Penetrasyon testi - yöntemler. Penetrasyon Testi Nedir? Kapsamlı sızma testi

Penetrasyon testi, çeşitli sistem problemlerini dikkate alan ve test eden, analiz eden ve çözümler sunan yöntemlerin bir kombinasyonudur. Adım adım sızma testi gerçekleştiren yapılandırılmış bir prosedüre dayanmaktadır. Penetrasyon testinin yedi aşaması aşağıdadır:

Planlama ve hazırlık

Planlama ve hazırlık, sızma testi için amaç ve hedeflerin tanımlanmasıyla başlar.

Müşteri ve testçi, hedefleri ortaklaşa tanımlar, böylece her iki taraf da aynı hedeflere ve anlayışa sahip olur. Sızma testinin genel amaçları şunlardır:

• Güvenlik açığını belirleyin ve teknik sistemlerin güvenliğini iyileştirin.
• Harici bir üçüncü taraf tarafından BT güvenliği sağlayın.
• Organizasyonel / insan altyapısının güvenliğini iyileştirin.

Ders çalışma

İstihbarat, ön bilgilerin analizini içerir. Çoğu zaman, test cihazı ön bilgiler, yani IP adresi veya IP adresleri bloğu dışında fazla bilgiye sahip değildir. Test cihazı, mevcut bilgileri ve gerekirse sistem açıklamaları, ağ planları vb. gibi ek bilgiler için kullanıcıdan gelen talepleri analiz ederek başlar. Bu adım, bir tür pasif sızma testidir. Tek amaç, sistemler hakkında tam ve detaylı bilgi elde etmektir.

açılış

Bu noktada, sızma test cihazı, güvenlik açıklarını tespit etmek için hedeflenen varlıkları taramak için büyük olasılıkla otomatik araçlar kullanacaktır. Bu araçların genellikle en son güvenlik açıkları hakkında bilgi sağlayan kendi veritabanları vardır. Ancak, test cihazı algılar

• ağ keşfi- örneğin, ek sistemlerin, sunucuların ve diğer cihazların açılması.
• Ana Bilgisayar Keşfi- bu cihazlarda açık portları tanımlar.
• Servis Sorgulama- üzerlerinde çalışan gerçek hizmetleri keşfetmek için yoklama portları.

Bilgi ve risklerin analizi

Bu aşamada, test edici, sisteme dinamik penetrasyon için test aşamalarından önce toplanan bilgileri analiz eder ve değerlendirir. Çok sayıda sistem ve altyapının boyutu nedeniyle, bu zaman alıcıdır. Analiz ederken, test eden kişi aşağıdaki unsurları dikkate alır:

• Sızma testinin özel amaçları.
• Sistem için olası riskler.
• Sonraki aktif sızma testleri için olası güvenlik açıklarını değerlendirmek için gereken tahmini süre.

Ancak, test eden kişi, tanımlanan sistemler listesinden yalnızca potansiyel güvenlik açıklarını içerenleri test etmeyi seçebilir.

Aktif istila girişimleri

Bu en önemli adımdır ve gereken özenle yapılmalıdır. Bu adım, keşif aşamasında keşfedilen potansiyel güvenlik açıklarının ne ölçüde gerçek risklere sahip olduğunu içerir. Bu adım, olası güvenlik açıklarını kontrol etmek gerektiğinde gerçekleştirilmelidir. Çok yüksek bütünlük gereksinimleri olan sistemler için, kritik temizleme prosedürlerinden önce potansiyel güvenlik açıkları ve riskler dikkatlice düşünülmelidir.

Son analiz

Bu adım, öncelikle bu zamana kadar atılan (yukarıda tartışılan) tüm adımlara ve potansiyel riskler olarak mevcut güvenlik açıklarının değerlendirilmesine bakar. Ek olarak, test cihazı, güvenlik açıklarının ve risklerin ortadan kaldırılmasını önerir. Her şeyden önce, test eden kişi, testlerin şeffaflığını ve bulunan güvenlik açıklarını sağlamalıdır.

Raporun hazırlanması

Raporun hazırlanması genel test prosedürleriyle başlamalı ve ardından güvenlik açıkları ve riskler analiz edilmelidir. Yüksek riskler ve kritik güvenlik açıkları önceliklendirilmeli ve ardından daha düşük sıraya alınmalıdır.

Ancak, nihai raporu belgelerken aşağıdaki noktalar dikkate alınmalıdır:

• Penetrasyon testine genel bakış.
• Kalem testi sırasında toplanan her adımın ayrıntıları ve bilgiler.
• Keşfedilen tüm güvenlik açıkları ve riskler hakkında ayrıntılı bilgi.
• Temizleme ve sabitleme sistemlerinin ayrıntıları.
• Gelecekteki güvenlik için öneriler.

Son birkaç yıl, hacker saldırıları konusuna halkın ilgisini keskin bir şekilde artıran olaylar açısından zengindi. ABD Demokrat Partisi sistemlerinin hacklenmesi, Maliye Bakanlığı ve Ukrayna Hazinesi altyapısının enerji sistemlerinin devre dışı bırakılmasıyla ilgili skandal, yalnızca dosyaları şifrelemekle kalmayan, aynı zamanda endüstriyel ve tıbbi ekipman, MIRAL, Amerika Birleşik Devletleri ve Liberya'nın yarısını hiçbir bağlantı bırakmayan ev aletlerinden yapılmış dev bir botnet, kötü niyetli kişiler, savunmasız koyun kurtları gibi kitlesel olarak bankaların içini boşaltıyor ... SWIFT bile saldırı altında! Film geek bilgisayar korsanları milyarlarca insanın gerçekliğinin bir parçası haline geldi.

Asgari araçlarla yasal gerekliliklere resmi uyumun aksine, bugün iş dünyasının kaynakları öncelikle pratik güvenliğe yatırması doğaldır. Ayrıca, yerleşik güvenlik sisteminin ağ köpekbalıklarına karşı ne kadar etkili koruduğunu kontrol etmek istemesi de doğaldır.

Bu sefer özellikle bilgisayar saldırıları ve bunlara karşı doğrudan koruma ile ilişkili bilgi güvenliğinin (IS) pratik yönlerine odaklanmaya karar verdik. "Beyaz şapkalar" performansını hacklemek için, yani davetsiz misafirlerin eylemlerini yasal olarak taklit eden uzmanlar için "penetrasyon testi" (pentest) terimi kullanılır. Bu terim, aynı anda birkaç güvenlik araştırması alanını gizler ve her birinin kendi dar uzmanları vardır. Bu yazıda, bir sızma testinin ne olduğunu, neden gerekli olduğunu ve bir hacker saldırısı ile sızma testi arasındaki sınırın nerede olduğunu anlayacağız.

Pentest özünde bilgi güvenliği denetimi türlerinden biridir. Ve bu, gerçek bir hack'ten temel farkıdır. Bilgisayar korsanı, kurbanın sistemlerini kontrol etmenin en kısa yolunu arıyor. Çevrede bir delik bulunursa, saldırgan saldırıyı içe doğru pekiştirmeye ve geliştirmeye odaklanır. Ve harici ağ testi emri verilen pentester, zaten bir sürü delik bulunmuş olsa bile, ana bilgisayarı ana bilgisayardan sonra titizlikle incelemelidir. Ana bilgisayarlar aynı tipteyse (örneğin, 1000 özdeş iş istasyonu), araştırmacı elbette bir kontrol örneği yapabilir, ancak temelde farklı sistemleri atlamak kabul edilemez. Bu muhtemelen bir müşterinin düşük kaliteli bir penetrasyon testini belirlemesinin en kolay yoludur.

Pentest, tam teşekküllü bir IS denetiminin yerini tutmaz. İncelenen sistemlerin dar odaklı bir görünümü ile karakterize edilir. Pentest, özünde, bilgi güvenliği eksikliklerinin nedenleriyle değil, sonuçlarla ilgilenir. Neden hiç tutsun? Endüstri yeni bir askeri teçhizat modeli piyasaya sürdüğünde, mühendisler zırhın özelliklerini, silahların özelliklerini dikkatlice hesaplar, ancak askeri kabulde, teçhizat hala menzile girer, ateşlenir, baltalanır vb. Deney, gerçeğin kriteridir. Sızma testi, bilgi güvenliği süreçlerimizin düşündüğümüz kadar iyi olup olmadığını, güvenlik sistemlerinin güvenilir olup olmadığını, sunuculardaki konfigürasyonun doğru olup olmadığını, gerçek bir hacker'ın izleyeceği yolu anlayıp anlamadığımızı anlamamızı sağlar. Bu nedenle, bilgi güvenliğine halihazırda büyük yatırımlar yapmış olan şirketler için sızma testinin gerekli olduğu izlenimi edinilebilir. Teoride bu doğrudur, ancak pratikte genellikle çok farklıdır.

Aşağıdaki pentest formülü ile geldim:

Araştırma, bir pentestin en belirgin kısmıdır. Tıpkı filmlerdeki gibi: kapüşonlu garip adamlar geceleri BT savunmasını parçalar. Aslında, her şey genellikle biraz daha sıradandır, ancak bu görüntü, pentesterlerin kurumsal kıyafet kurallarına uymamalarına izin verir.

Raporlama, genellikle kalem testçileri için işin en sevilen kısmı değildir, ancak kritik derecede önemlidir. İşin müşterisi, tüm başarılı ve başarısız sızma girişimlerinin ayrıntılı bir tanımını, güvenlik açıklarının net bir tanımını ve çok önemli olan bunların ortadan kaldırılması için önerileri almalıdır. Son bölüme uzman bilgi güvenliği uzmanlarını dahil etmek mantıklıdır, çünkü nasıl kırılacağını bilmek, kurumsal bir BT altyapısının gerçekliğinde nasıl doğru ve güvenli bir şekilde düzeltileceğini bilmek anlamına gelmez.

