Skapa teststandarder för dina etiska hackar - dummies

En missförstånd eller slipning i dina teststandarder kan skicka systemen kraschar under dina etiska hacktest. Ingen vill att det ska hända. För att förhindra olyckor, utveckla och dokumentera teststandarder. Dessa standarder bör innehålla

När testerna utförs tillsammans med den övergripande tidslinjen
Vilka tester utförs
Hur mycket kunskap om systemen du förvärvar i förväg
Hur testerna utförs och från vilken källa IP-adresser
Vad du gör när en stor sårbarhet upptäcks.

Testa dina tester

Detta gäller speciellt vid utövande av etiska hacktest. Se till att de test du utför minimerar störningar i affärsprocesser, informationssystem och människor. Du vill undvika skadliga situationer som att misslycka tidpunkten för test och orsaka en DoS-attack mot en e-handelsplats med hög trafik på mitten av dagen eller genom att utföra lösenordsprickningstest under mitten av natten.

Att ha människor i olika tidszoner kan skapa problem. Alla på projektet måste komma överens om en detaljerad tidslinje innan du börjar. Med gruppmedlemmarnas överenskommelse sätter alla på samma sida och sätter rätt förväntningar.

Din testtidslinje ska innehålla specifika korta datum och tider för varje test, start- och slutdatum, samt eventuella specifika milstolpar däremellan. Du kan utveckla och ange din tidslinje till ett enkelt kalkylblad eller Gantt-diagram, eller du kan inkludera tidslinjen som en del av ditt ursprungliga kundförslag och kontrakt. Din tidslinje kan också vara arbetsfördelningsstrukturer i en större projektplan.

Kör specifika tester

Det kan hända att du har belastat dig med att utföra ett generellt penetrationstest, eller kanske du vill utföra specifika tester, t.ex. spricklösenord eller försök att vinna tillgång till en webbapplikation. Eller du kanske utför ett samhällsteknikprov eller bedömer Windows på nätverket.

Men du testar, kanske du inte vill avslöja testets specifika egenskaper. Även om din chef eller klient inte behöver detaljerade register över dina test, dokumentera vad du gör på en hög nivå. Att dokumentera din testning kan bidra till att eliminera eventuella felmeddelanden.

Du kanske känner till de allmänna testen du utför, men om du använder automatiserade verktyg kan det vara omöjligt att förstå varje test du utför helt. Detta gäller särskilt när programvaran du använder tar emot uppdateringar och uppdateringar i realtid från leverantören varje gång du kör den.Potentialen för frekventa uppdateringar understryker vikten av att läsa dokumentationen och filerna som följer med verktygen du använder.

Blind mot kunskapsbedömningar

Att ha viss kännedom om systemen du testar kan vara en bra idé, men det är inte nödvändigt. Men en grundläggande förståelse för de system du hackar kan skydda dig och andra. Att skaffa den här kunskapen ska inte vara svårt om du hackar dina egna inbyggda system.

Om du hacker kundens system kanske du måste gräva lite djupare i hur systemen fungerar så att du är bekant med dem. Det betyder inte att blindbedömningar inte är värdefulla, men den typ av bedömning du utför beror på dina specifika behov.

Det bästa sättet är att planera på obegränsade attacker, där något test är möjligt, eventuellt även inklusive DoS-testning.

Överväg om testen ska utföras så att de inte är upptäckta av nätverksadministratörer och alla hanterade säkerhetsleverantörer. Även om det inte krävs, bör denna praxis övervägas, särskilt för socialteknik och fysiska säkerhetsprov.

Plats

De tester du utför dikterar var du måste köra dem från. Ditt mål är att testa dina system från platser som är tillgängliga av skadliga hackare eller anställda. Du kan inte förutsäga om du kommer att bli attackerad av någon inom eller utanför ditt nätverk, så täck alla dina baser. Kombinera externa test och interna test.

Du kan utföra några tester, t.ex. lösenordsprickning och nätverksinfrastrukturbedömningar, från ditt kontor. För externa hackar som kräver nätverksanslutning måste du kanske gå på plats eller använda en extern proxyserver. Vissa säkerhetsleverantörers sårbarhetsskannrar körs från molnet, så det skulle också fungera.

Ännu bättre, om du kan tilldela en tillgänglig offentlig IP-adress till din dator, kopplar du bara till nätverket på utsidan av brandväggen för att få en hacker-vy över dina system. Interna tester är enkla eftersom du bara behöver fysisk tillgång till byggnaden och nätverket. Du kan kanske använda en DSL-linje eller ett kabelmodem som redan är på plats för besökare och liknande användare.

Svara på sårbarheter du hittar

Bestäm före tid om du ska sluta eller fortsätta när du hittar ett kritiskt säkerhetshål. Du behöver inte fortsätta hacka för alltid eller tills du kraschar alla system. Följ bara vägen du är på tills du bara inte kan hacka den längre. När du är i tvivel är det bästa att göra ett specifikt mål i åtanke och sedan sluta när det målet är uppfyllt.

Om du upptäcker ett större hål kontaktar du rätt personer så snart som möjligt så att de kan börja lösa problemet direkt. Rätt personer kan vara programutvecklare, produkt- eller projektledare eller till och med CIO. Om du väntar några dagar eller veckor kan någon utnyttja sårbarheten och orsaka skador som kan ha förhindrats.

Dumma antaganden

Du har hört talas om vad du gör av dig själv när du antar saker. Ändå gör du antaganden när du hakar ett system.Här är några exempel på dessa antaganden:

Datorer, nätverk och personer är tillgängliga när du testar.
Du har alla korrekta testverktyg.
De testverktyg du använder minimerar chanserna att krascha systemen du testar.
Du förstår sannolikheten för att befintliga sårbarheter inte hittades eller att du använde dina testverktyg felaktigt.
Du känner till riskerna med dina test.

Dokumentera alla antaganden och ha ledningen eller din klient logga ut på dem som en del av din övergripande godkännandeprocess.