Az informatikai rendszerek sérülékenysége többféle módon vizsgálható. Az egyik ezek közül az offenzív teszteléseket összefogó penetrációs teszt, ami egyre nagyobb népszerűségnek örvend. A Gartner előrejelzései szerint 2025-re 4,5 milliárdos ágazattá növi ki magát. Mi az a penetrációs teszt és miért érdemes elvégezni? Ezekre a kérdésekre keressük a válaszokat ebben a blogposztban!
Mi az a penetrációs teszt?
A penetrációs teszt (pentest) alatt az offenzív biztonsági tesztet értjük. Ezek olyan informatikai vizsgálatok, amelyek célja, hogy elejét vegyék a biztonsági incidenseknek. Jellemzően az etikus hacker végzi el, akit a megbízó cég felhatalmaz, hogy feltérképezze az informatikai rendszert és megkeresse azokat a hiányosságokat, amik esetleg sérülékennyé tehetik a működést.
A pentesteknek három fő típusa létezik: vannak a fekete doboz tesztek, amikor a tesztelőnek semmiféle információja nincs a rendszerről, vannak a fehér doboz tesztek, amikor bőséges információval rendelkezik, például ismeri az IP-címrendszert, a forráskódokat stb, és léteznek szürke doboz tesztek, amikor a hacker részleges ismeretekkel rendelkezik.
Lényeges, hogy a penetrációs tesztet végző szakember minden lépését pontosan dokumentálja, majd az eredmények alapján, tanácsadás keretében felvázolja a lehetséges lépéseket és segít is a hibák, hiányosságok javításában.
Mi az előnye a penetrációs tesztnek?
A penetrációs teszt egy igen hatékony és eredményes módszer, ha szeretnénk egy valódi hackertámadás következményeit felmérni. Az ilyen biztonsági tesztek esetében ugyanis tényleges behatolás történik, mintha egy igazi támadó tenné, azzal a különbséggel, hogy a hacker nem hajt végre károsító tevékenységeket. Tehát, az alkalmazott módszerek valósak, csak a cél más.
A penetrációs teszteket nem szabad félvállról venni és elhanyagolni. Sokan próbálják megúszni, mert nem szeretnének erre időt és pénzt pazarolni. Valójában azonban sokkal nagyobbat bukhat a cég, ha történik egy nem kívánt biztonsági incidens, például kikerülnek a nyilvánosság elé a felhasználók adatai. Az adatszivárgásnak köszönhetően a userek bizalma megrendülhet és ez olyannyira súlyos lehet, hogy még a cég működését is veszélybe sodorhatja.
A tesztelés fázisai
A pentest egy folyamat, amit az alábbi fázisokra szokás tagolni:
Első lépés: Információszerzés: a tesztelést végző hacker információt gyűjt az informatikai rendszerről, a támadás célpontjáról.
Második lépés: Szkennelés: felméri a használt technológiákat, a verziószámokat, az alkalmazásokat, a hálózatokat. Felfedi a beállítási hibákat és a verziószámok alapján a tipikus hibákat kutatja.
Harmadik lépés: Támadás: a megszerzett információkra támaszkodva kidolgozza a támadásokat és végre is hajtja azokat.
Negyedik lépés: Dokumentáció: minden lépésről részletes dokumentációt, jelentést készít a tesztelő, ami a későbbi reprodukálhatóságot és javítást teszi lehetővé.
Ötödik lépés: Takarítás: a teszt végeztével a hacker mindent eltávolít, hogy még véletlenül se használhassák fel illetéktelenek egy következő támadásnál.
A tesztek eredményei alapján elvégezhető a kockázatértékelés, ami megmutatja, hogy az adott rendszer milyen kockázati besorolású: alacsony, közepes, magas vagy pedig kritikus. A hacker javaslatot tesz a feltárt sérülékenységek lehetséges javítási metódusaira, tanácsot ad, hogy milyen fejlesztéseket célszerű elvégezni.
Mi a különbség a penetrációs teszt és a sérülékenységvizsgálat között?
A sérülékenységvizsgálat és a penetrációs teszt igen hasonló fogalmak, mégis van közöttük eltérés. Előbbi estben olyan bugokat, vagyis hibákat keresnek a tesztelők, amiket a támadók ki tudnak használni. A szakemberek célja, hogy minél több hibára rámutassanak. A sérülékenységvizsgálatot akkor érdemes alkalmazni, ha még semmiféle teszten nem esett át a rendszer, illetve azokban az esetben is jó megoldás, ha a tesztelésre alacsonyabb összeget szeretnének szánni.
A pentest során ezzel szemben egy támadást szimulálnak. Ugyanúgy megkeresik a hibákat, mint a sérülékenységvizsgálat során, a penetrációs teszt alkalmával azonban be is hatolnak a rendszerbe és megpróbálják végrehajtani a kitűzött feladatot, például hozzáférni az adatbázishoz. Utóbbi tehát sokkal összetettebb, ennek megfelelően költségesebb is.
A biztonsági incidensek jelentős anyagi veszteséget okozhatnak. Szerencsére ma már fel lehet készülni ezekre a támadásokra és minimalizálni lehet az okozható károk nagyságát. A Zero IT Labnél gondoskodunk arról, hogy teljes biztonságban tudhasd eszközeidet, rendszereidet, hálózataidat. Kattints, és olvasd el a weboldalunkon, hogy hogyan dolgozunk!