Ve uğruna tüm pentestin sıklıkla düzenlendiği son bileşen, gösteridir. Böyle bir denetim, özellikle profesyonel olmayanlar için görünürlük açısından diğerlerinden daha üstündür. Bu, bilgi güvenliğinin kusurlarını şirket yönetimine uzman olmayanların erişebileceği bir biçimde göstermenin en iyi yoludur. CEO'nun pasaportunun taranmasını, gizli bir raporun başlık sayfasını ve bir müşteri tabanını içeren kısa (birkaç sayfa) bir Yönetici Özeti, şirketteki bilgi güvenliğine, takip eden 200 sayfalık raporun tamamından daha fazla fayda sağlayabilir. Bu nedenle, penttestler genellikle siber güvenliğin daha önce dahil olmadığı şirketler tarafından sipariş edilir ve iş dünyası ve genellikle BT, mevcut risklerin ciddiyetini anlamaz.

Test parametreleri

Pentestler çeşitli şekillerde sınıflandırılabilir. Kendiniz için bir pentest yapılandırırken sadece pratik değeri olanlar üzerinde duralım.

Müşteri tarafından belirlenen saldırının hedefi, bir sızma testinden bir sızma testine kadar çok farklı olabilir. “Sadece bizi hackleyin” genellikle BT altyapısının (etki alanı yöneticisi hakları, ağ ekipmanı) kontrolünü ele geçirmek, iş sistemlerinden ve gizli bilgilerden ödün vermek anlamına gelir. Ve dar hedefli penetrasyon testleri var. Örneğin, PCI DSS kart veri güvenliği sertifikasının bir parçası olarak, yıllık zorunlu pentestin amacı, kart verilerini tehlikeye atmaktır. Burada, işin ilk gününde, bankanın ağı tamamen ele geçirilebilir, ancak gizli verilere sahip son kale düşmezse, kuruluş testi başarıyla geçecektir.

Sistem bilgisi modeli, pentesterin başlangıç ​​konumunu belirler. Sistem hakkındaki eksiksiz bilgilerden (Beyaz kutu) tamamen yokluğuna (Kara kutu). Genellikle, örneğin bir pentester sistem hakkında bazı verilere sahip olan ayrıcalıksız bir kullanıcının eylemlerini taklit ettiğinde, orta sürüm (Gri kutu) da vurgulanır. Bu, sıradan bir memur, ortak şirket, kişisel hesaba erişimi olan bir müşteri vb. olabilir. Beyaz kutu, klasik bir sızma testi değil, daha çok bir denetimdir. Dar bir alanda güvenliği detaylı olarak incelemeniz gerektiğinde kullanılır. Örneğin, yeni bir müşteri portalı kontrol ediliyor. Araştırmacıya sistemle ilgili tüm bilgiler, genellikle kaynak kodu sağlanır. Bu, sistemi ayrıntılı olarak incelemeye yardımcı olur, ancak gerçek hayattaki saldırıları pek simüle etmez. Kara kutu pentest müşterileri, sistem hakkında içeriden bilgiye sahip olmayan bir bilgisayar korsanının saldırısının eksiksiz bir simülasyonunu elde etmek ister.

Bilgi modeli, davetsiz misafir modeli kavramıyla güçlü bir şekilde örtüşmektedir. Bize kim saldırıyor: dış hacker, içeriden, yönetici? Bu bölünme çok keyfi. Sıradan bir kullanıcının veya bir yüklenicinin iş istasyonunu teknik açıdan tehlikeye atmak, harici bir bilgisayar korsanını anında dahili bir ihlalciye dönüştürür.

Bilgi güvenliği uzmanlarının farkındalık düzeyi, işi kimin ne kadar detaylı bildiğini belirler. Çoğu zaman, teknolojiye ek olarak, personel de test edilir, bu nedenle çalışma bilgi güvenliği veya BT direktörü tarafından koordine edilir ve yöneticiler, elbette bir saldırı fark ederlerse gerçek bilgisayar korsanlarıyla savaştıklarına inanırlar. Bu tür siber tatbikatlar, yalnızca sistemlerdeki güvenlik açıklarının varlığını değil, aynı zamanda bilgi güvenliği süreçlerinin olgunluğunu, departmanlar arasındaki etkileşim düzeyini vb. değerlendirmeye de olanak tanır. Tam tersi, güvenlik sistemlerini eğitmek için bir saldırganın eylemlerinin taklit edilmesidir. Bu durumda, pentester küçük bir alanda çalışır ve yöneticiler güvenlik araçlarının ve BT sistemlerinin tepkisini kaydeder, ayarları yapar, SIEM için kurallar hazırlar, vb. Örneğin, bir bilgisayar korsanı zaten kapalı bir segmente girdiğinde bir durum simüle edilir. Sistemlerdeki ayrıcalıklarını nasıl yükseltecek? Pentester, güvenlik sistemlerinin en eksiksiz eğitimi için bildiği tüm saldırı vektörlerini tek tek çalışır.

Saldırı türleri

Kaç pentester, çok sayıda saldırı türü sınıflandırması. Aşağıda kullandığımız temel saldırıların sınıflandırmasını vereceğim. Tabii ki, en eksiksiz sızma testi, olası tüm yönlerde bir saldırıdır. Ancak bütçe, zaman, kapsam ve pentest görevlerinin sınırlamaları sizi seçim yapmaya zorlar.

Harici altyapı penetrasyon testi - İnternet'ten ağ çevresinin analizi. Pentester, mevcut ağ hizmetlerinden ödün vermeye ve mümkünse ağ içinde bir saldırı geliştirmeye çalışır. Birçoğu bunun şirketin ağına dışarıdan sızmayı amaçlayan gerçek bir saldırının simülasyonu olduğuna inanıyor. Aslında, bugün saldırganlar vakaların %80-90'ında sosyal mühendislik yöntemlerini kullanarak ağ çevresini aşar. Altlarında harika bir tünel varsa, kale duvarlarını kırmaya gerek yoktur. Ancak, burada da genellikle delikler vardır. Örneğin, yakın zamanda, otomatik analiz aşamasında bile, tarayıcının otomatik süreç kontrol sisteminin uzaktan kontrol sistemi için şifreyi aldığı çerçevede büyük bir uçak fabrikası için çalışmalar yaptık. Uzaktan erişimi kapatmayı unutan müteahhidin ihmali, bilgisayar korsanının teknik sıvılarla boru hatlarındaki basıncı bir kat artırmasına izin verdi. Gerçek ve mecazi anlamda tüm sonuçları ile.

Böyle bir penetrasyon testi, diş hekiminde yapılan bir muayene gibidir: erken aşamalarda sorunları önlemek için düzenli olarak yapmak daha iyidir.

Gölge BT

Penetrasyon genellikle BT'nin görüş alanı dışında olan sistemler kullanılarak gerçekleşir. Çevredeki tüm sunucular güncellendi, ancak IP telefonunu veya video gözetim sistemini unuttular. Ve hacker zaten içeride. Yöneticilerin gözünden düşen böyle bir altyapı için özel bir terim var - Gölge BT. Gartner'a göre 2020 yılına kadar tüm hack'lerin üçte biri Shadow IT kullanılarak gerçekleşecek. Kanaatimizce bu tamamen gerçekçi bir değerlendirmedir.

Örneğin, bir kez pentester, bankanın ideal olarak korunan çevresinde, tüm ana bankacılık sistemlerinin 2 gün içinde tamamen tehlikeye atıldığı güncellenmemiş çağrı merkezi sistemleri buldu. Onlardan sorumlu olanın BT departmanı değil, telefon operatörleri olduğu ortaya çıktı. Başka bir durumda, sızma testinin giriş noktası, kurumsal olandan tamamen izole edilmiş resepsiyonist ağıydı. Birkaç gün sonra, pentester ağın tamamen ele geçirildiğini bildirdiğinde, işin müşterisinin sürprizini hayal edin. Güncellenmemiş bir yazıcıyı hacklemeyi, onu bir kabukla doldurmayı ve yazıcıları yönetmek için VLAN'a erişmeyi başardı. Hepsini tehlikeye atan kalem test cihazı, şirketin tüm ofis bölümlerine erişim kazandı.

Dahili altyapı sızma testi, ağ içindeki bir içeriden veya virüslü bir ana bilgisayarın eylemlerini simüle eder. Ağ, bireysel iş istasyonlarının veya sunucuların tehlikeye girmesi, savunmada tam bir düşüşe yol açmayacak şekilde tasarlanmalıdır. Aslında, uygulamamızdaki vakaların yarısından fazlasında, “ağ çıkışına erişimden” “etki alanı yöneticisine” kadar bir iş gününden fazla sürmez.

Şirketin ağı çok geniş olabilir, bu nedenle bazı durumlarda müşteri, pentester için saldırıların hedefini açıkça tanımlamalıdır. Örneğin, SAP ve "Gizli" olarak sınıflandırılan finansal belgelere erişim. Bu, pentester zamanının daha rasyonel kullanımına izin verecek ve gerçek bir özel bilgisayar korsanı saldırısını simüle edecektir.

Web kaynakları, çok çeşitli farklı teknolojiler ve belirli saldırılarla sızma testi açısından ayrı bir dünyayı temsil eder. Web'in ağa erişimi olan herhangi bir şey olarak anlaşılabileceği açıktır. Burada, web'de bulunan çeşitli web siteleri, portallar ve belirli API'leri kastediyoruz. Uygulama, ortalama olarak, bir şirket için, tüm ağ çevresinin analizinin, özellikle bazı etkileşimli öğeler, kişisel bir hesap vb. varsa, bir web sitesinden daha az zaman aldığını göstermektedir. Bu alan, öncelikle bankalar tarafından e-ticaretin gelişmesi ve internetteki büyük perakende patlaması nedeniyle gerçek bir patlama yaşıyor.

