Penetrationstest (også kaldet pentest) er en type sikkerhedstest, der har til formål at afdække potentielle sårbarheder i et system.
En pentest rapporterer ikke kun eventuelle fundne svagheder, men forsøger aktivt at udnytte dem gennem det, der kaldes etisk hacking.
Hvorfor har vi brug for penetrationstest? Enhver angriber kan afbryde eller få uautoriseret adgang til et system, hvis det ikke er tilstrækkeligt sikret. En sikkerhedsrisiko kan opstå som følge af utilsigtede fejl, der begås under udviklingen og implementeringen af software.
Med penetrationstest kan vi:
- finde svagheder og risici, der kan føre til læk af følsomme data
- forhindre phishing og cyberangreb
- bevare brugernes tillid ved at beskytte deres følsomme oplysninger
- opnå overensstemmelse med standarder og regler
I denne artikel gennemgår jeg følgende emner:
- Metode til penetrationstest
- 3 hovedtilgange til penetrationstest
- Hvad er de vigtigste typer af penetrationstest?
Metode til penetrationstest
Inden penetrationstesten udføres, identificeres risiciene gennem en sårbarhedsvurdering. Det betyder, at det første, man skal gøre, er at identificere de potentielt problematiske områder (såsom lagring af loginoplysninger) og derefter forsøge aktivt at angribe dem.
Penetrationstest bør omfatte alle placeringer af følsomme data, alle applikationer, der lagrer eller interagerer med disse data, alle netværksforbindelser og alle relevante adgangspunkter. Pentests forsøger at udnytte sikkerhedssårbarheder og svagheder i et forsøg på at trænge ind i netværket og applikationerne.
Formålet med penetrationstest er at afgøre, om ondsindede angribere kan få uautoriseret adgang til kritiske systemer eller filer. Når disse sårbarhedsscanninger er gennemført, bør eventuelle fundne problemer håndteres og udbedres.
3 hovedtilgange til penetrationstest
Ligesom ved alle typer og metoder til test kan vi bruge forskellige tilgange til penetrationstest afhængigt af testerens viden og adgangsrettigheder. De vigtigste tilgange til penetrationstest omfatter hvidboks-, sortboks- og gråbokstest.
1. Hvidboks-penetrationstest
Ved hvidboks-penetrationstest har testerne fuldt kendskab til og fuld adgang til systemet. Denne tilgang muliggør dybdegående test og har potentiale til at opdage flere fjerntliggende og vanskeligere tilgængelige sårbarheder.
Have an account? Log In
2. Sortboks-penetrationstest
Sortboks-penetrationstest er en tilgang til penetrationstest, hvor testeren ikke har kendskab til systemets indre funktioner. En tester ville udforme pentestene som en uinformeret cyberangriber.
Denne tilgang ligner mest scenarier fra det virkelige liv, hvor hackere ikke har adgang til den faktiske kildekode for den applikation eller det system, der testes.
3. Gråboks-penetrationstest
Gråboks er mellemformen mellem hvidboks- og sortbokstest. Det betyder, at pentesteren vil have begrænset kendskab til systemet.
Lad os derefter se nærmere på nogle af de forskellige typer penetrationstest.
Hvad er de vigtigste typer af penetrationstest?
1. Penetrationstest af webapplikationer
Penetrationstest af websteder er normalt mere målrettet og detaljeret end andre typer pentests. Det primære formål er at finde svagheder og cybersikkerhedsrisici på websteder og i deres komponenter, såsom deres databaser, kildekode eller backend-netværk.
Test af webapplikationer er særligt vigtigt nu, hvor der er set en stor stigning i cyberkriminalitet på grund af Covid-19-pandemien.
Nogle af de almindelige sikkerhedssvagheder, man som penetrationstester skal lede efter i en webapplikation, omfatter:
- Ubeskyttede adgangspunkter
- Svage adgangskoder
- SQL-injektionsangreb
- Kodeinjektion
- Scripts på tværs af websteder
- Databrud
- Phishingangreb
2. Klientside-penetrationstest
Dette er en type test, der undersøger lokale trusler. Disse trusler kan komme fra apps eller programmer, der kører på medarbejdernes arbejdsstationer – browsere, medieafspillere, apps med åben kildekode, apps til præsentationer eller indholdsoprettelse (f.eks. Microsoft PowerPoint).
Ud over tredjepartsapps kan interne programmer og rammeværk også medføre sikkerhedstrusler, så sørg for at inkludere dem i testene.
3. Netværks-penetrationstest
Denne type test er en af de mest almindeligt efterspurgte former for penetrationstest. Målet er at opdage sårbarheder i netværksinfrastrukturen.
Netværk har både interne og eksterne adgangspunkter, hvilket kan gøre dem sårbare over for angreb fra cyberkriminelle. De to underkategorier af netværks-penetrationstest er: intern netværkstest og ekstern netværkstest.
