Определение области и целей тестирования
Перед началом любой деятельности по тестированию на проникновение необходимо установить четкие границы области тестирования и получить письменное разрешение от владельца системы. Область определяет, какие системы, сети, приложения и учетные записи пользователей входят в область тестирования. Тестирование без санкции незаконно и неэтично; документация об авторизации должна явно разрешать методы тестирования и затронутые системы.
Определите конкретные цели в соответствии с приоритетами бизнес-рисков. Распространенные цели включают выявление пробелов в соответствии требованиям, проверку возможностей реагирования на инциденты, валидацию механизмов безопасности и обнаружение эксплуатируемых уязвимостей. Задокументируйте ограничения, такие как окна тестирования, ограниченные системы и требования конфиденциальности. Этот фундаментальный этап предотвращает расширение области и обеспечивает сосредоточенность тестирования с правовой защитой.
Разведка и сбор информации
Разведка включает пассивный и активный сбор разведданных о цели. Пассивная разведка включает анализ открытых записей, информации DNS, регистраций доменов и результатов поисковых систем без прямого взаимодействия с целевыми системами. Активная разведка предполагает прямой анализ систем посредством сетевого сканирования, перечисления сервисов и анализа сертификатов для выявления хостов, открытых портов, запущенных сервисов и версий приложений.
Систематически документируйте всю собранную информацию. Определите диапазоны IP, доменные имена, почтовые серверы, поставщиков хостинга, стеки технологий и заголовки безопасности. Используемые инструменты могут включать DNS-запросы, запросы WHOIS и отпечатки веб-серверов. Этот этап устанавливает поверхность атаки и информирует последующие операции сканирования и перечисления. Точность разведки сокращает потраченное впустую время и повышает точность нацеливания.
Сетевое сканирование и оценка уязвимостей
Сканирование выявляет активные хосты и открытые порты в целевых сетях. Инструменты сканирования сети выполняют ping-sweep и сканирование портов для определения доступных сервисов. Сканирование портов выявляет прослушивающие сервисы, информацию об их версиях и возможные проблемы конфигурации. Задокументируйте все находки с номерами портов, названиями сервисов и наблюдаемыми версиями для поддержки последующего анализа.
Оценка уязвимостей использует автоматизированные инструменты для обнаружения известных слабостей в сервисах, приложениях и конфигурациях. Инструменты сравнивают обнаруженные версии программного обеспечения с базами данных уязвимостей для определения применимых CVE и проблем безопасности. Хотя автоматизация ускоряет обнаружение, результаты требуют валидации, так как ложные срабатывания распространены. Приоритизируйте находки по серьезности, возможности эксплуатации и влиянию на бизнес, а не обрабатывайте все обнаруженные проблемы одинаково.
Перечисление и глубокая разведка
Перечисление извлекает детальную информацию из обнаруженных сервисов для определения конкретных векторов атак. Для веб-приложений это включает картирование структуры приложения, выявление учетных записей пользователей, обнаружение скрытых директорий, анализ механизмов аутентификации и каталогизацию полей ввода, уязвимых для инъекций или XSS-атак. Для сетевых сервисов перечислите учетные записи пользователей, общие ресурсы, членство в группах и информацию системы, раскрытую через протоколы SNMP, SMB или LDAP.
Руководство OWASP подчеркивает систематическое тестирование компонентов веб-приложения, включая механизмы аутентификации, управление сеансами, логику авторизации, валидацию ввода и обработку ошибок. Задокументируйте стек технологий приложения, версии фреймворков и библиотеки зависимостей. Определите пользовательский код и компоненты третьих сторон. Эта подробная разведка информирует целевые попытки эксплуатации и устанавливает базовые уровни для тестирования механизмов.
Эксплуатация и проверка доступа
Эксплуатация попытается использовать выявленные уязвимости для получения несанкционированного доступа или демонстрации влияния. Проводите эксплуатацию методически, тестируя одну уязвимость за раз для документирования того, какие слабости действительно эксплуатируемы в целевой среде. Различайте теоретические уязвимости и практически эксплуатируемые недостатки, так как факторы окружающей среды, компенсирующие механизмы и детали конфигурации часто предотвращают эксплуатацию несмотря на наличие уязвимости.
Документируйте каждую попытку эксплуатации, включая использованную уязвимость, применяемые инструменты или методы, выполняемые команды и полученные результаты. Сохраняйте четкие доказательства полученного доступа, такие как снимки экранов или восстановленное содержимое файлов. Избегайте деструктивных действий, если не прямо авторизовано, так как целью является демонстрация подверженности рискам, а не причинение вреда. Установите протоколы коммуникации с владельцами систем относительно обнаруженных критических уязвимостей для предотвращения операционного влияния.
Анализ после эксплуатации и отчетность
Анализ после эксплуатации определяет объем доступа и влияния, достижимые посредством обнаруженных уязвимостей. Определите чувствительные данные, доступные из скомпрометированных систем, возможности латерального перемещения на другие активы, пути повышения привилегий и механизмы персистентности, используемые злоумышленниками. Задокументируйте бизнес-влияние каждой цепочки уязвимостей, включая риск утечки данных, влияние на доступность системы и нарушения соответствия требованиям.
Сокращение находок в комплексный отчет, организованный по серьезности и бизнес-влиянию. Для каждой уязвимости задокументируйте метод обнаружения, затронутую систему, технические детали, доказательство концепции, этапы устранения и оценку рисков. Приоритизируйте рекомендации по устранению на основе возможности эксплуатации и влияния. Различайте подтвержденные находки и предполагаемые проблемы, требующие дальнейшей валидации. Предоставьте исполнительные резюме, выделяющие критические риски, наряду с детальными техническими находками для команд устранения.
Устранение и постоянное совершенствование
Планирование устранения трансформирует находки теста в действенные улучшения безопасности. Сотрудничайте с владельцами систем для приоритизации исправлений на основе подверженности рискам и операционной осуществимости. Критические уязвимости, допускающие прямой доступ к данным или компрометацию системы, требуют немедленного устранения. Проблемы средней и низкой серьезности могут быть адресованы посредством запланированных окон обслуживания или архитектурных изменений.
Установите графики повторного тестирования для проверки эффективности устранения после развертывания исправлений. Запланируйте повторное тестирование в согласованные сроки, обычно 30-90 дней в зависимости от серьезности. Задокументируйте результаты валидации устранения и определите любые проблемы, требующие дополнительного внимания. Используйте результаты тестирования на проникновение для информирования обучения осведомленности о безопасности, практик разработки и архитектурных обзоров, обеспечивая систематическое предотвращение обнаруженных уязвимостей в будущих циклах разработки.