Penetra testado (mallonga pluma testo) estas esenca por plibonigi la cibersekurecon de via organizo.
Ĝi simulas ciberatakojn, por ke vi povu malkovri vundeblajn retojn kaj sistemojn kaj trakti ilin laŭe.
Penetra testado povas esti klasifikitaj laŭ malsamaj specoj. Ĉiu traktas apartan aspekton de via cibersekureco, esploras pli profunde kaj malkaŝas specifajn malfortojn.
Tiel vi povas identigi taŭgajn rimedojn kaj pli efike asigni vian buĝeton, penon kaj rimedojn. Vi ankaŭ povas determini kiujn aspektojn de via IT-pejzaĝo vi devas prioritatigi.
Dirite, en ĉi tiu afiŝo, ni esploros ses specojn de penetrotestoj, kiujn vi povas apliki al via kompanio.
Ni aliru al ĝi.
1. Retaj Servoj
Post kiam la pluma testilo kolektas koncernajn informojn pri via kompanio, li tiam efektivigas sinsekvon de retaj taksoj.
Testado de retaj servoj ofte estas la plej populara metodo por penetra testado.
Post kiam la testanto invadas vian reton, 90 procentoj de la malhelpoj estas forigitaj.
Li ankaŭ povas plenumi ekspluatadon por ambaŭ internaj kaj eksteraj retoj. Li faras tion imitante retpiratajn teknikojn por invadi la defendojn por via ekstera reto.
Tio donas al ili la ŝancon esplori multajn aspektojn de la cibersekureco de via kompanio.
Reta testado ofte implikas la jenon:
- Testado de enkursigilo
- Sekuraj Ŝel-bazitaj atakoj
- Eviti fajromurojn
- Spurpado de Domajna Sistemo (DNS)
- Retaj vundeblecoj
- Malfermu havenan skanadon kaj testadon
- Proxy serviloj
- Evitante vian Intrusion Prevention System (IPS) kaj Intrusion Detection System (IDS).
2. Nuba Testado
Nubaj servoj kreskis en konata neceso inter organizoj kun interretaj operacioj.
Ili utiligas la nubon por dosierpartumo kaj sekurkopio, same kiel kunlaboraj projektoj kaj retoj.
Ekzemple, se vi bezonas sendi transskriban dosieron por Rev aŭ provizu senpagajn kopiojn de via esplorado al kongresanoj, la nubo faciligas al vi dividi viajn dokumentojn.
Bedaŭrinde, ĉi tiuj grandaj dosieroj en la nubo egalas al valoraj datumoj, kiujn amantoj de nigraj ĉapeloj (la malbonuloj) amas enmeti.
Tiel ili faros ĉion eblan por ekspluati kaj akiri kontraŭleĝan aliron al via nuba stokado.
Tamen sur alia noto: dum nubaj deplojoj estas senpenaj, nuba sekureca administrado estas kompleksa.
Publikaj nubaj servaj provizantoj kutime havas aŭ komunan respondecon aŭ limigitan aliron al konservado de cibersekureco.
Organizoj mem devas prizorgi siajn iniciatojn testi pri vundeblecoj kaj malhelpi rompojn pri siaj nubaj datumoj.
Tial testado pri nuba penetrado fariĝas kritika cibersekureca me mechanismanismo.
Nuba pluma testo kutime implicas la jenon:
- Aplikoj kaj Interfaca Programo (API) aliro
- Stokado kaj datumbaza aliro
- ĉifrado
- Virtualaj Maŝinoj (VMs) kaj senpecaj operaciumoj
- Fora Labortabla Protokolo (RDP) kaj SSH fora administrado
- Komputila sekureco
- Malfortaj retaj fajromuroj
- Malbonaj pasvortoj
Nubaj plumaj testoj povas esti komplikaj plenumi - tial a blanka skatolo metodo de pluma testado povas esti helpema.
En blanka skatola pluma testo, vi (aŭ la testisto) havas kompletan inteligentecon kaj aliron al sistemo, kune kun ĝia fontkodo, retarkitekturo kaj programaro, kiun ĝi funkcias.
Uzu tiujn informojn, por ke vi povu plenumi la pluman teston rapide kaj funde.
Publikaj nubaj servaj provizantoj tamen kutime limigas vian kapablon fari plumajn testojn pro la multloĝanto aŭ komuna orientiĝo de Infrastrukturo kiel Servo (IaaS).
Se vi volas fari teston pri nuba plumo, konsideru unue informi vian servan provizanton pri tiu plano. Demandu al ili, kiaj areoj estas limigitaj.
3. Socia Inĝenierado
Vi eble havas la plej fortajn cibersekurecajn mekanismojn, sed homa eraro pro fraŭdo kelkfoje kaŭzas interretajn atakojn sukcese infiltri vian sistemon.
Tial penetraj testistoj devas ankaŭ ekzameni viajn ciberajn defendojn de sociaj inĝenieraj planoj.
Blankĉapelaj retpiratoj ofte simulas ĉi tiujn sociajn inĝenierajn teknikojn:
- Phishing-atakoj
- Blusnarfado
- Tailgating
- donacoj
- Antaŭ-tekstado
- Subaŭskultante
- Trompantoj (funkciante kiel triaj provizantoj, kunlaborantoj, ktp.)
- Nomo falanta
- Dumpster-plonĝado
Ekzameno pri socia inĝenierado utilas, ĉar ĝi informas vin pri kaŝpasejoj pri la kapablo de via homa kapitalo malhelpi fraŭdajn taktikojn.
Finfine, hakistoj de nigra ĉapelo povas havi potencajn trompajn manierojn kaj rimedojn, do vi ne povas permesi bagateligi ilin.