Bir web kaynağına yapılan saldırının ana sonuçları genellikle DBMS'den gelen verilerin ele geçirilmesi ve istemcilere saldırma olasılığıdır (örneğin, her ikinci bankanın web sitelerinde çeşitli XSS türleri bulunur). Biraz daha az sıklıkla, bir web sunucusundan ödün vermek, şirketin ağına girmenize izin verir, ancak çoğu zaman, gerekli veriler zaten ele geçirilmişse, bir saldırganın buna ihtiyacı olmayabilir.

Web'i analiz ederken, yalnızca teknik kısmı değil, aynı zamanda çalışma mantığını ve işletme işlevlerinin uygulanmasını da kontrol etmek önemlidir. Şimdiye kadar, bazen bir çevrimiçi mağazada %99 indirim alabilir veya adres çubuğundaki sunucu istek satırını biraz değiştirerek başka birinin bonus puanlarını kullanabilirsiniz.

Web'deki saldırılar ağ içinde gerçekleştirilebilir, çünkü genellikle iç kaynakların güvenliği düşünülmez, ancak aslında çoğu bilgisayar korsanı önce altyapıya saldırır, çünkü bu alan yöneticisine giden en kısa yoldur. Web, başka hiçbir şey yardımcı olmadığında veya yalıtılmış ağ bölümlerine girmek gerektiğinde alınır.

DDoS direnç testine olan ilgideki artış, özellikle son birkaç yılda fark edilir hale geldi. Basında sürekli olarak büyük saldırılarla ilgili bilgiler yer alıyor, ancak mesele bunlarla sınırlı değil. Örneğin, çevrimiçi perakende segmentinde, en yüksek satışlarda (tatillerden önce) saldırılar neredeyse sürekli devam ediyor. Büyük hacimlerde trafik göndererek iletişim kanalını veya sunucu kaynaklarını tüketmeyi amaçlayan ilkel saldırılarla ne yapılacağı genellikle açıktır. Kaynağın uygulama düzeyindeki saldırılara karşı direncini incelemek daha ilginçtir. Bir web sitesine nispeten az sayıda özel istek oluşturan tek bir istemci bile onu kullanılamaz hale getirebilir. Örneğin, bir sitenin arama kutusundaki belirli sorgular, tamamen bir arka uç koyabilir.

Sosyal mühendislik, yani insan dikkatsizliği, dikkatsizlik veya bilgisayar korsanlığı için eğitim eksikliği, bugün şirketin ağına girmenin en popüler yolu haline geldi.

Üstelik bu hurdadan alım olmadığı yönünde bir görüş var. Bu terim, bir tesise veya sistemlere erişmek için posta, telefon ve kişisel iletişim yoluyla sahte mesajlar göndermek, kurbanın ofisine kötü amaçlı bir eklenti içeren bir flash sürücü atmak ve çok daha fazlasını içeren çok sayıda tekniği birleştirir.

Wi-Fi saldırılarına yanlışlıkla dahili sızma testi denir. Akıllı telefonunuz ağ geçidinin dışında kurumsal Wi-Fi alamıyorsa, bu, davetsiz misafirlerin ona erişemeyeceğini garanti etmez. Ebay'den 100 dolarlık bir yönlü anten, erişim noktasından bir kilometreden fazla bir mesafeden çalışmamıza izin verdi. Pentestte, Wi-Fi her zaman bir ağ penetrasyon noktası olarak kabul edilmez. Daha sık kullanıcılara saldırmak için kullanılır. Örneğin, bir pentester iş günü başlamadan önce bir işletmenin kontrol noktasına park eder ve kurumsal Wi-Fi ile aynı ada (SSID) sahip bir ağ kurar. Çalışanların çantalarındaki ve ceplerindeki cihazlar, tanıdık bir ağa katılmaya ve içinde kimlik doğrulaması için ... alan adı ve şifre göndermeye çalışıyor. Kalem test cihazı daha sonra bu sızıntıları kullanıcı postalarına, VPN sunucularına vb. erişmek için kullanır.

Bir saldırgan için mobil uygulamaların analizi, mağazadan kolayca indirilebilmeleri ve kaynak kodunu geri yükleyerek sanal alanda ayrıntılı olarak incelenebilmeleri ile basitleştirilmiştir. Sıradan web kaynakları için böyle bir lüks ancak hayal edilebilir. Bu saldırı vektörünün bugün çok popüler olmasının nedeni budur. Mobil müşteriler artık sadece bankalar ve perakendeciler arasında çok yaygın değil. Herkes tarafından serbest bırakılırlar ve güvenlik en son düşündükleri şeydir.

Geleneksel olarak, bir mobil uygulama çalışması 3 bileşene ayrılabilir: güvenlik açıkları için kurtarılan kaynak kodunun analizi, "korumalı alanda" uygulamanın incelenmesi ve uygulama ile sunucu arasındaki etkileşim yöntemlerinin analizi (paket içeriği) , API, sunucunun kendisinin güvenlik açıkları). Kısa süre önce, bir mobil bankacılık uygulamasının arka ucunun API'sinin, herhangi bir banka hesabından başka bir hesaba rastgele miktarda para transferine neden olan bir paket oluşturmanın mümkün olduğu şekilde çalıştığı bir durumla karşılaştık. Ve bu, uygulamanın piyasaya sürülmesinden önceki bir çalışma değildi - uzun süredir üretimdeydi. Dolandırıcılıkla mücadele, bilgi güvenliğinden daha sık unutulduğundan, günümüzde birçok dolandırıcılık planı mobil uygulamalar kullanılarak da uygulanmaktadır.

Özellikle müşteri kaynak kodlarını araştırma için açık formda gönderiyorsa, kaynak kodun analizini bir sızma testi olarak değerlendirmek tamamen doğru değildir. Bunun yerine, bir uygulamanın beyaz kutu güvenlik denetimidir. Ancak, bu çalışmalar genellikle daha yüksek düzeyde güvenlik açığı tespiti sağlamak için pentestlerle birlikte yürütülür, bu nedenle burada bahsetmeye değer. Pentest, kod analizinde bulunan kusurları onaylamanıza veya reddetmenize izin verir (sonuçta, belirli bir altyapıda, tüm güvenlik sorunlarından gerçekten yararlanılamaz). Bu, kod analizinin, özellikle otomatik kod analizinin suçlu olduğu yanlış pozitiflerin sayısını önemli ölçüde azaltır. Aynı zamanda, kod analizinin bir sonucu olarak, genellikle penetrasyon test cihazının tahmin etmediği delikler bulunur.

Deneyimlerimize göre, saldırılara en duyarlı olan mobil uygulamalar ve web servislerinin kodunun en sık sıralanan analizi.

Pentest diş hekimi muayenesi gibidir: Erken evrelerde problem yaşamamak için düzenli olarak yaptırmak daha iyidir.

Pentest sınırlamaları

Bir sızma testini gerçek bir saldırıdan ayıran ve beyaz şapkalılar için işi zorlaştıran temel sınırlamalar ceza kanunu ve etik değerlerdir. Örneğin, bir pentester çoğu zaman müşterinin ortaklarının sistemlerine, çalışanların ev bilgisayarlarına, telekom operatörlerinin altyapısına saldıramaz; sosyal mühendislikte sindirme, tehdit, şantaj, rüşvet ve diğer çok etkili suçlu yöntemlerini kullanmaz. Daha da inandırıcı olan, "temiz" bir penetrasyon testi çerçevesinde başarılı penetrasyonun sonuçlarıdır. Pentasteriniz çalışma sırasında yasaları çiğniyorsa, böyle bir kişinin kilit sistemlerinize yaklaşmasına izin vermeye değip değmeyeceğini on kez düşünün.

Nihayet

Pentest, tıbbi muayene gibi, çoğu standart yılda en az bir kez geçmeyi önerir. Aynı zamanda gözleri bulandırmamak ve güvenliği farklı açılardan değerlendirmek için işi yapan uzmanların periyodik olarak değiştirilmesinde fayda vardır. Sonuçta, herhangi bir uzman veya ekip, bir dereceye kadar bir uzmanlık geliştirir.

Pentest, güvenlik personeli için hem zaman hem de masraf ve strestir, ancak bir BT altyapısının güvenliğini değerlendirmenin daha görsel ve gerçekçi bir yolunu bulmak zordur. Her durumda, sözleşmeli bir uzmanın deliği bulması bir bilgisayar korsanından daha iyidir. Sonuçta, ilki genellikle güvenlik için ek fon tahsisi ile bilgi güvenliği hizmetine ve ikincisi - yeni bir iş arayışına girer.

Penetrasyon testi(jarg. en sert) - bir davetsiz misafir tarafından yapılan bir saldırıyı simüle ederek bilgisayar sistemlerinin veya ağlarının güvenliğini değerlendirmek için bir yöntem. Süreç, hedef sistemin yanlış çalışmasına veya tam bir hizmet reddine neden olabilecek olası güvenlik açıkları için sistemin aktif bir analizini içerir. Analiz, potansiyel bir saldırganın bakış açısından gerçekleştirilir ve sistem güvenlik açıklarından aktif olarak yararlanılmasını içerebilir.

Test nesneleri hem bireysel bilgi sistemleri olabilir, örneğin: CMS (içerik yönetim sistemi), CRM (müşteri ilişkileri yönetim sistemi), İnternet müşteri bankası ve bir bütün olarak tüm altyapı: ağ çevresi, kablosuz ağlar, dahili veya kurumsal ağ , hem de dış çevre.

Sızma Testi Zorluğu- bilinen tüm yazılım güvenlik açıklarını, parola ilkesindeki eksiklikleri, IS yapılandırma ayarlarının eksikliklerini ve inceliklerini arayın. Böyle bir test sırasında, bir test cihazı, gerçek davetsiz misafirlerin eylemlerini veya test cihazının doğrudan katılımı olmadan kötü amaçlı yazılım tarafından gerçekleştirilen bir saldırıyı sahneleyen bir şirket ağına sahte bir saldırı gerçekleştirir. Bu testlerin amacı: bir şirket ağının bu tür saldırılara karşı korunmasındaki zayıflıkları belirlemek ve sözde saldırılar sırasında bulunan güvenlik açıklarını ortadan kaldırmaktır.

