vulnerability assessment
Testy penetracyjne a skanowanie podatności:
Czasami widziałem, jak testerzy i właściciele firm mylili się, rozumiejąc podstawową ideę testów penetracyjnych i skanowania luk w zabezpieczeniach.
Oba są często mylone jako te same usługi. Gdy firma nie jest w stanie zdecydować, czy przejść do testu penetracyjnego lub testu podatności. Czy testy penetracyjne to to samo, co testowanie luk w zabezpieczeniach, czy też są one różne? Jeśli są różne, to czy są spokrewnione? Który wybrać - Test penetracyjny lub test podatności ?
Postaramy się znaleźć odpowiedzi na wszystkie powyższe pytania w tym samouczku.
Czego się nauczysz:
- Wprowadzenie
- Wprowadzenie do testów penetracyjnych
- Wprowadzenie do skanowania luk w zabezpieczeniach
- Testowanie penetracyjne a skanowanie podatności
- Czy skanowanie podatności i testy penetracyjne są ze sobą powiązane?
- Który wybrać - test pióra czy skanowanie podatności?
- Najpopularniejsze narzędzia
- Wniosek
- rekomendowane lektury
Wprowadzenie
Na początek chciałbym, abyś przeczytał pięć zdań:
- Banany rosną na drzewie.
- Normalny człowiek zużywa tylko 10% swojego mózgu.
- Łamanie kostek powoduje zapalenie stawów w starszym wieku.
- Nietoperze są ślepe.
- Testy penetracyjne są takie same jak w przypadku skanowania podatności.
Czy potrafisz odgadnąć jedną wspólną cechę spośród wszystkich powyższych stwierdzeń? Wszystkie są mitami. Tak to prawda. Wszystkie są rzeczywiście mitami.
Jednak w tym naszym poradniku nie przejmujemy się ani bananami, ani nietoperzami. Wszystko, co nam zależy, to porównanie testów penetracyjnych ze skanem podatności. Aby dowiedzieć się więcej o porównaniu lub udowodnić, że stwierdzenie to jest mitem, najpierw przeanalizujemy osobno testy penetracyjne i skanowanie podatności.
Wprowadzenie do testów penetracyjnych
Test penetracyjny jest również w skrócie nazywany „testem penetracyjnym”. Ten rodzaj testu jest wykonywany w systemie w celu znalezienia dostępu do systemu. Może to ujawnić ważne dane przechowywane przez system światu zewnętrznemu.
Ogólnie rzecz biorąc, celem testów penetracyjnych może być Typ białej skrzynki lub typ czarnej skrzynki .
Testy penetracyjne Black Box:
Zazwyczaj tester nie otrzymuje żadnych informacji o systemie poza nazwą. Jest to bardzo podobne do prawdziwych hacków, w których haker nie jest świadomy niczego innego niż nazwa aplikacji.
Testowanie czarnoskrzynkowe naśladuje rzeczywiste warunki i nie jest czasochłonne. Jednak ze względu na nieznane obszary związane z kodem źródłowym i infrastrukturą zawsze istnieje możliwość pominięcia fragmentów systemu.
Testy penetracyjne White Box:
W tym procesie wszystkie niezbędne dane dotyczące systemu, który ma przejść testy penetracyjne, przekazywane są do Testera.
Dane mogą dotyczyć architektury sieci, konfiguracji systemu, kodów źródłowych itp. Jest to proces dłuższy niż w przypadku testów piórem typu Black Box. Jest to dokładny proces i ma głębsze pokrycie w porównaniu z typem czarnej skrzynki.
Testowanie piórem jest zawsze wykonywane za zgodą / prośbą klienta. Przeprowadzanie testów za pomocą pióra w witrynie bez zgody właściciela jest nielegalne i można je nazwać hakowaniem.
Do tej pory wiemy, czym są testy penetracyjne i nadszedł czas, aby poznać powód, dla którego organizacje je wybierają. Mówi się, że lepiej być bezpiecznym niż żałować. Testowanie przy użyciu pióra sprawia, że architektura jest silniejsza i odporna na ataki.
Wprowadzenie do skanowania luk w zabezpieczeniach
Skanowanie podatności służy do wykrywania luk / słabości w systemie. Zadanie to jest wykonywane przez uruchomienie aplikacji [nazywanej skanerem luk] na komputerze docelowym. Te aplikacje lub skanery można uruchamiać bezpośrednio na komputerze docelowym lub z lokalizacji sieciowej.
Lokalizacja sieci jest widoczna w przypadku większych organizacji, podczas gdy nie jest możliwe ciągłe uruchamianie skanera na komputerach lokalnych.
