Penetračné testovanie je autorizovaný simulovaný kybernetický útok na počítač, určený na vyhodnotenie bezpečnosti systému. Testovanie sa vykonáva na identifikáciu všetkých slabých stránok (známych aj ako zraniteľnosti), vrátane možnosti prístupu neoprávnených strán k systémovým funkciám a údajom, ako aj silných stránok, ktoré umožňujú neoprávneným stranám prístup k systémovým funkciám a údajom.
Čo je penetračné testovanie?
Penetration Testing, tiež známy ako testovanie perom, pentest alebo etické hackovanie, je simulovaný útok na počítačový systém na testovanie zraniteľností, ktoré možno zneužiť. V oblasti bezpečnosti webových aplikácií sa penetračné testovanie často používa na posilnenie firewallov webových aplikácií (Web Application Firewall – WAF).
Testovanie perom môže zahŕňať pokus o narušenie ľubovoľného počtu aplikačných systémov (napr. Rozhrania aplikačných protokolov – API, frontend/backend servery) s cieľom odhaliť zraniteľnosti, zraniteľnosti, ako je napríklad neoverený vstup, ktorý je zraniteľný voči vstrekovaniu škodlivého kódu.
Štatistiky získané penetračným testovaním možno použiť na spresnenie bezpečnostných zásad WAF a opravu objavených zraniteľností.
Proces testovania pera možno rozdeliť do 5 etáp.
V prvej fáze penetračného testovania a testovania bug bounty musia testeri zbierať informácie o cieľovom systéme. Keďže existuje pomerne veľa metód útokov a testovania, penetrační testeri musia uprednostniť na základe získaných informácií, aby určili najvhodnejšiu metódu.
Tento krok zahŕňa extrakciu cenných detailov o infraštruktúre cieľového systému, ako sú názvy domén, sieťové bloky, smerovače a IP adresy v rámci jeho pôsobnosti. Okrem toho sa musia zhromaždiť všetky relevantné informácie, ktoré by mohli zvýšiť úspešnosť útoku, ako sú údaje zamestnancov a telefónne čísla.
Údaje získané z otvorených zdrojov počas tohto obdobia môžu priniesť prekvapivo dôležité detaily. Aby to dosiahli, musia white hat hackeri využiť rôzne zdroje, s osobitným dôrazom na webovú stránku cieľovej organizácie a platformy sociálnych médií. Dôsledným zhromažďovaním týchto informácií testeri položia základ pre úspešné úsilie o odmenu za chyby.
Väčšina organizácií však počas procesu odmeňovania chýb ukladá penetračným testerom rôzne pravidlá. Z právneho hľadiska je potrebné neodchýliť sa od týchto pravidiel.
Penetračný tester zistí, ktoré aktívne a pasívne zariadenia sú aktívne v rámci rozsahu IP, zvyčajne pasívnym zberom počas bug bounty. Pomocou informácií získaných počas tohto procesu pasívneho zberu si pentester potrebuje určiť svoju cestu – musí uprednostniť a presne určiť, ktoré testy sú potrebné.
Počas tohto obdobia sa hackeri nemôžu vyhnúť získaniu informácií o operačnom systéme, otvorených portoch a službách, ako aj informácií o ich verzii na živých systémoch.
Okrem toho, ak organizácia legálne požaduje, aby penetračný tester mohol monitorovať sieťovú prevádzku, potom je možné zhromaždiť kritické informácie o systémovej infraštruktúre, aspoň v čo najväčšom možnom rozsahu. Väčšina organizácií však toto povolenie nechce udeliť. V takejto situácii penetračný tester nesmie ísť nad rámec pravidiel.
V tejto fáze sa penetračný tester po tom, ako zistí, ako bude cieľová aplikácia reagovať na rôzne pokusy o prienik, pokúša nadviazať funkčné spojenie so systémami, ktoré deteguje, je aktívny a snaží sa plniť priame požiadavky. Inými slovami, toto je fáza, v ktorej hacker s bielym klobúkom interaguje s cieľovým systémom efektívnym využívaním služieb ako FTP, Netcat a Telnet.
Napriek zlyhaniu v tejto fáze je tu hlavným účelom skontrolovať údaje získané počas krokov zhromažďovania informácií a robiť si poznámky.
Útočná fáza penetračného testovania
Penetrační testeri zhromažďujú všetky údaje zozbierané v predchádzajúcich procesoch za jediným cieľom: Pokúsiť sa získať prístup k cieľovému systému rovnakým spôsobom, akým by to urobil skutočný, zákerný hacker. Preto je tento krok taký dôležitý. Pretože pri účasti na bug bounty programoch by penetrační testeri mali myslieť ako skutoční hackeri.