Penetrasyon testi genellikle BlackBox, WhiteBox ve GreyBox'a ayrılır:

Siyah kutu- "siyah kutu". Uzman, çalışmanın amacı, ağı ve parametreleri hakkında yalnızca halka açık bilgilere sahiptir. Bu seçenek, gerçek duruma mümkün olduğunca yakındır. Test için ilk veri olarak, yükleniciye yalnızca şirketin adı veya web sitesi ile şirketin kullandığı IP adresleri, web siteleri, şirket ofislerinin ve şubelerinin çıkış noktaları gibi diğer tüm bilgiler verilir. İnternet, müteahhit kendini bulmak zorunda kalacak.

Beyaz kutu- BlackBox'ın tam tersi. Bu durumda, uzmana, herhangi bir sunucuya idari erişime kadar, kendisi için gerekli olan maksimum bilgi sağlanır. Bu yöntem, bir nesnenin güvenlik açığı hakkında en eksiksiz çalışmayı elde etmenizi sağlar. WhiteBox ile, icracı, teste başlamadan önce bilgi toplamak, bir ağ haritası oluşturmak ve diğer eylemler için zaman harcamak zorunda kalmayacak ve ayrıca test etme süresini de azaltacaktır, çünkü bazı kontrollerin yapılması gerekmez. Bu yöntemin avantajı, araştırmaya daha eksiksiz ve kapsamlı bir yaklaşımdır. Dezavantajı, bir davetsiz misafir tarafından gerçek bir saldırı durumuna daha az yakın olmasıdır.

gri kutu- bu, icracı BlackBox seçeneği üzerinde hareket ettiğinde ve araştırma süresini kısaltmak veya çabalarını daha etkin bir şekilde yerine getirmek için test edilen sistem hakkında periyodik olarak bilgi istediğinde, WhiteBox ve BlackBox arasında bir orta seçenektir. Bu seçenek, bilgi toplamak için fazladan zaman kaybetmeden ve güvenlik açıklarını aramak için daha fazla zaman harcamadan test etmeye izin verdiği için en popüler olanıdır ve bu seçenek saldırganın eylemlerinin gerçek durumuna oldukça yakındır.

1. UZAK BİLGİSAYAR SİSTEMİ ÜZERİNE PENETRASYON ÖZELLİKLERİ.

Herhangi bir nesnel ve eksiksiz sızma testinin bir takım özellikleri vardır ve öneriler ve kurallar dikkate alınarak gerçekleştirilmelidir.

Bilgisel sızma testi için kurallar ve çerçeve, OSSTMM ve OWASP metodolojilerinde sağlanır. Daha sonra elde edilen veriler, Cobit, ISO/IEC 2700x serisi standartları, CIS/SANS/NIST/vb tavsiyeleri ve PCI DSS standardı gibi herhangi bir endüstri standardı ve "dünyanın en iyi uygulamaları" ile uygunluk değerlendirmesi yapmak için kolayca uyarlanabilir.

Böyle bir değerlendirmeyi eksiksiz yapmak için tek başına teknolojik veriler yeterli olmayacaktır. Tam bir değerlendirme, değerlendirilen şirketin çeşitli departmanlarındaki çalışanlarla görüşmeyi, idari belgelerin analizini, çeşitli bilgi teknolojisi (BT) ve bilgi güvenliği (IS) süreçlerini ve çok daha fazlasını gerektirir.

Ödeme kartı endüstrisi veri güvenliği standardının gerektirdiği sızma testi, OSSTMM ve OWASP yöntemlerini kullanan geleneksel testlerden çok farklı değildir. Ayrıca PCI DSS standardı, hem sızma testi (AsV) hem de denetim (QSA) yürütülürken OWASP kurallarına uyulmasını önerir.

Kelimenin en geniş anlamıyla PCI DSS testi ile sızma testi arasındaki temel farklar şunlardır:

• Standart, sosyal mühendislik kullanan saldırıları düzenlemez (ve dolayısıyla gerektirmez).
• Gerçekleştirilen tüm kontroller, Hizmet Reddi (DoS) tehdidini en aza indirmelidir. Sonuç olarak, yapılan testlerin ilgili sistemlerin yöneticilerinin zorunlu uyarısı ile "gri kutu" yöntemi ile gerçekleştirilmesi gerekmektedir.
• Bu tür testlerin temel amacı, uygulamaya çalışmaktır.
  ödeme kartı verilerine yetkisiz erişim (PAN, Kart Sahibi Adı, vb.).

GrayBox yöntemi, 7/24 modda çalışan bilgi kaynaklarıyla ilgili bu tür çalışmaları gerçekleştirirken hizmet reddi riskini azaltmanıza olanak tanır.

Genel olarak, PCI sızma testi aşağıdaki kriterleri karşılamalıdır:

• Madde 11.1 (b) - Kablosuz ağların güvenliğinin analizi
• p.11.2 - Güvenlik açıkları için bilgi ağının taranması (AsV)
• s. 11.3.1 - Ağ düzeyinde kontrollerin gerçekleştirilmesi (Ağ katmanı
  penetrasyon testleri)
• Madde 11.3.2 - Uygulama katmanı sızma testleri

Araştırmanın sınırlarının belirlenmesi. Her şeyden önce, sızma testinin sınırlarını belirlemek, gerçekleştirilecek eylemlerin sırasını belirlemek ve üzerinde anlaşmak gerekir. En iyi durumda, bilgi güvenliği departmanı tarafından, işlem merkezinin genel altyapı ile nasıl etkileşime girdiğini şematik olarak gösteren bir ağ haritası alınabilir. En kötüsü, kendi eksikliklerini bilen bir sistem yöneticisi ile iletişim kurmanız gerekecek ve bilgi sistemi hakkında kapsamlı veriler elde etmeniz, IP verilerini paylaşmak istememesi nedeniyle engellenecektir. Öyle ya da böyle, bir PCI DSS penetrasyon testi yapmak için en azından aşağıdaki bilgileri almanız gerekir:

• ağ segmentasyonu (kullanıcı, teknolojik, DMZ, işleme vb.);
• alt ağ sınırlarında güvenlik duvarı (ACL / ITU);
• Kullanılan web uygulamaları ve DBMS (hem test hem de üretim);
• kullanılan kablosuz ağlar;
• anket sırasında dikkate alınması gereken herhangi bir güvenlik ayrıntısı (örneğin, N adet hatalı kimlik doğrulama girişimi için hesabın kilitlenmesi), altyapı özellikleri ve test sırasındaki genel istekler.

2. PENETRASYON TESTİ AŞAMALARI

Penetrasyon testinin olası aşamalarını ele alalım. Mevcut bilgilere (BlackBox / WhiteBox / GreyBox) bağlı olarak, eylemlerin sırası farklı olabilir: veri toplama, ağ taraması, sistem korsanlığı, kötü amaçlı yazılım, sosyal mühendislik.

2.1 Veri toplama.

Açık bilgi kaynaklarından veri toplanması. Açık kaynaklar, yasal, yasal olarak erişilen bilgi kaynaklarıdır. Açık kaynaklar kullanılarak gerekli bilgilerin aranması, istihbarat ve endüstriyel casusluk alanında çalışan birçok sivil ve askeri yapı tarafından benimsenmiştir.

İnternet üzerinden gerekli bilgilere erişim çeşitli yollarla gerçekleştirilebilmektedir. Bunlar köprüler olabilir, çeşitli dizinlerde (siteler, bloglar vb.) arama yapabilir, arama sonuçlarını görüntüleyebilirsiniz. Belirli amaçlar için, özel veritabanlarında arama yapılmadan yapılamaz.

Bilgi ayrıca dahili site URL'leri, e-posta adresleri, telefon numaraları, fakslar, DNS sunucusu, IP adres aralığı, yönlendirme bilgileri ile sağlanabilir.

İnternetin gelişmesiyle birlikte WHOIS hizmetleri yaygınlaştı. Whois (İngilizce "kimdir" - "kimdir"), TCP protokolüne dayalı bir ağ protokolüdür. Temel amacı "tescil ettiren" (alan sahibi) ve "kayıt şirketi" (alan adını kaydeden kuruluş), DNS sunucu adları, kayıt tarihi ve son kullanma tarihi hakkında bilgi edinmektir. IP adresi kayıtları, aralıklara göre gruplandırılır (örneğin, 8.8.8.0 - 8.8.8.255) ve aralığın devredildiği kuruluş hakkında bilgi içerir.

2.2 Ağ Taraması.

Ağ taraması bileşenlere ayrılabilir:

1. "Canlı" ana bilgisayarları belirlemek için bir dizi IP adresini tarama

2. Bağlantı noktası taraması

3. Hizmetlerin ve sürümlerinin keşfi

4. İşletim sistemini belirlemek için tarama

5. Tarama açıkları

1. Bir dizi IP adresi taranıyor.

Herhangi bir ağı keşfederken temel zorluk, IP aralıkları kümesini bir etkin ana bilgisayar listesine indirgemektir. Her IP adresinin her bağlantı noktasını taramak yavaş ve gereksizdir. Belirli ana bilgisayarları araştırmaya olan ilgi, büyük ölçüde taramanın amacına göre belirlenir. Yöneticinin ağ üzerinde çalışan ana bilgisayarları keşfetme görevi, düzenli ICMP ping'i ile yerine getirilebilirken, ağın dışarıdan gelen saldırılara direnme yeteneğini test eden kişilerin güvenlik duvarını atlamak için çeşitli istek kümeleri kullanması gerekir.

