Turvatestimine: Läbistustestimise põhitõed

Tänapäeva omavahel ühendatud maailmas on küberturvalisus ülitähtis igas suuruses organisatsioonidele, olenemata nende geograafilisest asukohast. Andmelekked võivad kaasa tuua märkimisväärseid rahalisi kahjusid, mainekahju ja juriidilisi kohustusi. Läbistustestimine (sageli nimetatud ka pentestimiseks või eetiliseks häkkimiseks) on kriitiline turvameede, mis aitab organisatsioonidel ennetavalt tuvastada ja parandada haavatavusi, enne kui pahatahtlikud tegutsejad saavad neid ära kasutada. See juhend annab põhiteadmised läbistustestimisest, hõlmates selle põhikontseptsioone, metoodikaid, tööriistu ja parimaid praktikaid globaalsele publikule.

Mis on läbistustestimine?

Läbistustestimine on simuleeritud küberrünnak arvutisüsteemi, võrgu või veebirakenduse vastu, mis viiakse läbi turvanõrkuste tuvastamiseks, mida ründajad võiksid ära kasutada. Erinevalt haavatavuse hindamisest, mis keskendub peamiselt potentsiaalsete haavatavuste tuvastamisele, läheb läbistustestimine sammu võrra kaugemale, püüdes aktiivselt neid haavatavusi ära kasutada, et hinnata reaalset mõju. See on praktiline, käed-küljes lähenemine turvalisuse hindamisele.

Mõelge sellest kui eetiliste häkkerite meeskonna palkamisest, kes proovivad teie süsteemidesse sisse murda, kuid teie loal ja kontrollitud tingimustes. Eesmärk on avastada turvavigu ja pakkuda teostatavaid soovitusi nende parandamiseks.

Miks on läbistustestimine oluline?

Haavatavuste tuvastamine: Pentestimine aitab avastada turvavigu, mis võivad jääda märkamatuks automatiseeritud skaneerimisvahendite või standardsete turvameetmete puhul.
Reaalse riski hindamine: See demonstreerib haavatavuste tegelikku mõju, simuleerides reaalseid rünnakustsenaariume.
Turvaolukorra parandamine: See pakub teostatavaid soovitusi haavatavuste parandamiseks ja turvameetmete tugevdamiseks.
Vastavusnõuete täitmine: Paljud regulatiivsed raamistikud ja tööstusstandardid, nagu PCI DSS, GDPR, HIPAA ja ISO 27001, nõuavad regulaarset läbistustestimist.
Turvateadlikkuse suurendamine: See aitab tõsta töötajate teadlikkust turvariskidest ja parimatest praktikatest.
Maine kaitsmine: Ennetavalt haavatavusi tuvastades ja parandades saavad organisatsioonid vältida andmelekkeid ja kaitsta oma mainet.

Läbistustestimise tüübid

Läbistustestimist saab liigitada ulatuse, sihtmärgi ja testijatele antud teabe taseme alusel.

1. Musta kasti testimine

Musta kasti testimisel ei ole testijatel eelnevaid teadmisi sihtsüsteemi või võrgu kohta. Nad peavad sihtmärgi kohta teabe kogumiseks ja potentsiaalsete haavatavuste tuvastamiseks tuginema avalikult kättesaadavale teabele ja luuretehnikatele. See lähenemine simuleerib reaalset rünnakustsenaariumi, kus ründajal puuduvad siseringi teadmised.

Näide: Läbistustestija palgatakse hindama veebirakenduse turvalisust, ilma et talle antaks lähtekoodi, mandaate või võrguskeeme. Testija peab alustama nullist ja kasutama haavatavuste tuvastamiseks erinevaid tehnikaid.

2. Valge kasti testimine

Valge kasti testimisel on testijatel täielikud teadmised sihtsüsteemist, sealhulgas lähtekoodist, võrguskeemidest ja mandaatidest. See lähenemine võimaldab süsteemi turvalisuse põhjalikumat ja sügavamat hindamist. Valge kasti testimist kasutatakse sageli haavatavuste tuvastamiseks, mida musta kasti tehnikatega oleks raske avastada.

Näide: Läbistustestijale antakse veebirakenduse lähtekood ja palutakse tuvastada potentsiaalsed haavatavused, näiteks SQL-süstimise vead või saidiülese skriptimise (XSS) haavatavused.

