"Bez testowania, nie ma spania :)"
Testy penetracyjne to testy infrastruktuly teleinformatycznej: sieci, systemów i urządzeń. Jest to ocena bezpieczeństwa systemów operacyjnych, sieciowych, serwerów pod względem zarządzania i monitorowania, jak również weryfikacja konfiguracji pod kątem zapewnienia wymaganego poziomu poufności i integralności danych.
Są to ataki kontrolowane realizowane przez nasz doświadczony zespół testerów na środowisko teleinformatyczne, którego celem jest ocena bezpieczeństwa.
Prowadzimy testy zarówno z zewnątrz, jak i z wewnątrz organizacji. Typy naszych testów to: Black Box (nie posiadamy wiedzy o atakowanych systemach i ich architekturze), Crystal Box (posiadając wiedzę o atakowanych systemów) oraz Gray Box (przy ograniczonej wiedzy o architekturze systemu i mechanizmach bezpieczeństwa).
W ramach testów zbieramy informacje o testowanym środowisku i usługach, analizujemy podatności, zakres komunikacji i uprawnienia oraz podejmujemy próby złamania mechanizmów bezpieczeństwa systemów.
Do realizacji testów wykorzystujemy szereg narzędzi - skanerów, a metodykę opieramy na:
- OWASP (Open Web Application Security Project)
- ISSAF (OISSG Penetration Testing Framework)
- PTES (Penetration Testing Execution Standard)
- NIST SP 800-115 (Technical Guide to Information Security Testing)
- i innych standardach
Opis
Testy penetracyjne swoim zakresem obejmować mogą:
- sieć teleinformatyczną obejmująca urządzenia sieciowe,
- systemy wystawione na zewnątrz sieci,
- systemy informatyczne wewnętrzne,
- systemy automatyki przemysłowej SCADA,
Podczas wykonywania testów penetracyjnych posługujemy się własną metodyką testowania bazującą na metodyce OWASP oraz własnych doświadczeniach. Testowanie dzielimy na obszary, w ramach których wykonujemy kolejno zaplanowane testy, informacje zebrane podczas każdego z etapów wykorzystywane są w etapach kolejnych. Testy penetracyjne symulują działania rzeczywistego napastnika i jest to baza na której opiera się metodyka, zamiast więc sztywnego planu testów można podać obszary testowania i stosowane techniki oraz narzędzia, które dobierane są w zależności od potrzeb.
Chcesz przeczytać więcej na temat testów, zapraszamy na naszą stronę poświęconą bezpieczeństwu!
BLUEsec.pl
Realizacja testów
W zależności od zakresu realizowanej usługi oraz testowanej technologii mogą zostać przeprowadzone testy z następującego zakresu:
- Business logic testing
- Authentication Testing
- Testing for guessable (dictionary) user account
- Brute Force Testing
- Testing for bypassing authentication schema
- Testing for directory traversal/file include
- Testing for vulnerable remember password and pwd reset
- Testing for Logout and Browser Cache Management Testing
- Session Management Testing
- Testing for Session Management Schema
- Testing for Cookie and Session Token Manipulation
- Testing for Exposed Session Variables
- Testing for CSRF
- Testing for HTTP Exploit
- Data Validation Testing
- Testing for Cross Site Scripting
- Testing for HTTP Methods and XST
- Testing for SQL Injection
- Oracle Testing
- MySQL Testing
- SQL Server Testing
- Testing for LDAP Injection
- Testing for ORM Injection
- Testing for XML Injection
- Testing for SSI Injection
- Testing for XPath Injection
- IMAP/SMTP Injection
- Testing for Code Injection
- Testing for Command Injection
- Testing for Buffer overflow
- Testing for Heap overflow
- Testing for Stack overflow
- Testing for Format string
- Testing for incubated vulnerabilities
- Testing for Denial of Service
- Testing for DoS Locking Customer Accounts
- Testing for DoS Buffer Overflows
- Testing for DoS User Specified Object Allocation
- Testing for User Input as a Loop Counter
- Testing for Writing User Provided Data to Disk
- Testing for DoS Failure to Release Resources
- Testing for Storing too Much Data in Session
- Web Services Testing
- XML Structural Testing
- XML Content-level Testing
- HTTP GET parameters/REST Testing
- Testing for Naughty SOAP attachments
- WS Replay Testing
Wszystkie prace audytowe (audyty fizyczne, testy penetracyjne itp.) będą raportowane w następującym układzie:
- Wprowadzenie
- Uwagi wstępne
- Wykonanie planu audytu
- Podstawa do przeprowadzenia audytu
- Opis wykorzystanych standardów oraz narzędzi informatycznych
- Prezentacja wyników
- Wnioski ogólne
- Prezentacja słabych i mocnych w kontekście wymagań i wytycznych.
- Działania korygujące i doskonalące
- Wskazanie dalszych działań związanych z wdrażaniem polityki bezpieczeństwa w organizacji.
- Prezentacja wyników szczegółowych
- Prezentacja informacji z audytowanych jednostek organizacyjnych.
- Podsumowanie
Proponujemy wykorzystanie narzędzia BPM w zakresie raportowania i zarządzania rekomendacjami. Dowiedz się więcej!
Korzyści
Wiedza na temat faktycznego stanu bezpieczeństwa infrastruktury teleinformatycznej jest niezbedna w celu podejmowania jakichkolwiek działań doskonalących.