Penetration Testing on valtuutettu simuloitu kyberhyökkäys tietokoneeseen, jonka tarkoituksena on arvioida järjestelmän turvallisuutta. Testaus suoritetaan kaikkien heikkouksien (tunnetaan myös haavoittuvuuksina) tunnistamiseksi, mukaan lukien mahdollisuus, että luvattomat osapuolet pääsevät käsiksi järjestelmän ominaisuuksiin ja dataan, sekä vahvuudet, joiden avulla luvattomat osapuolet pääsevät käsiksi järjestelmän ominaisuuksiin ja tietoihin.järjestelmänlaajuinen riskinarviointi.
Mikä on penetraatiotestaus?
Penetration Testing, joka tunnetaan myös nimellä kynätestaus, pentest tai eettinen hakkerointi, on simuloitu hyökkäys tietokonejärjestelmää vastaan, jolla testataan hyödynnettävissä olevia haavoittuvuuksia. Verkkosovellusten tietoturvassa Penetration Testing -testausta käytetään usein verkkosovellusten palomuurien (Web Application Firewall - WAF) vahvistamiseen.
Kynätestaukseen voi sisältyä yritys murtaa useita sovellusjärjestelmiä (esim. Application Protocol Interfaces - API, käyttöliittymä/taustapalvelimet) haavoittuvuuksien löytämiseksi. haavoittuvuuksia, kuten vahvistamaton syöte, joka on alttiina haitallisen koodin lisäämiselle.
Läpäisytestauksen tuottamia oivalluksia voidaan käyttää WAF-tietoturvakäytäntöjen tarkentamiseen ja löydettyjen haavoittuvuuksien korjaamiseen.
Kynätestausprosessi voidaan jakaa 5 vaiheeseen.
Läpäisytestauksen ja bug bounty -testauksen ensimmäisessä vaiheessa testaajien on kerättävä tietoa kohdejärjestelmästä. Koska hyökkäys- ja testausmenetelmiä on useita, penetraatiotestaajien on priorisoitava kerättyjen tietojen perusteella sopivin menetelmä.
Tässä vaiheessa poimitaan arvokkaita tietoja kohdejärjestelmän infrastruktuurista, kuten toimialueen nimistä, verkkolohkoista, reitittimistä ja IP-osoitteista. Lisäksi on kerättävä kaikki asiaankuuluvat tiedot, jotka voivat edistää hyökkäyksen onnistumista, kuten työntekijöiden tiedot ja puhelinnumerot.
Tänä aikana avoimista lähteistä saadut tiedot voivat tuottaa yllättävän tärkeitä yksityiskohtia. Tämän saavuttamiseksi valkohattuhakkereiden on hyödynnettävä erilaisia lähteitä, erityisesti kohdeorganisaation verkkosivustoa ja sosiaalisen median alustoja. Keräämällä nämä tiedot huolellisesti testaajat luovat perustan onnistuneelle bugipalkkioyritykselle.
Useimmat organisaatiot kuitenkin asettavat erilaisia sääntöjä läpäisytestaajille virhepalkkioprosessin aikana. Oikeudellisesta näkökulmasta on välttämätöntä olla poikkeamatta näistä säännöistä.
Tunnustestauslaite havaitsee, mitkä aktiiviset ja passiiviset laitteet ovat aktiivisia IP-alueella, yleensä passiivisella keräämisellä bugipalkkion aikana. Tämän passiivisen keräysprosessin aikana hankitun tiedon avulla pentesterin on määritettävä polkunsa - heidän on priorisoitava ja määritettävä tarkalleen, mitkä testit ovat tarpeellisia.
Tänä aikana hakkerit eivät voi välttyä saamasta tietoja käyttöjärjestelmästä, avoimista porteista ja palveluista sekä niiden versiotietoja reaaliaikaisista järjestelmistä.
Lisäksi, jos organisaatio laillisesti pyytää sallimaan levinneisyystestaajien valvoa verkkoliikennettä, voidaan kerätä kriittistä tietoa järjestelmän infrastruktuurista, ainakin niin paljon kuin mahdollista. Useimmat organisaatiot eivät kuitenkaan halua myöntää tätä lupaa. Tällaisessa tilanteessa läpäisymittari ei saa ylittää sääntöjä.
