Penetrasjonstesting (også kalt pentesting) er en type sikkerhetstesting som har som mål å avdekke potensielle sårbarheter i et system.
En penetrasjonstest vil ikke bare rapportere eventuelle svakheter som blir funnet, men vil aktivt forsøke å utnytte dem gjennom det som kalles etisk hacking.
Hvorfor trenger vi penetrasjonstesting? Enhver angriper kan forstyrre eller få uautorisert tilgang til et system hvis det ikke er godt sikret. En sikkerhetsrisiko kan oppstå som følge av utilsiktede feil som gjøres under utviklings- og implementeringsfasene av programvaren.
Med penetrasjonstesting kan vi:
- finne svakheter og risikoer som kan føre til lekkasje av sensitive data
- forhindre phishing og cyberangrep
- opprettholde brukernes tillit ved å beskytte deres sensitive informasjon
- oppnå samsvar med standarder og forskrifter
I denne artikkelen skal jeg gå gjennom følgende emner:
- Metodikk for penetrasjonstesting
- 3 hovedtilnærminger til penetrasjonstesting
- Hva er hovedtypene av penetrasjonstesting?
Metodikk for penetrasjonstesting
Før penetrasjonstesting gjennomføres, identifiseres risikoene ved hjelp av en sårbarhetsvurdering. Dette betyr at det første man må gjøre, er å identifisere de potensielt problematiske områdene (for eksempel lagring av påloggingsopplysninger), og deretter forsøke å angripe dem aktivt.
Penetrasjonstesting bør rettes mot alle steder der sensitive data lagres, alle applikasjoner som lagrer eller samhandler med disse dataene, alle nettverkstilkoblinger og alle relevante tilgangspunkter. Penetrasjonstester forsøker å utnytte sikkerhetssårbarheter og svakheter ved å forsøke å trenge inn i nettverket og applikasjonene.
Målet med penetrasjonstesting er å avgjøre om ondsinnede angripere kan få uautorisert tilgang til kritiske systemer eller filer. Etter at disse sårbarhetsskanningene er gjennomført, bør eventuelle problemer som oppdages, håndteres og utbedres.
3 hovedtilnærminger til penetrasjonstesting
Akkurat som med alle typer og metoder for testing kan vi bruke ulike tilnærminger til penetrasjonstesting, avhengig av testerens kunnskap og tilgangsrettigheter. De viktigste tilnærmingene til penetrasjonstesting omfatter hvitboks-, svartboks- og gråbokstesting.
1. Hvitbokspenetrasjonstesting
Ved hvitbokspenetrasjonstesting har testerne full kunnskap om og full tilgang til systemet. Denne tilnærmingen muliggjør grundig testing og har potensial til å avdekke flere fjerntliggende og vanskeligere tilgjengelige sårbarheter.
Have an account? Log In
2. Svartbokspenetrasjonstesting
Svartbokspenetrasjonstesting er en tilnærming til penetrasjonstesting der testeren ikke har kunnskap om systemets indre funksjon. Testeren utformer penetrasjonstestene som en uvitende cyberangriper.
Denne tilnærmingen ligner mest på virkelige scenarier, der hackere ikke har tilgang til den faktiske kildekoden til applikasjonen eller systemet som testes.
3. Gråbokspenetrasjonstesting
Gråbokstesting er møtestedet mellom hvitboks- og svartbokstesting. Dette betyr at penetrasjonstesteren vil ha begrenset kunnskap om systemet.
La oss nå se nærmere på noen av de ulike typene penetrasjonstester.
Hva er hovedtypene av penetrasjonstesting?
1. Penetrasjonstesting av nettapplikasjoner
Penetrasjonstesting av nettsteder er vanligvis mer målrettet og mer detaljert enn andre typer penetrasjonstester. Hovedformålet er å finne svakheter og cybersikkerhetsrisikoer i nettsteder og komponentene deres, for eksempel databasene, kildekoden eller nettverket på serversiden.
Penetrasjonstesting av webapplikasjoner er spesielt viktig nå som det har vært en stor økning i nettkriminalitet på grunn av Covid-19-pandemien.
Noen av de vanligste sikkerhetssvakhetene en penetrasjonstester bør se etter i en webapplikasjon, omfatter:
- Ubeskyttede tilgangspunkter
- Svake passord
- SQL-injeksjonsangrep
- Kodeinjeksjon
- Skriptkjøring på tvers av nettsteder
- Datainnbrudd
- Fiskeangrep
2. Klientsidepenetrasjonstesting
Dette er en type testing som ser etter lokale trusler. Disse truslene kan komme fra apper eller programmer som kjører på de ansattes arbeidsstasjoner – nettlesere, mediespillere, åpen kildekode-apper, presentasjons- eller innholdsproduksjonsapper (for eksempel Microsoft PowerPoint).
I tillegg til tredjepartsapper kan interne programmer og rammeverk også forårsake sikkerhetstrusler, så sørg for å inkludere dem i testene.
3. Nettverkspenetrasjonstesting
Denne typen testing er en av de vanligste forespurte formene for penetrasjonstesting. Målet er å oppdage sårbarheter i nettverksinfrastrukturen.
