9 Bewezen Penetratietestmethodes voor 2024: Beveilig Uw Bedrijf

In de huidige zakelijke wereld is beveiliging het meest voorkomende probleem. Elk horen we verhalen over aanvallers die computersystemen hacken en alle cruciale informatie stelen.

In 2019 werden er 1.473 datalekken gemeld in de Verenigde Staten, waarbij meer dan 164 miljoen gevoelige records blootgesteld werden. In de eerste helft van 2020 liep het aantal datalekken op tot 540. — Statista Rapport

Om beveiligingszwaktes en kwetsbaarheden te detecteren, voeren veel grote bedrijven een geautoriseerde gesimuleerde cyberaanval uit op hun eigen systeem. Dit noemen we penetratietesten (Pen Test in het kort). Het doel is om beveiligingskwetsbaarheden en zwaktes te identificeren voordat cybercriminelen dit doen en ze zo snel mogelijk op te lossen.

Concreter omvat penetratietesten het simuleren van realistische aanvalsscenario's om beveiligingsgaten (op een veilige manier) te vinden en te misbruiken die uiteindelijk kunnen leiden tot gestolen informatie, gecompromitteerde inloggegevens of andere schadelijke bedrijfsresultaten.

Dit kan intern worden uitgevoerd met penetratietest-tools of uitgebesteed aan een penetratietest-provider. Het proces begint meestal met een beveiligingsexpert die het doelnetwerk inventariseert om kwetsbare apparaten of accounts te detecteren. Dit betekent dat elk apparaat in het netwerk wordt gescand op open poorten met actieve services.

De mate van inbraak hangt af van welk type operatie de beveilingstester wil verkennen op het doelsysteem. Daarom moet de tester over goede kennis beschikken van de meest relevante soorten pentests.

Penetratietesten kunnen worden geclassificeerd op basis van hoe ze worden uitgevoerd alsook de assets en componenten die worden getarget. In dit overzichtsartikel leggen we verschillende typen penetratietesten uit die ontworpen zijn om intensief en invasief te zijn.

Penetratietesten Gebaseerd op Gebruikte Methodes

1. Black Box Testing

• Testcases kunnen onmiddellijk worden ontworpen
• Kan bepaalde soorten fouten detecteren

Bij black-box penetratietesten heeft de tester geen toegang tot de applicatie van de klant, de netwerkconfiguratie of enige interne informatie. Hij/zij voert alle reconnaissance uit om de benodigde informatie te verzamelen.

Dit type testen bepaalt de zwaktes van een systeem die vanaf buiten het netwerk misbruikt kunnen worden. Het vinden van die zwaktes berust op dynamische inspectie van momenteel draaiende programma's en systemen binnen het doelnetwerk.

De tester moet bekend zijn met geautomatiseerde scannersoftware en verschillende technieken van handmatige penetratietesten. Omdat er geen voorafgaande kennis is van de systeemconfiguratie of applicatiebroncode, moet de black-box penetratietester in staat zijn om een eigen kaart van het doelnetwerk op te bouwen op basis van persoonlijke waarnemingen.

De beperkte kennis voorkomt dat de tester alle kwetsbaarheden in het systeem vindt. Dit is het grootste nadeel van dit type testen. Als testers niet alle perimeters kunnen doorbreken, blijven interne kwetsbaarheden onontdekt.

Toch kan het bepaalde soorten fouten onthullen, zoals serverconfiguratiefouten en invoer/uitvoervalidatiefouten. Om succesvol te zijn (efficiënt meer kwetsbaarheden detecteren en oplossen), moeten black-box testmethodologieën gecombineerd worden met andere testtools.

Er zijn veel tools beschikbaar op de markt voor het uitvoeren van black-box penetratietesten. Wapiti analyseert bijvoorbeeld webapplicaties op potentiële risico's door tijdelijke data te injecteren.

2. White Box Testing

• Meer uitgebreid
• Staat code-optimalisatie en detectie van verborgen beveiligingsproblemen toe

Zoals de naam suggereert, is white-box penetratietesten het tegenovergestelde van black-box testen. De tester heeft volledige toegang tot architectuurbeschrijvingen, broncode en andere systeeminformatie.

Testers doorzoeken een groot volume beschikbare data om potentiële zwakke plekken te detecteren. Ze kunnen zowel statische als dynamische code-analysatoren en debuggers gebruiken voor dit type testen.

Omdat testers volledige kennis hebben van het systeem, duurt het langer om te beslissen welke modules eerst getest moeten worden en welke specifieke software gebruikt moet worden voor de test.

