פריצה אתית: מהם שלבי בדיקת החדירה?

אין דבר כזה מערכת מאובטחת לחלוטין. בדיקת חדירה, בקיצור pentesting, היא הליך בדיקה מיוחד הכולל סריקה, הערכה וחיזוק של כל אבני הבניין של מערכת מידע כנגד סייבר פוטנציאלי תקיפות. תאגידים משתמשים באתרי בונוס באגים כדי לחשוף ליקויי אבטחה במערכות שלהם. מומחי אבטחת סייבר מומחים בבדיקות חדירה חושפים וחושפים פגמים ארגוניים כחוק עם מערכות הבאות. אז איך התהליך הזה עובד?

1. איסוף מידע פסיבי ומעקב

בשלב הראשון של בדיקת שפע של באגים וחדירה, על הבוחן לאסוף מידע על מערכת היעד. מכיוון שישנן די הרבה שיטות תקיפה ובדיקה, בודק החדירה חייב לתעדף בהתבסס על המידע שנאסף כדי לקבוע את שיטת הבדיקה המתאימה ביותר.

שלב זה כולל חילוץ פרטים חשובים על תשתית מערכת היעד, כגון שמות מתחם, חסימות רשת, נתבים וכתובות IP בתחומה. בנוסף, יש לאסוף כל מידע רלוונטי שיכול לשפר את הצלחת המתקפה, כגון נתוני עובדים ומספרי טלפון.

הנתונים המתקבלים ממקורות פתוחים בשלב זה יכולים להניב באופן מפתיע פרטים קריטיים. לשם כך, על ההאקר האתי למנף מקורות שונים, בדגש מיוחד על אתר האינטרנט של מוסד היעד ובפלטפורמות המדיה החברתית. על ידי איסוף קפדני של אינטליגנציה זו, הבוחן מניח את הבסיס למאמץ מוצלח של שפע באגים.

עם זאת, רוב הארגונים מטילים כללים שונים על בודק החדירה במהלך פרס הבאג. חיוני מבחינה משפטית לא לסטות מכללים אלו.

2. איסוף וסריקת מידע פעיל

בודק החדירה מזהה אילו מכשירים אקטיביים ופסיביים פועלים בטווח ה-IP, בדרך כלל נעשה על ידי איסוף פסיבי במהלך שפע הבאגים. בעזרת המידע המתקבל במהלך האיסוף הפאסיבי הזה, הפנטסטר צריך לקבוע נתיב - הוא צריך לתעדף ולקבוע בדיוק אילו בדיקות נדרשות.

בשלב זה, זה בלתי נמנע שההאקר ישיג מידע על מערכת ההפעלה (OS), יציאות פתוחות ושירותים ומידע על הגרסה שלהם על מערכות חיות.

בנוסף, אם הארגון המבקש את פרס הבאג מתיר באופן חוקי את בודק החדירה כדי לפקח על תעבורת הרשת, ניתן לאסוף מידע קריטי על תשתית המערכת, לפחות ככל האפשר. עם זאת, רוב הארגונים אינם רוצים להעניק הרשאה זו. במצב כזה אסור לבודק החדירה לחרוג מהכללים.

3. שלב ניתוח ובדיקה

בשלב זה, בודק החדירה, לאחר שהבין כיצד יישום היעד יגיב לפריצות שונות מנסה, מנסה ליצור קשרים פעילים עם המערכות שהוא מזהה בחיים ומנסה ליצור ישירות פניות. במילים אחרות, זה השלב שבו ההאקר האתי מקיים אינטראקציה עם מערכת היעד על ידי שימוש יעיל בשירותים כגון FTP, Netcat ו-Telnet.

למרות שזה נכשל בשלב זה, המטרה העיקרית כאן היא לבדוק את נתונים שהתקבלו באיסוף המידע צעדים ורשום על כך הערות.

