Penetration testing και έλεγχος ευπαθειών: βρες τις αδυναμίες πριν τις βρουν άλλοι
Ελεγχόμενες δοκιμές και σάρωση ευπαθειών στα συστήματά σου, με σαφή αναφορά για το τι να διορθώσεις πρώτο. Αναλαμβάνουμε το έργο από τη συμφωνία του πεδίου μέχρι τον επανέλεγχο.
Ο έλεγχος ευπαθειών (vulnerability assessment) εντοπίζει γνωστές αδυναμίες με σάρωση και τις ιεραρχεί. Το penetration testing πάει ένα βήμα παρακάτω: προσπαθεί, με συμφωνημένο πεδίο και γραπτή εξουσιοδότηση, να τις εκμεταλλευτεί όπως θα έκανε ένας επιτιθέμενος, για να δείξει τι πραγματικά κινδυνεύει.
Δεν κάνουμε δοκιμές χωρίς γραπτή εξουσιοδότηση και συμφωνημένο πεδίο (scope).
- Καθορισμός πεδίου και κανόνων του έργου, γραπτά
- Δοκιμές εξωτερικού δικτύου (ό,τι φαίνεται από το διαδίκτυο)
- Δοκιμές εσωτερικού δικτύου
- Δοκιμές web εφαρμογών
- Σάρωση ευπαθειών, μία φορά ή επαναλαμβανόμενα
- Αναφορά με ιεράρχηση κινδύνου και οδηγίες αποκατάστασης
- Παρουσίαση των ευρημάτων στη διοίκηση και επανέλεγχος μετά τις διορθώσεις
Συχνές ερωτήσεις
Ποια η διαφορά ανάμεσα σε vulnerability assessment και penetration test;
Το vulnerability assessment είναι κυρίως αυτοματοποιημένη σάρωση που εντοπίζει γνωστές ευπάθειες και τις ιεραρχεί. Το penetration test περιλαμβάνει χειροκίνητη προσπάθεια εκμετάλλευσης, για να φανεί ποιες ευπάθειες είναι πράγματι αξιοποιήσιμες και τι μπορεί να πετύχει ένας επιτιθέμενος.
Πόσο συχνά πρέπει να γίνεται;
Συνήθως τουλάχιστον μία φορά τον χρόνο και μετά από σημαντικές αλλαγές στα συστήματα. Ο έλεγχος ευπαθειών μπορεί να είναι συχνότερος, π.χ. τριμηνιαίος.
Θα επηρεάσει τη λειτουργία των συστημάτων μου;
Σχεδιάζουμε τις δοκιμές μαζί σου, με συμφωνημένα χρονικά παράθυρα και εξαιρέσεις για κρίσιμα συστήματα. Κάποιες δοκιμές ενέχουν εγγενώς ρίσκο διακοπής, γι΄ αυτό το ορίζουμε από πριν και γραπτά.
Το απαιτεί η NIS2;
Η οδηγία ζητά πολιτικές για τη διαχείριση ευπαθειών και για την αξιολόγηση της αποτελεσματικότητας των μέτρων ασφάλειας. Οι δοκιμές διείσδυσης και ο έλεγχος ευπαθειών είναι ένας τρόπος να τεκμηριωθούν αυτά.