3. Halli kasti testimine

Halli kasti testimine on hübriidne lähenemine, mis ühendab nii musta kui ka valge kasti testimise elemente. Testijatel on sihtsüsteemi kohta mõningaid teadmisi, näiteks võrguskeemid või kasutajamandaadid, kuid neil pole täielikku juurdepääsu lähtekoodile. See lähenemine võimaldab süsteemi turvalisuse fokusseeritumat ja tõhusamat hindamist.

Näide: Läbistustestijale antakse veebirakenduse kasutajamandaadid ja palutakse tuvastada haavatavused, mida autentitud kasutaja võiks ära kasutada.

4. Muud tüüpi läbistustestimised

Lisaks ülaltoodud kategooriatele võib läbistustestimist liigitada ka sihtsüsteemi alusel:

Võrgu läbistustestimine: Keskendub võrgu infrastruktuuri, sealhulgas tulemüüride, ruuterite, lülitite ja serverite turvalisuse hindamisele.
Veebirakenduste läbistustestimine: Keskendub veebirakenduste turvalisuse hindamisele, sealhulgas haavatavuste, nagu SQL-süstimise, XSS-i ja CSRF-i tuvastamisele.
Mobiilirakenduste läbistustestimine: Keskendub mobiilirakenduste turvalisuse hindamisele, sealhulgas haavatavuste, nagu ebaturvalise andmesalvestuse, ebapiisava autentimise ja ebaturvalise suhtluse tuvastamisele.
Traadita võrgu läbistustestimine: Keskendub traadita võrkude turvalisuse hindamisele, sealhulgas haavatavuste, nagu nõrga krüpteerimise, volitamata pääsupunktide ja vahendusrünnakute (man-in-the-middle) tuvastamisele.
Pilve läbistustestimine: Keskendub pilvekeskkondade turvalisuse hindamisele, sealhulgas haavatavuste tuvastamisele, mis on seotud valekonfiguratsioonide, ebaturvaliste API-de ja andmeleketega.
Sotsiaalse insenerluse testimine: Keskendub töötajate haavatavuse hindamisele sotsiaalse insenerluse rünnakutele, nagu õngitsemine ja ettekäänete loomine (pretexting).
Asjade interneti (IoT) läbistustestimine: Keskendub IoT seadmete ja nendega seotud infrastruktuuri turvalisuse hindamisele.

Läbistustestimise metoodikad

Mitmed väljakujunenud metoodikad pakuvad struktureeritud lähenemist läbistustestimisele. Siin on mõned kõige sagedamini kasutatavad:

1. Läbistustestimise teostamise standard (PTES)

PTES on põhjalik raamistik, mis pakub üksikasjalikku juhendit läbistustestimise läbiviimiseks. See hõlmab kõiki läbistustestimise protsessi etappe, alates testimiseelsest suhtlusest kuni aruandluse ja testimisjärgsete tegevusteni. PTES-i metoodika koosneb seitsmest peamisest faasist:

Testimiseelne suhtlus: Läbistustesti ulatuse, eesmärkide ja reeglite määratlemine.
Teabe kogumine: Sihtsüsteemi kohta teabe kogumine, sealhulgas võrgu infrastruktuur, veebirakendused ja töötajad.
Ohumodelleerimine: Kogutud teabe põhjal potentsiaalsete ohtude ja haavatavuste tuvastamine.
Haavatavuse analüüs: Haavatavuste tuvastamine ja kontrollimine automatiseeritud skaneerimisvahendite ja manuaalsete tehnikate abil.
Ärakasutamine: Tuvastatud haavatavuste ärakasutamise katse sihtsüsteemile juurdepääsu saamiseks.
Ärakasutamisjärgne tegevus: Juurdepääsu säilitamine sihtsüsteemile ja täiendava teabe kogumine.
Aruandlus: Läbistustesti tulemuste dokumenteerimine ja soovituste andmine parandamiseks.

2. Avatud lähtekoodiga turvatestimise metoodika käsiraamat (OSSTMM)

OSSTMM on veel üks laialdaselt kasutatav metoodika, mis pakub põhjalikku raamistikku turvatestimiseks. See keskendub erinevatele turvalisuse aspektidele, sealhulgas infoturve, protsessiturve, internetiturve, sidetehnika turve, traadita võrgu turve ja füüsiline turve. OSSTMM on tuntud oma range ja üksikasjaliku lähenemise poolest turvatestimisele.

