Penetrationstest (kort test) er afgørende for at forbedre din organisations cybersikkerhed.
Det simulerer cyberangreb, så du kan opdage netværks- og systemsårbarheder og adressere dem i overensstemmelse hermed.
Penetrationstest kan klassificeres i forskellige typer. Hver enkelt dækker et bestemt aspekt af din cybersikkerhed, sonderer dybere og afslører specifikke svagheder.
På denne måde kan du identificere egnede løsninger og fordele dit budget, indsats og ressourcer mere effektivt. Du kan også bestemme, hvilke aspekter af dit it-landskab du skal prioritere.
Når det er sagt, i dette indlæg vil vi se på seks typer penetrationstest, som du kan anvende på din virksomhed.
Lad os komme til det.
1. Netværkstjenester
Når penstesteren har indsamlet relevante oplysninger om din virksomhed, udfører han derefter en række netværksvurderinger.
Test af netværkstjenester er ofte den mest populære metode til penetrationstest.
Når testeren invaderer dit netværk, ryddes 90 procent af hindringerne.
Han kan også udføre udnyttelsestest for både det interne og eksterne netværk. Han gør dette ved at efterligne hackerteknikker for at invadere forsvaret til dit eksterne netværk.
Det giver dem chancen for at undersøge mange aspekter af din virksomheds cybersikkerhed.
Netværkstest involverer ofte følgende:
- Routertest
- Secure Shell (SSH) -baserede angreb
- Undgår firewalls
- DNS-fodaftryk (Domain Name System)
- Netværkssårbarheder
- Åbn port scanning og test
- Proxy-servere
- Undgå dit Intrusion Prevention System (IPS) og Intrusion Detection System (IDS).
2. Cloud -test
Cloudtjenester er vokset til en velkendt nødvendighed blandt organisationer med onlineoperationer.
De udnytter skyen til fildeling og sikkerhedskopiering samt samarbejdsprojekter og netværk.
For eksempel, hvis du har brug for at sende en transkriptionsfil til Rev eller give gratis kopier af din forskning til konferencedeltagere, skyen gør det smertefrit for dig at dele dine dokumenter.
Desværre svarer disse store filer i skyen til værdifulde data, som black hat-hackere (de onde) elsker at få fat i.
Som sådan vil de gøre hvad de kan for at udnytte og få ulovlig adgang til din skylager.
På en anden note, selvom: mens cloudimplementeringer er ubesværede, er cloudsikkerhedsistration kompleks.
Offentlige cloudtjenesteudbydere har typisk et fælles ansvar eller en begrænset tilgang til at opretholde cybersikkerhed.
Organisationer skal selv tage ansvaret for deres initiativer til at teste for sårbarheder og forhindre overtrædelser vedrørende deres skydata.
Derfor bliver test af skypenetration en kritisk cybersikkerhedsmekanisme.
Cloud-pen-test involverer normalt følgende:
- Ansøgninger og Applikationsprogramgrænseflade (API) adgang
- Opbevaring og databaseadgang
- Kryptering
- Virtuelle maskiner (VM'er) og upatchede operativsystemer
- Remote Desktop Protocol (RDP) og SSH remote istration
- Computer sikkerhed
- Svage netværk firewalls
- Dårlige adgangskoder
Cloud-pen-test kan være indviklede at udføre - det er derfor a hvid boks metode til test af penne kan være nyttigt.
I en test af hvid boks har du (eller testeren) fuldstændig intelligens og adgang til et system sammen med dets kildekode, netværksarkitektur og software, det driver.
Brug disse oplysninger, så du kan udføre pennetesten hurtigt og grundigt.
Offentlige cloudtjenesteudbydere begrænser dog normalt din evne til at udføre pen-test på grund af multi-lejer eller delt orientering af Infrastructure as a Service (IaaS).
Hvis du ønsker at lave en skypen-test, skal du overveje at informere din tjenesteudbyder først om planen. Spørg dem, hvilke områder der er begrænset.
3. Socialteknik
Du har muligvis de stærkeste cybersikkerhedsmekanismer, men menneskelige fejl på grund af svig får nogle gange onlineangreb til at infiltrere dit system med succes.
Derfor skal penetrationstestere også undersøge dit cyberforsvar fra socialtekniske ordninger.
Hvide hatthackere simulerer ofte disse sociale teknikker:
- Phishing angreb
- Bluesnarfing
- tailgating
- Gaver
- Pre-sms'er
- aflytning
- Bedragere (fungerer som tredjepartsleverandører, kolleger osv.)
- Navnet falder
- Dumpster dykning
En social ingeniørundersøgelse er nyttig, fordi den informerer dig om smuthuller, der vedrører din menneskelige kapitals evne til at forhindre svigagtig taktik.