Intern netværks-penetrationstest
Denne type penetrationstest begynder med antagelsen om, at hackerangrebene kommer fra netværkets inderside. Som penetrationstester påtager du dig rollen som en ondsindet person med et vist niveau af (mere eller mindre) legitim adgang til det interne netværk.
Det kan for eksempel betyde, at man analyserer konsekvenserne af fortrolige oplysninger, der utilsigtet er blevet videregivet, ændret, misbrugt eller ødelagt.
Ekstern netværks-penetrationstest
I dette tilfælde simuleres et scenarie, hvor angrebet kommer udefra netværket. Testerne vil forsøge at trænge ind i systemet ved at udnytte sårbarheder udefra, hvilket kan give adgang til interne data og systemer.
Penetrationstesten kan fokusere på følgende netværkssikkerhedsrisici:
- Fejlkonfigurationer af firewalls
- Test af routere
- Test af proxyservere
- DNS-fodaftryk
- Scanning efter åbne porte
- Netværksdatabaser
- Mailservere
Ved gennemførelse af penetrationstests er det også afgørende at validere integriteten af dine platforme til datahåndtering
4. Test af social engineering
Social engineering adskiller sig fra andre testtyper, fordi den ikke fokuserer på systemernes eller applikationernes tekniske aspekter. I stedet flyttes fokus til brugernes og medarbejdernes psykologi, som utilsigtet kan kompromittere sikkerheden.
Der er to måder, du kan udføre penetrationstest af social engineering på: fjernbaseret eller fysisk.
Fjernbaseret test af social engineering udføres via elektroniske midler, såsom phishing-e-mails, der potentielt kan indeholde skadelig software. Hvis medarbejderne åbner e-mailen, kan det være en god idé for virksomheden at begynde at afholde sikkerhedskurser for at forebygge sådanne faktiske angreb.
Fysisk sikkerhedstest betyder, at man faktisk taler med mennesker og overtaler dem til at videregive følsomme oplysninger.
Jeg ved ikke med dig, men i løbet af de seneste år har tre af de virksomheder, jeg har arbejdet for, udført denne type tests. For eksempel modtog vi som medarbejdere e-mails, der hævdede, at vi havde vundet en præmie fra shoppingwebsteder eller fået særlige rabatter. E-mailsene opfordrede os til at klikke på et link eller downloade en fil. Under normale omstændigheder, når angrebet er ægte og ikke simuleret, indeholder URL'en eller de vedhæftede filer som regel skadelig software, der potentielt kan inficere computerne og stjæle personlige eller fortrolige data.
Du ville blive overrasket over, hvor mange mennesker der faktisk falder for den slags fælder, især når e-mailen ser ud til at komme fra en betroet kilde, såsom Amazon.
Husk, at ledelsen altid bør informeres på forhånd, når en sådan test gennemføres.
More Articles
5. Fysisk penetrationstest
Fysisk penetrationstest går videre end de digitale aspekter. For at udføre denne type test skal du vurdere, hvor let det er at opnå fysisk adgang til en facilitet. Det kan gøres ved at forsøge at omgå sikkerhedskontroller, sensorer og sikkerhedskameraer eller endda forsøge at dirke dørene op.
Fordelene ved fysisk test er umiddelbare — udbedring af eventuelle fundne sårbarheder kan iværksættes, så snart det område, der har behov for forbedring, er blevet identificeret.
6. Penetrationstest af trådløse netværk
Brud på trådløse netværk udgør en reel trussel mod en virksomheds sikkerhed. Testene udføres på alle fysiske trådløse enheder, såsom bærbare computere, tablets, smartphones osv., der er forbundet til WiFi-netværket.
Ved trådløs test skal man blandt andet se efter:
- svagheder i krypteringen
- sårbarheder i trådløse protokoller, trådløse adgangspunkter eller administratorlegitimationsoplysninger
- standardadgangskoder eller svage adgangskoder
- uautoriserede hotspots
- tjenestenægtelsesangreb (DoS)
Konklusioner
Penetrationstest er meget vigtigt og medfører mange fordele, men det er ikke lige så nemt at udføre som andre typer test. Hvis du vil øve dine færdigheder, kan du tage et kig på OWASP's demoprogram og deltage i nogle hackingudfordringer.
Fandt du denne artikel interessant? Du kan finde mange spændende QA-relaterede emner på The QA Lead, så husk at tilmelde dig nyhedsbrevet!
Se også:
- 5 VIGTIGSTE FASER I PROCESSEN FOR SÅRBARHEDSSTYRING
- SÅDAN AUTOMATISERER DU TEST AF MOBILAPPLIKATIONER
Relateret værktøjsliste:
