Testovanie zraniteľnosti
Testovanie zraniteľnosti, ktoré sa tiež nazýva Vulnerability Assessment, je proces hodnotenia bezpečnostných rizík v softvérových systémoch s cieľom znížiť pravdepodobnosť hrozieb. Účelom testovania zraniteľnosti je znížiť možnosť, aby útočníci / hackeri získali neoprávnený prístup k systémom. Závisí to od mechanizmu s názvom Vapnerability Assessment and Penetration Testing (VAPT) alebo VAPT testing.
Zraniteľnosťou je každá chyba alebo slabosť bezpečnostných postupov systému, návrhu, implementácie alebo akejkoľvek vnútornej kontroly, ktorá môže viesť k porušeniu bezpečnostnej politiky systému.
V tomto návode sa naučíte
- Čo je to posúdenie zraniteľnosti
- Prečo hodnotenie zraniteľnosti
- Proces posudzovania zraniteľnosti a penetračné testovanie (VAPT)
- Ako urobiť Testovanie zraniteľnosti
- Typy skenerov zraniteľnosti
- Nástroje na skenovanie zraniteľnosti
- Výhody posúdenia zraniteľnosti
- Nevýhody hodnotenia zraniteľnosti
- Porovnanie posúdenia zraniteľnosti a penetračného testovania
- Metódy testovania zraniteľnosti
Prečo hodnotenie zraniteľnosti
- Je to dôležité pre bezpečnosť organizácie.
- Proces lokalizácie a hlásenia zraniteľností, ktoré poskytujú spôsob detekcie a riešenia bezpečnostných problémov zoradením zraniteľností skôr, ako ich niekto alebo niečo môže zneužiť.
- V tomto procese sa skenujú operačné systémy, aplikačný softvér a sieť s cieľom identifikovať výskyt slabých miest, medzi ktoré patrí nevhodný dizajn softvéru, nezabezpečená autentifikácia atď.
Proces posudzovania zraniteľnosti
Tu je krok za krokom proces posúdenia zraniteľnosti na identifikáciu zraniteľností systému.
Krok 1) Ciele a ciele : - Definujte ciele a ciele analýzy zraniteľnosti.
Krok 2) Rozsah : - Počas vykonávania hodnotenia a testu je potrebné jasne vymedziť rozsah zadania.
Nasledujú tri možné obory, ktoré existujú:
- Testovanie čiernej skrinky: - Testovanie z externej siete bez predchádzajúcich znalostí vnútornej siete a systémov.
- Gray Box Testing: - Testovanie z externých alebo interných sietí so znalosťami internej siete a systému. Je to kombinácia testovania čiernej skrinky aj skúšky bielej skrinky.
- White Box Testing: - Testovanie v rámci internej siete so znalosťami internej siete a systému. Známe tiež ako interné testovanie.
Krok 3) Zhromažďovanie informácií : - Získanie čo najväčšieho množstva informácií o prostredí IT, ako sú siete, adresa IP, verzia operačného systému atď. Je použiteľné pre všetky tri typy rozsahov, ako je testovanie čiernej skrinky, testovanie šedej skrinky a testovanie bielej skrinky.
Krok 4) Detekcia zraniteľnosti : - V tomto procese sa skenery zraniteľností používajú na skenovanie IT prostredia a identifikáciu zraniteľností.
Krok 5) Informačná analýza a plánovanie : - Bude analyzovať identifikované zraniteľné miesta a navrhnúť plán prieniku do siete a systémov.
