ОЦІНКА УЯВЛЕННЯ ВРАЖЛИВОСТЕЙ (VULNERABILITY ASSESSMENT) — це процес оцінки ризиків безпеки в програмній системі з метою зменшення ймовірності загрози. Його також називають тестуванням на вразливості.
Вразливість — це будь-яка помилка або слабкість у процедурі безпеки системи, її проектуванні, реалізації чи будь-якому внутрішньому контролі, який може призвести до порушення політики безпеки системи. Мета оцінки вразливості — зменшити можливість несанкціонованого доступу для зловмисників (хакерів). Оцінка вразливості залежить від двох механізмів, а саме Оцінки вразливості та тестування на проникнення (VAPT).
- Це важливо для безпеки організації.
- Процес виявлення та повідомлення про вразливості, що дозволяє виявити та вирішити проблеми безпеки шляхом оцінки вразливостей до того, як їх зможе використати хтось або щось.
- У цьому процесі операційні системи, програмне забезпечення та мережі скануються для виявлення вразливостей, таких як неналежне проектування програмного забезпечення, небезпечна автентифікація тощо.
Процес Оцінки Вразливості та Тестування на Проникнення (VAPT)
Процес Оцінки Вразливості та Тестування на Проникнення (VAPT)
Цілі та Завдання: — Визначає цілі та завдання аналізу вразливостей.
- Обсяг: — Під час виконання оцінки та тестування необхідно чітко визначити обсяг завдання.
Існують три можливі варіанти обсягів:
- Чорний ящик (Black Box Testing): — Тестування з зовнішньої мережі без попереднього знання про внутрішню мережу та системи.
- Сірий ящик (Grey Box Testing): — Тестування з будь-якої мережі (внутрішньої або зовнішньої), при цьому маючи знання про внутрішню мережу та систему. Це поєднання тестування чорного ящика та білого ящика.
- Білий ящик (White Box Testing): — Тестування в межах внутрішньої мережі з знанням внутрішньої мережі та системи. Також відоме як внутрішнє тестування.
-
Збір інформації: — Отримання якнайбільшої інформації про ІТ-середовище, таку як мережі, IP-адреси, версія операційної системи тощо. Це застосовується до всіх трьох типів обсягів, таких як тестування чорного ящика, тестування сірого ящика та білого ящика.
-
Виявлення вразливостей: — На цьому етапі використовуються сканери вразливостей, які сканують ІТ-середовище та виявляють вразливості.
-
Аналіз інформації та планування: — Аналізує виявлені вразливості для розробки плану проникнення в мережу та системи.
Тестування на вразливості
Нижче наведено покрокову методологію оцінки вразливостей/техніку:
Крок 1) Налаштування:
- Початкова документація
- Отримання дозволу
- Оновлення інструментів
- Налаштування інструментів
Крок 2) Виконання тесту:
- Запуск інструментів
- Запуск зафіксованих пакетів даних (Пакет — це одиниця даних, яка передається між джерелом та призначенням. Коли файл, наприклад, електронне повідомлення, HTML-файл, запит URL (Uniform Resource Locator) тощо, надсилається з одного місця в інше в Інтернеті, TCP-слой протоколу TCP/IP розбиває файл на кілька "частин" для ефективного маршрутизації, і кожна з цих частин буде мати унікальний номер та міститиме адресу призначення. Коли всі частини досягають кінцевої точки, вони знову збираються в оригінальний файл на стороні отримувача. )
, під час виконання інструментів оцінки
Крок 3) Аналіз вразливостей:
- Визначення та класифікація мережевих або системних ресурсів.
- Призначення пріоритету ресурсам (наприклад: — Високий, Середній, Низький).
- Виявлення потенційних загроз для кожного ресурсу.
- Розробка стратегії для вирішення найбільш пріоритетних проблем.
- Визначення та впровадження способів мінімізації наслідків у разі атаки.
Крок 4) Звітність
Крок 5) Виправлення:
- Процес виправлення вразливостей.
- Для кожної вразливості
Типи сканерів вразливостей
- На основі хосту (Host Based)
- Виявляє проблеми в хості або системі.
- Процес здійснюється за допомогою сканерів на основі хосту, які діагностують вразливості.
- Інструменти на основі хосту завантажують проміжне програмне забезпечення на цільову систему; вони відслідковують події і повідомляють їх аналітику безпеки.
- На основі мережі (Network-Based)
- Виявляє відкриті порти та ідентифікує невідомі служби, які працюють на цих портах. Потім розкриває можливі вразливості, пов'язані з цими службами.
- Цей процес здійснюється за допомогою сканерів на основі мережі.
- На основі бази даних (Database-Based)
- Виявляє проблеми безпеки в системах баз даних, використовуючи інструменти та методики для запобігання SQL-ін'єкціям. (SQL-ін'єкції: — введення SQL-запитів до бази даних зловмисниками, що дозволяє читати чутливі дані з бази даних і оновлювати дані в базі.)
Інструменти для сканування вразливостей
Категорія
Інструмент
Опис
На основі хосту
STAT
Сканує кілька систем у мережі.
TARA
Аналізатор досліджень Tiger.
