5 skverbties testavimo tipai: ką reikia žinoti apie juos?

Šiandieniniame pasaulyje, kuriame nuolat auga grėsmės saugumui, skverbties testavimas yra svarbi bet kokios pažeidžiamumo valdymo strategijos dalis. Juodosios skrybėlės įsilaužėliai, kuriuos kartais palaiko pramonininkai ar vyriausybės, nuolat bando pažeisti tinklo apsaugą, naudodami naujai atrastus išnaudojamus pažeidžiamumus.

Be to, skverbties testavimas yra esminis sprendimas. Tai padeda atskleisti išnaudojamus jūsų sistemų pažeidžiamumus ir leidžia jums juos ištaisyti, kol įsilaužėliai bando iš jų pasipelnyti. Bet pirmiausia turite suprasti skverbties testavimą ir jo tipus. Pradėkime.

Kas yra skverbties testas?

Įsiskverbimo testavimas yra etiškas sistemos įsilaužimo procesas, y., atakų rinkinio prieš tinklą ar sistemą pradėjimas, siekiant patikrinti jo gynybos mechanizmus. Be to, ji atlieka visos sistemos pažeidžiamumų analizę, kuri padeda jums pagerinti jos kibernetinį saugumą.

Skverbimosi testavimo tipai

Yra daug skverbties bandymų tipų, tačiau pirmiausia jie suskirstyti į penkias kategorijas, kaip aprašyta toliau. Žinoma, šios kategorijos tikrina kai kurias konkrečias tinklo ar sistemos pažeidžiamumo ar trūkumų sritis.

Šios kategorijos yra gautos iš skverbimosi testo apimties. Jos apimtis, t. Y. Įsiskverbimo į sistemą lygis arba jos įsiskverbimo į sistemą lygis priklauso nuo to, kokios saugumo analizės reikalauja organizacija. Štai kodėl penktokė turi žinoti reikalavimus ir tada nuspręsti, koks yra tinkamiausias skverbties testas saugumo analizei atlikti. Tai sakė, patikrinkime tipus.

1. Tinklo paslaugų testai

Tinklo paslaugų testo tikslas – surasti organizacijos tinklo infrastruktūros saugumo spragas ir pažeidžiamumus. Kadangi tinklas gali turėti vidinius ir išorinius galinius taškus, labai svarbu atlikti abiejų prieigos taškų testus, tai reiškia, kad bandymai atliekami tiek iš organizacijos vidaus, tiek už jos ribų.

Tai reiškia, kad bandymai apima tinklo sritis ir programinės įrangos modulių, naudojamų tikslinėje organizacijoje, rinkinį, įskaitant pašto mainų serverius, tinklo duomenų bazes ir kitas priemones. Be to, jie apima tinklo užkardų, įsilaužimo aptikimo ir prevencijos sistemų, domenų vardų sistemų ir kt. Tikrinimą.

2. Žiniatinklio programų testai

Žiniatinklio programų testas yra tikslus – išsamus ir intensyvus – testas, kurio metu išbandomi žiniatinklio programos skydai. Jis yra toks pat gilus kaip jo komponentų, įskaitant programėles, papildinius, scenarijus ir tt, bandymas. Taip pat išbandomi visi programos, kurią programos vartotojai gali pasiekti arba su kuria gali bendrauti, pvz., Internetas, galutiniai taškai.

Tai labai svarbu, nes „žiniatinklio programų skverbties testas ieško bet kokių saugumo problemų, kurios galėjo kilti dėl nesaugaus kūrimo, dizaino ar kodavimo, kad būtų galima nustatyti galimus jūsų svetainių ir žiniatinklio programų, įskaitant CRM, ekstranetą ir viduje sukurtas programas, pažeidžiamumus. dėl to gali būti atskleisti asmens duomenys, kredito kortelės informacija ir pan. “, – sako jis „Comtact“.

Bandymas apima komponentus, nes žiniatinklio programoje gali būti trečiųjų šalių komponentų, įskaitant atvirojo kodo bibliotekas. Nesertifikuotose, neišbandytose bibliotekose gali būti atvirų pažeidžiamumų, kuriuos gali panaudoti įsilaužėliai.

3. Bandymai kliento pusėje

Kliento testas tik išbando vietines saugumo grėsmes, kylančias kliento pusėje, ty organizacijos viduje. Pavyzdžiui, vartotojo darbo vietoje gali būti programa, turinti saugumo spragų, leidžianti įsilaužėliams jas išnaudoti, o tai dar labiau leisti jiems pakenkti tikslinei programai.

Žinoma, tai apima trečiųjų šalių programinę įrangą, pvz., Daugialypės terpės grotuvus, biuro programas, teksto redaktorius ir našumo rinkinius, įskaitant „Adobe Photoshop“, „Google Chrome“, „Microsoft Office“ ir tt , pažeidžiamos atvirojo kodo bibliotekos.

4. Belaidžio tinklo bandymai

Belaidžio tinklo bandymu siekiama išanalizuoti organizacijos belaidžius įrenginius. Į prietaisų sąrašus gali būti įtraukti išmanieji telefonai ir planšetiniai kompiuteriai į nešiojamuosius kompiuterius ir stalines sistemas ir tt.

Idėja yra išsiaiškinti silpnas belaidžio tinklo sritis ir žmones, kurie naudojasi ar pažeidžia savo teises naudodamiesi belaidžiais tinklais. Bandymai apima adresų klastojimą ir šifravimo protokolų naudojimą, numatytuosius arba silpnus slaptažodžius, netinkamą žiniatinklio serverio konfigūraciją, belaidį srautą ir kt..

5. Socialinės inžinerijos testai

Socialinės inžinerijos testu ketinama išbandyti žmonių tinklą, t.y., organizacijos darbo jėgą. Jis imituoja socialinės inžinerijos atakas, kad padėtų išanalizuoti nesaugius žmones, kuriems gali prireikti tam tikro mokymosi (tarkime, internetinio saugumo mokymo), kad jie būtų apsaugoti nuo socialinės inžinerijos metodų.

„Jūsų saugumas yra toks stiprus, kaip silpniausia grandinės grandis. Žmonės daro klaidas ir gali būti lengvai manipuliuojami. Silpniausia grandis dažnai yra jūsų darbuotojai. Socialinė inžinerija yra vienas iš labiausiai paplitusių būdų, kaip grėsmės veikėjai gali įsiskverbti į jūsų aplinką “ „CIPHER“ tinklaraštis, kurį sukūrė „Prosegur“.

Šie bandymai apima nuotolinius ir fizinius testus. Nuotoliniais bandymais siekiama apgauti darbuotoją nesąmoningai įtraukti sistemą arba nutekinti konfidencialius duomenis iš organizacijos. Šie bandymai gali apimti sukčiavimo el. Pašto kampanijos vykdymą darbuotojams arba el. Laiškų siuntimą prie Trojos arklys.

Fizinių testų tikslas – gauti svarbios informacijos tiesiogiai susisiekiant su darbuotojais. Pavyzdžiui, į šiuos bandymus dažniausiai įeina nardymas į šiukšliadėžę, mėgdžiojimas kitų darbuotojų (pageidautina – viršininko) arba įtikinimas skambučiais. Tai taip pat gali apimti persekiojimą, t. Y. Sekti darbuotoją į saugias vietas ir kibti, t. Y. Palikti užkrėstus „flash“ diskus darbuotojui prijungti prie darbo vietos.

Tai viskas apie bandymų tipus, kuriuos turite žinoti ir suprasti, kad sukurtumėte sėkmingą kibernetinio saugumo strategiją. Ar šis rašymas jums buvo naudingas??