Tässä vaiheessa tunkeutumistestaaja, saatuaan selville, kuinka kohdesovellus reagoi erilaisiin tunkeutumisyrityksiin, yrittää muodostaa toimivat yhteydet havaitsemiinsa järjestelmiin. on aktiivinen ja yrittää täyttää suoria pyyntöjä. Toisin sanoen tämä on vaihe, jossa valkoinen hattu hakkeri on vuorovaikutuksessa kohdejärjestelmän kanssa käyttämällä tehokkaasti palveluita, kuten FTP, Netcat ja Telnet.
Huolimatta tässä vaiheessa epäonnistumisesta, päätarkoituksena tässä on tarkistaa tiedonkeruuvaiheissa saadut tiedot ja tehdä muistiinpanoja.
Läpäisytestauksen hyökkäysvaihe
Tunnustestaajat keräävät kaikki aikaisemmissa prosesseissa kerätyt tiedot yhtä tavoitetta varten: Yritä päästä kohdejärjestelmään samalla tavalla kuin todellinen, ilkeä hakkeri tekisi. Siksi tämä vaihe on niin tärkeä. Koska osallistuessaan bug bounty -ohjelmiin penetraatiotestaajien tulisi ajatella kuin todelliset hakkerit.
Tässä vaiheessa penetraatiotestaaja yrittää tunkeutua järjestelmään käyttämällä kohdejärjestelmässä toimivaa käyttöjärjestelmää, avoimia portteja ja näitä portteja palvelevia palveluita sekä mahdollisia hyväksikäyttöjä saattaa olla sovellettavissa niiden versiosta riippuen. Koska verkkopohjaiset portaalit ja sovellukset sisältävät paljon koodia ja lukuisia kirjastoja, haitallisilla hakkereilla on laajempi ulottuvuus hyökätä. Tässä suhteessa hyvän penetraatiotestaajan tulee harkita kaikkia mahdollisuuksia ja ottaa käyttöön kaikki mahdolliset sääntöjen puitteissa sallitut hyökkäysvektorit.
Tämä vaatii vakavaa asiantuntemusta ja kokemusta, jotta olemassa olevia hyödykkeitä voidaan käyttää menestyksekkäästi ja joustavasti vahingoittamatta järjestelmää ja jättämättä jälkiä järjestelmän haltuunoton aikana. Siksi tämä läpäisytestauksen vaihe on tärkein vaihe.
Järjestelmän vahvuus määräytyy sen heikoimman lenkin mukaan. Jos valkohattu hakkeri pääsee järjestelmään, hän yleensä kirjautuu järjestelmään vähäpätöisenä käyttäjänä. Tässä vaiheessa penetraatiotestaajilla on oltava järjestelmänvalvojan oikeudet, jotka voivat hyödyntää käyttöjärjestelmän tai ympäristön haavoittuvuuksia.
Sen jälkeen he pyrkivät ottamaan haltuunsa muut verkkoympäristön laitteet käyttämällä saavuttamiaan lisäoikeuksia ja lopulta huipputason käyttäjäoikeuksia, kuten verkkotunnuksen ylläpitäjä tai ylläpitäjä.
Penetraatiotestaajat raportoivat vianmetsästyksen tuloksista ja saavat palkintoja
Kun läpäisytestauksen ja bugipalkkion vaiheet on suoritettu, penetraatiotestaajan tai vianmetsästäjän on esitettävä yksityiskohtaisen raportin avulla kohdejärjestelmästä löytämänsä tietoturva-aukkoja, seuraavat vaiheet ja kuinka he voivat hyödyntää näitä haavoittuvuuksia organisaation hyväksi. Tämän pitäisi sisältää tietoja, kuten kuvakaappauksia, esimerkkikoodia, hyökkäysvaiheita ja haavoittuvuuden syntymistä.
Loppuraportin tulee sisältää myös ratkaisusuosituksia kunkin tietoturvahaavoittuvuuden sulkemiseksi. Läpäisytestien herkkyys ja riippumattomuus ovat edelleen mysteeri. Valkohattu-hakkerit eivät saa koskaan jakaa tässä vaiheessa saamiaan luottamuksellisia tietoja eivätkä koskaan käyttää näitä tietoja väärin antamalla vääriä tietoja, koska se on yleensä laitonta.
