Авторизованная кибератака для тестирования систем

Введение

Авторизованная кибератака для целей тестирования, тестирование компьютерных систем.

Тест на проникновение, в разговорной речи известный как pentest, – это санкционированная имитация кибератаки на компьютерную систему, выполняемая для оценки её безопасности; его не следует путать с оценкой уязвимостей. Тест проводится для выявления слабых мест (или уязвимостей), включая возможность несанкционированного доступа к функциям и данным системы, а также для определения сильных сторон, что позволяет провести полную оценку рисков. Процесс обычно включает определение целевых систем и конкретной цели, анализ доступной информации и применение различных методов для достижения этой цели. Объектом теста на проникновение может быть «белый ящик» (когда тестировщику заранее предоставляется информация о системе и её окружении) или «черный ящик» (когда предоставляется только базовая информация, кроме названия компании). Тест на проникновение в «сером ящике» представляет собой комбинацию этих двух подходов (когда аудитор обладает ограниченными знаниями о цели). Тест на проникновение помогает выявить уязвимости системы к атакам и оценить степень её подверженности риску. Отчеты о тестах на проникновение могут также оценивать потенциальное воздействие на организацию и предлагать меры по снижению рисков. Цели теста на проникновение варьируются в зависимости от типа утвержденной деятельности в рамках конкретного задания, при этом основная цель заключается в выявлении уязвимостей, которые могут быть использованы злоумышленником, и информировании клиента об этих уязвимостях вместе с рекомендуемыми стратегиями по их устранению. Тесты на проникновение являются частью комплексного аудита безопасности. Например, Стандарт безопасности данных индустрии платежных карт (PCI DSS) требует регулярного проведения тестов на проникновение, а также после внесения изменений в систему. Тестирование на проникновение также может поддерживать оценку рисков в соответствии с Рамкой управления рисками NIST SP 800-53. Существует несколько стандартных фреймворков и методологий для проведения тестов на проникновение, включая Open Source Security Testing Methodology Manual (OSSTMM), Penetration Testing Execution Standard (PTES), NIST Special Publication 800-115, Information System Security Assessment Framework (ISSAF) и OWASP Testing Guide. CREST, некоммерческая профессиональная организация в области технической кибербезопасности, предоставляет свой стандарт CREST Defensible Penetration Test, который предоставляет отрасли рекомендации по обеспечению разумной коммерческой уверенности при проведении тестов на проникновение. Методология гипотез об ошибках – это метод системного анализа и прогнозирования проникновения, при котором составляется список предполагаемых дефектов в программной системе на основе анализа спецификаций и документации. Затем список предполагаемых дефектов приоритизируется на основе оценки вероятности существования дефекта и простоты его эксплуатации для получения контроля или компрометации системы. Приоритетный список используется для направления фактического тестирования системы. Существуют различные типы тестирования на проникновение, в зависимости от целей организации, включая: сетевое (внешнее и внутреннее), беспроводное, веб-приложения, социальная инженерия и проверка эффективности мер по устранению уязвимостей.

A penetration test, colloquially known as a pentest, is an authorized simulated cyberattack on a computer system, performed to evaluate the security of the system; this is not to be confused with a vulnerability assessment. The test is performed to identify weaknesses (or vulnerabilities), including the potential for unauthorized parties to gain access to the system's features and data, as well as strengths, enabling a full risk assessment to be completed. The process typically identifies the target systems and a particular goal, then reviews available information and undertakes various means to attain that goal. A penetration test target may be a white box (about which background and system information are provided in advance to the tester) or a black box (about which only basic information other than the company name is provided). A gray box penetration test is a combination of the two (where limited knowledge of the target is shared with the auditor). A penetration test can help identify a system's vulnerabilities to attack and estimate how vulnerable it is. Penetration test reports may also assess potential impacts to the organization and suggest countermeasures to reduce the risk. The goals of a penetration test vary depending on the type of approved activity for any given engagement, with the primary goal focused on finding vulnerabilities that could be exploited by a nefarious actor, and informing the client of those vulnerabilities along with recommended mitigation strategies. Penetration tests are a component of a full security audit. For example, the Payment Card Industry Data Security Standard requires penetration testing on a regular schedule, and after system changes. Penetration testing also can support risk assessments as outlined in the NIST Risk Management Framework SP 800 53. Several standard frameworks and methodologies exist for conducting penetration tests. These include the Open Source Security Testing Methodology Manual (OSSTMM), the Penetration Testing Execution Standard (PTES), the NIST Special Publication 800 115, the Information System Security Assessment Framework (ISSAF) and the OWASP Testing Guide. CREST, a not for profit professional body for the technical cyber security industry, provides its CREST Defensible Penetration Test standard that provides the industry with guidance for commercially reasonable assurance activity when carrying out penetration tests. Flaw hypothesis methodology is a systems analysis and penetration prediction technique where a list of hypothesized flaws in a software system are compiled through analysis of the specifications and documentation for the system. The list of hypothesized flaws is then prioritized on the basis of the estimated probability that a flaw actually exists, and on the ease of exploiting it to the extent of control or compromise. The prioritized list is used to direct the actual testing of the system. There are different types of penetration testing, depending upon the goal of the organization which include: Network (external and internal), Wireless, Web Application, Social Engineering, and Remediation Verification.

