Əsas fikir
Skanın əhatə etmədiyi biznes axınlarını da seçin, yazılı qaydaları razılaşdırın və hər tapıntını təsdiq, düzəliş və təkrar testlə bağlayın.
Penetrasiya testinin məqsədi
Penetrasiya testi razılaşdırılmış hücum simulyasiyası ilə sistem, şəbəkə, tətbiq və cihazda zəifliyin faktiki təsirini qiymətləndirir. Məqsəd boşluğun necə istifadə oluna biləcəyini, hansı məlumat və xidmətə çatdığını və müdafiənin necə cavab verdiyini sübutla göstərməkdir. Nəticə prioritetli düzəliş hesabatı və nəzarət təkmilləşməsi üçün əsasdır.
Skandan fərqi
Skan və penetrasiya testi bir-birini tamamlayır; hər ikisi alət və insan təhlilindən istifadə edə bilər. Skan əhatə və təkrar yoxlamanı, test nəticə və müdafiə davranışını qiymətləndirir. Heç biri tam inventar və ya davamlı insident monitorinqi deyil.
| Sual | Zəiflik skanı | Penetrasiya testi |
|---|---|---|
| Əhatə | Seçilmiş aktivlərin təkrarlanan geniş yoxlamaları. | Seçilmiş məqsəd və hücum yollarının yoxlanması. |
| Nəticə | Doğrulama tələb edən potensial tapıntılar. | Razılaşdırılmış əhatədə nümayiş etdirilmiş təsir. |
| Sərhəd | Skanerin görünürlüğü və yoxlama imzaları ilə məhdudlaşır. | Vaxt, giriş və ssenari sərhədləri ilə məhdudlaşır. |
| Sonrakı iş | Düzəldilmiş tapıntıları yenidən qiymətləndirin. | Nümayiş etdirilmiş zəiflik və nəzarət cavabını təkrar sınaqdan keçirin. |
Əhatə və qaydalar
Yazılı icazədə aktiv, məqsəd, vaxt, metod, məlumat istifadəsi, əlaqələndirici və dayandırma şərtini göstərin. Black-box testdə az ilkin məlumat, white-box-da geniş daxili məlumat, gray-box-da məhdud giriş verilir. Bulud və üçüncü tərəf icazələrini dəqiqləşdirin. Kritik xidmət üçün test təsiri, ehtiyat nüsxə, geri qaytarma və təcili əlaqə planını razılaşdırın.
Şəbəkə, veb, mobil və API testi
Xarici şəbəkə testi internetdən görünən sistemi, daxili test isə daxili mövqe və komprometləşdirilmiş hesab ssenarisini qiymətləndirir. Veb və API testində autentifikasiyanı, avtorizasiyanı, sessiyaları, daxil edilən məlumatların emalını və biznes məntiqini araşdırın. Mobil tətbiqdə lokal məlumat və platforma nəzarəti, simsiz şəbəkədə giriş nöqtəsi, autentifikasiya və ayrılma sərhədi vacibdir. Test növlərini xidmətə və təhdid ssenarisinə uyğun seçin; bütün aktivlərə eyni testi tətbiq etməyin.
İnsan və fiziki nəzarət testi
Phishing, telefon və impersonasiya ssenarisi işçi proseduru və cavabı yoxlaya bilər; ayrıca icazə, iştirakçı sərhədi və məlumat qoruması tələb edir. Fiziki test obyekt və cihaz girişinə yönəlir. Məqsədi və dayandırma şərtini mühafizə və məsul rəhbərlə razılaşdırın; şəxsləri damğalamaq əvəzinə proses və təlim boşluğunu hesabat edin.
Kəşf və zəiflik müəyyənləşdirməsi
Açıq məlumat və razılaşdırılmış aktiv sorğularla domen, IP, xidmət, versiya və arxitekturanı xəritələyin. Avtomatik skanla yanlış konfiqurasiya, açıq port və köhnə proqram tapın, sonra əl ilə doğrulayın. Test məlumatını aktivə və ssenariyə bağlayın; əhatədən kənar resurs görünəndə əlavə icazə olmadan testi genişləndirməyin.