Ulkoinen läpäisytestaus kohdistuu yrityksen Internetissä näkyvään "omaisuuteen", kuten itse verkkosovellukseen, yrityksen verkkosivustoon, sähköpostiin ja verkkotunnuspalvelimiin (DNS) . Tavoitteena on päästä käsiksi ja poimia arvokasta tietoa.
Sisäpiiriläpäisytestauksessa testaaja, jolla on pääsy sovellukseen palomuurin takana, simuloi sisäpiiriläisen hyökkäystä. Tämä hyökkäys ei vain varoi mahdollisesta sisäisestä työntekijästä hakkeri, vaan myös muistuttaa järjestelmänvalvojia estämään organisaation työntekijän kirjautumistietojen varastamisen tietojenkalasteluhyökkäyksen jälkeen .
Sokkotestissä testaajalle annetaan vain kohteena olevan yrityksen nimi. Tämä antaa turvallisuushenkilöstölle reaaliaikaisen näkemyksen siitä, kuinka sovellushyökkäys käytännössä etenee.
Kaksoissokkotestissä turvapäälliköllä ei ole aiempaa tietoa simuloitavasta hyökkäyksestä. Aivan kuten todellisessa maailmassa, ei aina ole mahdollista tietää hyökkäyksiä etukäteen puolustuksen parantamiseksi.
Tässä skenaariossa sekä testaaja että turvapäällikkö työskentelevät yhdessä ja arvioivat jatkuvasti toistensa toimia. Tämä on arvokas harjoitus, joka tarjoaa tietoturvatiimille reaaliaikaista palautetta hakkerin näkökulmasta.
Läpäisytestaus ja WAF ovat itsenäisiä turvatoimia, mutta tarjoavat toisiaan täydentäviä etuja.
Monentyyppisissä kynätestauksissa (paitsi sokko- ja kaksoissokkotestauksessa) testaajat voivat käyttää WAF-tietoja, kuten lokeja, paikantaakseen ja hyödyntääkseen sovellusten heikkouksia.
WAF-järjestelmänvalvojat voivat puolestaan hyötyä kynätestitiedoista. Kun testaus on valmis, WAF-kokoonpano voidaan päivittää suojaamaan testauksen aikana havaituilta heikkouksilta.
Lopuksi kynätestaus täyttää useat turvallisuustestauksen vaatimustenmukaisuusvaatimukset, mukaan lukien PCI DSS ja SOC 2. Jotkin standardit, kuten PCI-DSS 6.6, voidaan täyttää vain käyttämällä sertifioitua WAF:ää.
Valkohattuhakkerit käyttävät kynätestausta löytääkseen virheitä ja haavoittuvuuksia
Eettinen hakkerointi ei ole työtä, joka vaatii vain taitoja. Useimmat valkohattuhakkerit (eettiset hakkerit) käyttävät erikoistuneita käyttöjärjestelmiä ja ohjelmistoja helpottaakseen työtään välttäen manuaalisia virheitä.
Joten mihin nämä hakkerit käyttävät kynätestausta? Alla on muutamia esimerkkejä.
Parrot Security on Linux-pohjainen käyttöjärjestelmä, joka on suunniteltu penetraatiotestaukseen ja haavoittuvuuden arviointiin. Se on pilviystävällinen, helppokäyttöinen ja tukee erilaisia avoimen lähdekoodin ohjelmistoja.
Myös Linux-käyttöjärjestelmä, Live Hacking on sopiva valinta pentestaajille, koska se on kevyt eikä vaadi suurta laitteistoa. Live Hacking toimitetaan valmiiksi pakattuna työkaluilla ja ohjelmistoilla tunkeutumistestausta ja eettistä hakkerointia varten.
Nmap on avoimen lähdekoodin älytyökalu (OSINT), joka valvoo verkkoja, kerää ja analysoi tietoja laiteisännistä ja palvelimista, mikä tekee siitä arvokkaan musta-, harmaa- ja valkohattuhakkereille.
Nmap on myös monialustainen ja toimii Linuxin, Windowsin ja macOS:n kanssa, joten se on ihanteellinen aloitteleville eettisille hakkereille.
