevante oplysninger, der kan forbedre angrebets succes, såsom medarbejderdata og telefonnumre, indsamles.
Data opnået fra åbne kilder i denne periode kan give overraskende vigtige detaljer. For at opnå dette skal white hat hackere udnytte en række forskellige kilder, med særlig vægt på målorganisationens hjemmeside og sociale medieplatforme. Ved omhyggeligt at indsamle disse oplysninger vil testere lægge grundlaget for en vellykket bug bounty indsats.
De fleste organisationer pålægger dog forskellige regler for penetrationstestere under bug bounty-processen. Det er nødvendigt ud fra et juridisk synspunkt ikke at fravige disse regler.
En penetrationstester vil opdage, hvilke aktive og passive enheder der er aktive inden for IP-området, normalt udført ved passiv indsamling under bug bounty. Ved hjælp af den information, der opnås under denne passive indsamlingsproces, skal pentesteren bestemme deres vej - de skal prioritere og bestemme præcis, hvilke tests der er nødvendige.
I denne periode kan hackere ikke undgå at få information om operativsystemet, åbne porte og tjenester samt deres versionsoplysninger på live-systemer.
Derudover, hvis organisationen lovligt anmoder om at tillade penetrationstestere at overvåge netværkstrafikken, kan kritisk information om systeminfrastrukturen indsamles, i det mindste så meget som muligt. De fleste organisationer ønsker dog ikke at give denne tilladelse. I en sådan situation må penetrationstesteren ikke gå ud over reglerne.
På dette stadium forsøger penetrationstesteren, efter at have fundet ud af, hvordan målapplikationen vil reagere på forskellige indtrængensforsøg, at etablere fungerende forbindelser med de systemer, den registrerer. er aktiv og forsøger at opfylde direkte anmodninger. Med andre ord er dette stadiet, hvor den hvide hat-hacker interagerer med målsystemet ved effektivt at bruge tjenester som FTP, Netcat og Telnet.
På trods af fejlen på dette stadium er hovedformålet her at kontrollere de data, der er opnået under informationsindsamlingen, og tage noter.
Angrebsfase af penetrationstest
Penetrationstestere indsamler alle de data, der er indsamlet i tidligere processer til ét mål: Prøv at få adgang til målsystemet på samme måde som en ægte, ondsindet hacker ville. Derfor er dette trin så vigtigt. For når de deltager i bug bounty-programmer, bør penetrationstestere tænke som rigtige hackere.
På dette stadium forsøger penetrationstesteren at trænge ind i systemet ved at bruge operativsystemet, der kører på målsystemet, åbne porte og tjenester, der tjener på disse porte, samt mulige udnyttelser. kan være anvendelige afhængigt af deres version. Da webbaserede portaler og applikationer består af en masse kode og mange biblioteker, har ondsindede hackere større rækkevidde til at angribe. I denne forbindelse bør en god penetrationstester overveje alle muligheder og implementere alle mulige angrebsvektorer, der er tilladt inden for reglerne.
Dette kræver seriøs ekspertise og erfaring for succesfuldt og fleksibelt at kunne bruge eksisterende exploits, uden at beskadige systemet og uden at efterlade spor under systemovertagelsen. . Derfor er denne fase af penetrationstestning det vigtigste trin.
Styrken af et system bestemmes af dets svageste led. Hvis en white hat hacker får adgang til et system, logger de typisk på systemet som en lavautoriseret bruger. På dette stadium skal penetrationstestere have administratorrettigheder og udnytte sårbarheder i operativsystemet eller miljøet.
De vil derefter sigte mod at overtage andre enheder i netværksmiljøet ved hjælp af de yderligere privilegier, de har opnået, og til sidst brugerrettigheder på øverste niveau såsom domæneadministrator eller administrator.database.
Penetrationstestere rapporterer fejljagtresultater og modtager belønninger
Når penetrationstesten og bug bounty-trinene er gennemført, skal penetrationstesteren eller fejljægeren præsentere de sikkerhedssårbarheder, de opdagede i målsystemet, de næste trin, og hvordan de kan udnytte disse sårbarheder for organisationen med en detaljeret rapport. Dette bør omfatte oplysninger såsom skærmbilleder, eksempelkode, angrebsstadier og hvordan denne sårbarhed kan opstå.
Den endelige rapport skal også indeholde løsningsanbefalinger om, hvordan hver enkelt sikkerhedssårbarhed lukkes. Følsomheden og uafhængigheden af penetrationstests forbliver et mysterium. White hat hackere bør aldrig dele fortrolige oplysninger, der er opnået på dette stadium, og bør aldrig misbruge disse oplysninger ved at give falske oplysninger, da det normalt er ulovligt.
Ekstern penetrationstest retter sig mod en virksomheds "aktiver", som er synlige på internettet, såsom selve webapplikationen, virksomhedens hjemmeside, e-mail og domænenavneservere (DNS) . Målet er at få adgang til og udtrække værdifulde data.
Ved insider-penetrationstest simulerer en tester med adgang til en applikation bag en firewall et angreb fra en insider. Dette angreb advarer ikke kun om udsigten til, at en intern medarbejder kan være en hacker, men minder også administratorer om at forhindre en medarbejder i organisationen i at få deres login-oplysninger stjålet efter et phishing-angreb .
I en blindtest får testeren kun navnet på den virksomhed, der er målrettet mod. Dette giver sikkerhedspersonalet et realtidsoverblik over, hvordan et applikationsangreb ville udspille sig i praksis.