Ana bilgisayar bulma görevine bazen ping taraması denir, ancak her yerde bulunan ping yardımcı programlarıyla ilişkili olağan ICMP isteklerini çok aşar. Tercihen çoklu bağlantı noktalı TCP SYN / ACK, UDP ve ICMP isteklerinin rastgele kombinasyonlarını kullanarak ağı tarayın. Tüm bu isteklerin amacı, IP adresinin şu anda aktif olduğunu (bir ana bilgisayar veya ağ cihazı tarafından kullanımda) belirten yanıtları almaktır. Çoğu ağda, herhangi bir zamanda IP adreslerinin yalnızca küçük bir yüzdesi etkindir. Bu özellikle 10.0.0.0/8 gibi adres alanları için geçerlidir. Bu tür ağların 16 milyon IP adresi vardır, ancak binden fazla makineye sahip olmayan şirketler tarafından kullanıldığı zamanlar vardır. Host Discovery, bu makineleri bu geniş IP adresleri denizinde bulabilir.

2. Tarama portları.

Birçok farklı bağlantı noktası tarama tekniği vardır ve özel görevinize uygun olanı (veya birkaçının birleşimini) seçebilirsiniz. En popüler tarama tekniklerini ele alalım:

TCP SYN taraması
SYN, varsayılan ve en popüler tarama türüdür. Hızlı bir şekilde başlatılabilir, hızlı bağlantılarda saniyede binlerce bağlantı noktasını tarayabilir ve kısıtlayıcı güvenlik duvarları tarafından engellenmez.

Farklı UDP taraması türleri
İnternetteki servislerin çoğu TCP protokolünü kullanırken UDP servisleri de yaygındır. En popüler üç tanesi DNS, SNMP ve DHCP'dir (53, 161/162 ve 67/68 bağlantı noktalarını kullanın). Çünkü UDP taraması genellikle TCP'den daha yavaş ve daha karmaşık olduğundan, birçok güvenlik uzmanı bu bağlantı noktalarını görmezden gelir. Bu bir hata çünkü saldırganlar tarafından kullanılan UDP hizmetleri vardır.

TCP NULL, FIN ve Xmas taramaları
Bu üç tür tarama, açık ve kapalı bağlantı noktalarını ayırt etmek için TCP RFC'deki gizli bir boşluktan yararlanır.

TCP ACK taraması
Bu tarama türü, açık bir bağlantı noktası algılayamadığı için diğerlerinden çok farklıdır. Güvenlik duvarı kurallarını tanımlamak, durum bilgisi olup olmadıklarını belirlemek ve hangi portları filtrelediklerini belirlemek için kullanılırlar.

3. Hizmetlerin ve sürümlerinin keşfi.

Uzak sistemi taramak, 25 / tcp, 80 / tcp ve 53 / udp bağlantı noktalarının açık olduğunu gösterebilir. Bilgileri kullanarak, bu bağlantı noktalarının sırasıyla posta sunucusuna (SMTP), web sunucusuna (HTTP) ve alan adı sunucusuna (DNS) karşılık gelme olasılığını öğrenebilirsiniz. Bu bilgi genellikle doğrudur çünkü TCP bağlantı noktası 25'i kullanan hizmetlerin büyük çoğunluğu aslında posta sunucularıdır. Ancak, tamamen bu bilgilere güvenmemelisiniz. İnsanlar standart olmayan bağlantı noktalarını kullanarak hizmetleri çalıştırabilir ve çalıştırabilir.

Herhangi bir TCP ve/veya UDP bağlantı noktası tespit edildikten sonra, bunları hangi uygulamaların (hizmetlerin) kullandığını belirlemek için tanımlama prosedürü gerçekleştirilir. Çeşitli hizmetlere erişmek için bir istek veritabanı ve yanıtları tanımak ve ayrıştırmak için uygun ifadeler kullanarak, hizmet protokollerini (örn. FTP, SSH, Telnet, HTTP), uygulama adını (örn. ISC BIND, Apache httpd, Solaris telnetd), tanımlayabilirsiniz. sürüm numarası, ana bilgisayar adı, cihaz türü (örn. yazıcı, yönlendirici), işletim sistemi ailesi (örn. Windows, Linux) ve bazen aşağıdakiler gibi çeşitli ayrıntılar: X sunucusuna, SSH protokolü sürümüne veya kullanıcı adına bağlanmak mümkün müdür.

4. İşletim sistemini belirlemek için tarama.

TCP / IP yığınının analizine dayalı olarak uzak bir sistemdeki işletim sistemini belirlemek mümkündür. Uzak ana bilgisayara bir dizi TCP ve UDP paketi gönderilir ve yanıtın neredeyse her biti incelenir. TCP ISN örneklemesi, TCP seçenekleri desteği, IP ID örneklemesi ve başlatma prosedürünün süresinin analizi gibi birçok testi gerçekleştirdikten sonra, sonuçlar farklı işletim sistemleri için bilinen tipik sonuç kümelerini içeren bir veri tabanı ile karşılaştırılır ve eğer bir eşleşme bulunursa, kurulu işletim sistemi hakkında bir sonuç çıkarmak mümkündür.

5. Güvenlik açıkları için tarama.

Güvenlik açığı taraması, bir bilgi ağının ağ düğümünün (kişisel bilgisayarlar, sunucular, telekomünikasyon ekipmanı), ağ hizmetleri ve bu düğümde kullanılan uygulamalar ve bu hizmetler tarafından kullanılan kimlikleri hakkında bilgi toplama işlemidir. Mevcut veya olası güvenlik açıklarını belirlemek için uygulama bağlantı noktaları.

2.3 Sistemi hacklemek.

Pratikte bir veya başka bir hackleme algoritmasının uygulanmasının başarısı, büyük ölçüde bu hacklemenin nesnesi olan belirli işletim sisteminin mimarisine ve konfigürasyonuna bağlıdır.

Ancak, hemen hemen her işletim sistemine uygulanabilecek yaklaşımlar vardır:

1. Şifre çalmak.
2. Kullanıcıya işletim sistemi ile çalışma hakkı veren bir şifre girerken gözlemlenmesi.
3. Bu parolanın kullanıcı tarafından kaydedildiği dosyadan parola alma.
4. Kullanıcıların genellikle kağıda yazdığı bir şifre arayın.
5. Parola bilgisi için harici bir depolama aygıtının çalınması (işletim sistemine girmek için kullanıcının parolasını saklayan bir disket veya elektronik anahtar).
6. Tüm olası parola seçeneklerinin eksiksiz listesi.
7. Kişisel sözlükler ve en sık kullanılan şifreler kullanılarak karakter ve bigramların görülme sıklığına göre şifre seçimi.
8. Bilgisayar sabit disklerini tarama.
9. Çöp toplama.
10. Yetkiyi aşan (yazılım veya işletim sistemi yönetimindeki hataları kullanarak araştırmacı, mevcut güvenlik politikasına göre kendisine verilen yetkiyi aşan yetkiler alır).
11. Programı, gerekli izinlere sahip bir kullanıcı adına veya bir sistem programı (sürücü, hizmet, arka plan programı vb.) olarak çalıştırın.
12. Sistem programları tarafından kullanılan dinamik olarak yüklenmiş bir kitaplığın değiştirilmesi veya bu tür kitaplıklara giden yolu tanımlayan ortam değişkenlerinin değiştirilmesi.
13. İşletim sisteminin koruma alt sisteminin kodunun veya verilerinin değiştirilmesi.
14. Hizmet reddi (bu saldırının amacı, işletim sistemini kısmen veya tamamen devre dışı bırakmaktır).
15. Kaynakları yakalama (kontrol edilen program, işletim sisteminde bulunan tüm kaynakları yakalar ve ardından sonsuz bir döngüye girer).
16. İsteklerle bombardıman (kontrollü program sürekli olarak işletim sistemine istek gönderir, tepkisi önemli bilgisayar kaynaklarının katılımını gerektirir).
17. Yazılımda veya yönetimde hatalardan yararlanma.

2.4 Kötü amaçlı yazılım.

Çoğu zaman, kötü amaçlı yazılım, virüslü bir sistem üzerinden erişim sağlamak için kullanılır. Genellikle işlevli kötü amaçlı yazılım arka kapı meşru bir program kisvesi altında bir dosya paylaşım kaynağına yayıldı.

Kötü amaçlı yazılım, bir bilgisayarın bilgi işlem kaynaklarına ve üzerinde depolanan verilere yetkisiz erişim sağlamak için geliştirilen yazılımdır. Bu tür programlar, bilgileri kopyalayarak, çarpıtarak, silerek veya değiştirerek bilgi veya bilgisayar sahibine zarar vermek için tasarlanmıştır.

Truva atları, kullanıcı tarafından yetkilendirilmemiş eylemleri gerçekleştiren kötü amaçlı programlardır. Bu tür eylemler şunları içerebilir:

1. Veri silme
2. Verileri engelleme
3. Veri değişikliği
4. Veri kopyalama
5. Bilgisayarların ve bilgisayar ağlarının yavaşlaması.

Truva atları, bilgisayarda gerçekleştirdikleri eylemlerin türüne göre sınıflandırılır.

1. Arka kapılar. Arka kapı Truva Atı, siber suçlulara virüslü bilgisayarları uzaktan kontrol etme yeteneği sağlar. Bu tür programlar, yazarın, dosya gönderme, alma, açma ve silme, verileri görüntüleme ve bilgisayarı yeniden başlatma dahil olmak üzere virüslü bilgisayarda herhangi bir eylemi gerçekleştirmesine izin verir. Arka Kapı Truva Atları genellikle bir grup kurban bilgisayarı suç amaçlı kullanım için bir botnet veya zombi ağında birleştirmek için kullanılır.
2. İstismarlar. İstismarlar, bilgisayarda çalışan uygulamalardaki bir güvenlik açığından yararlanan veri veya kod içeren programlardır.
3. Rootkit'ler . Rootkit'ler, sistemdeki belirli nesneleri veya eylemleri gizlemek için tasarlanmış programlardır. Genellikle asıl amaçları, virüslü bilgisayarda bu programların çalışma süresini artırmak için virüsten koruma yazılımının kötü amaçlı programları algılamasını önlemektir.