3. NIST küberturvalisuse raamistik

NIST küberturvalisuse raamistik on laialt tunnustatud raamistik, mille on välja töötanud Ameerika Ühendriikide Riiklik Standardite ja Tehnoloogia Instituut (NIST). Kuigi see ei ole rangelt võttes läbistustestimise metoodika, pakub see väärtuslikku raamistikku küberturbe riskide haldamiseks ja seda saab kasutada läbistustestimise suunamiseks. NIST küberturvalisuse raamistik koosneb viiest põhifunktsioonist:

Tuvastamine: Organisatsiooni küberturbe riskide mõistmise arendamine.
Kaitsmine: Kaitsemeetmete rakendamine kriitiliste varade ja andmete kaitsmiseks.
Avastamine: Mehhanismide rakendamine küberturbe intsidentide avastamiseks.
Reageerimine: Plaani väljatöötamine ja rakendamine küberturbe intsidentidele reageerimiseks.
Taastamine: Plaani väljatöötamine ja rakendamine küberturbe intsidentidest taastumiseks.

4. OWASP (Open Web Application Security Project) testimisjuhend

OWASP testimisjuhend on põhjalik ressurss veebirakenduste turvalisuse testimiseks. See pakub üksikasjalikke juhiseid erinevate testimistehnikate ja tööriistade kohta, hõlmates teemasid nagu autentimine, autoriseerimine, seansihaldus, sisendi valideerimine ja veakäsitlus. OWASP testimisjuhend on eriti kasulik veebirakenduste läbistustestimisel.

5. CREST (Eetiliste turvatestijate registreeritud nõukogu)

CREST on rahvusvaheline akrediteerimisasutus organisatsioonidele, mis pakuvad läbistustestimise teenuseid. CREST pakub eetilise ja professionaalse käitumise raamistikku läbistustestijatele ning tagab, et selle liikmed vastavad rangetele pädevuse ja kvaliteedi standarditele. CREST-akrediteeritud teenusepakkuja kasutamine võib anda kindluse, et läbistustest viiakse läbi kõrgel tasemel.

Läbistustestimise tööriistad

Läbistustestijate abistamiseks haavatavuste tuvastamisel ja ärakasutamisel on saadaval arvukalt tööriistu. Neid tööriistu saab laias laastus liigitada järgmiselt:

Haavatavuse skannerid: Automatiseeritud tööriistad, mis skannivad süsteeme ja võrke teadaolevate haavatavuste suhtes (nt Nessus, OpenVAS, Qualys).
Veebirakenduste skannerid: Automatiseeritud tööriistad, mis skannivad veebirakendusi haavatavuste suhtes (nt Burp Suite, OWASP ZAP, Acunetix).
Võrguliikluse pealtkuulajad (snifferid): Tööriistad, mis püüavad ja analüüsivad võrguliiklust (nt Wireshark, tcpdump).
Ärakasutamise raamistikud: Tööriistad, mis pakuvad raamistikku turvaaukude ärakasutamise koodi (exploit'ide) arendamiseks ja käivitamiseks (nt Metasploit, Core Impact).
Paroolide murdmise tööriistad: Tööriistad, mis üritavad paroole murda (nt John the Ripper, Hashcat).
Sotsiaalse insenerluse tööriistakomplektid: Tööriistad, mis aitavad läbi viia sotsiaalse insenerluse rünnakuid (nt SET).

Oluline on märkida, et nende tööriistade kasutamine nõuab asjatundlikkust ja eetiliste kaalutluste arvestamist. Ebaõige kasutamine võib põhjustada soovimatuid tagajärgi või juriidilisi kohustusi.

Läbistustestimise protsess: samm-sammuline juhend

Kuigi konkreetsed sammud võivad varieeruda sõltuvalt valitud metoodikast ja testimise ulatusest, hõlmab tüüpiline läbistustestimise protsess üldiselt järgmisi etappe:

1. Planeerimine ja ulatuse määratlemine

Algfaas hõlmab läbistustesti ulatuse, eesmärkide ja reeglite määratlemist. See hõlmab sihtsüsteemide tuvastamist, läbiviidavate testide tüüpide kindlaksmääramist ning piirangute või kitsenduste arvestamist. Oluline on märkida, et enne testimise alustamist on hädavajalik kliendi *kirjalik* luba. See kaitseb testijaid juriidiliselt ja tagab, et klient mõistab ja kiidab heaks läbiviidavad tegevused.