4. ניסיון מניפולציה וניצול

בודק החדירה אוסף את כל הנתונים שנאספו בתהליכים הקודמים למטרה אחת: מנסה להשיג גישה למערכת היעד באותו אופן כמו האקר אמיתי וזדוני היה. זו הסיבה שהשלב הזה כל כך קריטי. כי בזמן עיצוב פרס באג, בודקי חדירה צריכים לחשוב כמו האקרים עוינים.

בשלב זה, הפנטסטר מנסה לחדור למערכת, באמצעות מערכת ההפעלה הפועלת על מערכת היעד, הפורטים הפתוחים והשירותים המשרתים בנמלים אלה, ושיטות הניצול שניתן ליישם לאורם גרסאות. מכיוון שפורטלים ויישומים מבוססי אינטרנט מורכבים מכל כך הרבה קוד וכל כך הרבה ספריות, יש שטח פנים גדול יותר להאקר זדוני לתקוף. מבחינה זו, בודק חדירה טוב צריך לשקול את כל האפשרויות וליישם את כל וקטורי ההתקפה האפשריים המותרים במסגרת הכללים.

זה דורש מומחיות וניסיון רציני כדי להיות מסוגל להשתמש בשיטות הניצול הקיימות בהצלחה ו באופן גמיש, מבלי לפגוע במערכת, ומבלי להשאיר עקבות, במהלך תהליך ההשתלטות על מערכת. שלב זה של בדיקת החדירה הוא, אם כן, השלב הקריטי ביותר. כדי שצוותי מחשוב פורנזי יתערבו במהלך תקיפה אפשרית, על התוקף לעקוב אחר העקבות שנותרו מאחור.

5. ניסיון העלאת פריבילגיה

מערכת חזקה רק כמו החוליה החלשה ביותר שלה. אם האקר אתי מצליח לגשת למערכת, הוא בדרך כלל נכנס למערכת כמשתמש בעל סמכות נמוכה. בשלב זה, בודק החדירה צריך צריך סמכות ברמת מנהל, ניצול נקודות תורפה במערכת ההפעלה או בסביבה.

לאחר מכן, עליהם לשאוף לתפוס מכשירים אחרים בסביבת הרשת עם הרשאות נוספות אלה הם השיגו, ובסופו של דבר, את הרשאות המשתמש ברמה הגבוהה ביותר כגון מנהל דומיין או מסד נתונים מנהל.

6. דיווח והצגה

לאחר השלמת בדיקת החדירה ושלבי פרס הבאגים, בודק החדירה או צייד הבאגים צריכים להציג את פרצות האבטחה שהם זוהו במערכת היעד, השלבים שבוצעו, וכיצד הם הצליחו לנצל את הפגיעויות הללו לארגון עם להגיש תלונה. זה צריך לכלול מידע כגון צילומי מסך, קודים לדוגמה, שלבי תקיפה, ומה פגיעות זו יכולה לגרום.

הדוח הסופי צריך לכלול גם הצעת פתרון כיצד לסגור כל פער אבטחה. הרגישות והעצמאות של בדיקות חדירה צריכות להישאר בגדר תעלומה. ההאקר האתי לא צריך לחלוק מידע סודי שהושג בשלב זה ולעולם לא לעשות שימוש לרעה במידע זה על ידי אספקת מידע שגוי, שכן זה בדרך כלל לא חוקי.

מדוע מבחן החדירה חשוב?

המטרה הסופית של בדיקות חדירה היא לחשוף עד כמה מאובטחת תשתית המערכת מנקודת מבטו של תוקף ולסגור כל פגיעות. בנוסף לזיהוי נקודות תורפה בעמדת האבטחה של הארגון, הוא גם מודד את הרלוונטיות של מדיניות האבטחה שלו, בדיקת מודעות הצוות לבעיות אבטחה, וקביעת המידה שבה העסק יישם אבטחת סייבר עקרונות.

מבחני חדירה הופכים חשובים יותר. כדי לנתח את האבטחה בתשתית של מבנים ארגוניים ויישומים אישיים, חיוני לקבל תמיכה מבודקי חדירה אתיים מוסמכים.