Topp 5 typer av penetrationsanalys

Det eskalerande hotet från hackare blir allvarligare för varje dag som går. En undersökning från TechRepublic av mer än 400 IT-säkerhetsexperter visade att 71 procent av dem hade sett en ökning av säkerhetshot eller attacker sedan början av COVID-19-utbrottet. Om en hackare lyckas bryta sig in i ditt försvar kan skadorna – på ditt rykte, ditt resultat och din operativa kapacitet – bli katastrofala.För att mäta ditt cybersäkerhetsförsvar och upptäcka sårbarheter i dina kritiska IT-system måste du överväga olika typer av penetrationstester.

Vad är penetrationstester? Och vilken behövs för ditt företag?

Låt oss se över det.

Vad är ett penetrationstest?

Ett penetrationstest, även kallat pen-test, innebär vanligtvis att ett team av säkerhetsexperter arbetar för att tränga in i ditt företags nätverk eller servrar. De åstadkommer detta genom att identifiera sårbarheter och sedan utnyttja dem. På grund av detta kallas pen-tester ofta för en typ av etisk hackning.

Pen-tester är en effektiv försvarsmekanism eftersom de efterliknar verkliga attacker. De gör det möjligt för dig att se de svaga punkterna i din cybersäkerhetsperimeter – oavsett om det är bakdörrar i operativsystemet, oavsiktliga konstruktionsfel i koden eller felaktiga programvarukonfigurationer.

Fördelarna med att utföra tester med jämna mellanrum är bland annat följande:

  • Reveterar exponeringar i dina programkonfigurationer och din nätverksinfrastruktur
  • Skyddar IP samt känsliga och privata data
  • Highlights real risks of an actual hacker succeeding breaching your defenses
  • Mäter din cyberförsvarsförmåga – din förmåga att upptäcka attacker och sedan reagera i rätt tid
  • .

  • Säkerställer att ditt nätverk och din verksamhet fungerar smidigt dygnet runt och inte drabbas av oväntade driftstopp
  • Håller efterlevnaden av förordningar och certifieringar som PCI eller ISO
  • Gör en objektiv tredjepartsutlåtande om effektiviteten av dina cybersäkerhetsinsatser

Penetrationstester är utformade för att vara intensiva och invasiva. Målet är att testa hela din omkrets för att få så mycket användbar information som möjligt. Per SC Magazine

Penetrationstester kan utföras på hårdvaru-, mjukvaru- eller firmware-komponenter och kan tillämpa fysiska och tekniska säkerhetskontroller. Den följer ofta en sekvens av en preliminär analys baserad på målsystemet, sedan en identifiering före testet av potentiella sårbarheter baserat på tidigare analyser. När detta är klart kan ett förtest hjälpa till att fastställa utnyttjandet av de identifierade sårbarheterna.

Båda parter måste komma överens om regelverket innan testerna påbörjas. Därefter måste testerna tillämpas på hela nätverket.

Behöver du ett penetrationstest? Läs mer.

De tre formerna av penetrationstester

Det finns tre huvudsakliga sätt att genomföra ett penetrationstest:

  • Black-box-test
  • White-box-test
  • Gray-box-test

Black-box-test

Black-box-testning, även känd som extern penetrationstestning, simulerar en attack från utsidan av din organisation.

Pen-testaren börjar på samma villkor som en riktig hackare skulle göra. Detta innebär att de börjar med lite eller ingen information om IT-infrastrukturen och säkerhetsförsvaret. De känner inte till de interna funktionerna i:

  • Webbapplikationerna
  • Mjukvaruarkitekturen
  • Källkoden

Denna form av testning ger dig en uppfattning om vad en utomstående skulle behöva göra för att bryta mot ditt försvar. Men testet slutar inte bara vid den punkten. Det finns mer att lära sig. En testare vill också se hur mycket skada de eventuellt skulle kunna tillfoga när de väl är inne i systemet. Enligt Infosec Institute:

Black-box penetration testing bygger på dynamisk analys av de program och system som för närvarande körs i målnätverket. En black-box penetrationstestare måste vara bekant med automatiserade skanningsverktyg och metoder för manuell penetrationstestning. Black-box penetrationstestare måste också kunna skapa sin egen karta över ett målnätverk baserat på sina observationer eftersom de inte får något sådant diagram.

Typiskt sett går en testare från internet in i routern och försöker kringgå brandväggens försvar. Detta görs genom att inleda ett heltäckande brute force-angrepp mot IT-infrastrukturen. Den utför ett slags trial and error-metod, där automatiserade processer urskiljningslöst söker efter sårbarheter som kan utnyttjas.

Ett black-box-test kan ta upp till sex veckor att slutföra grundligt, även om det kan ta ännu längre tid beroende på projektets omfattning och testningens stränghet.

White-Box-test

Som ibland kallas clear-box-testning eller intern testning ger den här typen av pen-test testaren tillgång till källkoden och programvaruarkitekturen redan från början. Det efterliknar en attack från en anställd eller hackare som redan har fått tillgång till systemet.