Teraz, Skąd wiesz, który skaner może działać w Twojej aplikacji? Odpowiedź jest dość prosta. Oznacza to, że skanery podatności prawie nie wykorzystują szczegółów / parametrów systemu podczas skanowania.
Potrzebują tylko adresu IP systemu. Za pomocą samego adresu IP skaner podatności może znaleźć potencjalne miejsca, w których można przeprowadzić atak na system.
Są sytuacje, w których firma ma intranet i nie wszystkie komputery są narażone na świat internetu. W takim przypadku skaner podatności musi być uruchamiany z intranetu, dzięki czemu można wykryć zarówno wewnętrzne, jak i zewnętrzne podatności.
Po zakończeniu testu / skanowania skaner pomaga w uzyskaniu raportu wyświetlającego wszystkie możliwe luki. Wygenerowany raport zawiera różne dane związane z zawartymi w nim lukami.
Zakres danych obejmuje statystyki serwera [oparte na indeksie podatności], stan różnych usług działających na różnych serwerach, stan znalezionych luk na podstawie ich poziomu istotności.
Po wygenerowaniu raportu należy go przeanalizować, aby ustalić rzeczywistą sytuację. Nie zawsze wykrywane luki są tak poważne. Może się zdarzyć, że skaner pobierze nazwę tylko dlatego, że oczekiwane dane nie są zgodne z danymi wyjściowymi. Ale to może wcale nie być prawdziwa luka.
Z tego powodu należy przeprowadzić dalszą analizę raportu ze skanowania luk w zabezpieczeniach, aby dowiedzieć się, czy znaleziona luka jest właściwa, czy nie.
Testowanie penetracyjne a skanowanie podatności
Teraz wiemy, czym jest proces testowania penetracyjnego i czym jest skanowanie luk w zabezpieczeniach.
Teraz walka między dwoma gigantami byłaby pełna zabawy.
Przykład:
Przejdziemy do przykładu z życia, aby zrozumieć różnicę między nimi.
Weźmy na przykład pana X. Pan X jest specjalistą od napadów. Będziemy przestrzegać jego planu następnego napadu. Planuje obrabować obecny bank w środku miasta.
Budynek Banku otacza komisariat policji, remiza strażacka, park publiczny (zamknięty na noc) i staw. Budynek banku to 20-piętrowy budynek z lądowiskiem dla helikopterów na szczycie. Zanim faktycznie okrada bank, musi znaleźć możliwe punkty wejścia do budynku banku.
Boki budynku, w którym znajduje się komisariat policji i remiza strażacka, są niemożliwe do sforsowania. Działają 24 godziny na dobę, 7 dni w tygodniu i kto odważyłby się obrabować bank, używając jaskini policji jako punktu wejścia! To pozostawia pana X z 3 innymi opcjami. Tak, masz rację. Ma również dach jako punkt wejścia [Pamiętasz Heatha Ledgera z trylogii Batmana?].
Rooftop wydaje się być tutaj dziwnym wyborem, ponieważ budynek ma tylko 20 pięter, a szanse na złapanie przez ludzi wokół ciebie są bardzo wysokie. Bank jest jedynym wieżowcem stojącym w okolicy. Więc to sprawia, że wejście na dach jest wielkim NIE! Mając dwie pozostałe opcje, Pan X zaczyna analizować jezioro jako punkt wejścia.
Jezioro może być dobrym sposobem wejścia, ale widoczność byłaby problemem. Jak ktoś by zareagował, gdyby zobaczył, że ktoś płynie o północy, to również w kierunku budynku Banku? Ostatnią opcją jest park publiczny.
Przeanalizujmy szczegółowo park. Jest zamknięty dla publiczności po szóstej wieczorem. W parku jest dużo drzew, które dają niezbędny cień i wsparcie dla trybu stealth. Park posiada ścianę graniczną, która jest wspólna z pomieszczeniami Banku.
Teraz całą powyższą analizę można nazwać skanem podatności. Skaner robi to wszystko. Aby znaleźć wrażliwą pozycję do wejścia.
Wracając do naszej historii, załóżmy, że Pan X z powodzeniem wszedł do banku przez wejście do parku publicznego. Co on teraz robi? Niezależnie od tego, czy włamie się do Krypty, aby zdobyć gotówkę, czy do szafek depozytowych, aby zdobyć kosztowności.
Ta część dotyczy testów penetracyjnych. Otrzymujesz dostęp i próbujesz wykorzystać system. Poznasz głębokość, na jaką możesz zejść z tym atakiem.
Uwaga: Podczas pisania tego samouczka żaden bank nie został okradziony. Nie jest też wskazane podążanie śladami pana X.
Zostawiam was z poniższą tabelą porównawczą, abyście mogli uzyskać większą jasność co do różnicy między nimi.
