Kaj penetracijski testerji dejansko pocnemo (in zakaj je to pomembno)

Penetracijsko testiranje je pogosto napačno razumljeno. Nekateri mislijo, da samo poganjamo avtomatizirane skenirnike in oddamo PDF. Drugi si predstavljajo hekerje iz filmov, ki besno tipkajo v temnih sobah. Resničnost je bistveno bolj metodična in na koncu bolj dragocena, kot nakazuje katera koli od teh predstav. Po osemnajstih letih izvajanja penetracijskih testov v različnih panogah, od finančnih storitev do kritične infrastrukture, želim pojasniti, kaj to delo dejansko vključuje.

NIST SP 800-115 obravnava načrtovanje in izvajanje tehničnih pregledov, analizo ugotovitev ter pripravo ukrepov za odpravo. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment.

Proces penetracijskega testiranja

1. Določanje obsega in načrtovanje - Tu se odloči uspeh ali neuspeh projekta. Veliko časa posvetim razumevanju strankinega okolja, poslovnih ciljev in dejanskih skrbi. Določimo pravila sodelovanja, se dogovorimo o časovnih oknih testiranja in vzpostavimo komunikacijske kanale. Dobro zastavljen test odgovori na resnična poslovna vprašanja, ne le proizvede seznam CVE-jev.
2. Izvidovanje - Zbiranje informacij o ciljnem okolju. To vključuje pasivne tehnike, kot so zbiranje OSINT podatkov, pregled zapisov DNS in analiza javnih dnevnikov izdanih certifikatov (Certificate Transparency). Pri zunanjih testih preslikam napadalno površino z orodji, kot sta Amass in Shodan. Pri notranjih ocenah analiziram omrežno arhitekturo in strukturo Active Directory. Cilj je videti okolje tako, kot ga vidi pravi napadalec.
3. Ocena ranljivosti - Prepoznavanje slabosti s kombinacijo avtomatiziranega skeniranja in ročne analize. Uporabljam orodja, kot sta Nessus ali Nuclei, za široko pokritost, vendar prava vrednost izhaja iz ročnega testiranja. Avtomatizirani skenirniki spregledajo logične napake, verižne ranljivosti in kontekstno odvisne težave, ki jih ujame le človek.
4. Izkoriščanje - Prikaz resničnega vpliva z dejanskim izkoriščanjem odkritih ranljivosti. Tu se penetracijsko testiranje loči od skeniranja ranljivosti. Ugotovitev SQL-vrivanja postane veliko bolj prepričljiva, ko demonstriram, da omogoča pridobitev celotne baze strank, namesto da jo preprosto označim kot "možno SQL-vrivanje."
5. Dejanja po pridobitvi dostopa - Razumevanje, kaj napadalec lahko stori po pridobitvi dostopa. To vključuje dvigovanje pravic, lateralno premikanje in mehanizme ohranjanja dostopa. Na enem projektu je začetni vstop prek napačno konfigurirane spletne aplikacije vodil do administratorskega dostopa domene v štirih urah zaradi prekomernih pravic storitvenih računov.
6. Poročanje - Dokumentiranje ugotovitev z jasnimi dokazi, ocenami tveganja in navodili za odpravo. Poročila pišem za dve skupini bralcev: vodstveni povzetek za vodstvo, ki pojasnjuje poslovno tveganje v razumljivem jeziku, in tehnični del za ekipo, ki bo odpravila težave.

Kaj naredi dober penetracijski test

• Razumevanje verig napadov - Posamezne ranljivosti redko povedo celotno zgodbo. Srednje resna napačna konfiguracija v kombinaciji z informativno ugotovitvijo lahko ustvari kritično napadalno pot. Ena najbolj vplivnih ugotovitev, ki sem jo poročal, je kombinirala nizko tvegani IDOR z razkritjem informacij za dosego popolnega prevzema računa.
• Prikazovanje resničnega poslovnega vpliva - Povedati finančnemu direktorju, da ste našli CVE-2024-XXXXX, ne pomeni ničesar. Povedati mu, da bi napadalec lahko dostopal do 50.000 zapisov strank, pa povsem spremeni pogovor. Tehnične ugotovitve vedno prevedem v poslovni jezik.
• Izvedljiva navodila za odpravo - Reci "pokrpajte sistem" ni koristno. Zagotavljam specifične, prednostno razvrščene korake za odpravo, ki upoštevajo strankino tehnološko okolje. Večkrat najboljša rešitev ni popravek, ampak kompenzacijska kontrola ali sprememba arhitekture.
• Testiranje obrambe, ne le napadalne zmogljivosti - Dober test oceni, ali so orodja za spremljanje zaznala aktivnost testiranja. Usklajujem se z varnostno ekipo stranke za oceno opozoril SIEM, odziva SOC in vrzeli v zaznavi.

Razlika med orodji in strokovnostjo

Kdor koli si lahko prenese Kali Linux in požene skenirnik. Vrednost izkušenega testerja je v tem, da ve, kaj storiti z rezultati, katere sledi je vredno zasledovati in prepozna subtilne kazalnike, ki jih avtomatizacija spregleda. Moja certifikacija OSCE3 je zahtevala dokazovanje naprednih eksploatacijskih veščin na področju spletnih aplikacij, omrežne infrastrukture in okolij Active Directory. Ta globina pomeni, da k vsakemu projektu pristopim s celovitim razumevanjem, kako je sisteme možno kompromitirati.

Zakaj je penetracijsko testiranje pomembno za vašo organizacijo

Redno penetracijsko testiranje preverja delovanje varnostnih ukrepov in odkriva pomanjkljivosti. Rezultati lahko podprejo dokazovanje skladnosti, vendar sam test ne potrjuje izpolnjevanja vseh zahtev PCI DSS, ISO 27001 ali NIS2. Pri zahtevah NIS2 v Sloveniji upoštevajte tudi ZInfV-1 in dokazila o izvedenih ukrepih. Najpomembnejše pa je, da vaši organizaciji daje realistično sliko varnostnega stanja. Sodeloval sem s podjetji, ki so bila prepričana o svoji obrambi, dokler test ni razkril, da je možno kompromitirati celotno domeno prek pozabljenega testnega strežnika.

Varnost ni izdelek, ki ga namestite. Je stalen proces, ki zahteva redno preverjanje, penetracijsko testiranje pa je eden najučinkovitejših načinov za izvedbo tega preverjanja.

Povezano branje: Kako izbrati varnostno testiranje; Ponovni varnostni pregled: od ugotovitev do preverjene odprave.