Penetration Testing

Penetration testing

“Penetration testing” ili “pentest” je metod procene sigurnosti kompjuterskog sistema ili mreže simuliranjem napada od strane zlonamernih korisnika (koji nemaju ovlašćenog sredstva pristupa sistemima organizacije ) i zlonamernih insajdera (koji imaju određeni stepen ovlašćen pristup) .

Proces podrazumeva aktivnu analizu sistema za eventualnih propusta koji bi mogli proizaći iz siromašnih ili nepravilnog konfiguracije sistema, poznatih i nepoznatih hardverskih ili softver nedostatke, ili operativni slabosti u procesu ili tehničke protivmere.

Ova analiza se vrši sa pozicije potencijalnog napadača i mogu uključivati aktivno eksploataciju sigurnosnih propusta.

Bezbednosna pitanja otkrivene kroz penetracije testa su predstavljeni vlasniku sistema. Efikasni penetracije testovi će par ove informacije sa tačnim procenu mogućih uticaja na organizaciju i naveo niz tehničkih i proceduralnih protivmerama da se smanji rizik.

Penetracija testovi su korisni iz nekoliko razloga:

    • Određivanje izvodljivost određenog tipa napada
    • Identifikovanje ranjivosti višeg rizika koje su rezultat kombinacije ranjivosti nižeg rizika koje su iskorišćene u određenom redosledu
    • Identifikovanje slabosti koje mogu biti teško ili nemoguće otkvene sa softverom za automatizovano skeniranje ranjivost
    • Procena veličine uticaja potencijalnih uspešnih napada na poslovanje
    • Testiranje uspešnosti sprečavanja napada sigurnosnih mehanizama koji se štite sistem
    • Pružanje dokaza koji podržavaju povećane investicijana polju bezbednosti osoblja i tehnologije
whitebox

 

White, Black ili Gray box

“Pentration test”-ovi se mogu sprovoditi na nekoliko načina. Najčešća razlika je poznavanje detalja implementacije sistema koji su dostupni. “Black box” testiranje podrazumeva nikakvo prethodno znanje o infrastrukturi koja se testira. Testeri moraju prvo da utvrde lokaciju i obim sistema pre početka svoje analize.

Sa druge strane, “White box” testiranje obezbeđuje testera kompletnom infrastrukturom koja se testira, često uključujući mrežne dijagrame, “source code” ili IP adrese. Postoje i nekoliko varijacija između njih, često poznate kao “Grey box” testiranje. “Penetration test”-ovi se mogu opisati još kao i potpuno obelodanjivanje (eng. “White box”), delimično otkrivanje (eng. “Grez box”) ili mogu biti “slepa” (eng. “Black box”) na osnovu količine informacija koje su testerima dostupne.

Relativne prednosti ovih pristupa su diskutabilne. “Black box” testiranje simulira napad od nekog ko je nije upoznat sa sistemom. “White box” testiranje simulira šta bi se moglo dogoditi tokom “posla koji je urađen” izunuta ili posle “curenja” osetljivih informacija, gde napadač ima pristup izvornom kodu, mrežne infrastrukture, a možda čak poseduje i neke lozinke.

Usluge koje nudi kompanija koja se bavi “penetration testing”-om obuhvataju veliki opseg, od jednostavnog skeniranja IP adresa organizacije za otvorenim portovima i identifikacije banera do pune revizije izvornog koda aplikacije.

InformationLeak

 

Curenje informacija

Curenje informacija predstavlja slabost aplikacije, gde aplikacija otkriva osetljive podatke, kao što su tehnički detalji web aplikacije, okruženje, odnosno određene korisničke podatke. Osetljivi podaci mogu se koristiti od strane napadača da eksploatiše(eng. “explot”) samu aplikaciju, njen web hosting, njenu mrežu, ili njene korisnike. Dakle, curenje osetljivih podataka treba ograničiti ili sprečiti kada god je to moguće. Curenje informacija, u svojoj najjednostavnijoj formi, jeste rezultat jednog ili više od sledećih uslova: propust da se uklone HTML ili komentari skripte koji sadrže osetljive informacije, nepravilna konfiguracija aplikacije ili servera, ili razlike u odgovorima stranice za validne podatke naspram nevalidnih.

 
 

Mi testiramo ranjivosti koje se nalaze na OWASP-ovoj Top 10 listi u cilju da ponudimo vašoj firmi najbolju moguću zaštitu.

ComputerCode

OWASP Top 10 lista sadrži sledeće ranjivosti:

    • Injection (SQL, LDAP, XPATH inter alia)
    • Cross-site scripting (XSS)
    • Poor authentication and session management
    • Direct access to inadequately secured objects
    • Cross-Site Request Forgery (CSRF)
    • Insufficient configuration
    • Insecure Cryptographic Storage
    • Unsecured direct URL access
    • Inadequate protection of the transport layer
    • Unsafe redirects and forwards