Behatolásvizsgálat (pentest)
A pentest egy megrendelt, engedélyezett betörési kísérlet az informatikai rendszerei ellen. Olyan, mintha egy biztonsági szakember próbálná meg feltörni az irodája zárját, hogy megtudja, sikerülne-e egy igazi betörőnek.
Kinek szól?
- Azoknak a cégeknek, amelyek tudni szeretnék, valójában mennyire védettek.
- Azoknak, akik új webalkalmazást vagy rendszert indítanak, és kiadás előtt ellenőriznék.
- NIS2-köteles szervezeteknek, amelyeknek igazolniuk kell a védelmi intézkedéseik hatékonyságát.
- Azoknak, akiknek ügyfele vagy partnere független biztonsági vizsgálatot kér.
Nem csak automata szkennelés
Az automatizált eszközök csak ismert hibákat listáznak. Mi a támadók fejével gondolkodunk: nemcsak az egyes szerverek hibáit kutatjuk, hanem azt is, hogy a gyengeségekből összeállítható-e valódi támadási útvonal, és az mekkora kárt okozhatna.
Három vizsgálati mód
Black-box
A külső betörő. Semmilyen belső információt nem kapunk, csak azt látjuk, amit egy idegen támadó is látna.
Gray-box
A beengedett vendég. Részleges információból vagy egy átlagos felhasználói hozzáférésből indulunk, mint egy feltört munkatársi fiók esetén.
White-box
A tervrajzzal érkező szakértő. Ismerjük a rendszer felépítését, így a lehető legalaposabban tudjuk átvizsgálni.
Hogyan dolgozunk?
Egyeztetés és engedély
Írásban rögzítjük, mit, mikor és milyen módon vizsgálhatunk. Felhatalmazás nélkül nem kezdünk tesztelni.
Felderítés
Feltérképezzük a vizsgált rendszereket, mint egy támadó.
Kihasználási kísérletek
Ellenőrizzük, a talált gyengeségek valóban kihasználhatók-e, ellenőrzött módon.
Jelentés
Súlyosság szerint rangsoroljuk az eredményeket, és javítási javaslatot adunk.
Átbeszélés
Vezetői és műszaki szinten is érthetően végigmegyünk a megállapításokon.
Mit kap kézhez?
- Vezetői összefoglaló, szakzsargon nélkül
- Műszaki jelentés a reprodukálható lépésekkel
- Kockázat szerinti rangsorolás
- Konkrét javítási javaslatok
Gyakori kérdések
Leállhatnak a rendszereim a teszt alatt?
A kockázatos lépéseket előre egyeztetjük, és igazodunk az üzemeltetéshez. A vizsgálat kereteit közösen rögzítjük.
Melyik vizsgálati módot válasszam?
A külső támadó nézőpontjához a black-box, a feltört fiók helyzetéhez a gray-box, a legmélyebb átvizsgáláshoz a white-box illik. A célja alapján segítünk dönteni.
Legális ez?
Igen, ha a rendszer tulajdonosa írásban felhatalmaz rá. Enélkül nem dolgozunk.
Referenciák
- RoadRecord