Hvad er penetrationstest? {Trin, metoder, typer}

Fjernelse af svage punkter fra systemer og applikationer er en cybersikkerhedsprioritet. Virksomheder er afhængige af forskellige teknikker til at opdage softwarefejl, men ingen testmetode giver en mere realistisk og velafrundet analyse end en penetrationstest.

Denne artikel er en introduktion til penetrationstest. Læs videre for at lære, hvordan pentest fungerer, og hvordan virksomheder bruger disse tests til at forhindre dyre og skadelige brud.

Definition af penetrationstest

Penetrationstest (eller penetest) er en simulering af et cyberangreb, der tester et computersystem, netværk eller applikation for sikkerhedssvagheder. Disse tests er afhængige af en blanding af værktøjer og teknikker, som rigtige hackere ville bruge til at bryde en virksomhed.

Andre almindelige navne for penetrationstest er white hat-angreb og etisk hacking.

Pen-testere bruger typisk en blanding af automatiseringstestværktøjer og manuelle metoder til at simulere et angreb. Testere bruger også penetrationsværktøjer til at scanne systemer og analysere resultater. Et godt penetrationstestværktøj bør:

• Vær nem at sætte op og bruge.
• Vær hurtig til systemscanning.
• Sorter svagheder baseret på sværhedsgrad.
• Automatiser verificeringen af svage punkter.
• Genbekræft tidligere udnyttelser.
• Giv detaljerede rapporter og logfiler.

Hovedformålet med en pentest er at identificere sikkerhedsproblemer inden for operativsystemer, tjenester, applikationer, konfigurationer og brugeradfærd. Denne form for test gør det muligt for et team at opdage:

• Systemsårbarheder og sikkerhedsfejl.
• Manglende overholdelse af databeskyttelses- og sikkerhedsbestemmelser (PCI, HIPAA, GDPR osv.)
• Manglende sikkerhedsbevidsthed på tværs af teamet.
• Fejl i trusselsidentifikationsprotokollerne.
• Plads til forbedring af hændelsesresponsplanen.
• Fejl i sikkerhedspolitikken.

Virksomheder hyrer typisk eksterne entreprenører til at køre pentests. Manglen på systemviden gør det muligt for en tredjepartstester at være mere grundig og opfindsom end interne udviklere. Nogle virksomheder kører også bounty-programmer, der inviterer freelancere til at hacke systemer med løfte om et gebyr, hvis de bryder systemet.

Hvad er slutresultatet af en penetrationstest?

Slutresultatet af en penetrationstest er pentestrapporten. En rapport informerer IT- og netværkssystemadministratorer om fejlene og udnytter den opdagede test. En rapport bør også indeholde trin til at løse problemerne og forbedre systemforsvaret.

Hver pentestrapport bør indeholde:

• Et resumé: Opsummeringen giver et overblik over testen på højt niveau. Ikke-tekniske læsere kan bruge resuméet til at få indsigt i de sikkerhedsproblemer, som pennetesten afslører.
• Værktøjer, metoder og vektorer: Dette afsnit dækker værktøjerne og metoderne bag testen. Testere skitserer også trin-for-trin angrebsmønstre, der førte til et vellykket brud.
• Detaljerede resultater: Dette afsnit viser alle sikkerhedsrisici, sårbarheder, trusler og bekymringer opdaget af penetrationstesten. I modsætning til resuméet går denne del af rapporten i dybden med tekniske detaljer.
• Anbefalinger: Sektionen med anbefalinger forklarer, hvordan man forbedrer sikkerheden og beskytter systemet mod reelle cyberangreb.

Hvor ofte skal du køre penetrationstests?

Virksomheder kører regelmæssigt penetrationstest, typisk en gang om året. Ud over årlige tests bør en virksomhed også organisere en pentest, når holdet:

• Tilføjer ny netværksinfrastruktur.
• Installerer nye applikationer.
• Opgraderer eller ændrer markant infrastruktur eller applikationer.
• Opretter et kontor på et nyt sted.
• Tilføjer nye sikkerhedsrettelser.
• Foretager ændringer i slutbrugerpolitikker.

Afhængigt af din virksomheds størrelse og budget er det måske ikke realistisk at køre en penetrationstest, når teamet foretager en ændring. I så fald bør teamet bruge en kombination af penetrationstests og sårbarhedsscanninger. Selvom de ikke er så effektive, er automatiserede sårbarhedsscanninger hurtigere og billigere end pentests.

