Penetrasjonstesting er et autorisert simulert cyberangrep på en datamaskin, beregnet på å evaluere sikkerheten til et system. Testing utføres for å identifisere alle svakheter (også kjent som sårbarheter), inkludert muligheten for at uautoriserte parter får tilgang til systemfunksjoner og data, samt styrker som lar uautoriserte parter få tilgang til systemfunksjoner og data systemomfattende risikovurdering.
Hva er penetrasjonstesting?
Penetrasjonstesting, også kjent som pennetesting, pentest eller etisk hacking, er et simulert angrep på et datasystem for å teste for sårbarheter som kan utnyttes. Innen nettapplikasjonssikkerhet brukes ofte penetrasjonstesting for å styrke nettapplikasjonsbrannmurer (Web Application Firewall - WAF).
Penntesting kan innebære forsøk på å bryte et hvilket som helst antall applikasjonssystemer, (f.eks. Application Protocol Interfaces – APIer, frontend/backend-servere) for å oppdage sårbarheter. sårbarheter, for eksempel uvaliderte input som er sårbare for ondsinnet kodeinjeksjon.
Innsikt fra penetrasjonstesting kan brukes til å avgrense WAF-sikkerhetspolicyer og korrigere oppdagede sårbarheter.
Penntestingsprosessen kan deles inn i 5 stadier.
I den første fasen av penetrasjonstesting og bug bounty testing, må testerne samle informasjon om målsystemet. Siden det er ganske mange angreps- og testmetoder, må penetrasjonstestere prioritere basert på informasjonen som samles inn for å finne den mest passende metoden.
Dette trinnet innebærer å trekke ut verdifulle detaljer om målsystemets infrastruktur, for eksempel domenenavn, nettverksblokker, rutere og IP-adresser innenfor dets omfang. I tillegg må all relevant informasjon som kan øke suksessen til angrepet, slik som ansattes data og telefonnumre, samles inn.
Data hentet fra åpne kilder i denne perioden kan gi overraskende viktige detaljer. For å oppnå dette, må white hat-hackere utnytte en rekke kilder, med særlig vekt på målorganisasjonens nettsted og sosiale medieplattformer. Ved omhyggelig å samle inn denne informasjonen, vil testere legge grunnlaget for en vellykket bug bounty innsats.
Imidlertid pålegger de fleste organisasjoner forskjellige regler for penetrasjonstestere under bug bounty-prosessen. Det er nødvendig fra et juridisk synspunkt ikke å fravike disse reglene.
En penetrasjonstester vil oppdage hvilke aktive og passive enheter som er aktive innenfor IP-området, vanligvis utført ved passiv innsamling under bug bounty. Ved hjelp av informasjonen innhentet under denne passive innsamlingsprosessen, må pentesteren bestemme sin vei - de må prioritere og bestemme nøyaktig hvilke tester som er nødvendige.
I denne perioden kan hackere ikke unngå å få informasjon om operativsystemet, åpne porter og tjenester samt deres versjonsinformasjon på live-systemer.
I tillegg, hvis organisasjonen lovlig ber om å tillate penetrasjonstestere å overvåke nettverkstrafikk, kan kritisk informasjon om systeminfrastrukturen samles inn, i det minste så mye som mulig. De fleste organisasjoner ønsker imidlertid ikke å gi denne tillatelsen. I en slik situasjon må ikke penetrasjonstesteren gå utover reglene.
På dette stadiet prøver penetrasjonstesteren, etter å ha funnet ut hvordan målapplikasjonen vil reagere på forskjellige inntrengingsforsøk, å etablere fungerende forbindelser med systemene den oppdager. er aktiv og prøver å oppfylle direkte forespørsler. Dette er med andre ord stadiet der white hat-hackeren samhandler med målsystemet ved å effektivt bruke tjenester som FTP, Netcat og Telnet.
Til tross for feilen på dette stadiet, er hovedformålet her å sjekke dataene som er innhentet under informasjonsinnhentingstrinnene og ta notater.
Angrepsfase av penetrasjonstesting
Penetrasjonstestere samler inn all data som er samlet inn i tidligere prosesser for ett mål: Prøv å få tilgang til målsystemet på samme måte som en ekte, ondsinnet hacker ville gjort. Det er derfor dette trinnet er så viktig. For når de deltar i bug-bounty-programmer, bør penetrasjonstestere tenke som ekte hackere.
