Главная мысль
Выберите бизнес-сценарии, которые не охватывает сканирование, согласуйте правила письменно, подтвердите каждую выявленную проблему, устраните её и выполните повторную проверку.
Цель penetration test
Penetration test согласованной симуляцией оценивает фактическое влияние слабостей систем, сетей, приложений и устройств. Он показывает доказательствами путь использования, затронутые данные и сервисы и ответ защиты. Результат — приоритетный отчёт исправлений и основа улучшения мер.
Отличие от сканирования
Сканирование и проверка на проникновение дополняют друг друга; оба могут использовать инструменты и анализ специалиста. Скан помогает с охватом и повторными проверками, тест — с последствиями и реакцией защиты. Ни один не заменяет полный инвентарь или постоянный мониторинг инцидентов.
| Критерий сравнения | Сканирование уязвимостей | Проверка на проникновение |
|---|---|---|
| Охват | Повторяемые проверки широкого круга выбранных активов. | Проверка путей атаки в рамках выбранных целей тестирования. |
| Результат | Предполагаемые уязвимости, требующие подтверждения. | Продемонстрированное воздействие в согласованных границах. |
| Ограничение | Зависит от доступности активов для сканера и используемых сигнатур проверок. | Ограничена временем, предоставленным доступом и границами сценария. |
| Последующая работа | Повторно проверяйте уязвимости после исправления. | Повторно проверяйте подтверждённые уязвимости и реакцию средств защиты. |
Охват и правила
В разрешении задайте активы, цели, время, метод, данные, контакт и остановку. Black box даёт мало исходных сведений, white box — широкие внутренние данные, gray box — ограниченный доступ. Уточните облачные и сторонние разрешения, влияние на критичные сервисы, резервирование, откат и экстренную связь.
Сети, веб, мобильные приложения и API
Внешний сетевой тест оценивает доступные из интернета системы, внутренний — позицию внутри сети или захваченный аккаунт. Веб и API требуют проверки аутентификации, доступа, сессий, входных данных и логики. В мобильных приложениях важны хранение и платформа, в Wi-Fi — точки доступа, аутентификация и разделение.
Люди и физические меры
Phishing, звонки и impersonation могут проверить процедуры и ответ сотрудников с отдельным разрешением, границами и защитой данных. Физический тест оценивает доступ к объекту и устройству. Согласуйте цели и остановку с охраной и руководством; отчёт направляйте на процессы и обучение.
Разведка и выявление слабостей
Открытыми данными и согласованными запросами картируйте домены, IP, сервисы, версии и архитектуру. Сканируйте настройки, порты и старое ПО, затем подтверждайте вручную. Связывайте данные с активом и сценарием; ресурс вне охвата не расширяет разрешение автоматически.
Контролируемая эксплуатация и влияние
Согласованная проверка может показать доступ, повышение привилегий или влияние на данные. Латеральное движение и persistence оценивайте только при явном включении. Подтверждайте минимальным доказательством, защищайте данные и следите за воздействием. После теста удаляйте артефакты и откатывайте изменения с сохранением записи.
Категории инструментов
Shodan, theHarvester и Maltego помогают с открытыми данными, Nmap — с сетью, Nessus и OpenVAS — со сканированием. Burp Suite, Nikto и Wireshark работают с приложениями и протоколами. Metasploit и SQLmap поддерживают проверку, John the Ripper, Hashcat и Hydra — авторизованную оценку аутентификации. Mimikatz и Empire требуют отдельно ограниченного охвата.
Методология и требования
OWASP WSTG структурирует веб-проверки, NIST SP 800-115 — план технической оценки, MITRE ATT&CK — сценарии поведения противника. Связывайте применимые PCI DSS, договоры и требования с охватом и доказательствами. Роль теста в GDPR, HIPAA и ISO 27001 определяйте отдельно; периодичность и метод различаются.
Отчёт, исправление и повторный тест
В отчёте нужны резюме, охват, метод, выявленные проблемы, доказательства, влияние и рекомендации. Создавайте задачи с владельцами и сроками. Отдельно показывайте пробелы защиты и обнаружения. После исправления перепроверяйте приоритетные проблемы, подтверждая их устранение и нормальную работу сервиса.
Время и повторение тестов
Задавайте частоту по риску, изменениям и требованиям. Крупные изменения, внедрения, слияния и приобретения, этап после инцидента могут потребовать новой проверки. Учитывайте предыдущий охват и исправления; заранее определяйте новые сценарии и цели защиты.
Сотрудничество red, blue и purple
Red team выполняет сценарий противника, blue team проверяет обнаружение, расследование и ответ. Purple связывает действия с защитными сигналами и исправлением. При оценке услуг Xcitium уточняйте охват, метод, приоритетный отчёт, поддержку исправлений и повторный тест. Переносите результаты в правила и процессы ответа.
Частые вопросы
Что проверяет тест на проникновение?
Проверяются согласованные сети, конечные устройства, приложения или беспроводные цели на наличие эксплуатируемых уязвимостей.
Зачем нужны письменные правила?
Письменные правила определяют цели, разрешённые методы, время работ, контакты и условия остановки.
Что передаётся в отчёте?
В отчёте представлены подтверждённые результаты проверки, возможные последствия и технические шаги для исправления.