Ako urobiť posúdenie zraniteľnosti
Nasleduje krok za krokom postup Ako vykonať hodnotenie zraniteľnosti :
Krok 1) Nastavenie:
- Začnite dokumentáciu
- Zabezpečené povolenia
- Aktualizačné nástroje
- Konfigurácia nástrojov
Krok 2) Vykonanie testu:
- Spustite Nástroje
- Spustite zachytený dátový paket (Paket je jednotka údajov, ktorá sa smeruje medzi východiskovým a cieľovým miestom. Keď sa odošle akýkoľvek súbor, napríklad e-mailová správa, súbor HTML, požiadavka URL (Uniform Resource Locator) atď. z jedného miesta na druhé na internete, vrstva TCP protokolu TCP / IP rozdelí súbor na niekoľko „blokov“ na efektívne smerovanie a každý z týchto blokov bude jedinečne očíslovaný a bude obsahovať internetovú adresu cieľa. bloky sa nazývajú pakety. Po doručení všetkých paketov ich vrstva TCP na prijímajúcom konci znova zostaví do pôvodného súboru pri spustení nástrojov na hodnotenie
Krok 3) Analýza zraniteľnosti:
- Definovanie a klasifikácia sieťových alebo systémových prostriedkov.
- Priradenie priority zdrojom (napr .: - vysoká, stredná, nízka)
- Identifikácia potenciálnych hrozieb pre každý zdroj.
- Vypracovanie stratégie riešenia problémov, ktoré majú najvyššiu prioritu.
- Definovanie a implementácia spôsobov, ako minimalizovať následky, ak dôjde k útoku.
Krok 4) Podávanie správ
Krok 5) Náprava:
- Proces odstraňovania zraniteľností.
- Vykonáva sa pri každej zraniteľnosti
Typy skenera zraniteľnosti
- Podľa hostiteľa
- Identifikuje problémy v hostiteľovi alebo v systéme.
- Proces sa vykonáva pomocou hostiteľských skenerov a diagnostikuje sa slabé miesta.
- Hostiteľské nástroje načítajú softvér mediátora do cieľového systému; vystopuje udalosť a nahlási ju bezpečnostnému analytikovi.
- Sieťové
- Zistí otvorený port a identifikuje neznáme služby bežiace na týchto portoch. Potom zverejní možné chyby zabezpečenia spojené s týmito službami.
- Tento proces sa vykonáva pomocou sieťových skenerov.
- Na báze databázy
- Identifikuje vystavenie bezpečnosti v databázových systémoch pomocou nástrojov a techník, ktoré zabraňujú aplikácii SQL Injection. (Injekcie SQL: - Vloženie príkazov SQL do databázy používateľmi so zlými úmyslami, ktorí môžu čítať citlivé údaje z databázy a môžu aktualizovať údaje v databáze.)
Nástroje na skenovanie zraniteľnosti
Votrelec
Intruder je výkonný online skener zraniteľností, ktorý zisťuje slabiny zabezpečenia v prostredí vášho IT. Vďaka špičkovým bezpečnostným kontrolám na trhu, nepretržitému monitorovaniu a ľahko použiteľnej platforme chráni Intruder firmy všetkých veľkostí pred hackermi.
Vlastnosti:
- Najlepšie pokrytie hrozbami vo svojej triede s viac ako 10 000 bezpečnostnými kontrolami
- Kontroly slabých stránok konfigurácie, chýbajúcich opráv, slabých stránok aplikácií (napríklad vstrekovanie SQL a skriptovanie medzi lokalitami) a ďalšie
- Automatická analýza a stanovenie priorít výsledkov skenovania
- Intuitívne rozhranie, rýchle nastavenie a spustenie prvých skenov
- Proaktívne sledovanie bezpečnosti pre najnovšie zraniteľnosti
- Konektory AWS, Azure a Google Cloud
- Integrácia API s vašim potrubím CI / CD
| Kategória | Nástroj | Popis |
|---|---|---|
| Podľa hostiteľa | STAT | Naskenujte viac systémov v sieti. |
| TARA | Asistent analytického výskumu Tiger. | |
| Cain & Abel | Obnovte heslo čuchaním k sieti a prelomením hesla HTTP. | |
| Metasploit | Open source platforma pre vývoj, testovanie a využívanie kódu. | |
| Sieťové | Cisco Secure Scanner | Diagnostikujte a opravte bezpečnostné problémy. |
| Wireshark | Open Source Network Protocol Analyzer pre Linux a Windows. | |
| Nmap | Bezplatný nástroj Open Source pre bezpečnostné audity. | |
| Nessus | Auditovanie bez agentov, vytváranie správ a integrácia správy opráv. | |
| Na báze databázy | SQL diéta | Dvere nástroja Dictionary Attack pre server SQL. |
| Zabezpečený audítor | Umožnite používateľovi vykonať výpočet, skenovanie, auditovanie a penetračné testovanie a forenzné v systéme OS. | |
| DB-sken | Detekcia trójskeho koňa v databáze, detekcia skrytého trójskeho koňa podľa základnej kontroly. |
Výhody posúdenia zraniteľnosti
- K dispozícii sú nástroje otvoreného zdroja.
