Δημιουργήστε πρότυπα δοκιμών για τις ηθικές σας αμυχές - ανδρείκελα

Μια κακή επικοινωνία ή ολίσθηση στα πρότυπα δοκιμής μπορεί να στείλει τα συστήματα να συντρίβουν κατά τη διάρκεια τις δεοντολογικές δοκιμές σας. Κανείς δεν θέλει να συμβεί αυτό. Για την πρόληψη ατυχημάτων, αναπτύξτε και τεκμηρίξτε τα πρότυπα δοκιμών. Αυτά τα πρότυπα πρέπει να περιλαμβάνουν

• Όταν εκτελούνται οι δοκιμές μαζί με το συνολικό χρονοδιάγραμμα

• Ποιες δοκιμές εκτελούνται

• Πόση γνώση των συστημάτων αποκτάτε εκ των προτέρων

• Πώς διεξάγονται οι δοκιμές και από ποιες πηγές διευθύνσεις IP

• Τι κάνετε όταν εντοπίζεται μια μεγάλη ευπάθεια

Χρόνος δοκιμών σας

Αυτό ισχύει ιδιαίτερα όταν εκτελείτε δοκιμές ηθικής hacking. Βεβαιωθείτε ότι οι δοκιμές που εκτελείτε ελαχιστοποιούν τη διακοπή των επιχειρηματικών διαδικασιών, των συστημάτων πληροφοριών και των ανθρώπων. Θέλετε να αποφύγετε βλαβερές καταστάσεις όπως η εσφαλμένη επικοινωνία του χρόνου των δοκιμών και η πρόκληση μιας επίθεσης DoS εναντίον ενός ιστότοπου ηλεκτρονικού εμπορίου υψηλής επισκεψιμότητας στη μέση της ημέρας ή η πραγματοποίηση δοκιμών πυρόλυσης με κωδικό πρόσβασης στη μέση της νύχτας.

Ακόμη και η κατοχή ατόμων σε διαφορετικές ζώνες ώρας μπορεί να δημιουργήσει προβλήματα. Ο καθένας στο έργο πρέπει να συμφωνήσει σε ένα λεπτομερές χρονοδιάγραμμα πριν ξεκινήσετε. Έχοντας τη συμφωνία των μελών της ομάδας βάζει τον καθένα στην ίδια σελίδα και θέτει τις σωστές προσδοκίες.

Το χρονικό σας πλαίσιο δοκιμών θα πρέπει να περιλαμβάνει συγκεκριμένες βραχυπρόθεσμες ημερομηνίες και ώρες κάθε δοκιμής, ημερομηνίες έναρξης και λήξης και οποιεσδήποτε συγκεκριμένες ορόσημες μεταξύ τους. Μπορείτε να αναπτύξετε και να εισαγάγετε το χρονοδιάγραμμά σας σε ένα απλό υπολογιστικό φύλλο ή στο διάγραμμα Gantt ή μπορείτε να συμπεριλάβετε το χρονοδιάγραμμα ως μέρος της αρχικής πρότασής σας και της σύμβασης. Το χρονοδιάγραμμά σας μπορεί επίσης να είναι δομές διάσπασης εργασίας σε ένα μεγαλύτερο σχέδιο έργου.

Μπορεί να χρειαστεί να εκτελέσετε μια γενική δοκιμή διείσδυσης

, ή να θελήσετε να εκτελέσετε συγκεκριμένες δοκιμές, όπως ράγισμα κωδικών πρόσβασης ή προσπαθώντας να κερδίσετε πρόσβαση σε μια εφαρμογή ιστού. Ή μπορείτε να εκτελέσετε μια δοκιμή κοινωνικής μηχανικής ή να αξιολογήσετε τα Windows στο δίκτυο. Ωστόσο, δοκιμάζετε, ίσως να μην θέλετε να αποκαλύψετε τις λεπτομέρειες της δοκιμής. Ακόμη και όταν ο διευθυντής ή ο πελάτης σας δεν απαιτεί λεπτομερή αρχεία των δοκιμών σας, τεκμηριώνετε τι κάνετε σε υψηλό επίπεδο. Η τεκμηρίωση των δοκιμών σας μπορεί να βοηθήσει στην εξάλειψη κάθε πιθανής κακής επικοινωνίας.

Ενδέχεται να γνωρίζετε τις γενικές δοκιμές που εκτελείτε, αλλά εάν χρησιμοποιείτε αυτοματοποιημένα εργαλεία, μπορεί να είναι αδύνατο να κατανοήσετε κάθε δοκιμή που εκτελείτε εντελώς. Αυτό ισχύει ιδιαίτερα όταν το λογισμικό που χρησιμοποιείτε λαμβάνει ενημερώσεις ευπάθειας σε πραγματικό χρόνο και μπαλώματα από τον προμηθευτή κάθε φορά που το εκτελείτε.Η δυνατότητα για συχνές ενημερώσεις υπογραμμίζει τη σημασία της ανάγνωσης της τεκμηρίωσης και των αρχείων που συνοδεύουν τα εργαλεία που χρησιμοποιείτε.

Αξιολόγηση των τυφλών και των γνώσεων

Η γνώση των συστημάτων που δοκιμάζετε μπορεί να είναι μια καλή ιδέα, αλλά δεν είναι απαραίτητη. Αλλά, μια βασική κατανόηση των συστημάτων που χαράζετε μπορεί να σας προστατεύσει και άλλους. Η απόκτηση αυτής της γνώσης δεν θα πρέπει να είναι δύσκολη αν κάνετε hacking τα δικά σας εσωτερικά συστήματα.