Näide: Ettevõte soovib hinnata oma e-kaubanduse veebisaidi turvalisust. Läbistustesti ulatus on piiratud veebisaidi ja sellega seotud andmebaasiserveritega. Reeglid täpsustavad, et testijatel ei ole lubatud läbi viia teenusetõkestamise rünnakuid ega üritada juurde pääseda tundlikele kliendiandmetele.

2. Teabe kogumine (Luure)

See faas hõlmab võimalikult palju teabe kogumist sihtsüsteemi kohta. See võib hõlmata võrgu infrastruktuuri, veebirakenduste, operatsioonisüsteemide, tarkvaraversioonide ja kasutajakontode tuvastamist. Teabe kogumist saab teha erinevate tehnikate abil, näiteks:

Avatud lähtekoodiga luure (OSINT): Teabe kogumine avalikult kättesaadavatest allikatest, nagu otsingumootorid, sotsiaalmeedia ja ettevõtete veebisaidid.
Võrgu skaneerimine: Tööriistade, nagu Nmap, kasutamine avatud portide, töötavate teenuste ja operatsioonisüsteemide tuvastamiseks.
Veebirakenduste indekseerimine: Tööriistade, nagu Burp Suite või OWASP ZAP, kasutamine veebirakenduste läbikäimiseks ning lehtede, vormide ja parameetrite tuvastamiseks.

Näide: Shodani kasutamine sihtettevõttega seotud avalikult ligipääsetavate veebikaamerate tuvastamiseks või LinkedIni kasutamine töötajate ja nende rollide tuvastamiseks.

3. Haavatavuse skaneerimine ja analüüs

See faas hõlmab automatiseeritud skaneerimisvahendite ja manuaalsete tehnikate kasutamist potentsiaalsete haavatavuste tuvastamiseks sihtsüsteemis. Haavatavuse skannerid suudavad tuvastada teadaolevaid haavatavusi signatuuride andmebaasi põhjal. Manuaalsed tehnikad hõlmavad süsteemi konfiguratsiooni, koodi ja käitumise analüüsimist potentsiaalsete nõrkuste tuvastamiseks.

Näide: Nessuse käitamine võrgusegmendi vastu, et tuvastada vananenud tarkvaraga servereid või valesti konfigureeritud tulemüüre. Veebirakenduse lähtekoodi manuaalne ülevaatamine potentsiaalsete SQL-süstimise haavatavuste tuvastamiseks.

4. Ärakasutamine

See faas hõlmab tuvastatud haavatavuste ärakasutamise katsetamist sihtsüsteemile juurdepääsu saamiseks. Ärakasutamist saab teha erinevate tehnikate abil, näiteks:

Exploit'i arendamine: Kohandatud exploit'ide arendamine konkreetsete haavatavuste jaoks.
Olemasolevate exploit'ide kasutamine: Eelehitatud exploit'ide kasutamine exploit'ide andmebaasidest või raamistikest nagu Metasploit.
Sotsiaalne insenerlus: Töötajate petmine tundliku teabe andmiseks või süsteemile juurdepääsu andmiseks.

Näide: Metasploiti kasutamine teadaoleva haavatavuse ärakasutamiseks veebiserveri tarkvaras, et saavutada koodi kaugkäivitamine. Õngitsuskirja saatmine töötajale, et teda petta oma parooli avaldama.

5. Ärakasutamisjärgne tegevus

Kui sihtsüsteemile on juurdepääs saadud, hõlmab see faas täiendava teabe kogumist, juurdepääsu säilitamist ja potentsiaalselt privileegide laiendamist. See võib hõlmata:

Privileegide laiendamine: Katsed saada süsteemis kõrgema taseme privileege, näiteks juurkasutaja (root) või administraatori juurdepääsu.
Andmete väljaviimine: Tundlike andmete kopeerimine süsteemist.
Tagaukse paigaldamine: Püsivate juurdepääsumehhanismide paigaldamine, et säilitada juurdepääs süsteemile ka tulevikus.
Pöörlemine (Pivoting): Ohustatud süsteemi kasutamine lähtepunktina teiste võrgus olevate süsteemide ründamiseks.

