Профессиональное тестирование на проникновение

Кто такие хакеры? Как мы обычно представляем себе хакера за работой? Наверняка сейчас большинство представляет себе немного замученного, исхудалого человека, склонившегося над монитором компьютера и набирающего на клавиатуре непонятный набор команд и символов. Давайте попробуем разобраться, может ли обычный IT специалист достаточно эффективно протестировать вашу информационную структуру, если обеспечить его необходимой методикой и нужным софтом, или придется прибегнуть к помощи узкоспециализированных специалистов в этой области? Прежде всего, давайте разберемся с самой методикой тестирования, ее фундаментальными алгоритмами, а именно:

• Классическое тестирование на вторжение;
• Проведение мониторинга незащищенности системы;
• Анализ конфигурации.

Итак, приступим.

Методики сканирование уязвимостей:

1. Тестирование на вторжение.

Прежде всего, давайте попробуем мыслить, как мыслит хакер. Для того, что бы вскрыть IT систему необходимо найти слабые места в ее защите, найти уязвимые точки. Как только такие слабые точки будут найдены, пробуем получить необходимый доступ через работу с ними. Можно попытать получить доступ с правами администратора системы – это дает полный контроль над ней и возможности контроля практически не ограниченны. В некоторых случаях, достаточно получить доступ к необходимой информации: личные, финансовые либо иные конфиденциальные данные.

Главной особенностью данного вида теста – попытки отыскать не все возможные уязвимости и слабые места системы, а только те, что позволяют получить конкретный, предполагаемый результат, в соответствии с заранее сформулированной задачей.

Необходимо учитывать, тест на уязвимость может сильно перегрузить всю IT систему в целом, что обусловлено попыткой использования слабых мест с соответствующей загрузкой серверов и их системных ресурсов, что в свою очередь, приведет к зависанию, сбоям и снижением производительности. Именно поэтому, проводить такой тест необходимо предварительно согласовав с руководством и администраторами, выбрав соответствующее время.

2. Проведение мониторинга незащищенности системы.

Каким образом хакер производит взлом веб-сайта? Алгоритм действий стар как мир компьютерных технологий: прежде всего, необходимо определить на какой платформе работает нужный ресурс, т.е., попытаться выяснить, на каком веб - сервере размещен и работает тестируемый сайт, либо какую систему CMS использовали для его написания. Располагая данными сведениями можно отыскать способы взлома – в интернете найти форумы, где слабости, либо уже созданные эксплойты для конкретных систем подробно изложены, не составит особого труда. Но это технология хакерского взлома, нам же необходимо провести мониторинг уязвимости IT системы, а для этих целей существую специальные анализаторы, которые автоматизируют весь процесс, делают его значительно быстрее и эффективнее, что достигается за счет использования своих собственных баз данных.

Используя специализированные сканеры, можно исследовать, а при необходимости отстроить, конкретную IT структуру. В целом же, специальный софт позволяет оперативно исправлять и реорганизовывать систему, но логические алгоритмы самих сканеров линейны, а это, в свою очередь, не позволяет провести комплексный анализ. Программа работает по заранее определенному алгоритму, она не может провести анализ сочетания отдельных элементов системы, в итоге можно пропустить серьезные изъяны в защите. Нет тех моментов в защите, воспользоваться которыми по причине каких-то морально - этических принципов невозможно. Хакеры могут использовать все слабости и прорехи: речь идет не только о системном администрировании, а о безопасности в цело Для лучшего понимания, рассмотрим следующий пример:

Одна из компаний рушила провести тест своей IT системы на незащищенность. В процессе проведения работ на мониторе секретаря начальника была обнаружена приклеенная записка с паролем и логином локального пользователя. Просмотрев и запомнив эти данные, стало возможным просканировать сеть на наличие ресурсов с открытым доступом для конкретного локального пользователя, после этого выявить рабочую станцию технического специалиста, устанавливающего образы операционных систем на локальные станции пользователей, не составило особого труда. Получив доступ к образам системы, поскольку он был предусмотрительно открыт техником для облегчения своей работы, извлекаем хэшь пароля администратора всей системы. Поработав с хэшем, получаем сам пароль и соответственно полный доступ с правами администратора системы.

Как видно из приведенного примера сканеры уязвимостей облегчают работу, но не позволяют дать полную и объективную оценку всей системе безопасности.

3. Анализ конфигурации.

Вся IT система в целом, состоит из множества отдельных элементов, среди которых каждая отдельная локальная составляющая: операционная система; базы данных и система их администрирования; аппаратура поддержки; сетевая аппаратура и т.д., имеет широкий спектр локальных настроек. Именно данные настройки обеспечивают не только производительность структуры в целом, но и степень ее защищенности. Оптимально настроить параметры каждой составляющей можно по рекомендациям специалистов, имеющихся в общем доступе, либо взятых из документации. Именно данные публикации являются основой специальных чек-листов выпущенных специализированными организациями (например - National Institute of Standards and Technology) , воспользовавшись которыми можно провести достаточно эффективный анализ конфигурации системы в целом.

Кроме чек-листов можно воспользоваться специальными автоматическими программными комплексами. В любом случае, для проведения комплексного анализа, необходимы права администратора системы.

Достоинством анализа конфигурации, как метода определения уязвимости системы, является его безопасность и нетребовательность к системным ресурсам всей структуры, а недостатком – значительные затраты времени.

Итак, мы разобрали все три основных метода тестирования уязвимости IT систем. Хотелось бы только отметить, что данная статья предоставлена интернет-магазином Софтлис, который специализируется на решениях по безопасности, в ознакомительных целях.