Vurdere sikkerhetsproblemer med etiske hacker - dummies

Hvis du finner potensielle sikkerhetshull, neste trinn er å bekrefte om de er sårbarheter i systemet eller nettverket ditt. Før du tester, utfør noen manuell søking. Du kan undersøke hacker-meldingsbrett, nettsteder og sårbarhetsdatabaser, som disse:

• Vanlige sikkerhetsproblemer og eksponeringer

• US-CERT Sikkerhetsdatabase-databaser

• NIST National Vulnerability Database

Disse nettstedene viser kjente sårbarheter - i hvert fall de formelt klassifiserte. Du ser at mange andre sårbarheter er mer generiske i naturen, og kan ikke enkelt klassifiseres. Hvis du ikke finner et sikkerhetsproblem som er dokumentert på et av disse nettstedene, kan du søke på leverandørens nettsted. Dette nettstedet inneholder SANS Top 20 Vulnerabilities konsensuslisten, som er utarbeidet og oppdatert av SANS organisasjonen.

Hvis du ikke vil undersøke dine potensielle sårbarheter og kan hoppe rett inn i testing, har du et par alternativer:

• Manuell vurdering: Du kan vurdere de potensielle sårbarhetene ved å kobler til portene som utstiller tjenesten eller applikasjonen og peker rundt i disse portene. Du bør manuelt vurdere visse systemer (for eksempel webapplikasjoner). Sårbarhetsrapporterne i de forrige databasene beskriver ofte hvordan du gjør dette - i det minste generelt. Hvis du har mye ledig tid, kan det hende at du utfører disse tester manuelt.

• Automatisert vurdering: Manuelle vurderinger er en fin måte å lære, men folk har vanligvis ikke tid til de fleste manuelle trinn.

Mange gode sårbarhetsvurderingsverktøy tester for feil på bestemte plattformer (for eksempel Windows og UNIX) og typer nettverk (enten kablet eller trådløst). De tester for bestemte systemproblemer og noen fokuserer spesielt på SANS Top 20-listen og Open Web Application Security Project.

Versjoner av disse verktøyene kan kartlegge forretningslogikken i et webprogram; andre kan hjelpe programvareutviklere til å prøve kodefeil. Ulempen med disse verktøyene er at de bare finner individuelle sårbarheter; de korrelerer ofte ikke sårbarheter over et helt nettverk. Adventen av sikkerhetsinformasjon og hendelsesbehandling (SIEM) og sikkerhetsstyringssystemer tillater imidlertid at disse verktøyene korrelerer disse sikkerhetsproblemene.

En favoritt etisk hacking verktøy er en sårbarhetsskanner kalt QualysGuard av Qualys. Det er både et portscanner og et sårbarhetsvurderingsverktøy, og det gir en stor hjelp til sikkerhetshåndtering.

QualysGuard er et skybasert verktøy, slik at du bare surfer på Qualys nettside, logger deg på kontoen din og skriver inn IP-adressen til systemene du vil teste. Qualys har også et apparat som du kan installere på nettverket ditt, som lar deg skanne interne systemer. Du planlegger bare vurderingen, og deretter kjører systemet tester og genererer gode rapporter, som disse:

• En utøvende rapport som inneholder generell informasjon fra resultatene av skanningen.

• En teknisk rapport med detaljerte forklaringer på sårbarhetene og spesifikke motåtgärder.

  

Som med de fleste gode sikkerhetsverktøy, betaler du QualysGuard. Det er ikke det minste dyre verktøyet, men du får det du betaler for, spesielt når det gjelder andre som tar deg alvorlig hvis PCI DSS-kompatibilitet er påkrevet av virksomheten din.

Med QualysGuard, kjøper du en blokk med skanninger basert på antall skanninger du kjører. Et alternativ til QualysGuard som mange sverger på, er Rapid7s Nexpose, som skjer med en gratis versjon (Community Edition) for å skanne opptil 32 verter.

Vurdere sårbarheter med et verktøy som QualysGuard krever oppfølgingskompetanse. Du kan ikke stole på scanningsresultatene alene. Du må validere sikkerhetsproblemene det rapporterer. Undersøk rapportene for å basere dine anbefalinger på konteksten og kritikken av de testede systemene.