Penetrationstesttrin

Penetrationstest er en kompleks praksis, der består af flere faser. Nedenfor er et trin-for-trin kig på, hvordan en pentest inspicerer et målsystem.

Penetrationstestningsomfang

Dette trin involverer indledende forberedelse til testen. Holdet skal:

• Skitser testens logistik.
• Definer testomfanget.
• Sæt forventninger.
• Sæt mål.
• Definer aggressionsgrænserne for penetrationsteamet.
• Overvej potentielle juridiske konsekvenser.

Rekognoscering (efterretningsindsamling)

Hackere begynder at lære om systemet og leder efter potentielle indgangspunkter under efterretningsindsamlingsfasen. Denne fase kræver, at teamet primært indsamler information om målet, men testere kan også opdage svage punkter på overfladeniveau.

Rekognosceringstrinnet inkluderer scanning af:

• Al hardwaren.
• De lokale og trådløse netværk.
• Firewalls.
• Relevante ansøgninger.
• Hjemmesider.
• Cloud-baserede systemer.
• Medarbejderadfærd og protokoller.

En anden almindelig betegnelse for rekognosceringsfasen er open source-efterretningsindsamling (OSINT).

Trusselsmodellering

Testere bruger indsigten fra rekognosceringsfasen til at designe tilpassede trusler til at trænge ind i systemet. Teamet identificerer og kategoriserer også forskellige aktiver til test.

Udnyttelse

Testere forsøger at bryde ind i målet gennem de indgangspunkter, de fandt i tidligere stadier. Hvis de bryder systemet, forsøger testere at øge deres adgangsrettigheder. Bevægelse sideværts gennem systemet gør det muligt for pennetestere at identificere:

• Dårlige netværkssegmentering opsætninger.
• Adgang til følsomme data og ressourcer.
• Svag administration af konti og adgangskoder.

Post-udnyttelse

Pen-testere vurderer omfanget af den skade, som en hacker kan forårsage ved at udnytte systemets svagheder. Efter-udnyttelsesfasen kræver også, at testerne bestemmer, hvordan sikkerhedsteamet skal komme sig efter testbruddet.

Analyse, rapportering og oprettelse af handlingsrettede trin til beskyttelse

Testere kompilerer resultaterne af testen i en rapport, der skitserer:

• Trin-for-trin opdeling af hackeraktivitet.
• De opdagede svage punkter og sårbarheder.
• Datatesterne var i stand til at nå.
• Hvor længe testerne forblev uopdaget i systemet.
• Skridt virksomheden skal tage for at fjerne sårbarheder og beskytte mod reelle angreb.

Gentestning

Når sikkerhedsteamet implementerer ændringerne fra pennerapporten, er systemet klar til gentestning. Testerne bør køre de samme simulerede angreb for at se, om målet nu kan modstå brudforsøget.

Standardiserede penetrationstestmetoder

Virksomheder er typisk afhængige af en af de fem standardiserede penetrationstestmetoder: OWASP, OSSTMM, ISSAF, PTES og NIST.

OWASP

OWASP (Open Web Application Security Project) er en ramme til at identificere applikationssårbarheder. Denne metode giver et team mulighed for at:

• Genkend sårbarheder inden for web- og mobilapplikationer.
• Opdag fejl inden for udviklingspraksis.

OWASP gør det også muligt for testere at vurdere risici, hvilket sparer tid og hjælper med at prioritere problemer. Denne ramme har et enormt brugerfællesskab, så der er ingen mangel på OWASP-artikler, teknikker, værktøjer og teknologier.

OSSTMM

OSSTMM (Open-Source Security Testing Methodology Manual) er afhængig af en videnskabelig metode til test af netværkspenetration. Denne peer-reviewed ramme giver en nøjagtig karakterisering af operationssikkerhed, der er ideel til etisk hacking.

OSSTMM gør det muligt for pennetestere at køre skræddersyede test, der passer til organisationens teknologiske og specifikke behov.

ISSAF

ISSAF (Information System Security Assessment Framework) giver en specialiseret og struktureret tilgang til test.

