Manuaalinen tunkeutumistestaus
Suuri osa siitä mitä myydään tunkeutumistestauksena on skannerin ajo ja raporttipohja sen päälle, tai mallille annettu kehotus hyökätä johonkin ja sen palauttaman aineiston välittäminen eteenpäin. Työkaluilla on paikkansa ja ArcTech käyttää niitä alan kattamiseen nopeammin, ei koskaan lopputuotteena: jokainen havainto toistetaan ja varmistetaan käsin, tekijän toimesta joka ymmärtää miten hyökkäyspolku on rakennettu, ennen kuin se päätyy raporttiinne. Täysin manuaalinen toimeksianto on saatavilla pyynnöstä: mikään malli ei käsittele ympäristöänne eikä mitään poistu ArcTechin verkosta. Menetelmä on julkaistu alla, eikä vääristä positiivisista laskuteta.
€8 500–26 000 · 1–3 viikkoa · laajuuden mukaan
- Rajaus ja pelisäännötKirjallinen valtuutus, laajuuden rajat, testausikkunat, hätäyhteystiedot ja sovittu toimintatapa mikäli kesken testin löytyy kriittistä. Allekirjoitetaan ennen kuin yhtään liikennettä syntyy.
- Tiedustelu ja esiselvitysAvoimen lähdekoodin tiedustelu, altistunut infrastruktuuri, teknologioiden tunnistus ja kaikki saavutettavissa oleva mitä ei ollut omaisuusluettelossa. Noudattaa PTES:n esiselvitys- ja tiedusteluvaiheita.
- Kartoitus ja mallinnusHyökkäyspinnan järjestelmällinen kartoitus: palvelimet, rajapinnat, parametrit, roolit, identiteetit ja luottamussuhteet. Automaattiset työkalut osallistuvat tässä, ja niiden tuotos käsitellään listana tarkasteltavista asioista, ei listana havainnoista.
- Manuaalinen haavoittuvuusanalyysiAutentikoitu testaus rooli kerrallaan OWASP WSTG:tä sekä OWASP Top 10:tä ja API Top 10:tä vasten, samoin konfiguraatio ja valtuutuslogiikka. Tässä vaiheessa löytyvät liiketoimintalogiikan ja pääsynhallinnan virheet, eikä skanneri pysty tähän vaiheeseen.
- Hyväksikäyttö ja todennusVarmistetut havainnot ketjutetaan poluiksi jotka johtavat johonkin arvokkaaseen, oikeuksien laajentaminen, sivuttaisliike, datan saanti, todistusaineisto talteen joka vaiheessa. Tuhoavat tekniikat on rajattu pois ellette erikseen kirjallisesti pyydä niitä.
- Raportointi ja riskianalyysiTiivistelmä johdolle kirjoitettuna luettavaksi ilman insinööritaustaa, sekä tekniset havainnot täydellisine toistovaiheineen niille joilla se on. Jokainen havainto priorisoidaan sen hyökkäyspolun ja sen päässä olevan liiketoimintavaikutuksen mukaan, ei skannerin vakavuusluokan mukaan.
- Läpikäynti ja uusintatestausYhteinen sessio insinöörienne kanssa havaintojen ja korjausten läpikäymiseksi sekä maksuton jokaisen havainnon uusintatestaus 30 päivän kuluessa sen varmistamiseksi että korjaus pitää.
- Tiivistelmä johdolle ja täysi tekninen raportti
- Toistovaiheet ja todistusaineisto jokaisesta havainnosta
- Havainnot priorisoituna hyökkäyspolun ja liiketoimintavaikutuksen mukaan
- Korjausohjeet havainnoittain
- Maksuton uusintatestaus 30 päivässä
Usein kysyttyä
Miten tämä eroaa automaattisesta tai tekoälypohjaisesta testistä?
Automaattiset alustat ovat hyviä laajuudessa ja tunnetuissa, kaavamaisesti tunnistettavissa ongelmissa, ja ne ovat huomattavasti halvempia. Ne eivät pysty ymmärtämään mihin sovelluksenne on tarkoitettu. Malli vertaa julkiseen aineistoon, eivätkä räätälöidyn sovelluksen löytämisen arvoiset virheet ole siinä aineistossa: yksi rooli lukee toisen asiakkaan tietoja, työnkulun vaihe jonka voi ohittaa, selainpuolella asetettava hinta, kolme keskitason havaintoa jotka ketjuuntuvat toimialueen valtaamiseen. Ne löytää tekijä joka tietää miten hyökkäyspolku rakennetaan, ei työkalulle annettu kehotus hyökätä johonkin ja sen palauttaman aineiston välittäminen eteenpäin. ArcTech käyttää työkaluja alan kattamiseen nopeammin, ja ihminen päättää mitä mikäkin tarkoittaa. Jos tarvitsette aidosti laajuutta edullisesti, ne tuotteet ovat järkevä hankinta ja se sanotaan puhelussa.
Voidaanko testi tehdä täysin ilman tekoälyä?
Kyllä, ja se on ilmoitettu vaihtoehto eikä palvelus. Täysin manuaalisessa toimeksiannossa mitään osaa ympäristöstänne, koodistanne, konfiguraatiostanne tai havainnoistanne ei käsitellä millään mallilla, eikä mikään poistu ArcTechin omasta verkosta. Mikäli analyysia avustavia työkaluja ylipäätään käytetään, ne ajetaan ArcTechin omistamalla ja ylläpitämällä laitteistolla Suomessa, ei koskaan kolmannen osapuolen palvelussa. Kumpi tahansa järjestely voidaan kirjata toimeksiannon ehtoihin, millä on merkitystä kun omat asiakassopimuksenne rajoittavat kolmannen osapuolen käsittelyä tai toimialanne odottaa tarkkaa tietoa siitä missä data on käynyt.
Mitä menetelmää noudatatte?
OWASP Web Security Testing Guide sovellustyössä, OWASP Top 10 ja OWASP API Security Top 10 kattavuuden perustasona, PTES toimeksiannon rakenteessa ja NIST SP 800-115 teknisen arvioinnin käytännöissä. Yllä olevat vaiheet ovat todellinen järjestys, ja raportti kertoo mitkä osat kustakin standardista katettiin ja mitkä rajattiin ulos.
Häiritseekö testaus tuotantoa?
Pelisäännöissä määritellään mikä kuuluu laajuuteen, milloin testataan ja keneen otetaan yhteyttä mikäli jokin näyttää väärältä. Tuhoavat tekniikat, palvelunesto, datan muokkaus, salasanojen kokeilu tuotantotileihin ilman sopimusta, on rajattu pois ellei niitä erikseen kirjallisesti pyydetä.
Entä jos ette löydä mitään vakavaa?
Saatte sen kirjallisena, kattavuus dokumentoituna niin että on selvää mitä tutkittiin ja kuinka syvällisesti. Raportti siitä että hyvin rakennettu järjestelmä kesti pätevän hyökkääjän on legitiimi tulos ja hyödyllinen näyttö tilintarkastajille, vakuuttajille ja asiakkaille.