V tejto fáze sa penetračný tester pokúša preniknúť do systému, pričom využíva operačný systém bežiaci na cieľovom systéme, otvorené porty a služby slúžiace na týchto portoch, ako aj možné exploity, ktoré môžu byť použiteľné v závislosti od ich verzie. Keďže webové portály a aplikácie pozostávajú z veľkého množstva kódu a množstva knižníc, škodliví hackeri majú väčší dosah na útok. V tomto smere by mal dobrý penetračný tester zvážiť všetky možnosti a nasadiť všetky možné útočné vektory povolené v rámci pravidiel.
To si vyžaduje vážne odborné znalosti a skúsenosti, aby ste mohli úspešne a flexibilne využívať existujúce exploity bez poškodenia systému a bez zanechania akýchkoľvek stôp počas prevzatia systému. Preto je táto fáza penetračného testovania najdôležitejším krokom.
Sila systému je určená jeho najslabším článkom. Ak hacker s bielym klobúkom získa prístup do systému, zvyčajne sa prihlási do systému ako používateľ s nízkou autoritou. V tejto fáze musia mať penetrační testeri práva správcu, ktorí využívajú zraniteľné miesta v operačnom systéme alebo prostredí.
Potom sa budú snažiť prevziať ďalšie zariadenia v sieťovom prostredí pomocou dodatočných privilégií, ktoré dosiahli, a prípadne privilégií používateľov najvyššej úrovne, ako je správca domény alebo správca databázy.
Penetrační testeri hlásia výsledky lovu chýb a dostávajú odmeny
Po dokončení penetračného testovania a bug bounty krokov musí penetračný tester alebo lovec chýb prezentovať bezpečnostné zraniteľnosti, ktoré objavil v cieľovom systéme, ďalšie kroky a ako môžu tieto zraniteľnosti využiť pre organizáciu s podrobnou správou. To by malo zahŕňať informácie, ako sú snímky obrazovky, vzorový kód, fázy útoku a spôsob, akým sa táto zraniteľnosť môže vyskytnúť.
Záverečná správa musí obsahovať aj odporúčania na riešenie, ako odstrániť každú bezpečnostnú chybu. Citlivosť a nezávislosť penetračných testov zostáva záhadou. Hackeri s bielym klobúkom by nikdy nemali zdieľať dôverné informácie získané v tejto fáze a nikdy by nemali tieto informácie zneužiť poskytovaním nepravdivých informácií, pretože to je zvyčajne nezákonné.
Externé penetračné testovanie sa zameriava na „aktíva“ spoločnosti, ktoré sú viditeľné na internete, ako je samotná webová aplikácia, webová stránka spoločnosti, e-mail a servery doménových mien (DNS) . Cieľom je získať prístup a extrahovať cenné dáta.
Pri internom penetračnom testovaní tester s prístupom k aplikácii za firewallom simuluje útok zasväteného. Tento útok nielenže upozorňuje na možnosť, že interný zamestnanec by mohol byť hacker, ale tiež pripomína administrátorom, aby zabránili odcudzeniu prihlasovacích údajov zamestnanca v organizácii po phishingovom útoku .
V slepom teste dostane tester iba názov firmy, na ktorú sa zameriava. To dáva bezpečnostným pracovníkom v reálnom čase prehľad o tom, ako by útok aplikácie prebiehal v praxi.
Pri dvojitom slepom teste nemá bezpečnostný dôstojník žiadne predchádzajúce znalosti o simulovanom útoku. Rovnako ako v skutočnom svete nie je vždy možné vopred poznať útoky na zlepšenie obrany.
V tomto scenári budú tester aj bezpečnostný dôstojník spolupracovať a priebežne navzájom vyhodnocovať svoje akcie. Ide o hodnotné tréningové cvičenie, ktoré poskytuje bezpečnostnému tímu spätnú väzbu v reálnom čase z pohľadu hackera.
Penetračné testovanie a WAF sú nezávislé bezpečnostné opatrenia, ale poskytujú doplnkové výhody.
Pri mnohých typoch testovania perom (okrem slepého a dvojito slepého testovania) môžu testeri použiť údaje WAF, ako sú protokoly, na nájdenie a využitie slabých miest aplikácie.
Správcovia WAF zase môžu ťažiť z údajov testu pera. Po dokončení testovania môže byť konfigurácia WAF aktualizovaná, aby bola chránená pred slabými stránkami objavenými počas testovania.
Nakoniec, testovanie pera spĺňa množstvo požiadaviek na bezpečnostné testovanie, vrátane PCI DSS a SOC 2. Niektoré štandardy, ako napríklad PCI-DSS 6.6, môžu byť splnené iba použitím certifikovaného WAF.
Hackeri s bielym klobúkom používajú testovanie perom na nájdenie chýb a zraniteľností
Etické hackovanie nie je práca, ktorá vyžaduje iba zručnosti. Väčšina bielych hackerov (etických hackerov) používa špecializované operačné systémy a softvér, aby si uľahčila prácu a vyhla sa manuálnym chybám.
Na čo teda títo hackeri používajú testovanie perom? Nižšie uvádzame niekoľko príkladov.