I en dobbeltblindtest har sikkerhedsofficeren ingen forhåndsviden om, at angrebet simuleres. Ligesom i den virkelige verden er det ikke altid muligt at kende angreb på forhånd for at forbedre forsvaret.
I dette scenarie vil både testeren og sikkerhedsofficeren arbejde sammen og løbende evaluere hinandens handlinger. Dette er en værdifuld træningsøvelse, der giver sikkerhedsteamet feedback i realtid fra hackerens perspektiv.
Penetrationstest og WAF er uafhængige sikkerhedsforanstaltninger, men giver komplementære fordele.
Til mange typer pentests (undtagen blind- og dobbeltblindtestning) kan testere bruge WAF-data, såsom logfiler, til at lokalisere og udnytte applikationssvagheder.
Til gengæld kan WAF-administratorer drage fordel af pentestdata. Når testen er afsluttet, kan WAF-konfigurationen opdateres for at beskytte mod svagheder opdaget under testen.
Endelig opfylder pentest en række krav til overholdelse af sikkerhedstest, herunder PCI DSS og SOC 2. Nogle standarder, såsom PCI-DSS 6.6, kan kun opfyldes ved brug af en certificeret WAF.
White hat hackere bruger pentest til at finde fejl og sårbarheder
Etisk hacking er ikke et job, der kun kræver færdigheder. De fleste white hat hackere (etiske hackere) bruger specialiserede operativsystemer og software for at gøre deres arbejde lettere og undgå manuelle fejl.
Så hvad bruger disse hackere pentest til? Nedenfor er et par eksempler.
Parrot Security er et Linux-baseret operativsystem designet til penetrationstest og sårbarhedsvurdering. Den er skyvenlig, nem at bruge og understøtter forskellige open source-software.
Også et Linux-operativsystem, Live Hacking er et passende valg for dem, der laver pentesting, fordi det er let og ikke kræver høj hardware. Live Hacking leveres færdigpakket med værktøjer og software til penetrationstest og etisk hacking.
Nmap er et open source-intelligensværktøj (OSINT), der overvåger netværk, indsamler og analyserer data om enhedsværter og servere, hvilket gør det værdifuldt for hackere med sorte, grå og hvide hat.
Nmap er også på tværs af platforme og fungerer med Linux, Windows og macOS, så det er ideelt for begyndere, etiske hackere.
WebShag er også et OSINT-værktøj. Dette er et systemtestværktøj, der scanner HTTPS- og HTTP-protokoller og indsamler relative data og informationer. Det bruges af etiske hackere til at udføre eksterne penetrationstests gennem offentlige websteder.
Pen, der tester dit eget netværk, er ikke den bedste mulighed, da du måske ikke har samlet nok dybdegående viden om det, hvilket gør det svært for dig at tænke kreativt og finde skjulte sårbarheder. Du bør hyre en uafhængig white hat hacker eller tjenester fra et firma, der leverer pentesttjenester.
Det kan dog være meget risikabelt at ansætte udenforstående til at hacke sig ind i dit netværk, især hvis du giver dem fortrolige oplysninger eller intern adgang. Det er derfor, du bør bruge betroede tredjepartsudbydere. Her er nogle forslag til din reference:
HackerOne er en San Francisco-baseret virksomhed, der leverer penetrationstest, sårbarhedsvurdering og protokoloverholdelsestesttjenester.
Beliggende i Texas leverer ScienceSoft sårbarhedsvurdering, pentestning, compliance og infrastrukturtesttjenester.
Med hovedkontor i Atlanta, Georgia, leverer Raxis værdifulde tjenester fra pentest og sikkerhedskodegennemgange til hændelsesreaktionstræning, sårbarhedsvurderinger og træning i forebyggelse af angreb i social engineering .
Grøn er også et tema, som mange fotografer og designere bruger til at skabe tapetsæt, hvor hovedfarven er grøn. Nedenfor er et sæt grønne wallpapers til computere og telefoner.
Denne metode til at søge og åbne filer siges at være hurtigere end at bruge File Explorer.
Scareware er et ondsindet computerprogram designet til at narre brugere til at tro, at det er et legitimt program og beder dig bruge penge på noget, der ikke gør noget.
cFosSpeed er software, der øger internetforbindelseshastigheden, reducerer transmissionsforsinkelse og øger forbindelsesstyrken op til omkring 3 gange. Især for dem, der spiller online spil, vil cFosSpeed understøtte, så du kan opleve spillet uden netværksproblemer.
Windows Firewall med avanceret sikkerhed er en firewall, der kører på Windows Server 2012 og er aktiveret som standard. Firewall-indstillinger i Windows Server 2012 administreres i Windows Firewall Microsoft Management Console.
Når du ændrer adgangskoden til Vigor Draytek-modem- og router-login-admin-siden, vil brugere begrænse uautoriseret adgang til at ændre modem-adgangskoden, hvilket sikrer vigtige netværksoplysninger.
Heldigvis kan brugere af Windows-computere, der kører AMD Ryzen-processorer, bruge Ryzen Master til nemt at overclocke RAM uden at røre BIOS.
USB-C-porten er blevet standarden for dataoverførsel, videooutput og opladning på moderne Windows-bærbare computere. Selvom dette er praktisk, kan det være frustrerende, når du tilslutter din bærbare computer til en USB-C-oplader, og den ikke oplader.
Fejlen Kan ikke oprette tjeneste på Ultraviewer opstår, når vi installerer softwaren med fejlkode 1072.
Fejlen med ikke at vise ID på Ultraviewer vil påvirke fjerncomputerforbindelsen.