Näide: Privileegide laiendamise exploit'i kasutamine juurkasutaja juurdepääsu saamiseks ohustatud serveris. Kliendiandmete kopeerimine andmebaasiserverist. Tagaukse paigaldamine veebiserverile, et säilitada juurdepääs ka pärast haavatavuse parandamist.

6. Aruandlus

Viimane faas hõlmab läbistustesti tulemuste dokumenteerimist ja parandussoovituste andmist. Aruanne peaks sisaldama tuvastatud haavatavuste üksikasjalikku kirjeldust, nende ärakasutamiseks astutud samme ja haavatavuste mõju. Aruanne peaks pakkuma ka teostatavaid soovitusi haavatavuste parandamiseks ja organisatsiooni üldise turvaolukorra parandamiseks. Aruanne peaks olema kohandatud sihtrühmale, sisaldades tehnilisi üksikasju arendajatele ja juhtkonna kokkuvõtteid juhtidele. Kaaluge riskiskoori (nt kasutades CVSS-i) lisamist, et seada parandustööd tähtsuse järjekorda.

Näide: Läbistustesti aruanne tuvastab SQL-süstimise haavatavuse veebirakenduses, mis võimaldab ründajal pääseda ligi tundlikele kliendiandmetele. Aruanne soovitab veebirakendust paigata, et vältida SQL-süstimise rünnakuid, ja rakendada sisendi valideerimist, et vältida pahatahtlike andmete sisestamist andmebaasi.

7. Parandamine ja kordustestimine

See (sageli tähelepanuta jäetud) kriitiline viimane samm hõlmab organisatsiooni poolt tuvastatud haavatavuste parandamist. Kui haavatavused on paigatud või leevendatud, peaks läbistustestimise meeskond läbi viima kordustesti, et kontrollida parandusmeetmete tõhusust. See tagab, et haavatavused on korralikult parandatud ja et süsteem ei ole enam rünnakule vastuvõtlik.

Eetilised kaalutlused ja juriidilised küsimused

Läbistustestimine hõlmab juurdepääsu arvutisüsteemidele ja nende potentsiaalset kahjustamist. Seetõttu on ülioluline järgida eetilisi juhiseid ja juriidilisi nõudeid. Peamised kaalutlused hõlmavad:

Selgesõnalise loa saamine: Alati tuleb saada organisatsioonilt kirjalik luba enne mis tahes läbistustestimise tegevuste läbiviimist. See luba peaks selgelt määratlema testi ulatuse, eesmärgid ja piirangud.
Konfidentsiaalsus: Käsitleda kogu läbistustesti käigus saadud teavet konfidentsiaalsena ja mitte avaldada seda volitamata osapooltele.
Andmekaitse: Järgida kõiki kohaldatavaid andmekaitseseadusi, nagu GDPR, tundlike andmete käsitlemisel läbistustesti ajal.
Kahju vältimine: Võtta ettevaatusabinõusid, et vältida sihtsüsteemi kahjustamist läbistustesti ajal. See hõlmab teenusetõkestamise rünnakute vältimist ja hoolikat andmete rikkumise vältimist.
Läbipaistvus: Olla organisatsiooniga läbipaistev läbistustesti tulemuste osas ja pakkuda neile teostatavaid soovitusi parandamiseks.
Kohalikud seadused: Olla teadlik ja järgida selle jurisdiktsiooni seadusi, kus testimine toimub, kuna küberseadused on globaalselt väga erinevad. Mõnedes riikides on turvatestimise kohta rangemad eeskirjad kui teistes.