Vi aŭ via laboristaro povas fariĝi predaj al kredindaj mesaĝoj - krom se vi atentos kaj ĉesigos ĉi tiujn minacojn.
4. Fizika Pluma Testo
Se via oficeja konstruaĵo havas malfortan fizikan sekurecon, vi povas laŭvorte malfermu la pordon al ciberkrimuloj eĉ ne rimarkante ĝin.
Ili povas alivesti sin kiel FBI-oficiroj, triaj vendistoj, laborpostuloj, servistoj, via dungito, aŭ iu ajn alia regula kaj fidinda rolulo.
Ili eĉ povas ŝajnigi esti fizikaj penetrotestiloj.
(Tial vi devas certigi, ke vi frapetas legit-plumajn testilojn. Konsideru konatajn cibersekurecajn kompaniojn aŭ atestitajn sendependajn plumajn testilojn kiel tiuj sur Fiverr.)
Kiam via personaro ne suspektas ion, ili povas permesi al ciberkrimuloj eniri la regionon de via kompanio kaj forlasi ilin sen kontroli ilian lokon.
Por malebligi tion, vi devas efektivigi fizikajn penetrotestojn.
Fizika plumo-testado malhelpas retpiratojn akiri percepteblan eniron al viaj serviloj kaj sistemoj. Ĝi helpas certigi, ke neaŭtorizitaj homoj ne povas aliri viajn instalaĵojn kaj aparataron.
Fizikaj plumaj testoj ĉefe traktas provojn akiri aliron per ĉi tiuj metodoj:
- Personaciigo
- RFID-sistemoj
- Ignorante lumajn kaj movajn sentilojn
- Seruro-elekto
- Pordaj eniraj sistemoj kaj klavaroj, ktp.
Fizikaj plumproviloj povas integri ĉi tiun specon de testo kun sociaj inĝenieraj skemoj kiel fraŭdo kaj manipulado de instalaĵaj dungitoj.
Memoru, estas bone por via IT-teamo diligente fliki vundeblecojn, sed ili ne devas preteratenti fizikan sekurecon. Se ili faras tion, ciberaj aviadilkaperistoj povas ekspluati viajn fizikajn IT-havaĵojn.
5. Sendrata Reto kaj Retejo (Klienta)
Kiam via kompanio implikas foliumi, funkciigi aŭ interagi kun vendistoj kaj klientoj interrete, vi probable ne povas ne renkonti kaj sekurajn kaj malutilajn retejojn.
Se vi uzas publikan reton kaj havas malfortan retejan sekurecon, vi eble estos sentema al maletikaj hakoj. Se vi ne povas scii, ĉu a retejo estas fidinda aŭ ne, vi eĉ povas doni aliron al retpiratoj senscie.
Retpiratoj ankaŭ uzas friponajn retojn kaj malicajn retejojn por provi plenumi siajn atakojn.
Poste ili povas akiri ĉifritajn detalojn kiel ensalutajn uzantnomojn kaj pasvortojn, fotojn, privatajn retbabilajn mesaĝojn, kreditkartajn numerojn, retpoŝtojn kaj pli.
Ciber-aviadilkaperistoj eĉ povas ŝanĝi informojn kaj injekti malware kaj virusojn, inkluzive elaĉetomonon. Ĉiuj ĉi tiuj minacoj povas endanĝerigi kaj fermi vian IT-ekosistemon.
Tial plumaj testoj por via retejo kaj sendrataj retoj estas nemalhaveblaj.
Retejaj kaj sendrataj retaj testoj kontrolas decidajn infrastrukturojn kaj aparatojn por kaŝpasejoj, kiujn hakistoj de nigra ĉapelo povas manipuli.
Tipe, plumaj testoj por retejoj kaj sendrataj retoj inkluzivas:
- SQL-injektoj
- Trans-reteja skribado
- Sendrata rettrafiko
- Amaskomunikila Adreso-Kontrolo (MAC) traktas falsan adreson
- Defaŭltaj aŭ malfortaj pasvortoj
- Sendrataj ĉifradaj protokoloj
- Neaj servoj (DDoS) atakoj
- malware
- Reta servila miskonfiguracio
- Retservilo kaj / aŭ retejo por konfidenca klienta informo
- Nelegitimaj retpunktoj, retoj kaj alirpunktoj
- Programaro pri kreo de enhavo aŭ programaro por reproduktiloj
6. Retejaj Aplikoj
En sekurecaj kontroloj de retejaj aplikaĵoj, plumaj testistoj serĉas vundeblecojn en ĉiuj viaj servilaj programoj.
Ĝi preterpasas la norman retan pluman teston kaj montras kio estas ĉi tiuj vundeblecoj.
Ĉi tiu speco de provo celas inspekti la eblajn danĝerojn, kiuj povas veni per retaj servoj, sekura koda revizio kaj programoj.
Plumproviloj kutime inspektas ĉi tiujn programojn:
- Retaj aplikoj
- Lingvoj (Java, .NET, PHP)
- Sistemoj (SAP, Loĝistiko, CRM-sistemoj, HR-sistemoj, financaj sistemoj)
- Kadroj
- Konektoj (Oracle, XML, MySQL)
- API
- Poŝtelefonaj programoj.
Malalta linio
Malsamaj specoj de penetrotestoj malkovras malsamajn sciojn pri la stato de via cibersekureco kaj prioritataj plibonigaj areoj.
Ju pli da specoj de plumaj testoj vi aplikas al la IT-pejzaĝo de via kompanio, des pli da areoj vi povas kovri, kaj pli vi preparos vin kontraŭ eblaj ciberaj minacoj kaj atakoj.
Ĉu vi pensas, ke ĉi tiu afiŝo estis utila? Kunhavigu ĉi tion nun al viaj kolegoj kaj amikoj. Saluton!
