Criar padrões de teste para seus cortes éticos - manequins

Uma falta de comunicação ou deslizamento em seus padrões de teste pode enviar os sistemas falhando durante seus testes de hacking éticos. Ninguém quer que isso aconteça. Para evitar percalços, desenvolva e documente padrões de teste. Esses padrões devem incluir

• Quando os testes são realizados, juntamente com a linha de tempo global

• Quais testes são realizados

• Quanto conhecimento dos sistemas você adquire com antecedência

• Como os testes são realizados e de quais endereços IP de origem

• O que você faz quando uma grande vulnerabilidade é descoberta

Tempo seus testes

Isto é especialmente verdadeiro ao realizar testes de hacking éticos. Certifique-se de que os testes que você executa minimizem a interrupção dos processos de negócios, sistemas de informação e pessoas. Você quer evitar situações prejudiciais, como não comunicar o tempo de testes e causar um ataque DoS contra um site de comércio eletrônico de alto tráfego no meio do dia ou realizar testes de cracking de senha no meio da noite.

Mesmo ter pessoas em fusos horários diferentes podem criar problemas. Todos no projeto precisam concordar em uma linha de tempo detalhada antes de começar. Ter o acordo dos membros da equipe coloca todos na mesma página e define expectativas corretas.

Sua linha de tempo de teste deve incluir datas e horários específicos de curto prazo de cada teste, datas de início e fim, e quaisquer marcos específicos no meio. Você pode desenvolver e inserir sua linha de tempo em uma planilha simples ou no gráfico de Gantt, ou você pode incluir a linha de tempo como parte de sua proposta e contrato de cliente inicial. Sua linha do tempo também pode ser estruturas de quebra de trabalho em um plano de projeto maior.

Execute testes específicos

Você pode ter sido carregado com a realização de um teste de penetração geral ou você pode querer realizar testes específicos, como quebrar senhas ou tentar ganhar acesso a uma aplicação web. Ou você pode estar realizando um teste de engenharia social ou avaliando o Windows na rede.

No entanto, você prova, você pode não querer revelar os detalhes do teste. Mesmo quando seu gerente ou cliente não requer registros detalhados de seus testes, documentar o que você está fazendo em um nível alto. Documentar seus testes pode ajudar a eliminar qualquer falta de comunicação.

Você pode saber os testes gerais que você executa, mas se você usar ferramentas automatizadas, pode ser impossível entender cada teste que você executa completamente. Isto é especialmente verdadeiro quando o software que você está usando recebe atualizações de vulnerabilidade em tempo real e patches do fornecedor cada vez que você o executa.O potencial de atualizações frequentes sublinha a importância de ler a documentação e os arquivos que acompanham as ferramentas que você usa.

Avaliação cega versus conhecimento

Ter algum conhecimento dos sistemas que você está testando pode ser uma boa idéia, mas não é necessário. Mas, uma compreensão básica dos sistemas que você pode proteger pode proteger você e outros. Obter esse conhecimento não deve ser difícil se você estiver pirateando seus próprios sistemas internos.

Se você cortar os sistemas de um cliente, talvez seja necessário cavar um pouco mais sobre o funcionamento dos sistemas para que você esteja familiarizado com eles. Isso não significa que as avaliações cegas não são valiosas, mas o tipo de avaliação que você realiza depende de suas necessidades específicas.

A melhor abordagem é planejar ataques ilimitados , em que qualquer teste é possível, possivelmente incluindo testes DoS.

Considere se os testes devem ser realizados para que eles não sejam detectados pelos administradores de rede e por todos os provedores de serviços de segurança gerenciados. Embora não seja necessário, esta prática deve ser considerada, especialmente para testes de engenharia social e segurança física.

Localização

Os testes que você executa ditarão de onde você deve executá-los. Seu objetivo é testar seus sistemas a partir de locais acessíveis por hackers ou funcionários mal-intencionados. Você não pode prever se você será atacado por alguém dentro ou fora de sua rede, então cubra todas as suas bases. Combine testes externos e testes internos.

Você pode executar alguns testes, como o cracking de senhas e avaliações de infraestrutura de rede, do seu escritório. Para hacks externos que requerem conectividade de rede, talvez você precise sair do site ou usar um servidor proxy externo. Alguns scanners de vulnerabilidades de fornecedores de segurança são executados a partir da nuvem, de modo que também funcionaria.

Melhor ainda, se você pode atribuir um endereço IP público disponível ao seu computador, basta conectar-se à rede no lado de fora do firewall para obter uma visão do hacker de seus sistemas. Os testes internos são fáceis porque você precisa apenas de acesso físico ao prédio e à rede. Você pode usar uma linha DSL ou modem a cabo já instalado para visitantes e usuários similares.

Responda às vulnerabilidades que você encontra

Determine antecipadamente se você vai parar ou continuar quando encontrar um buraco crítico de segurança. Você não precisa manter a pirataria para sempre ou até quebrar todos os sistemas. Basta seguir o caminho até onde você não pode puxá-lo por mais tempo. Em caso de dúvida, a melhor coisa a fazer é ter um objetivo específico em mente e depois parar quando esse objetivo foi atingido.

Se você descobrir um buraco importante, entre em contato com as pessoas certas o mais rápido possível para que eles possam começar a resolver o problema imediatamente. As pessoas certas podem ser desenvolvedores de software, gerentes de produtos ou projetos, ou mesmo CIOs. Se você esperar alguns dias ou semanas, alguém pode explorar a vulnerabilidade e causar danos que poderiam ter sido evitados.

Suposições idiotas

Você já ouviu falar sobre o que você faz de si mesmo quando assume coisas. Mesmo assim, você faz suposições quando você pirateia um sistema.Aqui estão alguns exemplos desses pressupostos:

• Computadores, redes e pessoas estão disponíveis quando você está testando.

• Você possui todas as ferramentas de teste adequadas.

• As ferramentas de teste que você usa minimizarão as chances de quebrar os sistemas que você testou.

• Você entende a probabilidade de que as vulnerabilidades existentes não foram encontradas ou que você usou suas ferramentas de teste incorretamente.

• Você conhece os riscos de seus testes.

Documentar todos os pressupostos e ter o gerenciamento ou o seu cliente assiná-los como parte de seu processo de aprovação geral.