Vad är penetrationstestning?

Penetrationstestning, penntestning eller etisk hackning, är praxis att testa ett datorsystem, nätverk eller webbapplikations cybersäkerhet genom att leta efter exploaterbara säkerhetsbrister. Penetrationstestning kan automatiseras med verktyg för penetrationstestning eller manuellt av penetrationstestare.

I huvudsak syftar penetrationstestning till att besvara:

Hur skulle en attack övervinna mitt säkerhetsprogram?
Hur skulle de få tillgång till mina och mina kunders känsliga uppgifter?

Den ser ditt nätverk, din applikation, din enhet och din fysiska säkerhet genom ögonen på en illvillig aktör och ett erfaret säkerhetsteam för att upptäcka svagheter och identifiera hur din säkerhetsstatus kan förbättras. Det är en viktig aspekt av cybersäkerhet som alla organisationer bör använda.

Penntestare startar auktoriserade cyberattacker som är utformade för att få tillgång till känslig information och simulerar vad en verklig attack skulle rikta sig mot, hur dina säkerhetskontroller skulle fungera och omfattningen av ett potentiellt dataintrång.

Vad ingår i ett penetrationstest?

Vanligtvis identifieras ett målsystem och ett särskilt mål definieras, t.ex. för att få tillgång till PII och PHI som skulle resultera i ett anmälningspliktigt dataintrång.

Penntestare granskar sedan tillgänglig information och använder olika metoder för att försöka nå sitt mål. De kan till exempel använda SQL-injektioner, nätfiske och andra sociala ingenjörsattacker, skript över flera webbplatser eller utnyttja sårbarheter.

När penetrationstestet är klart ger säkerhetsexperterna en säkerhetsbedömning till målföretagets ägare. Bedömningen beskriver i allmänhet den potentiella effekten och motåtgärder som utformats för att minska cybersäkerhetsrisken.

Lär dig skillnaderna mellan cybersäkerhet och etisk hackning.

Vilka är vanliga områden för penetrationstestning?

Vanliga områden för penetrationstestning är:

Penetrationstestning av applikationer: Identifierar problem som förfalskning av förfrågningar mellan webbplatser, skript över flera webbplatser, injektionsfel, svag sessionshantering med mera
Testning av nätverkspenetration: Belyser brister på nätverksnivå, inklusive felkonfigurationer, produktspecifika sårbarheter, sårbarheter i trådlösa nätverk, falska tjänster, svaga lösenord, sårbara protokoll och standardlösenord
Fysisk penetrationstestning: Avslöjar hur fysiska kontroller, såsom lås, biometriska skanningar, sensorer och kameror kan övervinnas
IoT-penetrationstestning: Avslöjar sårbarheter i maskinvara och programvara i IoT-enheter (Internet of Things), inklusive standardlösenord, osäkra protokoll, öppna API:er, felkonfigurationer med mera

Vad är målet med ett penetrationstest?

Målet med ett penetrationstest beror på vilken typ av godkänd aktivitet och dina efterlevnadskrav. Penetrationstestning kan hjälpa organisationer att:

Fastställ genomförbarheten för specifika attackvektorer
Identifiera högrisksårbarheter till följd av sårbarheter med lägre risk som utnyttjas på ett visst sätt
Markera sårbarheter som inte upptäcks i automatiserad programvara för sårbarhetsskanning av nätverk eller program
Bedöm den potentiella affärsmässiga, operativa och regulatoriska effekten av framgångsrika cyberattacker
Testa nätverksförsvaret och din organisations förmåga att identifiera, svara på och stoppa en attack
Ge sammanhang för att stödja ökade investeringar i policyer, procedurer, personal eller teknik för informationssäkerhet
Uppfylla efterlevnadskrav, t.ex. måste alla FISMA-reglerade enheter följa NIST SP 800-115, Technical Guide to Information Security Testing and Assessment. Payment Card Industry Data Security Standard (PCI DSS) kräver också regelbundna penetrationstester.
Verifiera implementeringen av nya säkerhetskontroller som införts för att förhindra liknande attacker

I slutändan är standardmålet att hitta säkerhetsproblem som kan utnyttjas av en angripare och sedan dela denna information, tillsammans med relevanta åtgärdsstrategier med målet.