Nettverk har både interne og eksterne tilgangspunkter, noe som kan gjøre dem sårbare for angrep fra nettkriminelle. De to underkategoriene for nettverkspenetrasjonstesting er: intern nettverkstesting og ekstern nettverkstesting.
Penetrasjonstesting av internt nettverk
Denne typen penetrasjonstesting starter med antakelsen om at hackerangrepene kommer fra innsiden av nettverket. Som penetrasjonstester påtar du deg rollen som en ondsinnet person med et visst nivå av (mer eller mindre) legitim tilgang til det interne nettverket.
Dette kan for eksempel innebære å analysere konsekvensene av at konfidensiell informasjon utilsiktet blir avslørt, endret, misbrukt eller ødelagt.
Penetrasjonstesting av eksternt nettverk
I dette tilfellet simuleres et scenario der angrepet kommer utenfra nettverket. Testerne vil forsøke å bryte seg inn i systemet ved å utnytte sårbarheter utenfra, noe som kan gi tilgang til interne data og systemer.
Penetrasjonstesting kan fokusere på følgende nettverkssikkerhetsrisikoer:
- Feilkonfigureringer av brannmurer
- Testing av rutere
- Testing av proxyservere
- DNS-kartlegging
- Skanning av åpne porter
- Nettverksdatabaser
- E-postservere
Ved gjennomføring av penetrasjonstester er det avgjørende også å kontrollere integriteten til plattformene for datahåndtering
4. Testing av sosial manipulering
Sosial manipulering skiller seg fra andre testingstyper fordi den ikke fokuserer på tekniske aspekter ved systemene eller applikasjonene. I stedet flyttes fokuset til psykologien hos brukerne og de ansatte, som utilsiktet kan sette sikkerheten i fare.
Det finnes to måter å gjennomføre penetrasjonstesting av sosial manipulering på: eksternt eller fysisk.
Ekstern testing av sosial manipulering gjennomføres ved hjelp av elektroniske metoder, for eksempel phishing-e-poster som kan inneholde skadevare. Hvis de ansatte åpner e-posten, kan det være en god idé for selskapet å begynne å gjennomføre sikkerhetsopplæring for å forhindre slike faktiske angrep.
Fysisk sikkerhetstesting innebærer faktisk å snakke med mennesker og overtale dem til å avsløre sensitiv informasjon.
Jeg vet ikke hvordan det er med deg, men i løpet av de siste årene har tre av selskapene jeg har jobbet for gjennomført denne typen tester. Vi ansatte mottok for eksempel e-poster som hevdet at vi hadde vunnet en premie fra shoppingnettsteder, eller at vi hadde fått spesielle rabatter. E-postene oppfordret oss til å klikke på en lenke eller laste ned en fil. Under normale omstendigheter, når angrepet er reelt og ikke simulert, inneholder URL-en eller vedleggene vanligvis skadevare som kan infisere datamaskinene og stjele personlige eller konfidensielle data.
Du ville blitt overrasket over hvor mange som faktisk går i slike feller, spesielt når e-posten ser ut til å komme fra en pålitelig kilde, for eksempel Amazon.
Vær oppmerksom på at ledelsen alltid bør informeres på forhånd når slik testing gjennomføres.
More Articles
5. Fysisk penetrasjonstesting
Fysisk penetrasjonstesting går utover de digitale aspektene. For å gjennomføre denne typen test må du vurdere hvor enkelt det kan være å få fysisk tilgang til et anlegg. Dette kan gjøres ved å forsøke å omgå sikkerhetskontroller, sensorer og sikkerhetskameraer, eller til og med forsøke å dirke opp dørene.
Fordelene med fysisk testing er umiddelbare – utbedring av eventuelle sårbarheter som blir funnet, kan iverksettes så snart området som trenger forbedring, er identifisert.
6. Trådløs penetrasjonstesting
Brudd på trådløse nettverk utgjør en reell trussel mot en virksomhets sikkerhet. Testene gjennomføres på alle fysiske trådløse enheter, for eksempel bærbare datamaskiner, nettbrett, smarttelefoner osv., som er koblet til WiFi-nettverket.
Dette bør du se etter når du gjennomfører trådløs testing, men listen er ikke uttømmende:
- svakheter i krypteringen
- sårbarheter i trådløse protokoller, trådløse tilgangspunkter eller administratorlegitimasjon
- standardpassord eller svake passord
- uautoriserte trådløse tilgangspunkter
- tjenestenektangrep (DoS)
Konklusjon
Penetrasjonstesting er svært viktig og har mange fordeler, men det er ikke like enkelt å gjennomføre som andre typer testing. Hvis du vil øve på ferdighetene dine, kan du ta en titt på OWASP sin demoapplikasjon og delta i noen hackingutfordringer.
Likte du denne artikkelen? Du finner mange interessante QA-relaterte emner på The QA Lead, så husk å abonnere på nyhetsbrevet!
Ta også en titt på:
- DE 5 VIKTIGSTE FASENE I SÅRBARHETSSTYRINGSPROSESSEN
- SLIK AUTOMATISERER DU TESTING AV MOBILAPPLIKASJONER
Relatert verktøyliste:
