Μενού

Εκτίμηση ευπάθειας και διαφορά δοκιμής διείσδυσης

  • Κύριος
  • Αλλα
  • Εκτίμηση ευπάθειας και διαφορά δοκιμής διείσδυσης

vulnerability assessment

Δοκιμάστε Το Όργανο Μας Για Την Εξάλειψη Των Προβλημάτων

Δοκιμή διείσδυσης έναντι σάρωσης ευπάθειας:

Κατά καιρούς, έχω δει τους δοκιμαστές και τους ιδιοκτήτες επιχειρήσεων να κάνουν λάθος να κατανοήσουν τη βασική ιδέα πίσω από τη δοκιμή διείσδυσης και τη σάρωση ευπάθειας.

Και οι δύο συχνά συγχέονται με τις ίδιες υπηρεσίες. Όταν η επιχείρηση δεν είναι σε θέση να αποφασίσει αν θα πάει για δοκιμή διείσδυσης ή δοκιμή ευπάθειας. Είναι ο έλεγχος διείσδυσης ίδιος με τον έλεγχο ευπάθειας ή είναι διαφορετικοί; Εάν είναι διαφορετικά τότε σχετίζονται; Ποιο να διαλέξετε - Δοκιμή διείσδυσης ή δοκιμής ευπάθειας ;

Θα προσπαθήσουμε να βρούμε τις απαντήσεις σε όλες τις παραπάνω ερωτήσεις σε αυτό το σεμινάριο.

Δοκιμή διείσδυσης έναντι σάρωσης ευπάθειας

Τι θα μάθετε:

Εισαγωγή

Καταρχάς, θα ήθελα να διαβάσετε πέντε προτάσεις:

  • Οι μπανάνες αναπτύσσονται σε ένα δέντρο.
  • Ένας φυσιολογικός άνθρωπος χρησιμοποιεί μόνο το 10% του εγκεφάλου του.
  • Το σπάσιμο των αρθρώσεων σας προκαλεί αρθρίτιδα στα γηρατειά.
  • Τα ρόπαλα είναι τυφλά.
  • Η δοκιμή διείσδυσης είναι ίδια με αυτή της σάρωσης ευπάθειας.

Μπορείτε να μαντέψετε ένα κοινό πράγμα μεταξύ όλων των παραπάνω δηλώσεων; Όλοι είναι μύθοι. Ναι, σωστά. Όλοι είναι πράγματι μύθοι.

Ωστόσο, σε αυτό το σεμινάριο του δικού μας, δεν ασχολούμαστε ούτε για τις μπανάνες ούτε για τα νυχτερίδες. Το μόνο που μας ενδιαφέρει είναι να συγκρίνουμε τις δοκιμές διείσδυσης με τη σάρωση ευπάθειας. Για να μάθουμε περισσότερα για τη σύγκριση ή για να αποδείξουμε ότι η δήλωση είναι μύθος, θα αναλύσουμε πρώτα τη δοκιμή διείσδυσης και τη σάρωση ευπάθειας ξεχωριστά.

Εισαγωγή δοκιμών διείσδυσης

Εν συντομία, ένα τεστ διείσδυσης είναι επίσης γνωστό ως «Δοκιμή πένας». Αυτό το είδος δοκιμής γίνεται σε ένα σύστημα για να βρει έναν τρόπο στο σύστημα. Αυτό μπορεί να εκθέσει τα σημαντικά δεδομένα που αποθηκεύονται από το σύστημα στον έξω κόσμο.

Γενικά, ο στόχος δοκιμής διείσδυσης μπορεί να είναι Τύπος λευκού κουτιού ή τύπου μαύρου κουτιού .

Δοκιμή διείσδυσης μαύρου κουτιού:

Συνήθως, στον ελεγκτή δεν παρέχονται λεπτομέρειες του συστήματος εκτός από το όνομα. Αυτό μοιάζει πολύ με τις πραγματικές παραβιάσεις, όπου ο εισβολέας δεν γνωρίζει τίποτα άλλο εκτός από το όνομα της εφαρμογής.

Η δοκιμή μαύρου κουτιού επαναλαμβάνει τις πραγματικές συνθήκες και δεν είναι χρονοβόρα. Ωστόσο, λόγω άγνωστων περιοχών που σχετίζονται με τον πηγαίο κώδικα και την υποδομή, υπάρχει πάντα η πιθανότητα απώλειας τμημάτων του συστήματος.

Δοκιμή διείσδυσης λευκού κουτιού:

Σε αυτήν τη διαδικασία, όλα τα απαραίτητα δεδομένα που σχετίζονται με το σύστημα που πρέπει να υποβληθούν σε δοκιμή διείσδυσης παρέχονται στον Tester.

Τα δεδομένα μπορεί να είναι αρχιτεκτονική δικτύου, διαμορφώσεις συστήματος, πηγαίοι κώδικες κ.λπ. Αυτή είναι μια πιο μακροχρόνια διαδικασία από αυτήν της δοκιμής τύπου Black Box Pen. Αυτή είναι μια διεξοδική διαδικασία και έχει μια βαθύτερη κάλυψη σε σύγκριση με τον τύπο Black box.

Η δοκιμή πένας πραγματοποιείται πάντα με την άδεια / αίτημα από τον πελάτη. Η εκτέλεση δοκιμών πένας σε έναν ιστότοπο χωρίς τη συγκατάθεση του κατόχου είναι παράνομη και μπορεί να χαρακτηριστεί ως εισβολή.

Μέχρι τώρα, γνωρίζουμε τι είναι ο έλεγχος διείσδυσης και είναι καιρός να μάθουμε τον λόγο για τον οποίο οι οργανισμοί το επιλέγουν. Λέγεται, καλύτερα να είσαι ασφαλής παρά να λυπάσαι. Η δοκιμή πένας κάνει μια αρχιτεκτονική ισχυρότερη και ανθεκτική στις επιθέσεις.

Εισαγωγή ευπάθειας ευπάθειας

Μια σάρωση ευπάθειας χρησιμοποιείται για να ανακαλυφθούν τα τρωτά σημεία / αδυναμία σε ένα σύστημα. Αυτή η εργασία εκτελείται εκτελώντας μια εφαρμογή (που ονομάζεται σαρωτής ευπάθειας) στον υπολογιστή προορισμού. Αυτές οι εφαρμογές ή οι σαρωτές μπορούν να εκτελεστούν απευθείας στον υπολογιστή-στόχο ή από μια τοποθεσία δικτύου.

Η τοποθεσία του δικτύου έρχεται σε εικόνα για μεγαλύτερους οργανισμούς, ενώ δεν είναι εφικτή η εκτέλεση του σαρωτή στους τοπικούς υπολογιστές όλη την ώρα.

Τώρα, Πώς ξέρετε ποιος σαρωτής μπορεί να λειτουργήσει για την εφαρμογή σας; Η απάντηση είναι πολύ απλή. Δηλαδή, οι σαρωτές ευπάθειας δεν χρησιμοποιούν σχεδόν καθόλου τις λεπτομέρειες / παραμέτρους του συστήματος κατά τη σάρωση.

Το μόνο που χρειάζονται είναι η IP του συστήματος. Μόνο με την IP, ένας σαρωτής ευπάθειας μπορεί να ανακαλύψει τα πιθανά μέρη όπου μπορεί να εκτελεστεί μια επίθεση στο σύστημα.

Υπάρχουν καταστάσεις όπου μια εταιρεία διαθέτει Intranet και δεν εκτίθενται όλοι οι υπολογιστές στον κόσμο του Διαδικτύου. Σε αυτήν την περίπτωση, ο σαρωτής ευπάθειας πρέπει να εκτελείται από το Intranet μέσω του οποίου μπορεί να εντοπιστεί η σάρωση τόσο για εσωτερικές ευπάθειες όσο και για εξωτερικές ευπάθειες.

Μόλις ολοκληρωθεί μια δοκιμή / σάρωση, ο σαρωτής βοηθά στη λήψη μιας αναφοράς που εμφανίζει όλες τις πιθανές ευπάθειες. Η αναφορά που δημιουργήθηκε έχει διάφορα δεδομένα σχετικά με τις ευπάθειες που περιέχει.

Τα δεδομένα κυμαίνονται από, τα στατιστικά στοιχεία του διακομιστή (βάσει ευρετηρίου ευπάθειας), την κατάσταση διαφορετικών υπηρεσιών που εκτελούνται σε διαφορετικούς διακομιστές, την κατάσταση των ευπαθειών που εντοπίστηκαν με βάση το επίπεδο σοβαρότητάς τους.

Μόλις δημιουργηθεί μια αναφορά, πρέπει να αναλυθεί για να μάθει την πραγματική κατάσταση. Όχι όλη την ώρα, οι ευπάθειες που βρέθηκαν είναι τόσο σοβαρές. Μπορεί να υπάρχουν περιπτώσεις, όπου ο σαρωτής θα τραβήξει το όνομα μόνο και μόνο επειδή τα δεδομένα που αναμενόταν δεν ταιριάζουν με την έξοδο. Ωστόσο, αυτό μπορεί να μην είναι πραγματικό τρωτό.

Αυτός είναι ο λόγος για τον οποίο πρέπει να γίνει περαιτέρω ανάλυση σε μια αναφορά σάρωσης ευπάθειας για να διαπιστωθεί εάν η ευπάθεια που βρέθηκε είναι σωστή ή όχι.

Δοκιμή διείσδυσης έναντι σάρωσης ευπάθειας

Γνωρίζουμε τώρα τι είναι μια διαδικασία δοκιμής διείσδυσης και τι είναι η σάρωση ευπάθειας.

Τώρα προχωρώντας με μια σύγκρουση μεταξύ των δύο γιγάντων θα ήταν διασκεδαστική.

Δοκιμή διείσδυσης έναντι σάρωσης ευπάθειας

Παράδειγμα:

Θα πάρουμε ένα πραγματικό παράδειγμα για να κατανοήσουμε τη διαφορά μεταξύ των δύο.

Ας πάρουμε τον κ. Χ για παράδειγμα. Ο κ. Χ είναι ειδικός της ληστείας. Θα τηρήσουμε το σχέδιό του για την επόμενη κλοπή του. Σκοπεύει να ληστεύσει μια Τράπεζα που βρίσκεται στο κέντρο της πόλης.

Το κτίριο της Τράπεζας περιβάλλεται από αστυνομικό τμήμα, πυροσβεστικό σταθμό, δημόσιο πάρκο (που παραμένει κλειστό το βράδυ) και λίμνη. Το κτήριο τράπεζας είναι ένα κτήριο 20 ορόφων με ένα ελικοδρόμιο στην κορυφή του. Πριν πραγματικά λεηλατήσει την τράπεζα, πρέπει να βρει τα πιθανά σημεία εισόδου στο κτίριο της Τράπεζας.

Είναι αδύνατο να παραβιαστούν οι πλευρές του κτηρίου που διαθέτει αστυνομικό τμήμα και πυροσβεστικό σταθμό. Λειτουργούν 24Χ7 και ποιος θα τολμούσε να κλέψει μια τράπεζα χρησιμοποιώντας το κρησφύγετο της Cop ως σημείο εισόδου! Αυτό αφήνει τον κ. Χ με 3 άλλες επιλογές. Ναι, το έχετε καταφέρει σωστά. Έχει επίσης το Roof ως σημείο εισόδου (Θυμηθείτε τον Heath Ledger από το Batman Trilogy;).

Το Rooftop φαίνεται να είναι μια περίεργη επιλογή εδώ, καθώς το κτίριο είναι μόνο 20 ορόφους και οι πιθανότητες να πιάσουν άτομα γύρω σας είναι πολύ υψηλές. Και, η Τράπεζα είναι το μοναδικό πολυώροφο κτίριο που στέκεται στην περιοχή. Έτσι, αυτό καθιστά την είσοδο Roof ένα μεγάλο ΟΧΙ! Με τις δύο επιλογές που απομένουν, ο κ. X αρχίζει να αναλύει τη λίμνη ως σημείο εισόδου.

Η λίμνη μπορεί να είναι ένας καλός τρόπος εισόδου, αλλά η ορατότητα θα ήταν ανησυχητική. Πώς θα αντιδράσει κάποιος αν δει κάποιον να κολυμπάει τα μεσάνυχτα, κι αυτό προς το κτίριο της Τράπεζας; Η τελευταία επιλογή είναι το Δημόσιο Πάρκο.

Ας αναλύσουμε λεπτομερώς το πάρκο. Είναι κλειστό για το κοινό μετά από έξι το βράδυ. Το πάρκο έχει πολλά δέντρα που δίνει την απαραίτητη σκιά και υποστηρίγματα για τη λειτουργία stealth. Το πάρκο έχει ένα οριακό τείχος που είναι κοινόχρηστο με τις εγκαταστάσεις της Τράπεζας.

Τώρα, όλη η παραπάνω ανάλυση μπορεί να λεχθεί ως σάρωση ευπάθειας. Ένας σαρωτής κάνει όλα αυτά τα πράγματα. Για να μάθετε μια ευάλωτη θέση για να μπείτε.

Επιστρέφοντας στην ιστορία μας, ας υποθέσουμε ότι ο κ. X γίνεται επιτυχής στην είσοδο στην τράπεζα μέσω του σημείου εισόδου του δημόσιου πάρκου. Τι κάνει στη συνέχεια; Είτε μπαίνει στο Vault για να πάρει τα μετρητά ή τα ερμάρια κατάθεσης για να πάρει τα τιμαλφή.

Αυτό το μέρος είναι η δοκιμή διείσδυσης. Παίρνετε την πρόσβαση και προσπαθείτε να εκμεταλλευτείτε το σύστημα. Γνωρίζετε το βάθος που μπορείτε να πάτε με αυτήν την επίθεση.

Σημείωση: Δεν τραβήχτηκαν τράπεζες κατά τη σύνταξη αυτού του σεμιναρίου. Και, επίσης, δεν συνιστάται να ακολουθείτε τα βήματα του κ. X.

Σας αφήνω με το παρακάτω διάγραμμα σύγκρισης, ώστε να έχετε μεγαλύτερη σαφήνεια σχετικά με τη διαφορά μεταξύ των δύο.

Σύγκριση

Η δοκιμή ευπάθειας και σάρωσης διείσδυσης σχετίζεται μεταξύ τους;

Ναι, η σάρωση ευπάθειας και η δοκιμή διείσδυσης σχετίζονται μεταξύ τους. Ο έλεγχος διείσδυσης εξαρτάται από τη σάρωση ευπάθειας.

Για να ξεκινήσει η δοκιμή διείσδυσης, γίνεται μια πλήρης σάρωση ευπάθειας έτσι ώστε ο υπεύθυνος δοκιμών να γνωρίζει τυχόν ευπάθειες που υπάρχουν στο σύστημα και στη συνέχεια να τις εκμεταλλευτεί.

σφάλματα κύκλου ζωής στη δοκιμή λογισμικού

Έτσι, με τη σάρωση ευπάθειας, γνωρίζουμε τις πιθανές ευπάθειες, αλλά αυτές οι ευπάθειες δεν έχουν αξιοποιηθεί έως τώρα. Είναι η δοκιμή διείσδυσης που επιβεβαιώνει το βαθμό στον οποίο είναι δυνατή η εκμετάλλευση της ευπάθειας.

Διασταυρώνονται επίσης μεταξύ τους σε ορισμένα σημεία όπως φαίνεται στην παρακάτω εικόνα:

Αξιολόγηση ευθραυστότητας και δοκιμή διείσδυσης

Ποιο να επιλέξετε - Δοκιμή πένας ή σάρωση ευπάθειας;

Έχοντας καταλάβει τη διαφορά μεταξύ των δύο, τώρα τίθεται το ερώτημα ως - ποιο θα επιλέξει;

Λοιπόν, ο στόχος της σάρωσης ευπάθειας είναι να ανακαλύψετε τις αδυναμίες του συστήματός σας και να τις διορθώσετε. Ενώ, ο στόχος της δοκιμής διείσδυσης είναι να βρει αν κάποιος μπορεί να σπάσει το σύστημά σας και αν ναι, τότε ποιο θα είναι το βάθος της επίθεσης και πόσο σημαντικά δεδομένα μπορούν να αποκτήσουν.

Μαζί, η σάρωση ευπάθειας και η δοκιμή στυλό μπορούν να σας πουν τι κινδυνεύει και πώς μπορεί να διορθωθεί. Ο στόχος είναι να βελτιωθεί η συνολική ασφάλεια του συστήματός σας. Πρέπει να επιλέξετε μεταξύ των δύο ανάλογα με την κρίσιμη σημασία της επιχείρησής σας. Εάν προχωρήσετε σε μια δοκιμή πένας, τότε καλύπτει επίσης τη σάρωση ευπάθειας.

Ωστόσο, η δοκιμή πένας είναι πολύ δαπανηρή (περίπου 4.000 έως 20.000 $) και χρονοβόρα και σε σύγκριση με τη σάρωση ευπάθειας. Ο λόγος είναι ότι φέρνει πολύ ακριβή και διεξοδικά αποτελέσματα και εξαλείφει ψευδώς θετικά τρωτά σημεία.

Εν τω μεταξύ, η σάρωση ευπάθειας είναι πολύ γρήγορη και πολύ φθηνότερη (σχεδόν 100 $ ανά IP, ετησίως, ανάλογα με τον πωλητή) από τη δοκιμή πένας. Ως οργανισμός, μπορείτε να κάνετε σάρωση ευπάθειας σε μηνιαία, τριμηνιαία ή ακόμη και εβδομαδιαία βάση. Και, επιλέγετε τη δοκιμή στυλό ετησίως.

Τα πιο δημοφιλή εργαλεία

Μερικά από τα κοινά χρησιμοποιούμενα εργαλεία για τη σάρωση ευπάθειας περιλαμβάνουν:

  • Νέσους
  • Κανείς
  • ΑΓΙΟΣ
  • OpenVAS κ.λπ.

Τα εργαλεία που χρησιμοποιούνται συνήθως για το Test Test περιλαμβάνουν:

  • Qualys
  • Βασικός αντίκτυπος
  • Metasploit κ.λπ.

Οι υπεύθυνοι δοκιμής στυλό γράφουν επίσης τον δικό τους κώδικα εκμετάλλευσης σύμφωνα με την απαίτηση.

συμπέρασμα

Από αυτό το σεμινάριο, συνειδητοποιούμε ότι τόσο το Pen Test όσο και το Vulnerability Scan είναι εντελώς δύο διαφορετικές δραστηριότητες που εκτελούνται για να κάνουν την εφαρμογή πιο ασφαλή από επιθέσεις. Μπορούν επίσης να χρησιμοποιηθούν μαζί αν απαιτείται.

Το τεστ ευπάθειας προσδιορίζει τα πιθανά κενά και η δοκιμή Pen αξιοποιεί αυτά τα κενά για να αποκαλύψει την έκταση της ζημιάς / κλοπής που μπορεί να συμβεί στις κρίσιμες για την επιχείρηση πληροφορίες. Έχουν γίνει για να διορθώσουν τα κενά και να αποφύγουν πιθανές επιθέσεις και παραβιάσεις ασφαλείας στο σύστημα πληροφοριών.

Περαιτέρω ανάγνωση

Συνιστώμενη ανάγνωση

^