Εάν χάσετε τα συστήματα ενός πελάτη, ίσως χρειαστεί να σκάψετε λίγο περισσότερο το πώς λειτουργούν τα συστήματα, ώστε να είστε εξοικειωμένοι με αυτά. Αυτό δεν σημαίνει ότι οι τυφλές αξιολογήσεις δεν είναι πολύτιμες, αλλά ο τύπος αξιολόγησης που πραγματοποιείτε εξαρτάται από τις συγκεκριμένες ανάγκες σας.

Η καλύτερη προσέγγιση είναι να σχεδιάσετε επιθέσεις

απεριόριστες , όπου οποιαδήποτε δοκιμασία είναι δυνατή, ενδεχομένως ακόμη και με δοκιμές DoS. Εξετάστε αν οι δοκιμές θα πρέπει να εκτελούνται έτσι ώστε να μην εντοπίζονται από διαχειριστές δικτύου και από οποιονδήποτε διαχειριστή παροχής υπηρεσιών διαχείρισης. Παρόλο που δεν απαιτείται, αυτή η πρακτική πρέπει να εξεταστεί, ειδικά για τις δοκιμές κοινωνικής μηχανικής και φυσικής ασφάλειας.

Τοποθεσία

Οι δοκιμές που εκτελείτε υπαγορεύουν από πού πρέπει να τις εκτελέσετε. Ο στόχος σας είναι να ελέγξετε τα συστήματά σας από τοποθεσίες προσβάσιμες από κακόβουλο χάκερ ή από εργαζόμενους. Δεν μπορείτε να προβλέψετε αν θα σας επιτεθεί κάποιος μέσα ή έξω από το δίκτυό σας, ώστε να καλύψετε όλες τις βάσεις σας. Συνδυάστε εξωτερικές δοκιμές και εσωτερικές δοκιμές.

Μπορείτε να εκτελέσετε ορισμένες δοκιμές, όπως ρωγμές με κωδικό πρόσβασης και εκτιμήσεις υποδομής δικτύου, από το γραφείο σας. Για εξωτερικά προβλήματα που απαιτούν σύνδεση δικτύου, μπορεί να χρειαστεί να μεταβείτε εκτός δικτύου ή να χρησιμοποιήσετε έναν εξωτερικό διακομιστή μεσολάβησης. Ορισμένοι σαρωτές ευπάθειας των πωλητών ασφάλειας εκτελούνται από το νέφος, έτσι ώστε να λειτουργούν επίσης.

Καλύτερα, αν μπορείτε να αντιστοιχίσετε μια διαθέσιμη δημόσια διεύθυνση IP στον υπολογιστή σας, απλά συνδέστε το στο εξωτερικό του τείχους προστασίας για μια εικόνα των συστημάτων σας. Οι εσωτερικές δοκιμές είναι εύκολες επειδή χρειάζεστε μόνο φυσική πρόσβαση στο κτίριο και στο δίκτυο. Ενδέχεται να μπορείτε να χρησιμοποιήσετε μια γραμμή DSL ή ένα καλωδιακό μόντεμ που υπάρχει ήδη για τους επισκέπτες και τους παρόμοιους χρήστες.

Απάντηση στις ευπάθειες που βρίσκετε

Καθορίστε μπροστά από το αν θα σταματήσετε ή θα συνεχίσετε όταν βρείτε μια κρίσιμη τρύπα ασφαλείας. Δεν χρειάζεται να κρατάτε το hacking για πάντα ή μέχρι να σπάσετε όλα τα συστήματα. Απλώς ακολουθήστε το μονοπάτι μέχρι το οποίο δεν μπορείτε να το χάσετε πια. Σε περίπτωση αμφιβολίας, το καλύτερο που πρέπει να κάνετε είναι να έχετε έναν συγκεκριμένο στόχο στο μυαλό και στη συνέχεια να σταματήσετε όταν αυτός ο στόχος έχει επιτευχθεί.

Εάν ανακαλύψετε μια μεγάλη τρύπα, επικοινωνήστε με τους σωστούς ανθρώπους το συντομότερο δυνατόν, ώστε να μπορέσουν να ξεκινήσουν να διορθώνουν το πρόβλημα αμέσως. Οι κατάλληλοι άνθρωποι μπορεί να είναι προγραμματιστές λογισμικού, διαχειριστές προϊόντων ή έργων ή ακόμη και CIO. Εάν περιμένετε λίγες ημέρες ή εβδομάδες, κάποιος μπορεί να εκμεταλλευτεί την ευπάθεια και να προκαλέσει ζημιά που θα μπορούσε να είχε αποφευχθεί.

Ανόμοιες υποθέσεις

Έχετε ακούσει για το τι κάνετε για τον εαυτό σας όταν αναλαμβάνετε πράγματα. Ακόμα κι έτσι, κάνετε υποθέσεις όταν hack ένα σύστημα.Ακολουθούν ορισμένα παραδείγματα αυτών των υποθέσεων:

Οι υπολογιστές, τα δίκτυα και τα άτομα είναι διαθέσιμα όταν δοκιμάζετε.

• Έχετε όλα τα κατάλληλα εργαλεία ελέγχου.

• Τα εργαλεία ελέγχου που χρησιμοποιείτε θα ελαχιστοποιήσουν τις πιθανότητες συντριβής των συστημάτων που δοκιμάζετε.

• Κατανοείτε την πιθανότητα να μην έχουν βρεθεί υπάρχοντα τρωτά σημεία ή να χρησιμοποιήσατε εσφαλμένα τα εργαλεία ελέγχου.

• Γνωρίζετε τους κινδύνους των δοκιμών σας.

• Εγγράψτε όλες τις υποθέσεις και υπογράψτε τη διαχείριση ή τον πελάτη σας ως μέρος της συνολικής σας διαδικασίας έγκρισης.