Opprett teststandarder for dine etiske hacker - dummies

En feilkommunikasjon eller sliping i teststandardene dine kan sende systemene krasjer under dine etiske hackingstester. Ingen vil at det skal skje. For å forhindre uhell, utvikle og dokumentere teststandarder. Disse standardene skal inneholde

Når testene utføres, sammen med den overordnede tidslinjen
Hvilke tester utføres
Hvor mye kunnskap om systemene du anskaffer på forhånd
Hvordan testene utføres og fra hvilken kilde IP-adresser
Hva du gjør når et stort sikkerhetsproblem blir oppdaget

Tidsforsøkene dine

Dette gjelder spesielt når du utfører etiske hackingstester. Kontroller at testene du utfører minimerer forstyrrelser i forretningsprosesser, informasjonssystemer og personer. Du vil unngå skadelige situasjoner som å misforstå tidspunktet for tester og forårsake et DoS-angrep mot et e-handelsnettsted med høy trafikk midt på dagen eller utføre passordsprøvingstest i midten av natten.

Selv å ha folk i forskjellige tidssoner kan det oppstå problemer. Alle på prosjektet må være enige om en detaljert tidslinje før du begynner. Å ha gruppemedlemmens avtale setter alle på samme side og setter de riktige forventningene.

Testtidslinjen din bør inneholde spesifikke kortsiktige datoer og tider for hver test, start- og sluttdato, og eventuelle bestemte milepæler i mellom. Du kan utvikle og angi tidslinjen din i et enkelt regneark eller Gantt-diagram, eller du kan inkludere tidslinjen som en del av ditt opprinnelige klientforslag og kontrakt. Tidslinjen din kan også være arbeidsavbruddskonstruksjoner i en større prosjektplan.

Kjør spesifikke tester

Du har kanskje blitt belastet med å utføre en generell penetrasjonstest, , eller du vil kanskje utføre bestemte tester, for eksempel sprekkpassord eller forsøk på å vinne tilgang til en webapplikasjon. Eller du kan utføre en sosialteknikkprøve eller vurdere Windows på nettverket.

Men du tester, kanskje du ikke vil avsløre spesifikasjonene av testingen. Selv når lederen eller klienten din ikke krever detaljerte oppføringer av tester, dokumenterer du hva du gjør på et høyt nivå. Dokumentasjon av testingen din kan bidra til å eliminere eventuell feilkommunikasjon.

Du kan kanskje vite de generelle testene du utfører, men hvis du bruker automatiserte verktøy, kan det være umulig å forstå hver test du utfører fullstendig. Dette gjelder spesielt når programvaren du bruker mottar oppdateringer og oppdateringer i sanntid, hver gang du kjører den.Potensialet for hyppige oppdateringer understreker viktigheten av å lese dokumentasjonen og filene som følger med verktøyene du bruker.

Blind mot kunnskapsevalueringer

Å ha litt kunnskap om systemene du tester kan være en god ide, men det er ikke nødvendig. Men en grunnleggende forståelse av systemene du hakker kan beskytte deg og andre. Å skaffe seg denne kunnskapen, bør ikke være vanskelig hvis du hakker dine egne interne systemer.

Hvis du hakker en kundes systemer, må du kanskje grave litt dypere inn i hvordan systemene fungerer slik at du er kjent med dem. Dette betyr ikke at blinde vurderinger ikke er verdifulle, men hvilken type vurdering du utfører, avhenger av dine spesifikke behov.

Den beste tilnærmingen er å planlegge på ubegrenset angrep, hvor enhver test er mulig, muligens også inkludert DoS-testing.

Vurder om testene skal utføres slik at de ikke er oppdaget av nettverksadministratorer og administrerte sikkerhetsleverandører. Selv om det ikke kreves, bør denne praksisen vurderes, spesielt for sosialteknikk og fysiske sikkerhetstester.

Plassering

Tester du utfører dikterer hvor du må kjøre dem fra. Målet ditt er å teste systemene dine fra steder som er tilgjengelige for ondsinnede hackere eller ansatte. Du kan ikke forutsi om du vil bli angrepet av noen i eller utenfor nettverket ditt, så dekke alle basene dine. Kombiner eksterne tester og interne tester.

Du kan utføre noen tester, for eksempel passordkreft og nettverksinfrastruktur vurderinger, fra kontoret. For eksterne hacker som krever nettverkstilkobling, må du kanskje gå av sted eller bruke en ekstern proxy-server. Noen sikkerhetsleverandører sårbarhetsskannere kjøres fra skyen, så det ville fungere også.

Bedre enn, hvis du kan tilordne en tilgjengelig offentlig IP-adresse til datamaskinen din, må du bare koble til nettverket på utsiden av brannmuren for å få et hackerperspektiv av systemene dine. Interne tester er enkle fordi du bare trenger fysisk tilgang til bygningen og nettverket. Du kan kanskje bruke en DSL-linje eller et kabelmodem som allerede er på plass for besøkende og lignende brukere.

Svar på sikkerhetsproblemer du finner

Bestem før tid om du vil stoppe eller fortsette når du finner et kritisk sikkerhetshull. Du trenger ikke å holde hacking for alltid eller til du krasjer alle systemene. Bare følg stien du er på til du bare ikke kan hacke den lenger. Når du er i tvil, er det best å ha et bestemt mål i tankene og deretter stoppe når målet er oppfylt.

Hvis du oppdager et større hull, kontakt de riktige personene så snart som mulig, slik at de kan begynne å løse problemet med en gang. De riktige personene kan være programvareutviklere, produkt- eller prosjektledere, eller til og med CIO-er. Hvis du venter noen dager eller uker, kan noen utnytte sikkerhetsproblemet og forårsake skade som kunne ha blitt forhindret.

Dumme antagelser

Du har hørt om hva du gjør av deg selv når du antar ting. Likevel gjør du forutsetninger når du hakker et system.Her er noen eksempler på disse forutsetningene:

Datamaskiner, nettverk og folk er tilgjengelige når du tester.
Du har alle de riktige testverktøyene.
Testverktøyene du bruker, minimerer sjansene for å krasje systemene du tester.
Du forstår sannsynligheten for at eksisterende sikkerhetsproblemer ikke ble funnet, eller at du brukte testverktøyene feil.
Du vet risikoen ved testene dine.

Dokumentere alle forutsetninger og ha ledelsen eller klienten din logge deg på dem som en del av din generelle godkjenningsprosess.