JUnit, PyUnit, Selenium zijn enkele van de populairste open-source white-box testtools. Selenium wordt bijvoorbeeld gebruikt voor het valideren van webapplicaties in verschillende browsers en platforms.

3. Gray Box Testing

• Identificeert meer significante kwetsbaarheden met minder kosten en inspanning
• Testen wordt uitgevoerd vanuit het perspectief van de gebruiker in plaats van de ontwerper

Dit is de combinatie van zowel black-box als white-box penetratietesten. De gray-box pentester heeft enige kennis van de interne werking van het systeem, zoals database- en ontwerpdocumenten. Met deze beperkte kennis kan hij/zij betere testdata en testcases maken tijdens het opstellen van een testplan.

Dit type testen biedt een efficiëntere en gerichtere beoordeling van de systeembeveiliging vergeleken met black-box assessment. Het kan defecten identificeren door onjuist gebruik van applicaties of onjuiste codestructuur. Meer specifiek onthult het contextspecifieke fouten door zich te concentreren op alle lagen van complexe systemen.

Gray-box testen is meer geschikt voor functioneel testen, webapplicaties, webservices, beveiligingsassessment en GUI. Burp Suite is een van de populaire gray-box testtools die applicatiekwetsbaarheden misbruikt door aan te vallen op voorlopige onveilige plekken.

Verschillen Tussen Deze Drie Testtechnieken

Penetratietesten Gebaseerd op Getargette Componenten

1. Netwerkservices Testen

• Voorkomt netwerk- en datalekken
• Zorgt voor netwerk- en systeembeveiliging

Het netwerkpenetratietestproces omvat het ontdekken van beveiligingskwetsbaarheden in applicaties en systemen door gebruik te maken van verschillende malafide methodes om de netwerkbeveiliging te onderzoeken.

Typisch identificeert de tester misbruikbare netwerken, hosts, systemen en apparaten (zoals switches en routers) om zwaktes onthullen. Aangezien een netwerk zowel externe als interne toegangspunten heeft, is het verplicht om tests op afstand uit te voeren vanaf de buitenwereld en lokaal op de klantlocatie.

Dit helpt testers het risiconiveau te begrijpen waarmee de organisatie te maken heeft en hoe beveiligingslekken aangepakt en opgelost kunnen worden. Afhankelijk van het risico kunnen ze verschillende netwerkgebieden targetten in hun tests. Bijvoorbeeld:

• Stateful analyse testen
• Firewall configuratietesten
• Firewall bypass testen
• DNS aanvallen

De meest voorkomende protocollen die in deze tests worden onderzocht zijn:

• Simple Mail Transfer Protocol (SMTP)
• File Transfer Protocol (FTP)
• Secure Shell (SSH)
• MySQL en SQL Server

Afhankelijk van systeengrootte en complexiteit kan een netwerkpenetratietest tussen de één en vier weken duren. Testers kunnen een gedetailleerde schatting pas maken na scoping van het project.

2. Webapplicatie Pen Testing

Stappen om een webapp pen test uit te voeren

• Identificeert kwetsbaarheden in zowel ontwerp als configuratie
• Lokaliseert indringers en blokkeert hen

Omdat veel webapplicaties gevoelige informatie bevatten, is het noodzakelijk om ze te allen tijde veilig te houden. Een manier om dit te doen is het opnemen van webapplicatie-penetratietesten als onderdeel van de Software Development Life Cycle (SDLC).

Pen tests maken het gemakkelijk om kwetsbaarheden van de gehele webapplicatie en over zijn componenten te bepalen, inclusief de database, backend-netwerk en broncode. Dit helpt ontwikkelaars zwaktes en fouten te lokaliseren en te prioriteren en manieren te bedenken om ze te mitigeren.

Dit type testen omvat het verzamelen van data over de doelwebapp, het in kaart brengen van het hostnetwerk en het onderzoeken van alle mogelijke injectie- of manipulatiepunten. De belangrijkste redenen voor het uitvoeren van webapp pen testing zijn:

• Onbekende kwetsbaarheden detecteren
• Openbaar blootgestelde componenten controleren, zoals routers en firewalls
• De meest kwetsbare route voor een mogelijke aanval vinden
• Zoeken naar gaten die tot informatiefdiefstal kunnen leiden
• De effectiviteit van bestaande beveiligingsbeleid controleren

Er zijn veel tools beschikbaar op de markt om (zowel handmatige als geautomatiseerde) webapplicatie-penetratietesten uit te voeren. Vega, Veracode en Zap zijn enkele van de meest voorkomende voor snelle tests.

