Test di penetrazione - Metodo
Il test di penetrazione è una combinazione di tecniche che considera vari problemi dei sistemi e verifica, analizza e fornisce soluzioni. Si basa su una procedura strutturata che esegue test di penetrazione passo dopo passo.
Questo capitolo descrive i vari passaggi o fasi del metodo del test di penetrazione.
Fasi del metodo del test di penetrazione
Di seguito sono riportati i sette passaggi del test di penetrazione:
Pianificazione e preparazione
La pianificazione e la preparazione iniziano con la definizione degli scopi e degli obiettivi del test di penetrazione.
Il cliente e il tester definiscono congiuntamente gli obiettivi in modo che entrambe le parti abbiano gli stessi obiettivi e comprensione. Gli obiettivi comuni dei test di penetrazione sono:
- Identificare la vulnerabilità e migliorare la sicurezza dei sistemi tecnici.
- Avere la sicurezza IT confermata da una terza parte esterna.
- Aumentare la sicurezza dell'infrastruttura organizzativa / del personale.
Ricognizione
La ricognizione include un'analisi delle informazioni preliminari. Molte volte, un tester non ha molte informazioni oltre alle informazioni preliminari, ad esempio un indirizzo IP o un blocco di indirizzi IP. Il tester inizia analizzando le informazioni disponibili e, se necessario, le richieste di ulteriori informazioni come descrizioni del sistema, piani di rete, ecc. Dal cliente. Questo passaggio è il test di penetrazione passivo, una sorta di. L'unico obiettivo è ottenere un'informazione completa e dettagliata dei sistemi.
Scoperta
In questa fase, un penetration tester utilizzerà molto probabilmente gli strumenti automatizzati per eseguire la scansione delle risorse di destinazione per scoprire le vulnerabilità. Questi strumenti normalmente hanno i propri database che forniscono i dettagli delle ultime vulnerabilità. Tuttavia, il tester scopre
Network Discovery - Come il rilevamento di sistemi, server e altri dispositivi aggiuntivi.
Host Discovery - Determina le porte aperte su questi dispositivi.
Service Interrogation - Interroga le porte per scoprire i servizi effettivi in esecuzione su di esse.
Analisi di informazioni e rischi
In questa fase, il tester analizza e valuta le informazioni raccolte prima delle fasi del test per penetrare dinamicamente nel sistema. A causa del maggior numero di sistemi e delle dimensioni dell'infrastruttura, richiede molto tempo. Durante l'analisi, il tester considera i seguenti elementi:
Gli obiettivi definiti del penetration test.
I potenziali rischi per il sistema.
Il tempo stimato necessario per valutare potenziali falle di sicurezza per il successivo test di penetrazione attivo.
Tuttavia, dall'elenco dei sistemi identificati, il tester può scegliere di testare solo quelli che contengono potenziali vulnerabilità.
Tentativi di intrusione attivi
Questo è il passaggio più importante che deve essere eseguito con la dovuta cura. Questa fase implica la misura in cui le potenziali vulnerabilità identificate nella fase di scoperta possiedono i rischi effettivi. Questo passaggio deve essere eseguito quando è necessaria una verifica di potenziali vulnerabilità. Per quei sistemi che hanno requisiti di integrità molto elevati, la potenziale vulnerabilità e rischio deve essere attentamente considerato prima di eseguire procedure di pulizia critiche.
Analisi finale
Questo passaggio considera principalmente tutti i passaggi condotti (discussi sopra) fino a quel momento e una valutazione delle vulnerabilità presenti sotto forma di potenziali rischi. Inoltre, il tester consiglia di eliminare le vulnerabilità e i rischi. Soprattutto, il tester deve garantire la trasparenza dei test e delle vulnerabilità che ha rivelato.
Preparazione del rapporto
La preparazione del report deve iniziare con procedure di test complessive, seguite da un'analisi delle vulnerabilità e dei rischi. I rischi elevati e le vulnerabilità critiche devono avere priorità e quindi seguite dall'ordine inferiore.
Tuttavia, durante la documentazione del rapporto finale, è necessario considerare i seguenti punti:
- Riepilogo generale dei test di penetrazione.
- Dettagli di ogni passaggio e informazioni raccolte durante il test della penna.
- Dettagli di tutte le vulnerabilità e i rischi scoperti.
- Dettagli di pulizia e fissaggio dei sistemi.
- Suggerimenti per la sicurezza futura.