2.5 Sosyal mühendislik.

Kötü amaçlı yazılımın saldırıya uğrayan IS'de görünmesi için sosyal mühendislik kullanılır. Sosyal mühendislik, insan psikolojisinin özelliklerine dayanan bilgi kaynaklarına yetkisiz erişim yöntemidir. Sosyal mühendislerin temel amacı, bilgileri, şifreleri, kredi kartı bilgilerini vb. çalmak için güvenli sistemlere erişim sağlamaktır. Saldırı nesnesi olarak seçilen makine değil, operatörüdür. Bu nedenle toplum mühendislerinin tüm yöntem ve teknikleri, insan faktörünün zayıf yönlerinin kullanımına dayanmaktadır.

Sosyal mühendisler tarafından kullanılan birkaç yaygın saldırı tekniği ve türü vardır. Ancak tüm bu yöntemlerin ortak bir özelliği, bir kişiyi kendisi için yararlı olmayan ve bir toplum mühendisi için gerekli olan herhangi bir eylemi gerçekleştirmeye zorlamak için yanıltıcıdır. İstenen sonucu elde etmek için toplum mühendisi bir dizi taktik kullanır: başka bir kişinin kimliğine bürünmek, dikkati dağıtmak, psikolojik stres oluşturmak, vb. Aldatmanın nihai hedefleri de oldukça çeşitli olabilir.

Sosyal Mühendislik Teknikleri:

• Ön test. Pretext, önceden hazırlanmış belirli bir komut dosyasına (bahane) göre gerçekleştirilen bir dizi eylemdir.
• E-dolandırıcılık. Kimlik avı (İngilizce kimlik avı, balık avından - balık avından, balık avından), amacı gizli kullanıcı verilerine - oturum açma bilgilerine ve şifrelere erişim sağlamak olan bir tür İnternet dolandırıcılığıdır. Kimlik avının amacı, gizli bilgileri yasa dışı olarak elde etmektir.
• hemen hemen. Quid hakkında quo (ref. hemen hemen- "o zaman bunun için") - İngilizce'de bu ifade genellikle "bir sterlin karşılığında sterlin" anlamında kullanılır. Çoğu zaman, toplum mühendisi kendisini çalışanın işyerindeki teknik sorunları bildiren ve bunları çözmede yardım sunan bir teknik destek çalışanı olarak tanıtır.

Bilgi Güvenliği Programı tarafından 2003 yılında yapılan bir araştırma, ofis çalışanlarının %90'ının şifreleri gibi gizli bilgileri bir hizmet veya ücret karşılığında ifşa etmeye istekli olduğunu ortaya koydu.

• Truva atı. Truva atı, siber suçlular tarafından bilgi toplamak, yok etmek veya değiştirmek, bilgisayar performansını bozmak veya kullanıcı kaynaklarını kendi amaçları için kullanmak için kullanılan kötü amaçlı bir programdır. Bu teknik genellikle meraktan veya hedefin herhangi bir başka duygusundan yararlanır.

Sahte bir saldırının organizasyonu.

Bir bilgisayar sistemine sahte bir saldırı düzenlemek için yazılım kullanıyoruz Sosyal Mühendislik Araç Seti(SET) ve metasploit Çerçeve(MFS). Bu yardımcı programlar varsayılan olarak Backtrack 5 dağıtımına dahildir, sistem ve ağ korsanlığı olasılığını test etmek için tasarlanmıştır. Ayrıca aşağıdaki gibi işletim sistemlerine sahip iki sanal makine kullanıyoruz:pencereler7 ve Geri dönüş 5.

Arka kapı nesli. Ters TCP ile bir arka kapı oluşturmak için SET'i ve oluşturulan arka kapıdan paketleri işlemek için bir işleyici (işleyici) oluşturmak için MFS kullanacağız; bu, potansiyel bir saldırgan ile arka kapının başlatılacağı sistem arasında bir iletişim kanalını koruyacaktır. .

Tüm eylemler OS Backtrack 5'te konsol modunda gerçekleştirilir. Oluşturmak a yük ve listeleyici

2. maddeyi seçerek bir ters TCP yükü oluşturun (geri bildirim oluşturmak için) pencereler Ters— TCP metercüman ve sonra s. 16 arka kapılı yürütülebilir... Bu işlem, arka kapının oluşturulmasını tamamlar. Oluşturulduğunda, geri bildirimin gerçekleşeceği port numarası da belirtilir. klasörde / en sert/ istismarlar/ AYARLAMAK msf.exe, seçtiğimiz seçeneklere göre oluşturulacaktır.

İstismar yapılandırması. Bu istismar, oluşturulan arka kapıdan TCP isteklerini almak için tasarlanmıştır. Yapılandırması, MFS'yi başlatarak ve bir işleyici istismarı (dinleyici) seçerek yapılır: istismar / çoklu / işleyici kullan.

Sonuç olarak, MFS, istismar işleyicisinin bağlamına geçer. Sonraki görev, bu istismar için yükü yapılandırmaktır. Arka kapı, Revers_TCP Meterpretor ile yönlendirildiğinden (oluşturulduğundan), bir TCP bağlantısı üzerinden bilgi alışverişi yapılır: Ayarlamak/ yük pencereler/ ölçüm tercümanı/ tersine çevirmek_ tcp. Ek olarak, Yerel Ana Bilgisayar seçeneklerinde (potansiyel bir saldırganın ip adresleri) belirtilmesi gerekir.

Çalışan işleyici, bağlanabileceğiniz oturumların sunulacağı meterpretor bağlamına götürür. Oturum, bazı durumlarda pratikte sosyal mühendislik yoluyla elde edilen uzak bir makinede arka kapı başlatıldıktan sonra görünecektir.

Bu işlemi simüle etmek için arka kapı ikinci bir sanal makinede başlatılır. Bundan sonra bu sistemde bir oturum meterpretor'da mevcut olacak, yani arka kapımız bir iletişim kanalı sağlıyor ve virüslü makine üzerinde kontrol sahibi oluyoruz.

Sızma testi, siber suçlular tarafından yetkilendirilmiş saldırı modellemesi yoluyla bir şirketin BT altyapısının güvenliğini değerlendirme yöntemidir.

Test maliyetini öğrenin

×

Geri bildirim formunu doldurun, hizmetin maliyetini belirlemek için size bir anket gönderilecektir.

Gizli bilgilerin korunması ve şirketin itibarı, BT altyapısının davetsiz misafirlerden ne kadar güvenilir bir şekilde korunduğuna bağlıdır. Bu nedenle, güvenliğini pratikte test etmek çok önemlidir. Çoğu zaman, en iyi koruma araçları seti bile hatalı yapılandırma ayarlarına sahip olabilir, bu da güvenlik açıklarına yol açar ve tehditlerin uygulanma olasılığını artırır.

Penetrasyon testi çalışmaları aşağıdakileri amaçlamaktadır:

Mevcut güvenlik seviyesinin bağımsız ve kapsamlı bir değerlendirmesini elde etmek.

Çalışanların bilgi güvenliği farkındalığının bağımsız bir değerlendirmesinin alınması.

Çalışma sırasında, sosyal mühendislik yöntemleriyle güvenlik ve testlerin dış ve iç analizi gerçekleştirilir.

Güvenlik analizi sırasında çözülen görevler:

• IS güvenlik açıklarının ve bunlardan yararlanma yöntemlerinin belirlenmesi.
• Harici ağlardan yerel alan ağına girme olasılığının kontrol edilmesi.
• Belirlenen zafiyetlerin ortadan kaldırılarak güvenlik seviyesinin artırılmasına yönelik önerilerin geliştirilmesi.

Eylemler (örneğin, bazı güvenlik açıklarından yararlanma) keşfedilen kaynaklarda arızaya yol açabiliyorsa, bu çalışmalar ancak ek onay alındıktan sonra gerçekleştirilir. Gerekirse, seçilen çalışma senaryosuna bağlı olarak, test edildikten sonra kaynaklar üzerindeki olumsuz etkiyi ortadan kaldırmak için çalışma yapılır.

Güvenlik analizi çalışmaları sırasında, tespit edilen güvenlik açıklarını derhal ortadan kaldırma ihtiyacına ilişkin bir karar verilirse, aşağıdaki eylemler gerçekleştirilir:

• güvenlik açığından yararlanma sonuçlarının düzeltilmesi (ekran görüntüleri, uzmanların eylemlerinin kaydedilmesi, sistem çalışma günlükleri vb.)
• ihtiyacın belirlenmesi ve güvenlik açığının nasıl düzeltileceği konusunda anlaşmaya varılması
• güvenlik açığının ortadan kaldırılması

Test aşamaları

Güvenlik analizi üzerinde çalışırken, uygulamalardaki, işletim sistemindeki ve ağ altyapısındaki ve ayrıca özel yazılımlardaki güvenlik açıklarını tespit etmek için evrensel güvenlik açığı tarayıcıları kullanılır. Penetrasyon testi çalışmaları üç aşamada gerçekleştirilir ve aşağıdaki aşamaları içerir:

Aşama 1 - harici güvenlik analizi:

• Harici bir güvenlik analizi yapmak için bir plan hazırlamak ve çalışma grubuyla üzerinde anlaşmaya varmak

Aşama 2 - iç güvenlik analizi:

İş müşterinin yerinde gerçekleştirilir.

• İç güvenlik analiz planının hazırlanması ve çalışma grubu ile mutabakata varılması
• Sonuçların analizi, raporun hazırlanması ve çalışma grubu ile koordinasyonu

Aşama 3 - sosyal mühendislik testi:

Çalışmalar, harici veri iletim ağları (İnternet) kullanılarak uzaktan yürütülmektedir.