Denne ramme er ideel til testere, der ønsker at planlægge og dokumentere hvert trin i pennetesten i detaljer. ISSAF er også nyttig for testere, der bruger forskellige værktøjer, da metoden giver dig mulighed for at knytte hvert trin til et specifikt værktøj.

PTES

PTES (Penetration Testing Methodologies and Standards) tilbyder en meget struktureret syv-trins tilgang til test. Denne metodologi guider testere gennem alle penetrationstesttrin, fra rekognoscering og dataindsamling til post-udnyttelse og rapportering.

PTES kræver, at testere kender organisationens processer for at køre vellykkede tests.

NIST

NIST (National Institute of Standards and Technology) tilbyder præcise retningslinjer for penetrationstest for at forbedre den overordnede cybersikkerhed. Denne ramme er populær inden for højrisikobrancher som bank, kommunikation og energi.

Overholdelse af NIST er ofte et lovkrav for amerikanske virksomheder. For at overholde NIST skal en virksomhed køre penetrationstest på applikationer og netværk.

Typer af penetrationstest

Penetrationstests adskiller sig med hensyn til mål, betingelser og mål. Afhængigt af testopsætningen giver virksomheden testerne forskellige grader af information om systemet. I nogle tilfælde er sikkerhedsteamet det med begrænset viden om testen.

Black Box penetrationstest

Penetrationsteamet har ingen information om målsystemet i en black box-test. Hackerne skal selv finde vej ind i systemet og planlægge, hvordan et brud skal orkestreres.

Typisk har testerne kun navnet på virksomheden ved starten af en black box test. Penetrationsholdet skal starte med detaljeret rekognoscering, så denne form for test kræver lang tid.

Grå boks penetrationstest

Testteamet har kendskabet til en bruger med forhøjede rettigheder. Hackeren kender til:

• Dokumentationens design og arkitektur.
• Interne strukturer.

En grå boks-pentest giver teamet mulighed for at fokusere på målene med den største risiko og værdi fra starten. Denne type test er ideel til at efterligne en angriber, der har langtidsadgang til netværket.

White Box Penetration Testing

Pentestere har information om målsystemet, før de begynder at arbejde. Disse oplysninger kan omfatte:

• IP-adresser.
• Netværksinfrastruktur skemaer.
• Brugerprotokoller.
• Systemartefakter (kildekode, binære filer, containere).

Afhængigt af opsætningen kan testere endda have adgang til de servere, der kører systemet. Selvom det ikke er så autentisk som black box test, er white box hurtig og billig at organisere.

Målrettet test

Virksomhedens IT-medarbejdere og testteamet arbejder sammen om at køre målrettet test. Testere og sikkerhedspersonale kender hinandens aktivitet på alle stadier.

En anden betegnelse for målrettet testning er tilgangen "lys tændt", da testen er gennemsigtig for alle deltagere.

Ekstern test

Ekstern test simulerer et angreb på eksternt synlige servere eller enheder. Fælles mål for ekstern testning er:

• Domænenavneservere (DNS).
• Webapplikationer.
• E-mail-servere.
• Hjemmesider.
• Web- og applikationsservere.
• Firewalls.

Formålet med ekstern test er at finde ud af, om en ekstern angriber kan bryde ind i systemet. Det sekundære mål er at se, hvor langt angriberen kan komme efter et brud.

Intern test

Intern test efterligner en insidertrussel, der kommer bagved firewallen. Det typiske udgangspunkt for denne test er en bruger med standardadgangsrettigheder. De to mest almindelige scenarier er:

• En utilfreds medarbejder, der besluttede at skade systemet.
• En hacker, der fik adgang til systemet via et phishing-angreb.

Intern test er ideel til at bestemme, hvor meget skade en ondsindet eller kompromitteret medarbejder kan gøre på systemet.

Blindtest

Blindtest simulerer et angreb fra det virkelige liv. Mens sikkerhedsteamet kender til testen, har personalet begrænset information om brudstrategien eller testerens aktivitet.

Dobbelt-blind test

I et dobbeltblind setup kender kun en eller to personer i virksomheden til den kommende test. Dobbeltblinde test er ideelle til at undersøge:

• Sikkerhedsovervågningssystemer.
• Hændelsesidentifikationsprotokoller.
• Reaktionsprocedurer.