Cain & Abel
Відновлення паролів за допомогою підслуховування мережі, злом паролів HTTP.
Metasploit
Платформа з відкритим вихідним кодом для розробки, тестування та експлуатації коду.
На основі мережі
Cisco Secure Scanner
Діагностика та виправлення проблем безпеки.
Wireshark
Протокол-аналітик з відкритим вихідним кодом для Linux та Windows.
Nmap
Безкоштовний інструмент з відкритим вихідним кодом для перевірки безпеки.
Nessus
Аудит без агента, звітність і інтеграція з управлінням оновленнями.
На основі бази даних
SQL diet
Інструмент для атаки за допомогою словників для SQL-серверів.
Secure Auditor
Дозволяє користувачу виконувати перерахування, сканування, аудит і тестування на проникнення та криміналістичне дослідження операційної системи.
DB-scan
Виявлення троянів у базі даних, виявлення прихованих троянів за допомогою базового сканування.
Переваги оцінки вразливостей
- Доступність інструментів з відкритим вихідним кодом.
- Виявляє майже всі вразливості.
- Автоматизоване сканування.
- Легко запускати регулярно.
Недоліки оцінки вразливостей
- Високий рівень хибнопозитивних результатів.
- Легко виявляється системою виявлення вторгнень (IDS).
- Часто не помічає останніх вразливостей.
Порівняння оцінки вразливостей та тестування на проникнення
Оцінка вразливостей
Тестування на проникнення
Працює
Виявлення вразливостей
Ідентифікація та експлуатація вразливостей
Механізм
Виявлення та сканування
Моделювання
Фокус
Ширина понад глибину
Глибина понад ширину
Повнота покриття
Висока
Низька
Вартість
Низька — помірна
Висока
Виконується
Власним персоналом
Атакуючим або Pen Tester'ом
Знання тестера
Високі
Низькі
Як часто виконувати
Після завантаження кожного обладнання
Один раз на рік
Результат
Надає часткові дані про вразливості
Надає повні дані про вразливості
Методи тестування на вразливості
Активне тестування
- У процесі активного тестування тестер вводить нові тестові дані та аналізує результати.
- Під час тестування тестери створюють ментальну модель процесу, яка зростає під час взаємодії з програмним забезпеченням, що перевіряється.
- Під час тестування тестер активно долучається до процесу виявлення нових тестових випадків та ідей.
Ось чому це називається Активне тестування.
Пасивне тестування
- Пасивне тестування, моніторинг результату виконання програмного забезпечення без введення нових тестових випадків або даних.
Мережеве тестування
- Мережеве тестування — це процес вимірювання та запису поточного стану мережевої операції протягом певного часу.
- Тестування здебільшого проводиться для прогнозування роботи мережі під навантаженням або для виявлення проблем, що виникають через нові служби.
- Необхідно тестувати наступні характеристики мережі:
- Рівні використання
- Кількість користувачів
- Використання додатків
Розподілене тестування
- Розподілені тести застосовуються для тестування розподілених додатків, що означає додатки, які працюють з кількома клієнтами одночасно. Фактично, тестування розподіленого додатку означає тестування його клієнтської та серверної частин окремо, але за допомогою методу розподіленого тестування ми можемо тестувати їх разом.
- Частини тесту взаємодіятимуть одна з одною під час виконання тесту. Це робить їх синхронізованими належним чином. Синхронізація є однією з найважливіших складових у розподіленому тестуванні.
Висновок
У програмній інженерії тестування вразливостей залежить від двох механізмів, а саме Оцінки вразливостей (Vulnerability Assessment) та Тестування на проникнення (Penetration Testing). Обидва ці тести відрізняються один від одного за потужністю та завданнями, які вони виконують. Однак для досягнення всеосяжного звіту про тестування на вразливості рекомендується комбінувати обидва ці процеси.
IT Monteur використовує Firewall Analyzer від ManageEngine і допомагає вам з
- Документуванням і перевіркою правил брандмауера.
- Організацією правил брандмауера для максимізації швидкості.
- Моніторингом усіх змін конфігурації брандмауера.
- Проведенням судово-розслідувального аналізу журналів брандмауера.
- Налаштуванням сповіщень про аномалії трафіку та безпеки.
- Генерацією звітів про відповідність і проведенням перевірок безпеки.
Для підтримки правил брандмауера та дотримання кращих практик, будь ласка, зв'яжіться з нами за адресою
Послуги з оцінки вразливостей та тестування на проникнення в Індії
Хмарне тестування (Cloud Pentesting)
Оцінка вразливостей для продуктів SaaS і PaaS на базі Azure, AWS, Google
Послуги з аудиту ISO 27001 HIPAA в Індії
Тестування веб-додатків (Web Pentesting)
Послуги тестування на проникнення для вебсайтів та вебдодатків.
Послуги з тестування безпеки мобільних додатків в Індії
Відповідність
ISO27001:2013 — всесвітньо визнаний стандарт для захисту інформаційних активів.
ISO 27001 HIPAA аудит в Індії
Мережевий аудит (Network Audit)**
Перекладено з: Vulnerability Assessment and Penetration Testing (VAPT) Process