På dette stadiet forsøker penetrasjonstesteren å penetrere systemet, ved å bruke operativsystemet som kjører på målsystemet, åpne porter og tjenester som serverer på disse portene, samt mulige utnyttelser. kan være aktuelt avhengig av versjonen. Siden nettbaserte portaler og applikasjoner består av mye kode og mange biblioteker, har ondsinnede hackere større rekkevidde til å angripe. I denne forbindelse bør en god penetrasjonstester vurdere alle muligheter og distribuere alle mulige angrepsvektorer som er tillatt innenfor reglene.
Dette krever seriøs kompetanse og erfaring for å kunne bruke eksisterende utnyttelser vellykket og fleksibelt, uten å skade systemet og uten å sette spor under systemovertakelsen. Derfor er denne fasen av penetrasjonstesting det viktigste trinnet.
Styrken til et system bestemmes av dets svakeste ledd. Hvis en white hat hacker får tilgang til et system, logger de vanligvis på systemet som en bruker med lav autoritet. På dette stadiet må penetrasjonstestere ha administratorrettigheter og utnytte sårbarheter i operativsystemet eller miljøet.
De vil da ta sikte på å overta andre enheter i nettverksmiljøet ved å bruke tilleggsprivilegiene de har oppnådd og til slutt brukerrettigheter på toppnivå som domeneadministrator eller administrator.database.
Penetrasjonstestere rapporterer feiljaktresultater og mottar belønninger
Når penetrasjonstestingen og bug bounty-trinnene er fullført, må penetrasjonstesteren eller feiljegeren presentere sikkerhetssårbarhetene de oppdaget i målsystemet, de neste trinnene og hvordan de kan utnytte disse sårbarhetene for organisasjonen med en detaljert rapport. Dette bør inkludere informasjon som skjermbilder, eksempelkode, angrepsstadier og hvordan dette sikkerhetsproblemet kan oppstå.
Sluttrapporten må også inneholde løsningsanbefalinger for hvordan man kan lukke hver sikkerhetssårbarhet. Følsomheten og uavhengigheten til penetrasjonstester forblir et mysterium. White hat-hackere bør aldri dele konfidensiell informasjon innhentet på dette stadiet og bør aldri misbruke denne informasjonen ved å gi falsk informasjon, da det vanligvis er ulovlig.
Ekstern penetrasjonstesting retter seg mot et selskaps "aktiva" som er synlige på Internett, for eksempel selve webapplikasjonen, selskapets nettsted, e-post og domenenavnservere (DNS) . Målet er å få tilgang til og trekke ut verdifull data.
I innsidepenetrasjonstesting simulerer en tester med tilgang til en applikasjon bak en brannmur et angrep fra en insider. Dette angrepet advarer ikke bare om muligheten for at en intern ansatt kan være en hacker, men minner også administratorer om å forhindre at en ansatt i organisasjonen får påloggingsinformasjonen sin stjålet etter et phishing-angrep .
I en blindtest får testeren kun navnet på virksomheten det er målrettet mot. Dette gir sikkerhetspersonell et sanntidsbilde av hvordan et applikasjonsangrep vil utspille seg i praksis.
I en dobbel blindtest har sikkerhetsoffiseren ingen forkunnskaper om angrepet som simuleres. Akkurat som i den virkelige verden er det ikke alltid mulig å vite angrep på forhånd for å forbedre forsvaret.
I dette scenariet vil både testeren og sikkerhetsansvarlig jobbe sammen og kontinuerlig evaluere hverandres handlinger. Dette er en verdifull treningsøvelse som gir sikkerhetsteamet tilbakemelding i sanntid fra hackerens perspektiv.
Penetrasjonstesting og WAF er uavhengige sikkerhetstiltak, men gir komplementære fordeler.
For mange typer penntesting (unntatt blind- og dobbelblindtesting) kan testere bruke WAF-data, for eksempel logger, for å finne og utnytte applikasjonssvakheter.
På sin side kan WAF-administratorer dra nytte av penntestdata. Når testingen er fullført, kan WAF-konfigurasjonen oppdateres for å beskytte mot svakheter oppdaget under testingen.
Til slutt oppfyller pennetesting en rekke krav til overholdelse av sikkerhetstesting, inkludert PCI DSS og SOC 2. Noen standarder, som PCI-DSS 6.6, kan bare tilfredsstilles gjennom bruk av en sertifisert WAF.
