Externý test
Verejné adresy, vzdialený prístup, poštové a webové služby, zabudnuté alebo nechcene vystavené systémy.
Kde má test infraštruktúry ťažisko
Orientačný pohľad, nie meranie: 3 hlavná oblasť testu, 2 bežná súčasť, 1 kontext alebo podľa rozsahu, 0 mimo bežného rozsahu.
| Oblasť | Úroveň |
|---|---|
| Autentifikácia a relácie | hlavné zameranie |
| Autorizácia a oprávnenia | súčasť testu |
| Vstupy a injekcie | okrajovo |
| Obchodná logika | mimo rozsah |
| Konfigurácia a expozícia | hlavné zameranie |
| Údaje a tajomstvá | súčasť testu |
Externý a interný test odpovedajú na iné otázky
Externý test ukazuje, čo z vašej infraštruktúry vidí ktokoľvek z internetu. Interný test predpokladá, že útočník už získal prístup do siete, napríklad cez kompromitovaný počítač alebo účet, a skúma, ako ďaleko sa dostane.
Rozsah určíme podľa vášho cieľa: počtu verejných adries, sieťových segmentov, lokalít a kritických systémov. Oba pohľady sa dajú kombinovať.
Interný test
Sieťové služby, adresárové služby a správa identít, oprávnenia, segmentácia a cesty k dôležitým systémom.
Cloud a hybridné prostredie
Vystavené služby a prístupy v cloude v rozsahu, ktorý povoľujú podmienky poskytovateľa a vaša autorizácia.
Priebeh, ktorý nenaruší prevádzku
Pred začiatkom potvrdíme písomnú autorizáciu a pravidlá testu (Rules of Engagement): adresné rozsahy, výnimky, časové okná, povolené a zakázané techniky, kontakty a postup okamžitého zastavenia. Pri službách prevádzkovaných treťou stranou, napríklad hostingom alebo cloudom, overíme, že test povoľujú ich podmienky.
Postup vychádza zo všeobecného rámca bezpečnostného testovania NIST SP 800-115 a z praxe penetračných testov opísanej v PTES. Techniky, ktoré by mohli ohroziť dostupnosť služieb, bez výslovnej dohody nepoužívame.
- Zmapovanie dostupných služieb a ich verzií v dohodnutom rozsahu.
- Manuálne overenie zneužiteľnosti a vylúčenie falošných zistení.
- Pri internom teste overenie oprávnení, segmentácie a možného pohybu v sieti.
- Priebežná eskalácia kritických zistení podľa dohody.
Typické kategórie zistení
Vystavené služby
Správcovské rozhrania, databázy alebo vzdialený prístup dostupné z miest, odkiaľ by dostupné byť nemali.
Zastaraný softvér
Známe zraniteľnosti v neaktualizovaných systémoch a službách. Priorita zohľadňuje skutočnú dostupnosť a zneužiteľnosť.
Prístupy a identity
Slabé alebo predvolené heslá, zdieľané účty, nadmerné oprávnenia a slabiny v správe identít.
Konfigurácia
Nebezpečné predvolené nastavenia, slabé šifrovanie, nechránené zdieľané priečinky alebo protokoly.
Segmentácia siete
Chýbajúce oddelenie používateľskej, serverovej a správcovskej siete, ktoré uľahčuje pohyb útočníka.
Výstup ukazuje cesty útoku, nie len zoznam portov
Retest opravených zistení je možný, ak ho obsahuje ponuka.
- Zhrnutie pre vedenie: hlavné cesty útoku a odporúčané priority.
- Dotknuté systémy a služby s dôkazmi a krokmi reprodukcie.
- Opis reťazenia slabín tam, kde z čiastkových zistení vzniká vážnejšie riziko, prípadne s odkazom na techniky MITRE ATT&CK.
- Odporúčané opravy a konfigurácie s odkazom na uznávané odporúčania, napríklad CIS Benchmarks.
- Rozsah, výnimky a obmedzenia testu.
Čo od vás potrebujeme a kde test končí
Na externý test potrebujeme zoznam adries a domén v rozsahu a potvrdenie, že ich smiete autorizovať. Na interný test dohodneme východiskový bod, napríklad sieťové pripojenie, virtuálny stroj alebo bežný používateľský účet, a kontakt na správcu.
Test zachytáva stav v čase vykonania a v dohodnutom rozsahu. Nenahrádza priebežnú správu zraniteľností ani monitoring a nemôže preukázať, že v sieti nie sú ďalšie slabiny.