• Sosyal mühendislik yöntemlerini kullanarak bir test planı hazırlamak ve çalışma grubu ile üzerinde anlaşmaya varmak
• Sonuçların analizi, raporun hazırlanması ve çalışma grubu ile koordinasyonu

Dış güvenlik analizi

Bu çalışma aşamasının amacı, bir saldırganın kaynaklara ve gizli bilgilere yetkisiz erişim gerçekleştirme yeteneklerini test etmektir.

Güvenlik analizi, "kara kutu" modeline (yetkili erişim eksikliği, ilk yapılandırma verileri ve uygulanan bilgi güvenliği araçları) göre yapılır.

Harici güvenlik analizinin bir parçası olarak aşağıdaki iş türleri gerçekleştirilir:

• Harici veri iletim ağlarından sağlanan harici kaynaklar hakkında kamuya açık bilgilerin toplanması
• güvenlik tarayıcıları ve özel yazılımlar kullanarak kaynakların ve altyapı bileşenlerinin güvenlik açıklarını arayın

• siteler arası komut dosyası oluşturma
• siteler arası istek sahteciliği
• yönlendirmeyi aç
• yanlış hata işleme, inceleme altındaki sistem hakkında ek bilgi sağlama

İç güvenlik analizi

Bu çalışma aşamasının amacı, bir saldırganın kaynaklara ve gizli bilgilere yetkisiz erişim (bundan sonra - NSD olarak anılacaktır) uygulama yeteneklerini kontrol etmektir.

Güvenlik analizi, "gri kutu" modeline göre (sistemlere yetkili erişim sağlanması ile) yapılır.

İç güvenlik analizinin bir parçası olarak aşağıdaki çalışma türleri gerçekleştirilir:

• altyapıya ilişkin verilerin toplanması (ağ hizmetleri, işletim sistemleri ve dış kaynakların uygulama yazılımları), özel yazılımlar ve evrensel güvenlik tarayıcıları kullanılarak güvenlik açıklarının belirlenmesi
• Güvenlik tarayıcıları ve özel yazılımlar kullanarak Müşteri kaynaklarının ve altyapı bileşenlerinin güvenlik açıklarını arayın
• Özel yazılımlar kullanılarak ve tanımlanan güvenlik açıklarının alaka düzeyinin ve yazılım bileşenlerine ve gizli bilgilere yetkisiz erişim elde etme olasılığının manuel olarak belirlenmesi için tanımlanmış güvenlik açıklarından yararlanılması

Güvenlik açıklarını arama sürecinde, diğerlerinin yanı sıra aşağıdaki ana güvenlik açıklarının varlığı kontrol edilir:

• kod parçacığı enjeksiyonu (örneğin, SQL deyimi enjeksiyonu, işletim sistemi komut enjeksiyonu
• güvenli olmayan şekilde uygulanan kimlik doğrulama ve oturum yönetimi prosedürleri
• siteler arası komut dosyası oluşturma
• erişim denetimi hataları (örneğin, gizli bilgilere sahip nesnelere doğrudan bağlantılar, dizin geçiş güvenlik açıkları)
• güvenli olmayan yazılım yapılandırması (örneğin, dizin listelemeyi etkinleştirme)
• gizli bilgilerin ifşası (örneğin, kullanıcıya diğer kullanıcıların kişisel verilerini sağlamak)
• belirli işlevlere kullanıcı erişimini sınırlayan hatalar
• siteler arası istek sahteciliği
• yanlış hata işleme, inceleme altındaki sistem hakkında ek bilgi sağlama
• Bilinen güvenlik açıklarına sahip işletim sistemi ve yazılım kullanımı
• yönlendirmeyi aç
• XML harici varlık işleme
• yanlış hata işleme, inceleme altındaki sistem hakkında ek bilgi sağlama
• kimlik doğrulama için basit şifreler kullanma

Sosyal Mühendislik Testi

Bu çalışma aşamasının amacı, müşterinin çalışanlarının bilgi güvenliği konularındaki farkındalığını değerlendirmektir.

Sosyal mühendislik yöntemleri kullanılarak yapılan testlerin bir parçası olarak, müşteri çalışanlarına yönelik saldırılar aşağıdaki senaryolara göre gerçekleştirilir:

• Phishing - E-posta yoluyla bir saldırı gerçekleştirilir. Saldırı örneği: Bir çalışana, işi için "yeni ve çok faydalı bir hizmet" içeren şirket adına bir bağlantı gönderilir. Mektup, hizmetin bir tanımını ve işte belirli bir çalışana nasıl yardımcı olması gerektiğini içerir. Ayrıca mektup, işlevselliği ve her şeyin doğru çalışıp çalışmadığını kontrol etmek için bir istek içerir. Çalışma, bir çalışanın bu hizmete gitmesini ve etki alanı kimlik bilgilerini kullanarak kaydolmaya çalışmasını amaçlamaktadır.
• Truva Atı - E-posta yoluyla bir saldırı gerçekleştirilir. Saldırı örneği: Çalışana yürütülebilir bir dosya gönderilirken, çalışanın konumuna bağlı olarak mektubun içeriği farklı olabilir: bir yönetici için bir anlaşma, bir programcı için bir hata listesi, vb. çalışanın programı yerel bilgisayarda başlatmasını sağlamak ve böyle bir programı başlatma gerçeğini düzeltmek.
• Telefon Saldırısı - Bir telefon görüşmesi kullanılarak bir saldırı gerçekleştirilir. Çalışmalar, inandırıcı bir efsanenin ortaya atılması ve ardından çalışanın gizli bilgilerinin veya kimlik bilgilerinin öğrenilmesi yoluyla çalışana güven kazandırmaya yöneliktir. Bir efsane örneği: “Teknolojinin yeni çalışanı. destek ekibi, hizmeti dağıtmanın ilk görevini yapar ve doğru çalışıp çalışmadığını kontrol etmeniz gerekir. Çalışandan yardım ister: kendi başınıza giriş yapın veya kullanıcı adınızı ve şifrenizi söyleyin. "

Sonuçların analizi

Çalışmanın sonucu aşağıdaki bilgileri içeren bir rapordur.

Sızma testi, yetkisiz ve kötü niyetli kullanıcılar veya kuruluşlar tarafından izinsiz girişlere ve bütünlük ve güvenilirlikten ödün verilmesine karşı savunmasız olan sistem alanlarını belirleme tekniklerinden biridir. Sızma testi süreci, üçüncü taraf izinsiz girişlere karşı hem en zayıf alanlarını hem de korumadaki boşlukları belirleyebilen ve böylece güvenlik özelliklerini iyileştirebilen bir sisteme kasıtlı, yetkilendirilmiş saldırıları içerir.

Bu teknik, sistem koruma kompleksinin çeşitli beklenmedik kötü niyetli saldırılara karşı etkinliğini değerlendirmek için diğer doğrulama yöntemlerine ek olarak da kullanılabilir.

Sistem güvenlik açıklarının nedenleri nelerdir?

Güvenlik açıkları sürecin farklı aşamalarında ortaya çıkar ve birçok faktöre bağlıdır:

• tasarım hatası (örneğin, tasarım kusurları güvenlik boşluklarındaki en önemli faktörlerden biridir);
• ilgili donanım ve yazılımın yanlış kurulumu ve başarısız konfigürasyonu;
• ağ bağlantısı sorunları (güvenli bir bağlantı, kötü niyetli saldırı olasılığını ortadan kaldırır ve güvenli olmayan bir ağ, bilgisayar korsanlarının sisteme saldırması için bir ağ geçidi sağlar);
• İnsan hatası (bir sistem veya ağın tasarımı, dağıtımı ve bakımı sırasında bir kişi veya ekip tarafından kasıtlı veya kasıtsız olarak yapılan bir hata);
• iletişim hatası (ekipler veya bireyler arasında gizli veri ve bilgilerin yanlış veya açık aktarımı);
• aşırı sistem karmaşıklığı (basit bir ağ altyapısının güvenlik mekanizmasını kontrol etmek kolaydır, ancak karmaşık sistemlerdeki sızıntıları veya herhangi bir kötü amaçlı etkinliği izlemek zordur);
• eğitim eksikliği (hem şirket içi çalışanlardan hem de organizasyon yapısı dışında çalışanların güvenlik konularında bilgi ve uygun eğitim eksikliği).

Sızma testi ve güvenlik açığı değerlendirmesi nasıl farklıdır?

Bu tekniklerin her ikisi de yazılım ürününü güvenli hale getirme amacına sahiptir, ancak farklı iş akışları vardır.

Penetrasyon testi, manuel olarak veya otomasyon araçları kullanılarak gerçek zamanlı doğrulamadır; sistem ve ilgili bileşeni, güvenlik açıklarını belirlemek için simüle edilmiş kötü niyetli saldırılara maruz kalır.

Güvenlik açığı değerlendirmesi, çeşitli kötü niyetli saldırı türleri için güvenlik açıklarını tespit etmek için test araçlarını kullanarak sistemi incelemeyi ve analiz etmeyi içerir. Bu teknik, bilgisayar korsanlarına bir sistemden ödün verme fırsatı sağlayabilecek savunmasız alanları tanımlar. Ek olarak, güvenlik açığı değerlendirme süreci, tespit edilen eksiklikleri gidermek için çeşitli düzeltici önlemler içerir.

Güvenlik açığı değerlendirmesi önceden belirlenmiş ve yerleşik bir prosedürü takip ederken, sızma testi tek sorunu çözüyor - benimsenen yaklaşımlardan bağımsız olarak sistemin yok edilmesi.

Penetrasyon testi ne için?