Pen-testaren börjar med samma privilegier som en auktoriserad användare skulle ha. Därifrån försöker de utnyttja säkerhets- och konfigurationsbrister på systemnivå. Målet med testet är att utföra en djupgående granskning av de olika systemen och besvara två nyckelfrågor:

  1. Hur djupt kan en angripare gå via privilegieeskalering?
  2. Hur stor skada kan en attack orsaka?

Ett internt test kan ta två till tre veckor att slutföra.

Gray-Box Penetration Testing

Som namnet antyder är gray-box-testning ett mellanting mellan ett internt och ett externt test. Testaren simulerar en attack utifrån, förutom att hackaren i det här fallet har en användares partiella kunskapsnivåer.

Dets syfte är att söka efter defekter i kodstrukturen eller applikationen, med hjälp av en blandning av white-box- och black-box-metodik. Hybridtestet mäter användarinmatningar för att se vilka utdata som programvaran producerar som svar. I allmänhet utförs testet via en kombination av manuella processer och automatiserade program.

Andra vanliga scenarier som ett gråbox-test är avsett för är bland annat:

  • Hackapparaten har användar- eller administratörskonton som de kan logga in med
  • Hackapparaten har en djup förståelse för applikationens dataflöde och arkitektur
  • Hackapparaten har tillgång till delar av källkoden

Då en blandning av båda metoderna används, anser vissa att det är den bästa avkastningen på din tid och dina resurser. Det ger många av fördelarna med både ett internt och externt test. Med det sagt ger ett gray-box-test endast en begränsad täckning av applikationen och källkoden. För att göra saken mer komplicerad är testerna inte lätta att utforma.

De 5 typerna av penetrationstest

När vi nu har täckt de primära sätten som ett penetrationstest kan utföras på är det möjligt att dyka ner i de vanligaste typerna av tester. De flesta av dem kommer att använda en kombination av white-box och black-box testmetoder. De inkluderar:

Nätverkstjänstpenetrationstest

Ett nätverkspenetrationstest används för att identifiera exploaterbara svagheter i din:

  • Nätverk
  • System
  • Hosts
  • Nätverksenheter

Ditt uppdrag är att hitta och sedan täppa till dem innan en hackare kan utnyttja dem. När det görs på rätt sätt kan det visa på verkliga sårbarheter som en hackare kan utnyttja för att få tillgång till känsliga data eller ta kontroll över systemet. Upptäcktsprocessen gör det möjligt för ditt team att hitta bättre sätt att skydda privata data och förhindra systemövertaganden.

Vad innebär det?

De flesta penetrationstester kommer att följa de sju stegen i Penetration Testing Execution Standard (PTES):

  • Interaktioner före uppdrag – Det interna teamet och säkerhetspartnern träffas för att diskutera och definiera uppdragets omfattning.
  • Insamling av information – Testarna försöker upptäcka alla tillgängliga system och deras olika tjänster för att få så mycket information som möjligt.
  • Hotmodellering – Testaren identifierar exploaterbara sårbarheter i systemet, via manuell testning och automatiserad skanning.
  • Sårbarhetsanalys – Testaren dokumenterar och analyserar de mest uppenbara sårbarheterna för att formulera en angreppsplan.
  • Exploatering – Testaren utför faktiskt tester i ett försök att utnyttja sårbarheter.
  • Post-exploatering – Testaren försöker fastställa värdet av den komprometterade maskinen och behålla kontrollen över den så att den kan användas vid ett senare tillfälle.
  • Rapportering – Testaren sammanställer resultaten, rangordnar och prioriterar sårbarheter, tillhandahåller bevis och rekommenderar reaktionsåtgärder.

Penetrationstestning av webbapplikationer

Den ökade användningen av webbapplikationer har gjort att större internetresurser måste läggas på att utveckla mjukvara och konfigurera applikationerna så att de fungerar korrekt. Men detta utgör också en viktig ny angreppsvektor för hackare, särskilt eftersom vissa webbapplikationer kan innehålla känsliga uppgifter.

Penetrationstestning av webbapplikationer syftar till att samla in information om målsystemet, hitta sårbarheter och sedan utnyttja dem. Slutmålet är att fullständigt äventyra webbapplikationen.

Detta kallas även för Web Application Penetration Testing (WAPT). Den kan testa följande scenarier:

  • Cross Site Scripting
  • SQL Injection
  • Brytande autentisering och sessionshantering
  • Filuppladdningsfel
  • Caching Servers Attacks
  • Säkerhetsfelkonfigurationer
  • Cross-Site Request Forgery
  • Password Cracking

Ofta ses det som ett ”djupare dyk”-test, är ett WAPT mycket mer grundligt och detaljerat, särskilt när det gäller att identifiera sårbarheter eller svagheter i webbaserade applikationer. Därför måste en betydande mängd tid och resurser avsättas för att testa hela en webbapplikation på ett adekvat sätt.