Parrot Security je operačný systém založený na Linuxe určený na penetračné testovanie a hodnotenie zraniteľnosti. Je vhodný pre cloud, ľahko sa používa a podporuje rôzne open source softvéry.
Tiež operačný systém Linux, Live Hacking je vhodnou voľbou pre tých, ktorí robia pentesting, pretože je ľahký a nevyžaduje vysoký hardvér. Live Hacking je dodávaný s nástrojmi a softvérom na penetračné testovanie a etické hackovanie.
Nmap je open source inteligentný nástroj (OSINT), ktorý monitoruje siete, zhromažďuje a analyzuje údaje o hostiteľoch zariadení a serveroch, vďaka čomu je cenný pre čiernych, šedých a bielych hackerov.
Nmap je tiež multiplatformový a funguje s Linuxom, Windowsom a macOS, takže je ideálny pre začínajúcich etických hackerov.
WebShag je tiež nástroj OSINT. Ide o nástroj na testovanie systému, ktorý skenuje protokoly HTTPS a HTTP a zhromažďuje relatívne údaje a informácie. Používajú ho etickí hackeri na vykonávanie externých penetračných testov prostredníctvom verejných webových stránok.
Testovanie vlastnej siete perom nie je tou najlepšou voľbou, pretože o nej možno nemáte dostatok podrobných vedomostí, čo vám sťažuje kreatívne myslenie a hľadanie skrytých zraniteľností. Mali by ste si najať nezávislého hackera s bielym klobúkom alebo služby spoločnosti, ktorá poskytuje služby testovania pier.
Najímanie outsiderov na preniknutie do vašej siete však môže byť veľmi riskantné, najmä ak im poskytujete dôverné informácie alebo interný prístup. Preto by ste mali používať dôveryhodných poskytovateľov tretích strán. Tu je niekoľko návrhov pre vašu referenciu:
HackerOne je spoločnosť so sídlom v San Franciscu, ktorá poskytuje služby penetračného testovania, hodnotenia zraniteľnosti a testovania súladu s protokolmi.
Spoločnosť ScienceSoft so sídlom v Texase poskytuje služby hodnotenia zraniteľnosti, testovania pera, dodržiavania predpisov a testovania infraštruktúry.
Raxis so sídlom v Atlante v štáte Georgia poskytuje hodnotné služby od testovania perom a kontroly bezpečnostných kódov až po školenia reakcie na incidenty, hodnotenia zraniteľnosti a školenia v oblasti prevencie útokov sociálneho inžinierstva .
Statická adresa IP je pevná adresa IP nakonfigurovaná v nastaveniach počítača alebo smerovača. Niektorí poskytovatelia internetových služieb (ISP) vyžadujú, aby ste na svojom počítači zadali statickú IP adresu alebo nastavenia TCP/IP smerovača, aby sa mohli pripojiť na internet.
Podľa spôsobu infekcie patrí PublicBoardSearch do kategórie únoscov prehliadača. Ide o typ malvéru, ktorý je navrhnutý tak, aby prevzal nastavenia známeho prehliadača.
Zbierka tapiet s vysokým rozlíšením pre používateľov počítačov a notebookov s plným rozlíšením od Full HD po 4K.
Unixový systém, tiež známy ako „loopback“, môže posielať a prijímať sieťovú komunikáciu cez virtuálne sieťové zariadenie. Počítač môže posielať správy sám sebe, čo umožňuje komunikáciu bez aktívnej siete.
Pravdepodobne ste už počuli príslovie, že dostanete to, za čo zaplatíte, ale čo keď príde na antivírusový softvér? Mali by ste si radšej kúpiť softvérové balíky, než sa rozhodnúť pre bezplatné riešenia ochrany? Možno to tak nie je a tu je dôvod!
V dnešnom článku Quantrimang zhrnie populárne značky antivírusového softvéru na trhu a zistí, ako sa líšia medzi Windows PC a macOS.
Nie je jasné, čo prinesie Sun Valley okrem zmien a vylepšení používateľského rozhrania najvyššej úrovne. Tu je teda to, čo používatelia dúfajú, že uvidia od veľkej aktualizácie systému Windows 10 Sun Valley, ktorá bude uvedená na trh budúci rok.
Systém Windows poskytuje možnosť Spustiť ako správca, ktorá používateľom umožňuje spúšťať aplikácie a programy s oprávneniami správcu. Môžete ho použiť aj na riešenie problémov s počítačom. Čo ak však táto funkcia zlyhá a odoberie vám práva správcu?
Chyby súvisiace s jednotkou vášho počítača môžu zabrániť správnemu spusteniu systému a obmedziť prístup k vašim súborom a aplikáciám.
Niektoré varianty malvéru môžu používať rôzne moduly na zmenu spôsobu, akým ovplyvňujú cieľový systém. Čo je teda modulárny malvér a ako funguje?