White hat hackere bruker pennetesting for å finne feil og sårbarheter
Etisk hacking er ikke en jobb som bare krever ferdigheter. De fleste white hat-hackere (etiske hackere) bruker spesialiserte operativsystemer og programvare for å gjøre arbeidet enklere, og unngå manuelle feil.
Så hva bruker disse hackerne penntesting til? Nedenfor er noen eksempler.
Parrot Security er et Linux-basert operativsystem designet for penetrasjonstesting og sårbarhetsvurdering. Den er skyvennlig, enkel å bruke og støtter diverse åpen kildekode-programvare.
Også et Linux-operativsystem, Live Hacking er et passende valg for de som driver med pentesting, fordi det er lett og krever ikke høy maskinvare. Live Hacking kommer ferdigpakket med verktøy og programvare for penetrasjonstesting og etisk hacking.
Nmap er et etterretningsverktøy med åpen kildekode (OSINT) som overvåker nettverk, samler inn og analyserer data om enhetsverter og servere, noe som gjør det verdifullt for hackere av svarte, grå og hvite hatter.
Nmap er også på tvers av plattformer og fungerer med Linux, Windows og macOS, så det er ideelt for nybegynnere etiske hackere.
WebShag er også et OSINT-verktøy. Dette er et systemtestverktøy som skanner HTTPS- og HTTP-protokoller og samler inn relative data og informasjon. Den brukes av etiske hackere til å utføre eksterne penetrasjonstester gjennom offentlige nettsteder.
Penn som tester ditt eget nettverk er ikke det beste alternativet, siden du kanskje ikke har samlet nok dybdekunnskap om det, noe som gjør det vanskelig for deg å tenke kreativt og finne skjulte sårbarheter. Du bør ansette en uavhengig white hat hacker eller tjenestene til et selskap som tilbyr penntestingtjenester.
Det kan imidlertid være svært risikabelt å ansette utenforstående for å hacke seg inn i nettverket ditt, spesielt hvis du gir dem konfidensiell informasjon eller intern tilgang. Dette er grunnen til at du bør bruke pålitelige tredjepartsleverandører. Her er noen forslag til referanse:
HackerOne er et San Francisco-basert selskap som tilbyr penetrasjonstesting, sårbarhetsvurdering og protokolloverholdelsestesting.
Ligger i Texas, tilbyr ScienceSoft tjenester for sårbarhetsvurdering, penntesting, samsvar og infrastrukturtesting.
Raxis har hovedkontor i Atlanta, Georgia, og tilbyr verdifulle tjenester fra pennetesting og sikkerhetskodegjennomganger til hendelsesresponstrening, sårbarhetsvurderinger og opplæring i forebygging av angrep mot sosial ingeniør .
Grønt er også et tema som mange fotografer og designere bruker for å lage tapetsett med hovedfargetonen grønn. Nedenfor er et sett med grønne bakgrunnsbilder for datamaskiner og telefoner.
Denne metoden for å søke og åpne filer sies å være raskere enn å bruke File Explorer.
Scareware er et ondsinnet dataprogram utviklet for å lure brukere til å tro at det er et legitimt program og ber deg bruke penger på noe som ikke gjør noe.
cFosSpeed er programvare som øker Internett-tilkoblingshastigheten, reduserer overføringsforsinkelsen og øker tilkoblingsstyrken opptil ca. 3 ganger. Spesielt for de som spiller online spill, vil cFosSpeed støtte slik at du kan oppleve spillet uten nettverksproblemer.
Windows-brannmur med avansert sikkerhet er en brannmur som kjører på Windows Server 2012 og er aktivert som standard. Brannmurinnstillinger i Windows Server 2012 administreres i Windows Firewall Microsoft Management Console.
Når du endrer passordet for Vigor Draytek-modem og ruter-påloggingsadmin-siden, vil brukere begrense uautorisert tilgang til å endre modempassordet, og sikre viktig nettverksinformasjon.
Heldigvis kan brukere av Windows-datamaskiner som kjører AMD Ryzen-prosessorer bruke Ryzen Master for enkelt å overklokke RAM uten å berøre BIOS.
USB-C-porten har blitt standarden for dataoverføring, videoutgang og lading på moderne Windows-bærbare datamaskiner. Selv om dette er praktisk, kan det være frustrerende når du kobler den bærbare datamaskinen til en USB-C-lader og den ikke lader.
Feilen Kan ikke opprette tjeneste på Ultraviewer oppstår når vi installerer programvaren med feilkode 1072.
Feilen med å ikke vise ID på Ultraviewer vil påvirke ekstern datamaskintilkobling.
