Testování zranitelnosti
Testování zranitelnosti, nazývané také Vulnerability Assessment, je proces hodnocení bezpečnostních rizik v softwarových systémech za účelem snížení pravděpodobnosti hrozeb. Účelem testování zranitelnosti je snížit možnost, aby vetřelci / hackeři získali neoprávněný přístup k systémům. Záleží na mechanismu pojmenovaném Vulnerability Assessment and Penetration Testing (VAPT) nebo VAPT testing.
Zranitelností je jakákoli chyba nebo slabost v bezpečnostních postupech, návrhu, implementaci nebo jakékoli vnitřní kontrole systému, která může vést k porušení zásad zabezpečení systému.
V tomto výukovém programu se naučíte
- Co je posouzení zranitelnosti
- Proč posouzení zranitelnosti
- Proces hodnocení zranitelnosti a testování penetrace (VAPT)
- Jak provést testování zranitelnosti
- Typy skeneru zranitelnosti
- Nástroje pro skenování zranitelnosti
- Výhody posouzení zranitelnosti
- Nevýhody hodnocení zranitelnosti
- Srovnání posouzení zranitelnosti a penetračního testování
- Metody testování zranitelnosti
Proč posouzení zranitelnosti
- Je to důležité pro bezpečnost organizace.
- Proces lokalizace a hlášení zranitelností, které poskytují způsob, jak detekovat a vyřešit problémy se zabezpečením podle pořadí zranitelností dříve, než je někdo nebo něco může zneužít.
- V tomto procesu jsou skenovány operační systémy, aplikační software a síť, aby bylo možné identifikovat výskyt zranitelných míst, mezi něž patří nevhodný design softwaru, nezabezpečené ověřování atd.
Proces hodnocení zranitelnosti
Tady je krok za krokem proces hodnocení zranitelnosti k identifikaci zranitelností systému.
Krok 1) Cíle a cíle : - Definujte cíle a cíle analýzy zranitelnosti.
Krok 2) Rozsah : - Při provádění hodnocení a testu je třeba jasně definovat rozsah zadání.
Následují tři možné obory, které existují:
- Black Box Testing: - Testování z externí sítě bez předchozí znalosti interní sítě a systémů.
- Testování šedého pole: - Testování z externí nebo interní sítě se znalostí interní sítě a systému. Jedná se o kombinaci testování Black Box a White Box Testing.
- White Box Testing: - Testování v interní síti se znalostí interní sítě a systému. Také se nazývá interní testování.
Krok 3) Shromažďování informací : - Získání co nejvíce informací o prostředí IT, jako jsou sítě, adresa IP, verze operačního systému atd. Je použitelné pro všechny tři typy oborů, jako je testování Black Box, Gray Box Testing a White Box Testing.
Krok 4) Detekce zranitelnosti : - V tomto procesu se skenery zranitelností používají ke skenování IT prostředí a identifikaci zranitelností.
Krok 5) Informační analýza a plánování : - Bude analyzovat identifikované chyby zabezpečení a navrhnout plán pro proniknutí do sítě a systémů.
Jak provést posouzení zranitelnosti
Následuje krok za krokem postup Jak provést posouzení zranitelnosti :
Krok 1) Nastavení:
- Zahajte dokumentaci
- Zabezpečená oprávnění
- Aktualizovat nástroje
- Nakonfigurujte nástroje
Krok 2) Provedení testu:
- Spusťte nástroje
- Spusťte zachycený datový paket (Paket je jednotka dat, která je směrována mezi počátkem a cílem. Když je odeslán libovolný soubor, například e-mailová zpráva, soubor HTML, požadavek na vyhledávač jednotných zdrojů (URL) atd. z jednoho místa na druhé na internetu rozděluje vrstva TCP protokolu TCP / IP soubor na několik „bloků“ pro efektivní směrování a každý z těchto bloků bude jedinečně očíslován a bude obsahovat internetovou adresu cíle. bloky se nazývají pakety. Když dorazí všechny pakety, bude je TCP vrstva na přijímajícím konci znovu sestavit do původního souboru při spuštění hodnotících nástrojů
Krok 3) Analýza zranitelnosti:
- Definování a klasifikace síťových nebo systémových prostředků.
- Přiřazení priority zdrojům (např .: - vysoká, střední, nízká)
- Identifikace potenciálních hrozeb pro každý zdroj.
- Vypracování strategie pro řešení problémů s nejvyšší prioritou jako první.
- Definování a implementace způsobů, jak minimalizovat následky, pokud dojde k útoku.
Krok 4) Hlášení
Krok 5) Sanace:
- Proces opravy chyb zabezpečení.
- Provádí se pro každou chybu zabezpečení
Typy skeneru zranitelnosti
- Na základě hostitele
- Identifikuje problémy v hostiteli nebo v systému.
- Proces se provádí pomocí hostitelských skenerů a diagnostikuje chyby zabezpečení.
- Hostitelské nástroje načtou software mediátoru do cílového systému; vystopuje událost a nahlásí ji bezpečnostnímu analytikovi.
- Síťové
- Zjistí otevřený port a identifikuje neznámé služby běžící na těchto portech. Poté zveřejní možné chyby zabezpečení spojené s těmito službami.
- Tento proces se provádí pomocí síťových skenerů.