Når alt kommer til alt kan sorte hatthackere have stærkt vildledende måder og midler, så du har ikke råd til at bagatellisere dem.
Du eller din arbejdsstyrke kan falde i bytte for troværdige meddelelser - medmindre du bliver opmærksom og stopper disse trusler i deres spor.
4. Fysisk penprøve
Hvis din kontorbygning har svag fysisk sikkerhed, kan du bogstaveligt åbne døren for cyberkriminelle uden selv at vide det.
De kan forklæde sig som FBI-officerer, tredjepartsleverandører, jobansøgere, hjælpepersonale, din medarbejder eller enhver anden regelmæssig og troværdig karakter.
De kan endda foregive at være fysiske penetrationstestere.
(Derfor skal du sikre dig, at du tapper legitime pen-testere. Overvej kendte cybersikkerhedsfirmaer eller certificerede freelance-pen-testere som dem på Fiverr.)
Når dit personale ikke har mistanke om noget, kan de tillade cyberkriminelle at komme ind i dit firmas lokaler og forlade dem uden at overvåge deres opholdssted.
For at forhindre, at dette sker, skal du gennemføre fysiske penetrationstest.
Fysisk pen-test forhindrer hackere i at få håndgribelig adgang til dine servere og systemer. Det hjælper med at sikre, at uautoriserede personer ikke har adgang til dine faciliteter og hardware.
Fysiske penprøver beskæftiger sig primært med forsøg på at få adgang gennem disse metoder:
- Personefterligning
- RFID-systemer
- Omgåelse af lys- og bevægelsessensorer
- Låseplukning
- Dørindgangssystemer og tastaturer osv.
Fysiske pennetestere kan integrere denne type test med socialtekniske ordninger som bedrageri og manipulation af facilitetsmedarbejdere.
Husk, det er godt for dit it-team at flette sårbarheder flittigt, men de må ikke overse fysisk sikkerhed. Hvis de gør det, kan cyberkaprere udnytte dine fysiske it-aktiver.
5. Trådløst netværk og websted (klientside)
Når din virksomhed involverer browsing, drift eller interaktion med leverandører og kunder online, kan du sandsynligvis ikke lade være med at støde på både sikre og skadelige websteder.
Hvis du bruger offentlig WiFi og har svag webstedsikkerhed, kan du være modtagelig for uetiske hacks. Hvis du ikke kan fortælle om en webstedet er pålideligt eller ej, kan du endda give adgang til hackere uden at vide det.
Hackere bruger også iøse netværk og ondsindede websteder for at prøve at udføre deres angreb.
Derefter kan de få krypterede detaljer såsom -brugernavne og adgangskoder, fotos, private chatbeskeder, kreditkortnumre, e-mails og meget mere.
Cyberkaprere kan endda ændre information og injicere malware og vira, herunder ransomware. Alle disse trusler kan bringe dit IT-økosystem i fare og lukke ned.
Derfor er pen-tests til dit websted og trådløse netværk afgørende.
Websteds- og trådløse netværkstests tjekker vigtig infrastruktur og enheder til smuthuller, som hackere med sort hat kan manipulere.
Typisk inkluderer pen-tests for websteder og trådløse netværk:
- SQL-injektioner
- Cross-site scripting
- Trådløs netværkstrafik
- MAC-adresse spoofing (Media Access Control)
- Standard eller svage adgangskoder
- Trådløse krypteringsprotokoller
- Denial-of-service (DDoS) angreb
- malware
- Fejlkonfiguration af webserver
- Webserver og / eller websted til fortrolige kundeoplysninger
- Ulovlige hotspots, netværk og adgangspunkter
- Software til oprettelse af indhold eller software til medieafspiller
6. Webstedsapplikationer
I sikkerhedskontrol af webstedsapplikationer jager penstestere efter sårbarheder inden for alle dine serverapplikationer.
Det går ud over standardnetværkspenstesten og angiver, hvad disse sårbarheder er.
Denne type test sigter mod at inspicere de mulige farer, der kan komme gennem webtjenester, sikker kodegennemgang og apps.
Pen-testere inspicerer typisk disse apps:
- Web applikationer
- Sprog (Java, .NET, PHP)
- Systemer (SAP, logistik, CRM-systemer, HR-systemer, finansielle systemer)
- rammer
- Forbindelser (Oracle, XML, MySQL)
- API'er
- Mobile apps.
Bundlinie
Forskellige typer af penetrationstests afslører forskellige indsigter i tilstanden af din cybersikkerhed og prioriterede områder til forbedring.
Jo flere typer pen-test du anvender i din virksomheds IT-landskab, jo flere områder kan du dække, og jo mere forberedt vil du være på potentielle cybertrusler og -angreb.
Tror dette indlæg var nyttigt? Del dette med dine kolleger og venner nu. Skål!