Även om penetrationstestning kan hjälpa till att identifiera svagheter i nätverkssäkerhet, informationssäkerhet, applikationssäkerhet och datasäkerhet, är det bara en del av en fullständig säkerhetsrevision.

Vilka är de sex stegen i penetrationstestning?

Penetrationstestning kan delas upp i sex steg:

Rekognoscering: Insamling av information om målet som ska användas för att bättre attackera målet. Till exempel att använda google-hacking för att hitta data som kan användas i en social engineering-attack.
Skanning: Använda tekniska verktyg för att få ytterligare kunskap om målets externa tillgångar, t.ex. genom att använda Nmap för att söka efter öppna portar.
Få åtkomst: Med hjälp av de data som samlats in under rekognoscerings- och skanningsfaserna kan penntestaren leverera en nyttolast för att utnyttja målet. Metasploit kan till exempel användas för att automatisera attacker mot kända sårbarheter som de som listas på CVE.
Upprätthålla åtkomst: Efter att ha fått åtkomst kan penntestaren vidta åtgärder för att få beständig åtkomst till målet för att extrahera så mycket data som möjligt.
Täcka spår: Det sista steget är att rensa alla spår av deras åtkomst genom att ta bort granskningsspår, logghändelser etc.
Rapportering: Beskriver resultaten och ger en sårbarhetsbedömning med föreslagna reparationssteg.

Observera att den här processen kan upprepas när penntestaren hittar nya säkerhetsproblem.

Vem tillhandahåller tjänster för penetrationstestning?

Penetrationstestningstjänster tillhandahålls i allmänhet av en extern konsult eller ett internt team med liten eller ingen förkunskap om hur målet är säkrat.

Detta gör det möjligt för dem att avslöja eventuella blinda inlägg som missas av det interna säkerhetsteamet.

Vilka typer av penetrationstester finns det?

Test med vit box-penna: Etiska hackare får bakgrunds- och systeminformation, t.ex. anställdas e-postadresser, operativsystem, säkerhetspolicyer eller källkod. Denna typ av säkerhetstestning kan sägas efterlikna insiderhot.
Test med svart låda-penna: Säkerhetspersonal får grundläggande eller ingen information utöver målets namn. Detta innebär att penntestarna endast har tillgång till information som de kan samla in genom sårbarhetsskanning, OPSEC-fel, social ingenjörskonst och analys av extern säkerhetsstatus. Detta efterliknar externa angripare som försöker få åtkomst till din organisation.
Grey box pen test: En kombination av en white box och black box-test, där begränsad kunskap om målet delas med penntestaren. Den här typen av säkerhetstestning kan hjälpa till att avgöra vilka system som är sårbara för angripare som kan få initial åtkomst till ditt interna nätverk.
Hemligt/dubbelblint penntest: Beskriver en situation där mycket få personer vet att ett penntest sker, inklusive IT- och säkerhetsteamen som kommer att svara på attacken.
Externt penntest: Detta är när en etisk hackare riktar in sig på ett företags externa teknik, t.ex. deras webbplats och externa nätverksservrar. Dessa typer av penntester utförs i allmänhet från en avlägsen plats.
Internt penntest: Det här testet utförs inifrån företagets interna nätverk och är användbart för att avgöra hur mycket skada som kan göras av en insider inifrån företagets brandvägg.
Riktat penntest: Penetrationstestaren och säkerhetsteamet arbetar tillsammans och informerar varandra om åtgärder som vidtagits för att attackera målet och för att försvara attacken. Detta fungerar som en träningsövning som ger feedback i realtid.

Varför är penetrationstestning viktigt?

Penetrationstestning är viktigt eftersom det hjälper till att avgöra hur väl din organisation uppfyller sina säkerhetsmål.

Syftet med dessa simulerade attacker är att identifiera svagheter i dina säkerhetskontroller som angripare kan dra nytta av.

Penetrationstester, och cybersäkerhet mer generellt, blir allt viktigare i takt med att vi blir mer beroende av teknik för att bearbeta känslig information.

