Opis
Test penetracyjny to kontrolowany atak na system IT, którego celem jest merytoryczna i obiektywna ocena stanu bezpieczeństwa działu teleinformatycznego. Analiza pozwala wykryć ewentualne błędy spowodowane nieprawidłową konfiguracją, uchybieniami w oprogramowaniu lub sprzęcie, słabościami w proceduralnych środkach ochrony oraz nieświadomością użytkowników. Test penetracyjny przeprowadzany jest przez specjalistę, który przeobraża się w potencjalnego włamywacza. Zabieg ten może również zawierać aktywne wykorzystanie podatności. Atak kontrolowany zaliczany jest do operacji za przyzwoleniem. Strona musi bowiem wyrazić zgodę na działania, pozwalające ocenić stan bezpieczeństwa systemu IT. Pentester po przeprowadzeniu ataku sporządza raport, dokumentujący ewentualne uchybienia. Na podstawie danych można podjąć właściwe działania, eliminujące błędy konfiguracyjne oprogramowania i słabości w zaporach ochronnych. Testy penetracyjne mają na celu zbadanie odporności systemu teleinformatycznego na włamanie oraz skuteczność zabezpieczeń w implementacji rzeczywistej. Atak kontrolowany często zaliczany jest do działań o charakterze audytowym. Test penetracyjny nie musi się jednak odbywać według ściśle określonych zasad. Efektywność analizy uzależniona jest od kompetencji i stanu wiedzy specjalisty, przeprowadzającego atak kontrolowany. Szczegółowe informacje na ten temat dostępne są na stronie internetowej: http://crowe.com/pl/services/uslugi-it/testy-penetracyjne.
Metodyka
Testy penetracyjne obejmują niezbędne czynności i procedury, których musi przestrzegać zespół, zajmujący się analizą. Metodyki nie zawierają jednak szczegółowych opisów na temat zalecanych algorytmów. Wśród standardów warto wskazać:
– OSSTMM (Open Source Security Testing Methodology Manual)
– NIST SP 800-42 (Guideline on Network Security Testing, 2003)
– NIST SP 800-115 (Technical Guide to Information Security Testing”)
– ISAAF (OISSG Penetration Testing Framework, 2008)
– P-PEN (Adam E. Patkowski, Metodyka P-PEN przeprowadzania testów penetracyjnych systemów teleinformatycznych, WAT, 2007).
Testy penetracyjne są skutecznym sposobem na wykrycie ewentualnych błędów w sektorze IT. Analizy wymagają odpowiedniej wiedzy i doświadczenia. Warto więc zlecić je profesjonalnej firmie, której oferta dostępna jest na stronie internetowej: https://www.crowe.com/pl.