Skanowanie podatności a testy penetracyjne

Bezpieczeństwo reaktywne odpowiada na ataki po ich wystąpieniu, natomiast bezpieczeństwo proaktywne wyszukuje i usuwa słabości, zanim atakujący będą mogli je wykorzystać. Dwie uzupełniające się praktyki proaktywne to skanowanie podatności i testy penetracyjne. Obie pozwalają identyfikować słabości zabezpieczeń, ale znacznie różnią się zakresem, metodyką, wymaganiami dotyczącymi autoryzacji, poziomem ryzyka oraz rezultatami dostarczanymi organizacji. Zrozumienie tych różnic jest niezbędne dla osób przygotowujących się do egzaminu Security+ oraz dla komunikowania interesariuszom, co każda z tych czynności może, a czego nie może powiedzieć o stanie zabezpieczeń organizacji.

Skanowanie podatności to zautomatyzowany proces sprawdzania systemów pod kątem znanych podatności. Skanery porównują numery wersji, ustawienia konfiguracji i sygnatury oprogramowania z bazami CVE oraz zaleceniami dostawców, aby identyfikować potencjalne słabości. Skanowanie jest zazwyczaj nieinwazyjne — wskazuje, że podatność prawdopodobnie istnieje na podstawie wersji lub konfiguracji, ale na ogół nie próbuje jej wykorzystywać. Skanowanie można przeprowadzać regularnie (codziennie, co tydzień lub w sposób ciągły) i na dużą skalę, obejmując nim tysiące systemów. Jest ono wymagane w ramach zgodności z PCI-DSS (zewnętrzne skanowanie kwartalne przeprowadzane przez ASV) oraz wieloma innymi frameworkami.

Testy penetracyjne (pen testing) to uporządkowana, ukierunkowana na cel próba włamania do systemów z wykorzystaniem tych samych technik, których używaliby napastnicy. W przeciwieństwie do skanowania testy penetracyjne aktywnie wykorzystują podatności, aby potwierdzić, że są one rzeczywiste i możliwe do wykorzystania, a nie tylko obecne w teorii. Osoba przeprowadzająca test penetracyjny wykazuje rzeczywisty wpływ ataku: czy można uzyskać dostęp uprzywilejowany? Czy można wyprowadzić dane? Czy można przemieszczać się lateralnie z jednego systemu do drugiego? Testy penetracyjne dostarczają dowodów na możliwość wykorzystania podatności, co zwiększa pilność działań naprawczych, a często także ujawniają złożone, wieloetapowe ścieżki ataku, których automatyczne skanery nie potrafią zidentyfikować.

Przeprowadzanie testów penetracyjnych bez autoryzacji jest nielegalne — stanowi nieuprawniony dostęp w rozumieniu przepisów takich jak CFAA (Computer Fraud and Abuse Act) w USA. Przed rozpoczęciem testu penetracyjnego należy podpisać dokument Rules of Engagement (RoE), który określa: zakres (testowane systemy, zakresy adresów IP i domeny), przedział czasowy (godziny pracy lub poza nimi), działania zabronione (brak ataków fizycznych i ataków DoS na środowisko produkcyjne), kontakty awaryjne oraz podpisy osób udzielających autoryzacji. Listy autoryzacyjne noszone przez zespół testów penetracyjnych potwierdzają jego uprawnienia w razie wykrycia przez personel bezpieczeństwa. Nigdy nie należy rozpoczynać testów bez kompletnej pisemnej autoryzacji.

Testy penetracyjne klasyfikuje się według ilości informacji, jaką osoba testująca ma o celu. Test black box nie zapewnia żadnych wcześniejszych informacji — osoba testująca rozpoczyna pracę tak jak zewnętrzny napastnik, wykorzystując OSINT i skanowanie do wykrycia celów. Jest to najbardziej realistyczne podejście, ale może nie ujawnić podatności wewnętrznych. Test white box zapewnia pełne informacje: diagramy sieci, kod źródłowy i dane uwierzytelniające, co umożliwia dokładne, lecz mniej realistyczne testowanie. Test gray box zapewnia częściowe informacje (na przykład konto zwykłego użytkownika) i odzwierciedla scenariusz z przejętym pracownikiem wewnętrznym lub skradzionymi danymi uwierzytelniającymi. Większość testów w rzeczywistych środowiskach to testy gray box lub black box.

Testy penetracyjne przeprowadza się z różnych punktów widzenia. Test zewnętrzny symuluje napastnika działającego z internetu, bez dostępu do sieci wewnętrznej — obejmuje testowanie zabezpieczeń perymetru, aplikacji dostępnych z internetu oraz bezpieczeństwa poczty elektronicznej. Test wewnętrzny symuluje sprawcę zagrożenia, który już znajduje się w sieci (na przykład przejętego pracownika lub złośliwe oprogramowanie wykorzystujące system jako punkt przesiadkowy) — obejmuje testowanie zabezpieczeń przed przemieszczaniem lateralnym, bezpieczeństwa aplikacji wewnętrznych oraz utwardzania Active Directory. Większość organizacji czerpie korzyści z obu perspektyw. Wiele rzeczywistych incydentów polega na uzyskaniu przez zewnętrznego napastnika początkowego dostępu, a następnie przemieszczaniu się przez sieć wewnętrzną, dlatego połączenie obu typów testów jest cenniejsze niż każdy z nich z osobna.

Skanery podatności nie są doskonałe. Fałszywie dodatni wynik występuje wtedy, gdy skaner zgłasza podatność, która w rzeczywistości nie istnieje — na przykład numer wersji wygląda na podatny, ale poprawka została przeniesiona do starszej wersji. Fałszywie dodatnie wyniki marnują zasoby przeznaczone na działania naprawcze i podważają zaufanie do wyników skanera. Fałszywie ujemny wynik występuje wtedy, gdy rzeczywista podatność istnieje, ale skaner jej nie wykrywa — na przykład dlatego, że wymaga ona uwierzytelnienia, a skanowanie przeprowadzono bez uwierzytelnienia, albo dlatego, że podatność jest nowa i nie została jeszcze dodana do bazy danych. Skanowanie uwierzytelnione znacznie ogranicza liczbę fałszywie dodatnich i fałszywie ujemnych wyników w porównaniu ze skanowaniem nieuwierzytelnionym.

Współczesne programy bezpieczeństwa traktują zarządzanie podatnościami jako proces ciągły, a nie działanie wykonywane okresowo. Ciągłe skanowanie wykrywa nowe podatności w miarę ich pojawiania się (oraz publikowania nowych CVE), zamiast czekać na kolejny zaplanowany termin skanowania. Cykl zarządzania podatnościami obejmuje: wykrywanie, ustalanie priorytetów (na podstawie wyniku CVSS i kontekstu biznesowego), usuwanie podatności (przez instalację poprawki, konfigurację lub zaakceptowanie ryzyka), weryfikację (ponowne skanowanie w celu potwierdzenia usunięcia) oraz raportowanie. Integracja z zarządzaniem poprawkami zapewnia, że wykryte podatności uruchamiają zautomatyzowane przepływy pracy związane z wdrażaniem poprawek. Umowy SLA określają, jak szybko należy usunąć podatności o różnym poziomie ważności (np. krytyczne: 24 godziny, wysokie: 7 dni).

Test penetracyjny kończy się kompleksowym raportem, który stanowi główny materiał przekazywany klientowi. Raport zazwyczaj zawiera: streszczenie dla kadry zarządzającej, przeznaczone dla osób nietechnicznych (ogólna ocena ryzyka, wpływ na działalność biznesową i najważniejsze ustalenia); sekcję ustaleń technicznych (szczegółowe opisy podatności, zrzuty ekranu stanowiące dowody i instrukcje odtworzenia); oraz mapę drogową działań naprawczych z zaleceniami uporządkowanymi według priorytetów. Ustalenia zazwyczaj ocenia się według poziomu ryzyka (krytyczne/wysokie/średnie/niskie), wykorzystując wyniki CVSS oraz kontekst biznesowy. Dobry raport z testu penetracyjnego pozwala klientowi odtworzyć i zweryfikować każde ustalenie oraz dokładnie zrozumieć, jakie działania naprawcze są wymagane.

Programy bug bounty wynagradzają zewnętrznych badaczy bezpieczeństwa za znajdowanie podatności w systemach organizacji i odpowiedzialne ich ujawnianie. Platformy takie jak HackerOne, Bugcrowd i Intigriti łączą organizacje z tysiącami badaczy bezpieczeństwa na całym świecie. Programy bug bounty zapewniają ciągłe testowanie zewnętrzne na dużą skalę, a płatność następuje wyłącznie za zweryfikowane ustalenia. Uzupełniają wewnętrzne testy penetracyjne, oferując różnorodne perspektywy badaczy i ciągłe testowanie między formalnymi ocenami. Za krytyczne ustalenia zazwyczaj wypłaca się od 500 do ponad 50 000 USD, zależnie od ważności podatności i zasad programu. Organizacje określają zakres i reguły w sposób podobny do dokumentu Rules of Engagement stosowanego podczas testu penetracyjnego.

Na potrzeby egzaminu Security+ należy dokładnie rozumieć najważniejsze różnice. Skanowanie podatności: zautomatyzowane, nieinwazyjne, szeroki zakres, identyfikuje potencjalne podatności, nie potwierdza możliwości ich wykorzystania, wykonywane często lub w sposób ciągły, zazwyczaj przez personel wewnętrzny. Testy penetracyjne: ręczne (lub częściowo zautomatyzowane), mogą powodować zakłócenia, zapewniają szczegółowe testowanie wybranych celów, potwierdzają rzeczywistą możliwość wykorzystania podatności i wpływ w warunkach rzeczywistych, wykonywane okresowo (co kwartał lub co rok), zazwyczaj wymagają specjalistycznej wiedzy zewnętrznej i formalnej autoryzacji. Oba podejścia się uzupełniają — skanowanie zapewnia szeroki zakres, a testy penetracyjne — głębię. Dojrzały program bezpieczeństwa regularnie wykorzystuje oba.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczy się Pan/Pani, że skanowanie podatności jest zautomatyzowane, częste i nieinwazyjne — identyfikuje potencjalne podatności bez ich wykorzystywania — natomiast testy penetracyjne są ręczne, ukierunkowane na cel i aktywnie wykorzystują podatności, aby wykazać rzeczywisty wpływ oraz ścieżki ataku; oba rodzaje działań wymagają odpowiedniej autoryzacji i dokumentów Rules of Engagement, a skanowanie uwierzytelnione znacznie ogranicza liczbę fałszywie dodatnich i fałszywie ujemnych wyników w porównaniu ze skanowaniem nieuwierzytelnionym. Następnie omówimy popularne narzędzia do skanowania, w tym Nessus, OpenVAS i Nmap.