Läbistustestijate oskused ja sertifikaadid

Et saada edukaks läbistustestijaks, on vaja kombinatsiooni tehnilistest oskustest, analüütilistest võimetest ja eetilisest teadlikkusest. Olulised oskused hõlmavad:

Võrgunduse alused: Tugev arusaam võrguprotokollidest, TCP/IP-st ja võrguturbe kontseptsioonidest.
Operatsioonisüsteemide tundmine: Sügavad teadmised erinevatest operatsioonisüsteemidest, nagu Windows, Linux ja macOS.
Veebirakenduste turvalisus: Levinud veebirakenduste haavatavuste, nagu SQL-süstimise, XSS-i ja CSRF-i mõistmine.
Programmeerimisoskused: Vilumus skriptikeeltes, nagu Python, ja programmeerimiskeeltes, nagu Java või C++.
Turvatööriistad: Tundmine erinevate turvatööriistadega, nagu haavatavuse skannerid, veebirakenduste skannerid ja ärakasutamise raamistikud.
Probleemide lahendamise oskused: Võime kriitiliselt mõelda, probleeme analüüsida ja loovaid lahendusi välja töötada.
Suhtlemisoskused: Võime edastada tehnilist teavet selgelt ja lühidalt, nii suuliselt kui ka kirjalikult.

Asjakohased sertifikaadid võivad demonstreerida teie oskusi ja teadmisi potentsiaalsetele tööandjatele või klientidele. Mõned populaarsed sertifikaadid läbistustestijatele hõlmavad:

Certified Ethical Hacker (CEH): Laialdaselt tunnustatud sertifikaat, mis hõlmab laia valikut eetilise häkkimise teemasid.
Offensive Security Certified Professional (OSCP): Väljakutsuv ja praktiline sertifikaat, mis keskendub läbistustestimise oskustele.
Certified Information Systems Security Professional (CISSP): Ülemaailmselt tunnustatud sertifikaat, mis hõlmab laia valikut infoturbe teemasid. Kuigi see ei ole rangelt pentestimise sertifikaat, näitab see laiemat turvalisuse mõistmist.
CREST sertifikaadid: Rida sertifikaate, mida pakub CREST, kattes läbistustestimise erinevaid aspekte.

Läbistustestimise tulevik

Läbistustestimise valdkond areneb pidevalt, et pidada sammu esilekerkivate tehnoloogiate ja arenevate ohtudega. Mõned peamised suundumused, mis kujundavad läbistustestimise tulevikku, on järgmised:

Automatiseerimine: Automatiseerimise suurenenud kasutamine läbistustestimise protsessi sujuvamaks muutmiseks ja tõhususe parandamiseks. Automatiseerimine ei asenda siiski vajadust oskuslike inimtestijate järele, kes suudavad loovalt mõelda ja kohaneda uute olukordadega.
Pilveturve: Kasvav nõudlus läbistustestimise teenuste järele, mis keskenduvad pilvekeskkondadele. Pilvekeskkonnad esitavad ainulaadseid turvaprobleeme, mis nõuavad erialaseid teadmisi.
Asjade interneti (IoT) turvalisus: Suurenev keskendumine IoT seadmete ja nendega seotud infrastruktuuri turvalisusele. IoT seadmed on sageli rünnakutele haavatavad ja neid saab kasutada võrkude kompromiteerimiseks ja andmete varastamiseks.
Tehisintellekt ja masinõpe: Tehisintellekti ja masinõppe kasutamine läbistustestimise võimekuse parandamiseks. Tehisintellekti saab kasutada haavatavuste avastamise automatiseerimiseks, parandustööde prioritiseerimiseks ja läbistustestimise tulemuste täpsuse parandamiseks.
DevSecOps: Turvatestimise integreerimine tarkvara arendustsüklisse. DevSecOps edendab koostööd arendus-, turva- ja operatsioonimeeskondade vahel turvalisema tarkvara loomiseks.
Suurenenud regulatsioon: Oodata on rangemaid andmekaitse- ja küberturvalisuse eeskirju kogu maailmas, mis suurendab nõudlust läbistustestimise järele kui vastavusnõude täitmise vahendile.

Kokkuvõte

Läbistustestimine on oluline turvameede organisatsioonidele üle maailma. Ennetavalt haavatavusi tuvastades ja parandades saavad organisatsioonid kaitsta oma andmeid, mainet ja majandustulemusi. See juhend on andnud põhiteadmised läbistustestimisest, hõlmates selle põhikontseptsioone, metoodikaid, tööriistu ja parimaid praktikaid. Kuna ohumaastik areneb pidevalt, on organisatsioonidel ülioluline investeerida läbistustestimisse ja püsida arenguga kursis. Pidage meeles, et läbistustestimise tegevuste läbiviimisel tuleb alati esikohale seada eetilised kaalutlused ja juriidilised nõuded.