Nəzarətli istismar və sonrakı təsir
Razılaşdırılmış doğrulama zəifliyin giriş, imtiyaz artımı və ya məlumat təsirini göstərə bilər. Sonrakı mərhələdə lateral hərəkət və davamlı giriş yalnız açıq razılaşdırılıbsa qiymətləndirilir. Minimum sübutla təsiri göstərin, işlək mühitin məlumatlarını qoruyun və işə təsiri izləyin. Testdən sonra artefaktı silin, razılaşdırılmış dəyişiklikləri geri qaytarın və qiymətləndirmə qeydlərini saxlayın; fəaliyyəti sistem sahibindən gizlətməyin.
Alət kateqoriyaları
Shodan, theHarvester və Maltego açıq məlumat araşdırmasına; Nmap şəbəkə kəşfinə; Nessus və OpenVAS zəiflik skanına kömək edir. Burp Suite, Nikto və Wireshark tətbiq və protokol baxışı üçündür. Metasploit və SQLmap doğrulama, John the Ripper, Hashcat və Hydra icazəli autentifikasiya qiymətləndirilməsində istifadə oluna bilər. Mimikatz və Empire kimi sonrakı mərhələ alətləri ayrıca məhdudlaşdırılmalıdır.
Metodologiya və tələblər
OWASP Web Security Testing Guide veb testini strukturlaşdırır, NIST SP 800-115 texniki qiymətləndirmə planını dəstəkləyir, MITRE ATT&CK isə rəqib davranışını ssenariyə xəritələyir. Tətbiq olunan PCI DSS və digər müqavilə və nəzarət tələblərini əhatə və sübuta bağlayın. GDPR, HIPAA və ISO 27001 üçün testin rolunu ayrıca müəyyən edin; eyni tezlik və metod bütün rejimlərə aid deyil.
Hesabat, düzəliş və təkrar test
Hesabatda rəhbərlik xülasəsi, əhatə, üsul, tapıntı, sübut, təsir və tövsiyə olsun. Tapıntını risk sahibi və tarixlə müraciətə çevirin. Nəzarət boşluğu və aşkarlama imkanını ayrıca göstərin. Düzəlişdən sonra prioritet tapıntını təkrar yoxlayın və həm texniki bağlanış, həm xidmətin normal işini təsdiqləyin.
Testin vaxtı və təkrarlanması
Tezliyi risk, dəyişiklik sürəti və tətbiq olunan tələblə müəyyən edin. Böyük infrastruktur və tətbiq dəyişməsi, yeni yerləşdirmə, birləşmə və satınalma, insident sonrası mərhələ əlavə test üçün əsas ola bilər. Keçən testin əhatəsini və düzəliş vəziyyətini nəzərə alın; yeni ssenari və müdafiə məqsədini əvvəlcədən yazın. Tətbiq olunan müqavilə və ya çərçivə konkret test qrafiki tələb edirsə, ona əməl edin.
Red, blue və purple əməkdaşlığı
Red team rəqib ssenarisini icra edir; blue team aşkarlama, araşdırma və cavabı yoxlayır. Purple əməkdaşlığı hücum addımını müdafiə siqnalı və düzəlişlə əlaqələndirir. Xcitium test xidmətini qiymətləndirərkən əhatə, metodologiya, prioritetli hesabat, düzəliş dəstəyi və təkrar test şərtini soruşun. Təlim nəticəsini qayda və cavab iş axınına daxil edin.
Tez-tez verilən suallar
Nüfuzetmə sınağı nələri yoxlayır?
Razılaşdırılmış şəbəkə, son nöqtə, tətbiq və ya simsiz hədəflərdə istismar oluna bilən zəifliklər yoxlanılır.
Niyə yazılı qaydalar lazımdır?
Yazılı qaydalar hədəfləri, icazəli üsulları, sınaq vaxtını, əlaqə şəxslərini və dayandırma şərtlərini müəyyən edir.
Hesabatda nə təhvil verilir?
Hesabatda təsdiqlənmiş tapıntılar, mümkün təsir və düzəliş üçün texniki addımlar təqdim olunur.