Test de pénétration - Méthode
Les tests de pénétration sont une combinaison de techniques qui prend en compte divers problèmes des systèmes et des tests, des analyses et apporte des solutions. Il est basé sur une procédure structurée qui effectue des tests de pénétration étape par étape.
Ce chapitre décrit les différentes étapes ou phases de la méthode de test de pénétration.
Étapes de la méthode de test de pénétration
Voici les sept étapes des tests de pénétration -
Planification et préparation
La planification et la préparation commencent par la définition des buts et objectifs des tests d'intrusion.
Le client et le testeur définissent conjointement les objectifs afin que les deux parties aient les mêmes objectifs et la même compréhension. Les objectifs communs des tests de pénétration sont:
- Identifier la vulnérabilité et améliorer la sécurité des systèmes techniques.
- Faites confirmer la sécurité informatique par un tiers externe.
- Augmenter la sécurité de l'infrastructure organisationnelle / du personnel.
Reconnaissance
La reconnaissance comprend une analyse des informations préliminaires. Plusieurs fois, un testeur n'a pas beaucoup d'informations autres que les informations préliminaires, c'est-à-dire une adresse IP ou un bloc d'adresses IP. Le testeur commence par analyser les informations disponibles et, si nécessaire, les demandes d'informations supplémentaires telles que des descriptions de système, des plans de réseau, etc. du client. Cette étape est le test de pénétration passive, une sorte de. Le seul objectif est d'obtenir une information complète et détaillée des systèmes.
Découverte
Au cours de cette étape, un testeur d'intrusion utilisera très probablement les outils automatisés pour analyser les actifs cibles afin de découvrir les vulnérabilités. Ces outils ont normalement leurs propres bases de données donnant les détails des dernières vulnérabilités. Cependant, le testeur découvre
Network Discovery - Telles que la découverte de systèmes, serveurs et autres périphériques supplémentaires.
Host Discovery - Il détermine les ports ouverts sur ces appareils.
Service Interrogation - Il interroge les ports pour découvrir les services réels qui fonctionnent sur eux.
Analyse des informations et des risques
Dans cette étape, le testeur analyse et évalue les informations collectées avant les étapes de test pour pénétrer dynamiquement le système. En raison du plus grand nombre de systèmes et de la taille de l'infrastructure, cela prend beaucoup de temps. Lors de l'analyse, le testeur considère les éléments suivants -
Les objectifs définis du test de pénétration.
Les risques potentiels pour le système.
Le temps estimé nécessaire pour évaluer les failles de sécurité potentielles pour les tests de pénétration actifs ultérieurs.
Cependant, à partir de la liste des systèmes identifiés, le testeur peut choisir de tester uniquement ceux qui contiennent des vulnérabilités potentielles.
Tentatives d'intrusion actives
Il s'agit de l'étape la plus importante qui doit être effectuée avec le plus grand soin. Cette étape implique la mesure dans laquelle les vulnérabilités potentielles identifiées lors de l'étape de découverte possèdent les risques réels. Cette étape doit être effectuée lorsqu'une vérification des vulnérabilités potentielles est nécessaire. Pour les systèmes ayant des exigences d'intégrité très élevées, la vulnérabilité et le risque potentiels doivent être soigneusement pris en compte avant d'effectuer des procédures de nettoyage critiques.
Analyse finale
Cette étape considère principalement toutes les étapes menées (discutées ci-dessus) jusqu'à ce moment et une évaluation des vulnérabilités présentes sous forme de risques potentiels. De plus, le testeur recommande d'éliminer les vulnérabilités et les risques. Surtout, le testeur doit assurer la transparence des tests et des vulnérabilités qu'il a révélés.
Préparation du rapport
La préparation du rapport doit commencer par des procédures de test globales, suivies d'une analyse des vulnérabilités et des risques. Les risques élevés et les vulnérabilités critiques doivent avoir des priorités, puis suivis de l'ordre inférieur.
Cependant, lors de la documentation du rapport final, les points suivants doivent être pris en compte -
- Résumé général des tests de pénétration.
- Détails de chaque étape et informations recueillies lors du test du stylo.
- Détails de toutes les vulnérabilités et risques découverts.
- Détails de nettoyage et de réparation des systèmes.
- Suggestions pour la sécurité future.