Уязвимости

Операции, позволяющие тестировщику выполнить недопустимое действие, включают необработанные SQL-команды, неизмененные хешированные пароли в проектах с открытым исходным кодом, человеческий фактор и устаревшие функции хеширования или шифрования. Одной уязвимости может быть недостаточно для реализации критически серьезной атаки. Как правило, требуется использование нескольких известных уязвимостей и формирование полезной нагрузки таким образом, чтобы она выглядела как допустимая операция. Metasploit предоставляет библиотеку Ruby для выполнения общих задач и поддерживает базу данных известных эксплойтов. При ограниченном бюджете и времени фаззинг является распространенным методом обнаружения уязвимостей. Он направлен на получение необработанной ошибки посредством случайного ввода. Тестировщик использует случайные данные для доступа к редко используемым участкам кода. Хорошо протестированные участки кода обычно не содержат ошибок. Ошибки полезны, поскольку они либо раскрывают дополнительную информацию, например, сбои HTTP-сервера с подробным трассировкой стека, либо могут быть использованы напрямую, например, переполнение буфера. Представьте себе веб-сайт со 100 текстовыми полями ввода. Некоторые из них уязвимы к SQL-инъекциям при определенных строках. Отправка случайных строк в эти поля в течение некоторого времени может привести к срабатыванию уязвимого участка кода. Ошибка проявляется в виде неполностью отрисованной HTML-страницы из-за ошибки SQL. В этом случае в качестве потоков ввода рассматриваются только текстовые поля. Однако программные системы имеют множество возможных потоков ввода, таких как cookie и данные сессии, поток загружаемых файлов, каналы RPC или память. Ошибки могут возникать в любом из этих потоков ввода. Цель тестирования – сначала получить необработанную ошибку, а затем понять суть уязвимости на основе неудачного тестового случая. Тестировщики разрабатывают автоматизированный инструмент для проверки своего понимания уязвимости до тех пор, пока оно не станет верным. После этого может стать очевидным, как сформировать полезную нагрузку, чтобы целевая система выполнила ее. Если это невозможно, можно надеяться, что другая ошибка, обнаруженная фаззером, принесет больше результатов. Использование фаззера экономит время, позволяя не проверять хорошо протестированные участки кода, где вероятность эксплуатации уязвимостей невелика.

Legal operations that let the tester execute an illegal operation include unescaped SQL commands, unchanged hashed passwords in source visible projects, human relationships, and old hashing or cryptographic functions. A single flaw may not be enough to enable a critically serious exploit. Leveraging multiple known flaws and shaping the payload in a way that appears as a valid operation is almost always required. Metasploit provides a ruby library for common tasks, and maintains a database of known exploits. When working under budget and time constraints, fuzzing is a common technique that discovers vulnerabilities. It aims to get an unhandled error through random input. The tester uses random input to access the less often used code paths. Well trodden code paths are usually free of errors. Errors are useful because they either expose more information, such as HTTP server crashes with full info trace backs—or are directly usable, such as buffer overflows. Imagine a website has 100 text input boxes. A few are vulnerable to SQL injections on certain strings. Submitting random strings to those boxes for a while will hopefully hit the bugged code path. The error shows itself as a broken HTML page half rendered because of an SQL error. In this case, only text boxes are treated as input streams. However, software systems have many possible input streams, such as cookie and session data, the uploaded file stream, RPC channels, or memory. Errors can happen in any of these input streams. The test goal is to first get an unhandled error and then understand the flaw based on the failed test case. Testers write an automated tool to test their understanding of the flaw until it is correct. After that, it may become obvious how to package the payload so that the target system triggers its execution. If this is not viable, one can hope that another error produced by the fuzzer yields more fruit. The use of a fuzzer saves time by not checking adequate code paths where exploits are unlikely.