Daha önce belirtildiği gibi, güvenlik açıkları, yetkisiz bir kullanıcı veya haydut varlığın sisteme saldırması ve bütünlüğünü ve gizliliğini etkilemesi için bir fırsat sağlar. Bu nedenle, yazılım ürünlerinin sızma testi, bu güvenlik açıklarından kurtulmaya ve sistemi beklenen ve hatta beklenmeyen kötü niyetli tehditlere ve saldırılara karşı koruma sağlayacak kadar yetkin hale getirmeye yardımcı olur.

Bu tekniği uygulamanın sonuçlarını daha ayrıntılı olarak ele alalım. Bu nedenle, penetrasyon testi şunları sağlar:

• Bir bilgisayar korsanı onları fark etmeden önce sistemin zayıf ve savunmasız alanlarını belirlemenin bir yolu. Sık ve karmaşık sistem güncellemeleri, ilgili donanım ve yazılımı etkileyerek güvenlik sorunlarına yol açabilir - bu nedenle tüm bu güncellemeleri kontrol etmek uygundur.
• Sistemin mevcut güvenlik mekanizmasını değerlendirebilme. Bu, geliştiricilerin güvenlik yeterliliklerini değerlendirmelerine ve sistemde belirlenen güvenlik standartları düzeyini korumalarına olanak tanır. Sistem güvenlik açığına ek olarak, iş ve teknik ekiplerin, kuruluşun yetkili ve hassas verileriyle herhangi bir uzlaşma sağlanması da dahil olmak üzere çeşitli iş risklerini ve sorunlarını değerlendirmesi önerilir. Kuruluşun çeşitli iş risklerini ve zorluklarını yapılandırmasına ve önceliklendirmesine, hafifletmesine veya tamamen ortadan kaldırmasına yardımcı olur.
• Son olarak, belirli temel güvenlik standartlarını, normlarını ve uygulamalarını belirlemek ve karşılamak için bir araç.

Penetrasyon Testi Nasıl Yapılır?

Bir sistemin sızma testi, aşağıdaki yaklaşımlardan herhangi biri kullanılarak gerçekleştirilebilir:

1. Manuel Sızma Testi
Bir yazılım ürününün manuel sızma testi yapmak için aşağıdaki adımları içeren tutarlı bir standart yaklaşım kullanılır:

• Penetrasyon testi için planlama. Bu aşama, güvenlik standartlarına uygun olarak gereksinimlerin toplanması, sızma testinin kapsamının, stratejilerinin ve hedeflerinin tanımlanmasını içerir. Ayrıca, doğrulanacak alanların, planlanan test türlerinin ve diğer ilgili kontrollerin bir değerlendirmesini ve listesini içerebilir.
• İstihbarat teşkilatı. Sisteme girişin etkin ve verimli bir şekilde test edilmesi için, her bloğu hedeflemek ve saldırmak için yararlı olan sistem ve ilgili güvenlik özellikleri hakkında en ayrıntılı bilgileri toplamak ve analiz etmek. Hedef sistem hakkında bilgi toplamanın ve analiz etmenin iki yolu vardır: pasif ve aktif keşif (ilk durumda, sistemle doğrudan etkileşim varsayılmaz).
• Güvenlik açığı analizi. Bu aşamada, testçiler, daha sonra sızma testleri kullanarak girmek ve saldırmak için kullanılacak olan sistemin savunmasız alanlarını belirler ve keşfeder.
• Sömürü. Dahili ve harici saldırıları içeren gerçek bir sistem sızma testi. Dış saldırılar, sistem/ağ sınırı dışında hüküm süren dış dünyadan gelen simüle edilmiş saldırılardır (örneğin, sistem işlevlerine ve halka açık uygulamalar ve sunucularla ilgili verilere yetkisiz erişim elde etme). Dahili saldırılar, yetkili nesnelerin sisteme veya ağa izinsiz girmesinden sonra başlar ve kasıtlı veya kasıtsız olarak sistemi tehlikeye atabilecek çeşitli eylemlere (sistemin bütünlüğü ve doğruluğu ile bir uzlaşmaya varıldığında) yöneliktir.
• İstismar sonrası. Bir sonraki adım, amaç ve hedeflerinin yanı sıra sistem ve iş süreçleri üzerindeki potansiyel etkisini değerlendirmek için sisteme yapılan her saldırıyı analiz etmektir.
• Raporlama. Aslında raporlama, bahsedilen tüm aşamalarda gerçekleştirilen faaliyetlerin belgelenmesini içerir. Ek olarak, çeşitli riskleri, tanımlanan sorunları, güvenlik açığı alanlarını (kullanılan veya kullanılmayan) ve eksiklikleri gidermek için önerilen çözümleri tanımlayabilir.

2. Otomatik penetrasyon testi

Sızma testine yönelik bu yararlı ve etkili yaklaşım, özel enstrümantasyon kullanımını içerir. Otomatik test güvenilir, kullanışlı, çok hızlı ve analizi kolaydır. Doğrulama araçları, sistemde bulunan güvenlik açıklarını kısa sürede doğru bir şekilde tespit etmek ve kristal netliğinde raporlar oluşturmak için etkilidir.

İşte popüler ve yaygın olarak kullanılan sızma testi araçlarından sadece birkaçı:

Birçok otomatik test aracı, kullanıma hazır Linux yapılarında bulunabilir (Kali Linux, Mantra OS).

Belirli bir proje üzerinde çalışmak için, bir dizi gereksinim ve kriteri karşılayan bir araç seçmeniz gerekecektir:

• dağıtım, kullanım ve bakım kolaylığı;
• sistemin basit ve hızlı bir şekilde taranmasını sağlamak;
• tanımlanan güvenlik açıklarını kontrol etme sürecini otomatikleştirme yeteneği;
• önceden keşfedilen güvenlik açıklarını kontrol etme durumu;
• basit ve ayrıntılı güvenlik açığı raporları oluşturma yeteneği.

3. Manuel ve otomatik penetrasyon testinin kombinasyonu
Bu yaklaşım, ilk iki seçeneğin avantajlarını birleştirdiği ve yazılım ürününe güvenilir ve doğru penetrasyon yoluyla operasyonel kontrol sağladığı için optimal olarak kabul edilebilir.

Penetrasyon testi türleri

Penetrasyon testi, kullanılan elemanlara ve nesnelere bağlı olarak aşağıdaki tiplerde sınıflandırılabilir:

• Sosyal mühendislik.İnternet veya telefon aracılığıyla gizli verileri ve diğer bilgileri açıkça tanımlayabilen ve alabilen bir "insan grubu"nun katılımıyla test etme (bu grup, kuruluşun çalışanlarını veya kuruluşun ağında bulunan diğer yetkili kişileri içerebilir).
• Web uygulaması. İstemci veya sunucu tarafında barındırılan çeşitli web uygulamaları ve hizmet türlerindeki güvenlik açıklarını ve diğer sorunları tespit etmek için kullanılır.
• Ağ hizmeti. Bilgisayar korsanlarına veya yetkisiz herhangi bir nesneye erişim olasılığını belirlemek ve tespit etmek için ağ sızma testi.
• Müşteri kısmı. Adından da anlaşılacağı gibi, bu test bir istemci sitesinde/uygulamasında kurulu uygulamaları test etmek için kullanılır.
• Uzak bağlantı. Bağlı sisteme erişim sağlayabilecek bir vpn veya benzeri bir nesneyi test etme.
• Kablosuz Ağlar. Test, çeşitli bileşenleri ve işlevleri (yönlendiriciler, filtre paketleri, şifreleme, şifre çözme vb.) dahil olmak üzere kablosuz uygulamalar ve hizmetler için tasarlanmıştır.

Penetrasyon testi, kullanılan test yaklaşımlarına göre de sınıflandırılabilir:

• Beyaz kutu. Bu yaklaşımla, test eden kişi, sistemin işleyişi ve temel nitelikleri hakkında derinlemesine bilgiye tam erişime sahip olacaktır. Kapsamlı sızma testi yaparken sistemin her yönünü anlamak çok yardımcı olduğundan, bu test çok etkilidir.
• Siyah kutu. Test kullanıcılarına, sızma testi yapmak için yalnızca üst düzey bilgiler (bir kuruluşun URL'si veya IP adresi gibi) sağlanır. Bir uzman, sistem/ağ hakkında hiçbir şey bilmeyen bir bilgisayar korsanı gibi hissedebilir. Test cihazının sistemin özelliklerini ve ayrıntılarını incelemesi önemli miktarda zaman aldığından, bu çok zaman alan bir yaklaşımdır; ayrıca zaman ve bilgi eksikliğinden dolayı bazı alanların kaçırılma olasılığı yüksektir.
• Gri kutu. Test cihazı, sisteme harici bir saldırıyı simüle etmek için sınırlı bilgi (örneğin, algoritma bilgisi, mimari, dahili durumlar) alır.

Sızma Testi Sınırlamaları.

Penetrasyon testinin bir takım sınırlamaları vardır:

• zaman eksikliği ve yüksek test maliyeti;
• belirli bir zaman periyodundaki gereksinimlere dayalı sınırlı test kapsamı (diğer kritik alanların göz ardı edilmesine neden olabilir);
• bir sızma testinin bir sonucu olarak bir arıza durumunda sistem imhası veya sistem kaybı olasılığı;
• veri güvenlik açığı (kayıp, bozulma veya hasar).

Çıktı:

Çok çeşitli kaynaklara ve araçlara sahip ileri teknoloji ile donanmış bilgisayar korsanları, bir şirketin itibarına ve varlıklarına zarar vermek amacıyla genellikle bir sisteme veya ağa kolayca girer. Sızma testi, diğer test türlerinden daha fazla, çeşitli güvenlik açıklarını belirlemeye yönelik bir araç olarak görülebilir ve bir bütün olarak sisteme yönelik olası tehditleri ortadan kaldırmaya yardımcı olur.

Bazı faydalı linklerle bitireceğim.
Müthiş Sızma Testi projesi, sızma testi araçlarını, makaleleri ve kitapları sürekli olarak güncelliyor.

Standartlar:

sertifika: