Этапы тестирования на проникновение: от разведки до отчёта

Структурированное Penetration проводится по определённому жизненному циклу, который обеспечивает всесторонний охват, снижает риск для рабочих систем и позволяет получить результаты, пригодные для принятия мер. Наиболее широко применяется фреймворк PTES (Penetration Testing Execution Standard), согласованный с подходом NIST. Этапы таковы: Planning/Scoping, Reconnaissance, Scanning, Exploitation, Post-Exploitation и Reporting. Каждый этап опирается на предыдущий: невозможно эксплуатировать то, что не было обнаружено, и невозможно включить в отчёт то, что не было задокументировано. Пропуск этапов или их поспешное выполнение приводят к неполному анализу и ненадёжным результатам.

Этап Planning формирует правовую и операционную основу Engagement. Ключевые результаты включают: подписанный Statement of Work (SOW), определяющий цели и стоимость; документ Rules of Engagement (RoE), в котором указаны разрешённые цели, временные интервалы, запрещённые техники, экстренные контакты и требования к обработке данных; а также чёткое определение критериев успеха — того, что считается достижением цели. Scope необходимо определить предельно точно, чтобы предотвратить его непреднамеренное расширение (случайное тестирование неразрешённых систем) и обеспечить проверку наиболее критичных активов. Все каналы связи и процедуры эскалации устанавливаются до начала любых технических работ.

Пассивная Reconnaissance собирает сведения о цели без прямого взаимодействия с её системами — из общедоступных источников, которые не создают logs на стороне цели. К таким источникам относятся: записи WHOIS (регистрация домена и контактные данные владельца), записи DNS, журналы прозрачности сертификатов (раскрывающие поддомены), LinkedIn (имена сотрудников, должности и используемые технологии), объявления о вакансиях (раскрывающие стек технологий и инструменты), Shodan/Censys (доступные из интернета службы и открытые порты), репозитории GitHub (исходный код и случайно опубликованные учетные данные), а также поиск Google dorking (специализированный поиск чувствительных файлов и открытых интерфейсов на конкретных сайтах).

Активная Reconnaissance предполагает прямое взаимодействие с системами цели для сбора информации. Это создаёт logs на стороне цели и по своей природе заметнее пассивной разведки. Техники включают сканирование портов (Nmap), перечисление служб, попытки передачи зоны DNS и получение Banner. Граница между Reconnaissance и Scanning размыта: цель Reconnaissance — сбор информации, тогда как Scanning обычно подразумевает выявление уязвимостей. Однако активная разведка может вызвать оповещения IDS/IPS и быть обнаружена целью, применяющей Security, поэтому специалисты по Penetration соблюдают баланс между полнотой и скрытностью в зависимости от цели Engagement (проверка обнаружения или скрытное проникновение).

Этап Scanning систематически обнаруживает открытые порты, службы, версии программного обеспечения и известные уязвимости на входящих в Scope целях. На этом этапе используются такие инструменты, как Nmap для перечисления служб и Nessus/OpenVAS для сканирования уязвимостей. Специалист по Penetration вручную проверяет output сканеров и сопоставляет результаты: версия Apache, определённая с помощью Nmap, может соответствовать известным эксплойтам в базе CVE. Этот этап также включает ручную проверку веб-приложений (с помощью Burp Suite) и тестирование механизмов аутентификации. Результатом становится приоритизированный список потенциальных путей атаки для дальнейшего Exploitation.

Этап Exploitation направлен на использование выявленных уязвимостей для получения несанкционированного доступа, повышения привилегий или достижения других определённых целей. Exploitation должен строго оставаться в пределах Scope и Rules of Engagement. Техники включают эксплуатацию неустановленных уязвимостей (с помощью Metasploit или вручную), атаки на учетные данные (распыление паролей, стандартные учетные данные, перебор), атаки на веб-приложения (SQL-инъекции и эксплуатация XSS), а также социальную инженерию, если она разрешена. Каждое действие необходимо документировать с отметками времени: что было сделано, когда, каков результат и какой инструмент использовался. Эта документация служит доказательной базой для итогового отчёта.