- Na základě databáze
- Bude identifikovat ohrožení zabezpečení v databázových systémech pomocí nástrojů a technik, které zabrání aplikaci SQL Injection. (Injekce SQL: - Vložení příkazů SQL do databáze uživateli se zlými úmysly, kteří mohou číst citlivá data z databáze a mohou aktualizovat data v databázi.)
Nástroje pro skenování zranitelnosti
Vetřelec
Intruder je výkonný online skener zranitelností, který odhaluje slabiny zabezpečení v celém vašem IT prostředí. Díky špičkovým bezpečnostním kontrolám v oboru, nepřetržitému monitorování a snadno použitelné platformě chrání Intruder firmy všech velikostí před hackery.
Funkce:
- Nejlepší pokrytí hrozeb ve své třídě s více než 10 000 bezpečnostními kontrolami
- Kontroly slabých míst konfigurace, chybějících oprav, slabých stránek aplikací (jako je například SQL injection a skriptování mezi weby) a další
- Automatická analýza a stanovení priorit výsledků skenování
- Intuitivní rozhraní, rychlé nastavení a spuštění prvních skenů
- Proaktivní monitorování zabezpečení pro nejnovější chyby zabezpečení
- AWS, Azure a Google Cloud konektory
- Integrace API s vaším potrubím CI / CD
| Kategorie | Nástroj | Popis |
|---|---|---|
| Na základě hostitele | STAT | Skenujte více systémů v síti. |
| TARA | Asistent analytického výzkumu Tiger. | |
| Cain & Abel | Obnovte heslo čicháním k síti a rozbitím hesla HTTP. | |
| Metasploit | Open source platforma pro vývoj, testování a využití kódu. | |
| Síťové | Zabezpečený skener Cisco | Diagnostikujte a opravte bezpečnostní problémy. |
| Wireshark | Open Source Network Protocol Analyzer pro Linux a Windows. | |
| Nmap | Zdarma nástroj Open Source pro auditování zabezpečení. | |
| Nessus | Audit bez agentů, hlášení a integrace správy oprav. | |
| Na základě databáze | SQL dieta | Dveře nástroje Dictionary Attack pro SQL server. |
| Bezpečný auditor | Umožněte uživateli provádět výčet, skenování, auditování a penetrační testování a forenzní v operačním systému. | |
| DB-skenování | Detekce trojského koně v databázi, detekce skrytého trojského koně základním skenováním. |
Výhody posouzení zranitelnosti
- K dispozici jsou nástroje Open Source.
- Identifikuje téměř všechny chyby zabezpečení
- Automaticky pro skenování.
- Snadné pravidelné spouštění.
Nevýhody hodnocení zranitelnosti
- Vysoká míra falešně pozitivních výsledků
- Lze snadno detekovat pomocí systému Firewall pro detekci narušení.
- Často si nevšimnete nejnovější chyby zabezpečení.
Srovnání posouzení zranitelnosti a penetračního testování
| Posouzení zranitelnosti | Penetrační testování | |
|---|---|---|
| Pracovní | Objevte chyby zabezpečení | Zjistěte a využijte chyby zabezpečení |
| Mechanismus | Objev a skenování | Simulace |
| Soustředit se | Šířka přes hloubku | Hloubka po šířku |
| Pokrytí úplnosti | Vysoký | Nízký |
| Náklady | Nízký - Střední | Vysoký |
| Účinkují | Interní zaměstnanci | Útočník nebo tester pera |
| Zkušební znalosti | Vysoký | Nízký |
| Jak často běžet | Po načtení každého zařízení | Jednou za rok |
| Výsledek | Poskytněte částečné podrobnosti o chybách zabezpečení | Poskytněte úplné podrobnosti o chybách zabezpečení |
Metody testování zranitelnosti
Aktivní testování
- Neaktivní testování, tester zavádí nová testovací data a analyzuje výsledky.
- Během procesu testování testeři vytvoří mentální model procesu, který bude dále růst během interakce s testovaným softwarem.
- Během provádění testu se tester aktivně zapojí do procesu hledání nových testovacích případů a nových nápadů. Proto se tomu říká Aktivní testování.
Pasivní testování
- Pasivní testování, monitorování výsledku spuštěného testovaného softwaru bez zavádění nových testovacích případů nebo dat
Testování sítě
- Testování sítě je proces měření a zaznamenávání aktuálního stavu provozu sítě po určitou dobu.
- Testování se provádí hlavně pro předvídání provozu sítě při zatížení nebo pro zjištění problémů způsobených novými službami.
- Musíme otestovat následující charakteristiky sítě: -
- Úrovně využití
- Počet uživatelů
- Využití aplikace
Distribuované testování
- Distribuované testy se používají pro testování distribuovaných aplikací, což znamená, že aplikace, které pracují s více klienty současně. V zásadě testování distribuované aplikace znamená testování jejích klientských a serverových částí samostatně, ale pomocí distribuované testovací metody je můžeme testovat všechny společně.
- Během zkušebního běhu budou testovací součásti vzájemně interagovat. Díky tomu jsou vhodným způsobem synchronizovány. Synchronizace je jedním z nejdůležitějších bodů distribuovaného testování.
Závěr
V softwarovém inženýrství závisí testování zranitelnosti na dvou mechanismech, konkrétně na posouzení zranitelnosti a testování penetrace. Oba tyto testy se od sebe liší silou a úkoly, které provádějí. K dosažení komplexní zprávy o testování zranitelnosti se však doporučuje kombinace obou postupů.
K článku přispívá Syamini Sreedharan