- Identifikuje takmer všetky zraniteľné miesta
- Automatizované na skenovanie.
- Ľahko sa prevádzkuje pravidelne.
Nevýhody hodnotenia zraniteľnosti
- Vysoká miera falošne pozitívnych výsledkov
- Dá sa ľahko zistiť pomocou brány firewall systému detekcie narušenia.
- Často si nevšimnete najnovšie chyby zabezpečenia.
Porovnanie posúdenia zraniteľnosti a penetračného testovania
| Hodnotenie zraniteľnosti | Testovanie prieniku | |
|---|---|---|
| Pracovne | Objavte zraniteľné miesta | Identifikujte a využite zraniteľné miesta |
| Mechanizmus | Objavovanie a skenovanie | Simulácia |
| Zameranie | Šírka po hĺbku | Hĺbka po šírku |
| Pokrytie úplnosti | Vysoký | Nízka |
| Náklady | Nízky - mierny | Vysoký |
| Účinkujú | Interný personál | Útočník alebo testovač pier |
| Vedomosti testera | Vysoký | Nízka |
| Ako často behať | Po naložení každého zariadenia | Raz za rok |
| Výsledok | Poskytnite čiastočné podrobnosti o chybách zabezpečenia | Poskytnite úplné podrobnosti o chybách zabezpečenia |
Metódy testovania zraniteľnosti
Aktívne testovanie
- Neaktívne testovanie, tester zavádza nové testovacie údaje a analyzuje výsledky.
- Počas procesu testovania testéri vytvoria mentálny model procesu, ktorý sa bude ďalej rozvíjať počas interakcie s testovaným softvérom.
- Počas vykonávania testu sa tester aktívne zapojí do procesu zisťovania nových testovacích prípadov a nových nápadov. Preto sa volá Aktívne testovanie.
Pasívne testovanie
- Pasívne testovanie, sledovanie výsledku spusteného testovaného softvéru bez zavádzania nových testovacích prípadov alebo údajov
Testovanie siete
- Testovanie siete je proces merania a zaznamenávania aktuálneho stavu prevádzky siete v určitom časovom období.
- Testovanie sa vykonáva hlavne na predpovedanie fungovania siete pri zaťažení alebo na zistenie problémov spôsobených novými službami.
- Musíme otestovať nasledujúce charakteristiky siete: -
- Úrovne využitia
- Počet používateľov
- Využitie aplikácie
Distribuované testovanie
- Distribuované testy sa používajú na testovanie distribuovaných aplikácií, čo znamená aplikácií, ktoré pracujú s viacerými klientmi súčasne. Testovanie distribuovanej aplikácie v zásade znamená testovanie jej klientskej a serverovej časti samostatne, ale pomocou distribuovanej testovacej metódy ich môžeme testovať všetky naraz.
- Počas skúšobnej prevádzky budú testované časti navzájom pôsobiť. Vďaka tomu sú vhodným spôsobom synchronizované. Synchronizácia je jedným z najdôležitejších bodov distribuovaného testovania.
Záver
V softvérovom inžinierstve závisí testovanie zraniteľnosti na dvoch mechanizmoch, a to na hodnotení zraniteľnosti a teste penetrácie. Oba tieto testy sa navzájom líšia silou a úlohami, ktoré vykonávajú. Na dosiahnutie komplexnej správy o testovaní zraniteľnosti sa však odporúča kombinácia oboch postupov.
Do tohto článku prispel Syamini Sreedharan