Post-Exploitation начинается после получения первоначального доступа и показывает, насколько далеко Attacker мог бы расширить своё присутствие. Мероприятия включают: повышение привилегий (получение прав администратора или root из ограниченного доступа пользователя), сбор учетных данных (извлечение хешей, билетов или паролей в открытом виде), lateral movement (доступ к другим системам с использованием собранных учетных данных), поиск данных (определение чувствительных данных, доступных из скомпрометированной позиции) и установление закрепления (для имитации долгосрочного доступа APT). Цель состоит в демонстрации реалистичного воздействия первоначальной компрометации — не только того, что была взломана одна система, но и того, до чего Attacker в конечном итоге мог бы добраться.

Поворот использует скомпрометированный узел как ретранслятор для доступа к сегментам сети, которые в противном случае недоступны специалисту по Penetration (например, к внутреннему VLAN базы данных, доступному только с сервера приложения). Команда Metasploit route add и туннелирование SSH (ssh -L для локальной переадресации или ssh -D для прокси SOCKS) являются распространёнными механизмами поворота. Поворот показывает, действительно ли сегментация сети эффективна: правильно сегментированная сеть должна не позволять скомпрометированному серверу DMZ обращаться к внутренним базам данных, тогда как плоская сеть обеспечивает свободное lateral movement. Задокументированные в отчёте пути поворота точно показывают, где существуют пробелы в сегментации.

После завершения тестирования специалисты по Penetration должны выполнить очистку — удалить установленные ими бэкдоры, учетные записи и инструменты. В отличие от реальных Attacker, специалисты по Penetration обязаны согласно Rules of Engagement вернуть системы в состояние, предшествовавшее тестированию. Очистка включает: удаление созданных учетных записей пользователей, удаление оставленных файлов (полезных нагрузок и инструментов), удаление механизмов закрепления (подписок WMI, запланированных задач и ключей запуска реестра), а также подтверждение у клиента, что все артефакты тестирования устранены. Сохранение доказательств выполняется параллельно: все Screenshot, output инструментов, logs и заметки следует хранить в защищённом формате для подготовки отчёта и возможного использования в юридических целях.

Отчёт — это основной результат Engagement, обосновывающий проведённую работу и определяющий меры по устранению проблем. Хорошо структурированный отчёт включает: резюме для руководства (оценка риска, влияние на бизнес и три главных результата для руководства); раздел с техническими результатами (для каждого результата указываются критичность, описание, доказательства, шаги воспроизведения, влияние на бизнес и конкретные рекомендации по устранению); а также приложение с исходным output инструментов и подробной временной шкалой. Отчёты имеют статус конфиденциальных, поскольку содержат достаточно подробностей для повторения атаки. Обычно отчёт передаётся на встрече по разбору результатов, где команда Penetration представляет результаты и отвечает на вопросы клиента. Именно качественный Reporting отличает профессиональные Engagement от непрофессиональных выгрузок результатов сканирования.

На Security+ часто проверяется различие между пассивной и активной Reconnaissance. Пассивная Reconnaissance предполагает сбор информации из общедоступных источников без прямого обращения к системам цели — logs на стороне цели не создаются. Примеры: чтение записей WHOIS, просмотр LinkedIn, запросы к журналам прозрачности сертификатов, выполнение поисковых запросов Shodan. Активная Reconnaissance предполагает прямое взаимодействие с системами цели — сканирование портов, получение Banner и попытки передачи зоны DNS. Активная разведка создаёт logs и может вызвать оповещения IDS. В реальном Engagement пассивная разведка предшествует активной, чтобы сначала составить карту, а уже затем вступать в обнаруживаемый контакт с сетью цели.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что Penetration проводится по структурированному жизненному циклу, включающему Planning, Reconnaissance, Scanning, Exploitation, Post-Exploitation и Reporting; пассивная Reconnaissance использует общедоступные источники OSINT, не создавая logs на стороне цели, тогда как активная разведка напрямую взаимодействует с системами; а итоговый отчёт с резюме для руководства, техническими результатами и конкретными рекомендациями по устранению проблем является главным результатом, который способствует повышению уровня Security. Далее мы рассмотрим оценку CVSS и способы расстановки приоритетов при устранении уязвимостей.