Externí test
Veřejné adresy, vzdálený přístup, poštovní a webové služby, zapomenuté nebo nechtěně vystavené systémy.
Kde má test infrastruktury těžiště
Orientační pohled, nikoli měření: 3 hlavní oblast testu, 2 běžná součást, 1 kontext nebo podle rozsahu, 0 mimo běžný rozsah.
| Oblast | Úroveň |
|---|---|
| Autentizace a relace | hlavní zaměření |
| Autorizace a oprávnění | součást testu |
| Vstupy a injekce | okrajově |
| Obchodní logika | mimo rozsah |
| Konfigurace a expozice | hlavní zaměření |
| Data a tajemství | součást testu |
Externí a interní test odpovídají na jiné otázky
Externí test ukazuje, co z vaší infrastruktury vidí kdokoli z internetu. Interní test předpokládá, že útočník už získal přístup do sítě, například přes kompromitovaný počítač nebo účet, a zkoumá, jak daleko se dostane.
Rozsah určíme podle vašeho cíle: počtu veřejných adres, síťových segmentů, lokalit a kritických systémů. Oba pohledy lze kombinovat.
Interní test
Síťové služby, adresářové služby a správa identit, oprávnění, segmentace a cesty k důležitým systémům.
Cloud a hybridní prostředí
Vystavené služby a přístupy v cloudu v rozsahu, který povolují podmínky poskytovatele a vaše autorizace.
Průběh, který nenaruší provoz
Před začátkem potvrdíme písemnou autorizaci a pravidla testu (Rules of Engagement): adresní rozsahy, výjimky, časová okna, povolené a zakázané techniky, kontakty a postup okamžitého zastavení. U služeb provozovaných třetí stranou, například hostingem nebo cloudem, ověříme, že test povolují jejich podmínky.
Postup vychází z obecného rámce bezpečnostního testování NIST SP 800-115 a z praxe penetračních testů popsané v PTES. Techniky, které by mohly ohrozit dostupnost služeb, bez výslovné dohody nepoužíváme.
- Zmapování dostupných služeb a jejich verzí v dohodnutém rozsahu.
- Ruční ověření zneužitelnosti a vyloučení falešných nálezů.
- U interního testu ověření oprávnění, segmentace a možného pohybu v síti.
- Průběžná eskalace kritických zjištění podle dohody.
Typické kategorie nálezů
Vystavené služby
Správcovská rozhraní, databáze nebo vzdálený přístup dostupné z míst, odkud by dostupné být neměly.
Zastaralý software
Známé zranitelnosti v neaktualizovaných systémech a službách. Priorita zohledňuje skutečnou dostupnost a zneužitelnost.
Přístupy a identity
Slabá nebo výchozí hesla, sdílené účty, nadměrná oprávnění a slabiny ve správě identit.
Konfigurace
Nebezpečné výchozí nastavení, slabé šifrování, nechráněné sdílené složky nebo protokoly.
Segmentace sítě
Chybějící oddělení uživatelské, serverové a správcovské sítě, které usnadňuje pohyb útočníka.
Výstup ukazuje cesty útoku, ne jen seznam portů
Retest opravených nálezů je možný, pokud ho obsahuje nabídka.
- Shrnutí pro vedení: hlavní cesty útoku a doporučené priority.
- Dotčené systémy a služby s důkazy a kroky reprodukce.
- Popis řetězení slabin tam, kde z dílčích nálezů vzniká vážnější riziko, případně s odkazem na techniky MITRE ATT&CK.
- Doporučené opravy a konfigurace s odkazem na uznávaná doporučení, například CIS Benchmarks.
- Rozsah, výjimky a omezení testu.
Co od vás potřebujeme a kde test končí
Pro externí test potřebujeme seznam adres a domén v rozsahu a potvrzení, že je smíte autorizovat. Pro interní test dohodneme výchozí bod, například síťové připojení, virtuální stroj nebo běžný uživatelský účet, a kontakt na správce.
Test zachycuje stav v době provedení a v dohodnutém rozsahu. Nenahrazuje průběžnou správu zranitelností ani monitoring a nemůže prokázat, že v síti nejsou další slabiny.