Стандартные услуги государственных проникновений

Управление общего обслуживания (GSA) стандартизировало услугу "тестирования на проникновение" как предварительно проверенную службу поддержки для оперативного устранения потенциальных уязвимостей и предотвращения атак на федеральные, штатные и местные органы власти США. Эти услуги обычно называют высокоадаптивными службами кибербезопасности (Highly Adaptive Cybersecurity Services, HACS) и они перечислены на веб-сайте GSA Advantage. В рамках этой инициативы были определены ключевые поставщики услуг, прошедшие техническую оценку и проверку для предоставления этих передовых услуг по тестированию на проникновение. Данная услуга GSA призвана упростить и ускорить процесс заказа и развертывания этих услуг, сократить дублирование государственных контрактов и обеспечить более своевременную и эффективную защиту и поддержку инфраструктуры США. 45A Тестирование на проникновение – это вид тестирования безопасности, при котором специалисты по оценке безопасности имитируют реальные атаки для выявления способов обхода средств защиты приложения, системы или сети. Услуги тестирования на проникновение HACS обычно стратегически оценивают эффективность превентивных и детективных мер безопасности, используемых организацией для защиты активов и данных. В рамках этой услуги сертифицированные этичные хакеры, как правило, проводят имитацию атаки на систему, системы, приложения или другие объекты в среде, выявляя слабые места в системе безопасности. После тестирования они обычно документируют обнаруженные уязвимости и описывают, какие средства защиты эффективны, а какие могут быть обойдены или использованы злоумышленниками. В Великобритании услуги тестирования на проникновение стандартизированы профессиональными организациями, работающими в сотрудничестве с Национальным центром кибербезопасности. Результаты тестирования на проникновение варьируются в зависимости от используемых стандартов и методологий. Существует пять стандартов тестирования на проникновение: Open Source Security Testing Methodology Manual (OSSTMM), Open Web Application Security Project (OWASP), Национальный институт стандартов и технологий (NIST), Рамочная система оценки безопасности информационных систем (ISSAF) и Методологии и стандарты тестирования на проникновение (PTES).

The General Services Administration (GSA) has standardized the "penetration test" service as a pre vetted support service, to rapidly address potential vulnerabilities, and stop adversaries before they impact US federal, state and local governments. These services are commonly referred to as Highly Adaptive Cybersecurity Services (HACS) and are listed at the US GSA Advantage website. This effort has identified key service providers which have been technically reviewed and vetted to provide these advanced penetration services. This GSA service is intended to improve the rapid ordering and deployment of these services, reduce US government contract duplication, and to protect and support the US infrastructure in a more timely and efficient manner. 132 45A Penetration Testing is security testing in which service assessors mimic real world attacks to identify methods for circumventing the security features of an application, system, or network. HACS Penetration Testing Services typically strategically test the effectiveness of the organization's preventive and detective security measures employed to protect assets and data. As part of this service, certified ethical hackers typically conduct a simulated attack on a system, systems, applications or another target in the environment, searching for security weaknesses. After testing, they will typically document the vulnerabilities and outline which defenses are effective and which can be defeated or exploited. In the UK penetration testing services are standardized via professional bodies working in collaboration with National Cyber Security Centre. The outcomes of penetration tests vary depending on the standards and methodologies used. There are five penetration testing standards: Open Source Security Testing Methodology Manual (OSSTMM), Open Web Application Security Project (OWASP), National Institute of Standards and Technology (NIST00), Information System Security Assessment Framework (ISSAF), and Penetration Testing Methodologies and Standards (PTES).