En dobbeltblind test giver et autentisk kig på sikkerhedsteamets evne til at opdage og reagere på et angreb fra det virkelige liv.

Penetrationstestmetoder (testområder)

Nedenfor er de forskellige penetrationstestmetoder, du kan køre for at undersøge din virksomheds forsvar.

Netværkspenetrationstestning og -udnyttelse

Netværkspenetrationstest efterligner hackingteknikker til at bryde netværk, routere, switches og værter.

Denne form for test omfatter:

• Firewall omgåelse.
• Undgå et næste generations system til forebyggelse af indtrængen (NGIPS).
• Test af router og proxyserver.
• IPS og DPS unddragelse.
• Åbn portscanning.
• SSH-sikkerhedsangreb.
• Test af politikker, der stopper sidebevægelse.
• Opsnapper netværkstrafik.
• Opdagelse af ældre enheder og tredjepartsapparater.

Denne type test omfatter både intern og ekstern netværksudnyttelse. Almindelige svage punkter opdager netværkspenetration er:

• Forkert konfigurerede aktiver.
• Produktspecifikke sårbarheder.
• Svagheder i det trådløse netværk.
• Rogue tjenester.
• Svage adgangskodeprotokoller.

Et simuleret angreb på en virksomheds netværksinfrastruktur er den mest almindelige type pentest.

Webapplikationssikkerhedstest

Applikationssikkerhedstests søger efter potentielle risici i applikationer på serversiden. Typiske emner for disse tests er:

• Webapplikationer.
• API'er.
• Forbindelser.
• Rammer.
• Mobile apps.

Almindelige applikationssårbarheder omfatter:

• Forfalskning af anmodninger på tværs af websteder og scripting.
• Injektionsfejl.
• Dårlig sessionsstyring.
• Usikre direkte objektreferencer.
• Kodningsfejl.
• Ødelagte godkendelses- eller godkendelsesprotokoller.
• Svag kryptografi.

Klientside eller websted & trådløst netværk

Denne type test inspicerer trådløse enheder og infrastrukturer for sårbarheder. En trådløs pen-test opdager usikre trådløse netværkskonfigurationer og dårlige autentificeringstjek.

Denne type test omfatter scanning af:

• Fejlkonfigurationer af webserveren.
• Anti-malware og DDoS-forebyggelsesstrategier.
• SQL-injektioner.
• MAC-adresse spoofing.
• Medieafspillere og software til oprettelse af indhold.
• Cross-site scripting.
• Hotspots og adgangspunkter.
• Krypteringsprotokoller.

Socialtekniske angreb

Social engineering-tests søger efter sårbarheder inden for medarbejderprotokoller og adfærd. At blive offer for et socialt ingeniørangreb kan føre til uautoriseret adgang, malware, ransomware eller kompromitterede loginoplysninger.

Social engineering pen-tests efterligner typisk angreb fra den virkelige verden, såsom:

• Aflytning.
• Bagklap.
• Phishing-angreb.
• Spyd-phishing.
• Lokkemad.
• Scareware.
• Påskud.

Fysisk test

Fysiske penetrationstest forsøger at få fysisk adgang til forretningsområder. Denne form for test sikrer integriteten af:

• RFID-systemer.
• Kameraer.
• Dørindgangssystemer og tastaturer.
• Medarbejder og sælgers adfærd.
• Bevægelses- og lyssensorer.

Hackere kombinerer ofte fysiske tests med social engineering for at skabe realistiske angrebsforhold.

Cloud Pen-testning

Skypenetrationstest undersøger forsvaret, der beskytter cloud-aktiver. Pentests identificerer potentielle eksponeringer inden for applikationer, netværk og konfigurationer i skyopsætningen, der kan give hackere adgang til:

• Virksomhedens legitimationsoplysninger.
• Interne systemer.
• Følsomme data.

Denne type test er afgørende for virksomheder, der er afhængige af IaaS-, PaaS- og SaaS-løsninger. Cloud-pentest er også vigtigt for at sikre sikker sky-implementering.

En nøgledel af enhver risikovurderingsstrategi

Penetrationstest giver en virksomhed mulighed for proaktivt at opdage systemsvagheder, før hackere får mulighed for at gøre skade. Kør regelmæssige simulerede angreb på dine systemer for at sikre sikker it-drift og forhindre dyre brud.