Trådlös penetrationstestning

Trådlös penetrationstestning syftar till att identifiera och sedan mäta anslutningarna mellan alla enheter som är anslutna till ditt företags wifi-nätverk, inklusive:

  • Laptops
  • Tablets
  • Mobila enheter
  • IoT-enheter

Testet utförs på plats eftersom pen-testaren måste befinna sig inom räckhåll för det trådlösa nätverket för att kunna komma åt det. Och målet med testet är relativt enkelt: hitta sårbarheterna i wifi-åtkomstpunkterna.

Vilka steg ingår?

  • Trådlös rekognoscering – Information samlas in via wardriving – vilket innebär att man kör runt på den fysiska platsen för att se om wifi-signalerna dyker upp.
  • Identifiera trådlösa nätverk – Testaren skannar och identifierar trådlösa nätverk med hjälp av paketfångst och övervakning av trådlösa kort.
  • Sårbarhetsforskning – När testaren har hittat wifi-åtkomstpunkter försöker han eller hon identifiera sårbarheter i den åtkomstpunkten.
  • Exploatering – Testaren försöker utnyttja sårbarheterna på ett av tre sätt:
    • Deautentisering av en legitim klient
    • Fångst av ett inledande 4-vägs handshake
    • Uppförande av en offline-ordboksattack på en fångstnyckel
  • Rapportering – Testaren dokumenterar varje steg i processen, inklusive detaljerade resultat och rekommendationer för att mildra effekterna.

Social Engineering Penetration Testing

Den största säkerhetsrisken för din organisation – utan undantag – är dina anställda. Enligt Security Magazine:

Cyberbrottslingar riktar sig aggressivt mot människor eftersom det är lättare och mycket mer lönsamt att skicka bedrägliga e-postmeddelanden, stjäla inloggningsuppgifter och ladda upp skadliga bilagor till molntillämpningar än att skapa en dyr, tidskrävande exploatering som har en hög sannolikhet att misslyckas. Mer än 99 procent av cyberattackerna är beroende av mänsklig interaktion för att fungera – vilket gör enskilda användare till den sista försvarslinjen.

Om ditt försök att förbättra din säkerhet inte inkluderar dina anställda kommer alla dina ansträngningar att vara förgäves. De bör vara ditt främsta bekymmer.

Med ett penetrationstest med social ingenjörskonst försöker testaren övertala eller lura de anställda att lämna känslig information, t.ex. ett användarnamn eller lösenord.

Det finns en mängd olika penetrationsattacker med social ingenjörskonst, bland annat:

  • Phishing
  • Vishing
  • Smishing
  • Impersonation
  • Tailgating
  • .

  • USB-dropparna
  • Vattenhål
  • Vattenhålsattack
  • Pretexting
  • Quid pro quo attack
  • Baiting
  • Dumperster diving

Att öka medarbetarnas medvetenhet och tillhandahålla utbildning om vanliga sociala ingenjörsattacker är ett av de allra bästa sätten att förhindra att en attack inträffar eller lyckas.

Fysisk penetrationstestning

En fysisk penetrationstest simulerar det gamla vanliga sättet att bryta mot säkerheten.

Pen-testaren försöker ta sig förbi de fysiska säkerhetsbarriärerna och få tillgång till ditt företags säkerhetsinfrastruktur, byggnader eller system. Det testar de olika fysiska kontroller som du har infört, t.ex:

  • Barriärer
  • Kameror
  • Sensorer
  • Lås
  • Larm
  • Säkerhetsvakter

Och även om detta ofta ses som en efterhandskonstruktion, Om en hackare fysiskt kan ta sig förbi din säkerhet och sedan ta sig in i serverrummet kan han eller hon lätt få kontroll över ditt nätverk. Det är därför viktigt att din fysiska säkerhet är lika strikt skyddad som din cybersäkerhetsperimeter.

RSI Security – The Pen Testing Experts

Pen-testning är ett av de allra bästa sätten att mäta effektiviteten hos din cybersäkerhet och fysiska säkerhet. Oavsett om du använder white-box-, black-box- eller grey-box-metodik försöker varje pen-test simulera en verklig attack – bara utan konsekvenserna.

I dag finns det fem viktiga typer av penetrationstester, däribland:

  1. Nätverkstjänst
  2. Webbapplikation
  3. Trådlöst
  4. Social ingenjörskonst
  5. Fysiskt

Genom att utföra alla dessa tester regelbundet kan du försäkra dig om att ditt cyberförsvar är bra.

Men vem kan du lita på för att utföra dessa olika tester på lämpligt sätt?

RSI Security är experten på penetrationstester. Tack vare våra årtionden av erfarenhet vet vi exakt vad som krävs för att bedöma ditt cybersäkerhetsförsvar och sedan ta itu med de mest uppenbara svagheterna.

Är du redo att komma igång? Det är vi också.

Lämna ett svar

Din e-postadress kommer inte publiceras.