Som en del av ett cybersäkerhetsprogram hjälper penetrationstester dig att förbättra kvaliteten på dina säkerhetskontroller. Det kan också bidra till att minska kostnaderna och frekvensen av driftstopp, förbättra MTTR (mean-time-to-repair), skydda varumärkets rykte, upprätthålla kundernas förtroende, undvika rättstvister och säkerställa regelefterlevnad.

Varför penetrationstestning inte räcker

Säkerhetsexperter är oense om vikten av penetrationstestning. Vissa tycker att det är det viktigaste, andra tycker att det är slöseri med tid.

Som med de flesta säkerhetsrutiner ligger sanningen någonstans mittemellan och dess effektivitet beror på tillämpning och omfattning.

Enbart penntestning räcker aldrig för att förhindra dataintrång, men den information som erhålls från den kan spela en avgörande roll för att stärka organisationens säkerhetskontroller.

Även om det finns många ramverk som beskriver en penntestprocess, är det fortfarande en bred term som omfattar en mängd olika aktiviteter som är utformade för att identifiera svagheter i din cybersäkerhet.

Detta kan innebära användning av specialiserade säkerhetsverktyg som Kali Linux eller Backbox och Metasploit eller Nmap för att upptäcka och utnyttja sårbarheter, utföra sociala ingenjörsattacker för att testa fysiska kontroller eller anställa etiska hackare för att simulera cyberattacker.

I slutändan är målet detsamma: att förbättra din säkerhetsställning och minska cybersäkerhetsrisken.

Även de mest noggrant testade applikationerna och infrastrukturen kan falla offer för dataintrång eller dataläckor. Det är den nedslående sanningen om cybersäkerhet - ibland ligger angripare ett steg före ditt säkerhetsteam.

Dessutom kan även de bästa penntestarna bara arbeta med den kunskap och de verktyg som står till deras förfogande.

När det gäller zero-day-exploits, som EternalBlue som ledde till utpressningstrojanen WannaCry, är det bästa du kan göra att reagera snabbt. Kombinera detta med det faktum att tredjepartsleverantörer hanterar mer och mer känslig information, och det är inte svårt att förstå att även om penntestning är viktigt, kan det inte vara det enda du gör.

För att få en bestående inverkan på organisationen måste penntestning integreras med kontinuerlig säkerhetsövervakning i realtid av första, tredje och fjärde part.

Dessa verktyg kan automatiskt upptäcka kända sårbarheter, hjälpa till att mildra högrisksårbarheter, tillhandahålla löpande leverantörsriskbedömningar och hjälpa dig att skala dina insatser för leverantörsriskhantering.

Vilka är de vanliga ramverken för penetrationstestning?

Det finns flera ramverk och metoder för att genomföra penetrationstester, inklusive:

Handbok för säkerhetstestning med öppen källkod (OSSTMM)
Standard för utförande av penetrationstestning (PTES)
NIST SP 800-115
Ramverk för bedömning av informationssystemsäkerhet (ISSAF)
Testguide för OWASP

Företag som Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar och NASA använder UpGuard för att skydda sina data, förhindra dataintrång, övervaka sårbarheter och undvika skadlig kod.

Vi är experter på dataintrång och dataläckor, vår forskning har presenterats i New York Times, Wall Street Journal, Bloomberg, Washington Post, Forbes, Reuters och Techcrunch.

UpGuard Vendor Risk kan minimera den tid som din organisation lägger på att hantera relationer med tredje part genom att automatisera leverantörsfrågeformulär och tillhandahålla mallar för leverantörsfrågeformulär som mappar till NIST Cybersecurity Framework och andra bästa praxis. Vi kan hjälpa dig att kontinuerligt övervaka dina leverantörers säkerhetsstatus över tid samtidigt som du jämför dem med deras bransch.

Varje leverantör är betygsatt mot 50+ kriterier som förekomst av SSL och DNSSEC, samt risk för domänkapning, man-in-the-middle-attacker och e-postförfalskning för phishing.

Varje dag ger vår plattform dina leverantörer ett cybersäkerhetsbetyg av 950. Vi meddelar dig om deras poäng sjunker.

UpGuard BreachSight kan hjälpa till att övervaka DMARC, bekämpa tykoregistrering, förhindra dataintrång och dataläckor, undvika böter och skydda dina kunders förtroende genom cybersäkerhetsbetyg och kontinuerlig exponeringsdetektering.