WebShag on myös OSINT-työkalu. Tämä on järjestelmän testaustyökalu, joka skannaa HTTPS- ja HTTP-protokollia ja kerää suhteellisia tietoja. Eettiset hakkerit käyttävät sitä ulkoisten tunkeutumistestien suorittamiseen julkisten verkkosivustojen kautta.
Oman verkon kynätestaus ei ole paras vaihtoehto, koska sinulla ei ehkä ole kertynyt tarpeeksi syvällistä tietoa siitä, jolloin sinun on vaikea ajatella luovasti ja löytää piilotettuja haavoittuvuuksia. Sinun tulisi palkata riippumaton valkoinen hattu hakkeri tai kynätestauspalveluita tarjoavan yrityksen palveluita.
Ulkopuolisten palkkaaminen verkkoosi murtautumaan voi kuitenkin olla erittäin riskialtista, varsinkin jos annat heille luottamuksellisia tietoja tai sisäistä pääsyä. Tästä syystä sinun tulee käyttää luotettavia kolmannen osapuolen palveluntarjoajia. Tässä on joitain ehdotuksia viitteellesi:
HackerOne on San Franciscossa toimiva yritys, joka tarjoaa läpäisytestaus-, haavoittuvuusarviointi- ja protokollavaatimustenmukaisuuden testauspalveluita.
Texasissa sijaitseva ScienceSoft tarjoaa haavoittuvuuden arviointia, kynätestausta, vaatimustenmukaisuuden ja infrastruktuurin testauspalveluita.
Raxis, jonka pääkonttori sijaitsee Atlantassa Georgian osavaltiossa, tarjoaa arvokkaita palveluita kynätestauksesta ja suojakoodien tarkistuksista tapaturmien reagointikoulutukseen, haavoittuvuusarviointiin ja manipulointihyökkäysten ehkäisykoulutukseen .
Vihreä on myös teema, jota monet valokuvaajat ja suunnittelijat käyttävät luodessaan taustakuvasarjoja, joiden päävärisävy on vihreä. Alla on joukko vihreitä taustakuvia tietokoneille ja puhelimille.
Tämän menetelmän tiedostojen etsimiseen ja avaamiseen sanotaan olevan nopeampi kuin File Explorerin käyttäminen.
Scareware on haitallinen tietokoneohjelma, joka on suunniteltu huijaamaan käyttäjiä ajattelemaan, että se on laillinen sovellus, ja pyytää sinua käyttämään rahaa sellaiseen, joka ei tee mitään.
cFosSpeed on ohjelmisto, joka lisää Internet-yhteyden nopeutta, vähentää lähetysviivettä ja lisää yhteyden voimakkuutta jopa noin 3 kertaa. Erityisesti niille, jotka pelaavat online-pelejä, cFosSpeed tukee, jotta voit kokea pelin ilman verkkoongelmia.
Windowsin palomuuri lisäsuojauksella on palomuuri, joka toimii Windows Server 2012:ssa ja on oletuksena käytössä. Windows Server 2012:n palomuuriasetuksia hallitaan Windowsin palomuurin Microsoft Management Consolessa.
Kun vaihdat Vigor Draytek -modeemin ja reitittimen sisäänkirjautumisen järjestelmänvalvojan sivun salasanan, käyttäjät rajoittavat luvatonta pääsyä modeemin salasanan vaihtamiseen ja suojaavat tärkeitä verkkotietoja.
Onneksi AMD Ryzen -suorittimia käyttävien Windows-tietokoneiden käyttäjät voivat käyttää Ryzen Masteria RAM-muistin ylikellotukseen ilman kosketusta BIOSiin.
USB-C-portista on tullut standardi tiedonsiirrolle, videolähdölle ja lataukselle nykyaikaisissa Windows-kannettavissa. Vaikka tämä on kätevää, se voi olla turhauttavaa, kun liität kannettavan tietokoneen USB-C-laturiin, mutta se ei lataudu.
Ei voi luoda palvelua -virhe Ultraviewerissa ilmenee, kun asennamme ohjelmiston, jonka virhekoodi on 1072.
Virhe, jossa tunnistetta ei näytetä Ultraviewerissa, vaikuttaa etätietokoneeseen.
