Proves De Programari

Prova de penetració per a principiants

30 d'octubre de 2021

Les proves de penetració són les proves d'un sistema informàtic, una aplicació web i una xarxa per trobar les debilitats de seguretat que podria utilitzar un atacant. Aquest tipus de proves pot ser automatitzat o realitzat manualment. El procés consisteix a recollir informació sobre l'objectiu abans de la prova, identificar els possibles punts d'entrada, intentar entrar de manera virtual o real i informar de les troballes.

L'objectiu principal d'una prova de ploma és identificar els punts febles en una postura de seguretat d'una organització, així com mesurar l'acceptació de la política de seguretat, provar la consciència de la seguretat i determinar si l'organització estaria subjecta a desastres de seguretat.

A La prova de penetració també posa de manifest les debilitats d'una empresa polítiques de seguretat.

Els informes que es generen per una prova de penetració proporcionen retroalimentació. Els informes ajuden els desenvolupadors d'aplicacions a crear aplicacions més segures.

Taula de continguts

Passos per iniciar les proves de penetració

Pas 1) La fase de planificació

  1. Es determina l'abast i l'estratègia d'una tasca.
  2. Les polítiques de seguretat i els estàndards s'utilitzen per definir l'abast.

Pas 2) La fase de descobriment.

  1. Recolliu informació sobre el sistema, incloses dades del disseny, noms d'usuari i fins i tot contrasenyes.
  2. Escaneja i sondeja als ports
  3. Comproveu les vulnerabilitats del sistema

Pas 3) La fase d'atac

  1. Trobeu exploits per a diverses debilitats. No obtindreu els privilegis de seguretat necessaris per explotar el sistema

Pas 4) La fase de presentació d'informes

  1. L'informe ha de contenir les conclusions detallades.
  2. Riscos de debilitats detectades i el seu impacte en el negoci.
  3. Recomanacions i solucions.

Mètodes de prova de penetració

Proves externes

S'orienta als actius de l'empresa que són visibles a Internet, per exemple, els servidors de correu electrònic i de noms de domini (DNS) i la pròpia aplicació web, el lloc web de l'empresa. L'objectiu principal és obtenir accés i extreure dades valuoses.

Proves internes

Un provador amb accés a una aplicació darrere del tallafoc simula un atac d'una persona privilegiada. Això no afecta necessàriament un empleat canalla. Un escenari típic pot ser un empleat al qual li han robat les credencials.

Prova a cegues

Un verificador només rep el nom de l'empresa a la qual es dirigeix. Ofereix al personal de seguretat una visió de com es duria a terme una aplicació real.

Prova doble cec

El personal de seguretat desconeix l'atac. No tindrien temps per reforçar les seves defenses abans d'una bretxa.

Proves dirigides

Tant el provador com el personal de seguretat treballen junts i es mantenen informats dels seus moviments. És un exercici de formació que proporciona a l'equip de seguretat comentaris en temps real des del punt de vista d'un pirata informàtic.

PROS

  • Les proves permeten un enfocament de seguretat atrevit.
  • Permet l'estudi dels riscos reals i tenir una representació precisa de la postura de seguretat de la infraestructura de TI d'una empresa en el moment donat.
  • Ajuda a investigar una violació de dades o les intrusions a la xarxa per descobrir qualsevol pista per a la filtració de dades o el robatori de propietat intel·lectual.
  • Permet la recollida d'informació sobre el sistema per aprendre i potser fins i tot trobar alguns informes interns sobre pirates informàtics actius.
  • Pot trobar defectes tant desconeguts com coneguts i explotar vulnerabilitats de seguretat, que es poden identificar i solucionar abans que s'utilitzin d'una manera molt més eficaç amb eines automatitzades.
  • Pot validar l'eficàcia dels mecanismes defensius molt més enllà de l'anàlisi proporcionada per una avaluació de la vulnerabilitat per identificar les debilitats.
  • Ofereix les possibles maneres de provar un sistema amb atacs el més propers possible als incidents del món real gràcies al treball de professionals que pensen i colpegen com ho farien la majoria dels pirates informàtics maliciosos.

