Types de tests de pénétration

Le type de test de pénétration dépend normalement de la portée et des souhaits et exigences de l'organisation. Ce chapitre traite des différents types de tests de pénétration. Il est également connu sous le nom dePen Testing.

Types de tests au stylo

Voici les types importants de tests au stylo -

  • Test de pénétration de la boîte noire
  • Test de pénétration en boîte blanche
  • Test de pénétration de la boîte grise

Pour une meilleure compréhension, discutons chacun d'eux en détail -

Test de pénétration de la boîte noire

Dans les tests de pénétration de boîte noire, le testeur n'a aucune idée des systèmes qu'il va tester. Il souhaite recueillir des informations sur le réseau ou le système cible. Par exemple, dans ce test, un testeur sait seulement quel devrait être le résultat attendu et il ne sait pas comment les résultats arrivent. Il n'examine aucun code de programmation.

Avantages des tests de pénétration de la boîte noire

Il présente les avantages suivants -

  • Le testeur ne doit pas nécessairement être un expert, car il ne nécessite pas de connaissances linguistiques spécifiques

  • Le testeur vérifie les contradictions dans le système réel et les spécifications

  • Le test est généralement réalisé avec la perspective d'un utilisateur, pas du concepteur

Inconvénients des tests de pénétration de la boîte noire

Ses inconvénients sont -

  • En particulier, ces types de cas de test sont difficiles à concevoir.

  • Peut-être, cela ne vaut pas la peine, le concepteur d'incase a déjà effectué un cas de test.

  • Il ne conduit pas tout.

Test de pénétration en boîte blanche

Il s'agit d'un test complet, car le testeur a reçu toute une gamme d'informations sur les systèmes et / ou le réseau telles que le schéma, le code source, les détails du système d'exploitation, l'adresse IP, etc. Il est normalement considéré comme une simulation d'une attaque par un source interne. Il est également connu sous le nom de test structurel, de boîte en verre, de boîte transparente et de boîte ouverte.

Les tests de pénétration en boîte blanche examinent la couverture du code et effectuent des tests de flux de données, des tests de chemin, des tests de boucle, etc.

Avantages des tests de pénétration en boîte blanche

Il présente les avantages suivants -

  • Il garantit que tous les chemins indépendants d'un module ont été exercés.

  • Il garantit que toutes les décisions logiques ont été vérifiées avec leur valeur vraie et fausse.

  • Il découvre les erreurs typographiques et vérifie la syntaxe.

  • Il trouve les erreurs de conception qui ont pu se produire en raison de la différence entre le flux logique du programme et l'exécution réelle.

Test de pénétration de la boîte grise

Dans ce type de test, un testeur fournit généralement des informations partielles ou limitées sur les détails internes du programme d'un système. Cela peut être considéré comme une attaque par un pirate informatique externe qui avait obtenu un accès illégitime aux documents de l'infrastructure réseau d'une organisation.

Avantages des tests de pénétration de la boîte grise

Il présente les avantages suivants -

  • Comme le testeur ne nécessite pas l'accès au code source, il est non intrusif et impartial

  • Comme il y a une différence claire entre un développeur et un testeur, il y a donc moins de risque de conflit personnel

  • Vous n'avez pas besoin de fournir les informations internes sur les fonctions du programme et d'autres opérations

Domaines de test de pénétration

Les tests de pénétration sont normalement effectués dans les trois domaines suivants -

  • Network Penetration Testing- Dans ce test, la structure physique d'un système doit être testée pour identifier la vulnérabilité et le risque qui assure la sécurité dans un réseau. Dans l'environnement réseau, un testeur identifie les failles de sécurité dans la conception, la mise en œuvre ou l'exploitation du réseau de l'entreprise / organisation respective. Les appareils testés par un testeur peuvent être des ordinateurs, des modems ou même des appareils d'accès à distance, etc.

  • Application Penetration Testing- Dans ce test, la structure logique du système doit être testée. Il s'agit d'une simulation d'attaque conçue pour exposer l'efficacité des contrôles de sécurité d'une application en identifiant la vulnérabilité et le risque. Le pare-feu et d'autres systèmes de surveillance sont utilisés pour protéger le système de sécurité, mais parfois, il nécessite des tests ciblés, en particulier lorsque le trafic est autorisé à traverser le pare-feu.

  • The response or workflow of the system- C'est le troisième domaine qui doit être testé. L'ingénierie sociale rassemble des informations sur l'interaction humaine pour obtenir des informations sur une organisation et ses ordinateurs. Il est utile de tester la capacité de l'organisation concernée à empêcher tout accès non autorisé à ses systèmes d'information. De même, ce test est exclusivement conçu pour le flux de travail de l'organisation / entreprise.