Penetrační testy – jak se provádějí a k čemu jsou? (1. díl)
Penetrační test může být velmi užitečným nástrojem pro prověření zabezpečení Vašeho systému (sítě). Pojďme se podívat, co to penetrační testy jsou a jak se provádějí.
Konzultant provádějící penetrační test používá velmi podobné nástroje, techniky a postupy jako reální útočníci. Hlavním přínosem penetračního testu je praktické prověření bezpečnostních mechanizmů.
Výsledkem testu je poměrně přesný obrázek o tom, čeho by mohl dosáhnout v případě skutečného útoku reálný útočník při aktuální úrovni znalostí o bezpečnostních slabinách a úrovni v současnosti dostupných technických prostředků.
Co je cílem penetračního testu?
Cílem penetračního testu není vyřešit bezpečnostní problémy testovaných zařízení, systémů nebo aplikací, ale jistým způsobem prověřit a zhodnotit úroveň zabezpečení, a to jak na úrovni technických, tak i organizačních opatření.
Obsahem závěrečné zprávy o průběhu a výsledcích penetračního testu jsou obvykle také konkrétní návrhy opatření, které nějakým způsobem eliminují nalezené slabiny, tato opatření ovšem rozhodně nelze vnímat tak, že jejich implementací vyřešíme všechny otázky zabezpečení testovaných zařízení.
Vzhledem k tomu, že základní filozofií penetračního testu je simulace pokusu o průnik prostřednictvím sítě, existuje celá řada slabin, které obvykle nejsou, a ani z principu nemohou být v rámci penetračního testu odhaleny.
Na druhou stranu je penetrační test prakticky jediným způsobem jak například odhalit, že se systém nebo aplikace chová jinak než deklaruje její výrobce resp. dodavatel – např. za jistých okolností dojde k jejímu zhroucení, zahlcení, je možno obejít formálně velmi přísné bezpečnostní mechanismy, nalezenou slabinu lze zneužít např. k získání neoprávněného přístupu k datům v systému apod.
Techniky a postupy používané při penetračních testech
Techniky a postupy používané při penetračních testech můžeme stručně charakterizovat následovně:
TCP/IP hacking
TCP/IP hacking – při testu používá tzv. portscan a následně automatické nástroje pro testování slabin. Na základě výsledků automatizovaných testů je provedeno manuální testování a hlubší prozkoumání “podezřelých” nálezů (např. např. útoky na heslo).
Dialup hacking
Dialup hacking – použité techniky a metody jsou téměř totožné jako v předchozím případě, zadáním ovšem není seznam IP adres, nýbrž seznam telefonních čísel. Konkrétní provedení je velmi závislé na způsobu provozu testovaného modemového připojení.
Social hacking
Social hacking – při tomto testu je jednak testována účinnost antivirové ochrany vůči virům přicházejícím z internetu (elektronickou poštou nebo stažením zavirovaného souboru internetovým prohlížečem – tj. protokolem FTP, HTTP nebo HTTPS), dále lze použitím testovacího trojského koně změřit, jaké procento uživatelů spustí podezřelou přílohu emailové zprávy a zároveň lze v praxi demonstrovat hrozby, které ze strany skutečných trojských koní vyplývají (např. vyzrazení prakticky libovolného dokumentu, ke kterému má uživatel přístup).
Socialní inženýrství
Socialní inženýrství – (Social engineering), nebo jinými slovy sociotechnika, je metoda, která využívá především naivitu, důvěřivost lidí. Díky této vlastnosti, znalosti slabého místa člověka, je schopna překonávat i velice dobře technicky zabezpečené systémy.
Důkazem úspěšnosti jsou pak například i zpravodajské výsledky vysokého ekonomického a strategického významu.Sociální inženýrství je tedy velice mocný a přitom poměrně levný prostředek, jak získat informace či s nimi manipulovat. Je možné pronikat do vnitřního prostředí firem a takto získávat další informace, které po nutné analýze mohou být základem další následné manipulace.
Po selhání lidského faktoru jsou pak veškerá další implementovaná bezpečnostní opatření zbytečná. Sociotechnické metody mohou být chápány a vnímány jako určitý druh bojového umění, který umožňuje přesvědčit odpovědné osoby, a získat tak přístup (právě pomocí lidské důvěři¬vostí a manipulovatelnosti) i do systémů chráněných pokročilými technologiemi.
Sociotechnické metody jsou tedy svým způsobem nezávislé na technologiích, pracují s člověkem, s jeho vlastnostmi. Práce s člověkem, jeho psychikou a následné vytipování a využití slabých míst umožňuje docílit výsledků, ke kterým by se jinak dalo jen stěží dostat.
Ve druhé části našeho článku o penetračních testech se budeme věnovat možným variantám těchto testů a jejich výsledkům.
Odpovědět na příspěvek