CONTRES

  • És dubtós que una penetració prova trobarà tota la seguretat problemes o solucionarà tots els problemes en cercar punts febles i generar un informe automatitzat.
  • Un verificador necessita més temps per inspeccionar el sistema per identificar l'atac que per fer una avaluació de la debilitat; ser l'abast de la prova és més significatiu. Les seves accions també poden ser perjudicials per a les activitats empresarials, ja que imiten un atac real.
  • És molt intensiu en mà d'obra i pot suposar un cost més elevat, i poques organitzacions poden no poder destinar un pressupost a això. Això és cert quan es contracta una empresa per dur a terme la tasca.
  • Dóna una falsa sensació de seguretat. En la majoria dels casos, les proves són conegudes pels equips de seguretat de l'empresa que estan preparats per buscar amenaces i estan preparats per defensar-se. Els atacs reals són no anunciats i, sobretot, inesperats.

Tipus de proves de penetració

A continuació es mostren els tipus essencials de proves de penetració:

    Prova de penetració de la caixa blanca Prova de penetració de la caixa negra Prova de penetració de la caixa grisa

Prova de penetració de la caixa blanca

Es tracta d'una prova integral, on un provador rep molta informació sobre els sistemes i la xarxa, com ara el codi font, l'esquema, els detalls del sistema operatiu, l'adreça IP, etc. Es considera una simulació d'un atac per part de la font interna. També s'anomena prova estructural, caixa de vidre, caixa transparent i proves de caixa oberta.

Les proves de penetració de la caixa blanca examinen la cobertura del codi i fan proves de flux de dades, proves de ruta i proves de bucle.

PROS

  • Assegura que s'han exercit camins independents d'un mòdul.
  • Proporciona totes les decisions lògiques que es verifiquen juntament amb el seu valor vertader i fals.
  • Descobreix els errors i verifica la sintaxi.
  • Troba els errors de disseny que es produeixen a causa de la diferència entre el flux lògic del programa i l'execució real.

CONTRES

  • L'atac manca de realisme.
  • El provador pensa de manera diferent que un atacant no informat.

Prova de penetració de la caixa negra

En aquesta prova, el verificador no té ni idea del sistema que provarà. Està interessat a recollir informació sobre la xarxa o sistema. Per exemple, en aquest tipus de proves, un verificador només sap quin hauria de ser el resultat esperat i no sap com serà el resultat. No examina cap codi de programació.

PROS

  • No requereix cap coneixement específic del llenguatge de programació.
  • El verificador verifica les contradiccions en el sistema existent.
  • La prova es realitza generalment des de la perspectiva de l'usuari, no del dissenyador.

CONTRES

  • Els casos de prova són difícils de dissenyar.
  • No condueix tot.

Prova de penetració de la caixa grisa

A les proves de penetració de la caixa grisa, un verificador sol oferir informació parcial o limitada sobre el programa d'un sistema. Es considera un atac d'un pirata informàtic extern que va obtenir accés il·legal a la xarxa d'una organització.

PROS

  • El provador no requereix accés al codi font.
  • Hi ha una clara diferència entre un desenvolupador i un provador, de manera que hi ha menys risc de conflicte personal.
  • No cal oferir informació interna sobre les funcions del programa i altres operacions.

CONTRES

  • Els verificadors no tenen accés per veure el codi.
  • Les proves de caixa grisa són redundants si el desenvolupador de l'aplicació ha executat un cas de prova similar.
  • Les proves de caixa grisa no són ideals per a les proves d'algoritmes.

Eines per a les proves de penetració

El Network Mapper (també conegut com NMAP)

S'utilitza per descobrir el tipus de debilitats en l'entorn de xarxa d'una empresa o una corporació. També es pot utilitzar amb finalitats d'auditoria. NMAP pren els paquets de dades en brut que es creen

  • Quin tipus d'amfitrions estan disponibles en un tronc o segment de xarxa concret
  • Aquests amfitrions proporcionen informació sobre els serveis
  • Qualsevol host en particular utilitza les versions i els tipus de filtres/tallafocs de paquets de dades

Podeu crear un mapa de la xarxa i, a partir d'aquí, assenyalar les àrees importants de vulnerabilitats per les quals pot penetrar un ciberatacant.

img 617dd209ddbd1

Wireshark

Aquesta eina és un analitzador de paquets de dades real i protocol de xarxa que analitza la seguretat debilitats del trànsit en temps real. La informació i les dades es poden recollir de:

  • Bluetooth
  • IEEE 802.11
  • IPsec
  • Token Ring
  • Frame Relay
  • Kerberos
  • SNMPv3
  • SSL/TLS
  • WEP
  • Qualsevol connexió basada en Ethernet
img 617dd20a27ffd

W3AF

El desenvolupadors de programari crear aquesta suite, i l'objectiu principal és trobar i explotar qualsevol debilitat de seguretat present a les aplicacions basades en web. Consisteix en moltes eines que poden eliminar amenaces com ara:

  • Falsificació de l'agent d'usuari
  • Capçaleres personalitzades a les sol·licituds
  • DNS Intoxicació de la memòria cau
img 617dd20aa10c4

Les millors empreses per a proves de penetració

Sciencesoft

És un proveïdor de serveis de ciberseguretat i una empresa de desenvolupament de programari. Ajuda als seus clients que operen a la banca, la sanitat, la fabricació i altres indústries a dissenyar i implementar la defensa més rellevant per als seus entorns informàtics.

img 617dd20ae7785

netsparker

és un escàner automatitzat precís que identifica vulnerabilitats en aplicacions web i API web . Verifica de manera única les vulnerabilitats demostrant que són reals i no falsos positius.

Està disponible com a programari de finestra i servei en línia.

img 617dd20b464c0

Indusface ERA

Proporciona la prova de penetració manual inclosa amb un escàner automatitzat de debilitats d'aplicacions web que detecta i informa de les debilitats en funció dels 10 principals d'OWASP.

L'empresa es troba a l'Índia amb altres oficines a Bombai, Bangalore, Vadodara, Delhi i San Francisco, i els serveis són utilitzats per més de 1100 clients en més de 25 països del món.

img 617dd20c1f727

Un intrús

És un empresa de ciberseguretat que proporciona una solució SaaS automatitzada per als seus clients. La potent eina d'escaneig està dissenyada per oferir resultats molt útils, ajudant els equips ocupats a centrar-se en allò que realment importa.

Intruder utilitza el mateix motor que fan els grans bancs perquè pugueu gaudir de controls de seguretat d'alta qualitat, sense la complexitat. L'intrus també ofereix un servei de proves de penetració híbrida, que inclou proves manuals per ajudar a identificar problemes més enllà de les capacitats de les exploracions automatitzades.

proves de penetració

Preguntes freqüents

Amb quina freqüència hem de fer una prova de penetració?

Depèn de diversos factors que s'han de tenir en compte mentre es té en compte la freqüència per realitzar proves de penetració. A continuació es mostren les coses que hauríeu de tenir en compte
Amb quina freqüència canvia l'entorn: Les proves sovint es cronometran segons els canvis, ja que estan a prop d'un estat llest per a la producció.
Què tan gran és l'entorn: Els paràmetres més extensos es posen a prova en fases per anivellar l'esforç de prova i la càrrega col·locada a terra.

Quins són els costos habituals d'una prova de penetració?

El cost de les proves de penetració varia molt.
S'utilitzen diversos factors per als preus de les proves de ploma, inclosos. És essencial tenir una reunió detallada d'abast per produir una comprensió clara de les necessitats i elaborar una declaració de treball abans de realitzar qualsevol prova de penetració. Idealment, s'ha de realitzar una prova de penetració amb una tarifa fixa per eliminar qualsevol despesa no planificada. La tarifa cotitzada ha d'incloure tota la mà d'obra i les eines de prova necessàries.

Què s'ha d'esperar del procés de proves de penetració?

Les proves de penetració són un procés disciplinat. Una empresa de proves hauria de mantenir ben informades totes les parts interessades durant totes les etapes crítiques del procés. Com a empresa que busca serveis de proves de penetració, cal tenir en compte:
Un enfocament planificat, documentat i comunicat per saber què passa i quan.
S'ha de seguir un enfocament disciplinat i repetible.
El sistema s'ha de personalitzar per adaptar-se a l'entorn de l'empresa.
Un procés d'inici definit, un procés de planificació, proves coordinades i un procés de lliurament col·laboratiu per garantir resultats precisos i una comprensió clara de la correcció.