Czy skanowanie podatności i testy penetracyjne są ze sobą powiązane?
Tak, skanowanie w poszukiwaniu luk i testy penetracyjne są ze sobą powiązane. Testy penetracyjne zależą od skanowania podatności.
Aby zainicjować testy penetracyjne, przeprowadza się pełne skanowanie luk w zabezpieczeniach, aby tester mógł poznać wszelkie luki w systemie, a następnie je wykorzystać.
co to jest dev c ++
Tak więc dzięki skanowaniu luk poznajemy możliwe luki w zabezpieczeniach, ale te luki są do tej pory niewykorzystane. To właśnie testy penetracyjne potwierdzają stopień, w jakim luka jest możliwa do wykorzystania.
Przecinają się one również w pewnych punktach, jak pokazano na poniższym obrazku:
Który wybrać - test pióra czy skanowanie podatności?
Po zrozumieniu różnicy między obydwoma, teraz pojawia się pytanie - który wybrać?
Cóż, celem skanowania podatności jest znalezienie słabych punktów twojego systemu i naprawienie ich. Mając na uwadze, że celem testów penetracyjnych jest sprawdzenie, czy ktoś może złamać Twój system, a jeśli tak, to jaka będzie głębokość ataku i ile znaczących danych może uzyskać.
Skanowanie podatności i test pióra mogą razem określić, co jest zagrożone i jak można je naprawić. Celem jest poprawa ogólnego bezpieczeństwa Twojego systemu. Musisz wybrać między tymi dwoma w zależności od krytycznego znaczenia Twojej firmy. Jeśli zdecydujesz się na test pióra, obejmuje on również skanowanie podatności.
Jednak test piórkowy jest bardzo kosztowny (około 4 000 do 20 000 USD), a także czasochłonny w porównaniu ze skanowaniem luk w zabezpieczeniach. Powodem jest to, że przynosi bardzo dokładne i dokładne wyniki oraz eliminuje fałszywie dodatnie podatności.
Tymczasem skanowanie podatności jest bardzo szybkie i znacznie tańsze (prawie 100 USD na IP rocznie, w zależności od dostawcy) niż test piórkowy. Jako organizacja możesz przejść na skanowanie luk w zabezpieczeniach co miesiąc, kwartał lub nawet co tydzień. I zdecyduj się na coroczny test pióra.
Najpopularniejsze narzędzia
Niektóre z powszechnie używanych narzędzi do skanowania luk w zabezpieczeniach obejmują:
- Nessus
- Nikt
- ŚWIĘTY
- OpenVAS itp.
Powszechnie używane narzędzia do testu piórkowego obejmują:
- Qualys
- Core Impact
- Metasploit itp.
Testerzy piórkowi piszą również własny kod exploita zgodnie z wymaganiami.
Wniosek
Z tego samouczka zdajemy sobie sprawę, że zarówno test pióra, jak i skanowanie w poszukiwaniu luk to dwie różne czynności, które są wykonywane w celu zabezpieczenia aplikacji przed atakami. W razie potrzeby można je również stosować razem.
Test podatności identyfikuje możliwe luki, a test Pen wykorzystuje te luki, aby odkryć zakres szkód / kradzieży, które mogą przydarzyć się krytycznym informacjom biznesowym. Mają one na celu naprawienie luk i uniknięcie potencjalnych ataków i naruszeń bezpieczeństwa systemu informatycznego.
Dalsze czytanie
- Pierwsze kroki z testowaniem penetracyjnym aplikacji internetowych
- 37 najpotężniejszych narzędzi do testowania penetracji (narzędzia do testowania bezpieczeństwa)
- Testy penetracyjne - kompletny przewodnik z przykładowymi przypadkami testowymi
- 10 najbardziej przydatnych narzędzi do skanowania oceny luk w zabezpieczeniach
- Jak przetestować zabezpieczenia aplikacji internetowych za pomocą narzędzia Acunetix Web Vulnerability Scanner (WVS) - przegląd praktyczny
rekomendowane lektury
- Najlepsze narzędzia do testowania oprogramowania 2021 [Narzędzia do automatyzacji testów QA]
- Różnica między testami na komputerach stacjonarnych, serwerach klienckich i testach internetowych
- Testowanie bezpieczeństwa sieci i najlepsze narzędzia bezpieczeństwa sieci
- 19 potężnych narzędzi do testowania penetracji używanych przez profesjonalistów w 2021 r
- Testing Primer Pobierz eBook
- Testowanie statyczne i testowanie dynamiczne - różnica między tymi dwoma ważnymi technikami testowania
- Testy wydajnościowe a testy obciążeniowe a testy obciążeniowe (różnica)
- 101 Różnice między podstawami testowania oprogramowania