3. Draadloze Pen Testing

• Bepaalt de realistische beveiligingshouding van draadloze netwerken
• Adresseert kwetsbaarheden en beveiligingsbeleid/procedures

Draadloze penetratietesten omvatten het detecteren en analyseren van de verbindingen tussen alle apparaten die verbonden zijn met de WiFi van het bedrijf. Dit omvat laptops, smartphones, tablets, printers en andere Internet of Things (IoT) apparaten.

Verschillende draadloze protocollen en toegangspunten worden getest om beveiligingslekken te ontdekken. Meestal worden deze tests op de klantlocatie uitgevoerd omdat de tester in het bereik van de draadloze signalen moet zijn om toegang te krijgen tot het apparaat.

In de meeste gevallen worden kwetsbaarheden gevonden in WiFi-toegangspunten door gebrek aan MAC-filtering en onvoldoende Netwerktoegangscontroles. Om deze problemen op te lossen voordat ze echt gebeuren, is het cruciaal om de effectiviteit van de beveiligingshouding te testen en onbedoelde zwaktes bloot te leggen.

Het is ook belangrijk om te onthouden dat WiFi niet de enige draadloze technologie is die aanvallers kunnen misbruiken. Er zijn verschillende Bluetooth-apparaten, Bluetooth Low Energy-apparaten en andere minder populaire technologieën, zoals Z-wave en DECT (snellostelefoon), in het publieke domein te vinden.

4. Client-Side Penetratietesten

• Detecteert beveiligingsfoutconfiguraties in client-side software
• Staat adequaat beheer van inkomend en uitgaand netwerkverkeer toe

Dit is een interne Pen Test waarbij testers kwetsbaarheden misbruiken in client-side applicatieprogramma's zoals webbrowsers, Adobe Acrobat, e-mailclients, Macromedia Flash, etc.

Hoewel er geen regel is voor het uitvoeren van dergelijke tests op specifieke intervallen, moeten bedrijven pen tests uitvoeren wanneer nieuwe IT-infrastructuur of client-side applicaties worden toegevoegd of wanneer bestaande infrastructuur wordt gewijzigd.

De meeste client-side kwetsbaarheden ontstaan door ongepatchte software geïnstalleerd op laptops of desktops. Sommige aanvallers onderscheppen zelfs het updateproces, waarbij ze malafide code meesturen met de originele update.

USB-apparaten zijn ook besmet met malafide bestanden of uitvoerbare code. Deze bestanden worden automatisch uitgevoerd zodra de slachtoffer de USB aan zijn/haar machine koppelt. Cross-site scripting, formulierhijacking, clickjacking, HTML-injectie en open redirect zijn enkele van de meest voorkomende client-side beveiligingsaanvallen.

Dit is de reden waarom het belangrijk is om de vatbaarheid van medewerkers en de capaciteit van netwerken om client-side aanvallen te herkennen en erop te reageren, te testen.

5. Externe Pen Testing

• Een beveiligingsassessment van de perimetersystemen van een bedrijf
• Omvat zowel applicatielaag- als netwerklaag-assessments

Externe penetratietesten testen doorgaans vanuit het perspectief van de aanvaller zonder voorafgaande toegang tot het doelsysteem of netwerk. Dit verschilt van interne pen testing, waarbij de aanvaller al een voet aan de grond heeft op de gecompromitteerde machine.

Bij externe pen testing probeert de tester toegang te krijgen tot het interne netwerk door kwetsbaarheden te misbruiken die op externe assets worden gevonden. Hij/zij voert reconnaissance uit op de in-scope assets, waarbij data over alle assets in scope wordt verzameld.

Deze data kan open poorten, kwetsbaarheden of medewerkersinformatie voor wachtwoordaaanvallen omvatten. Zodra de perimeter is doorbroken, is het doel van de externe penetratietest bereikt, en gaat de tester over naar interne pen testing.

Lees ook: 30 Nuttige Bug Tracking Tools Voor Ontwikkelaars

6. Social Engineering

• Lokt onvoorziene medewerkers uit de beveiliging van het bedrijf te compromitteren
• Misbruikt menselijke psychologie om vertrouwelijke data te verkrijgen

De term social engineering wordt gebruikt voor een breed scala aan malafide activiteiten die worden bereikt via menselijke interacties. Omdat het berust op menselijke fouten (in plaats van zwaktes in applicaties of netwerken), is het minder voorspelbaarder en moeilijker te detecteren dan malware-gebaseerde inbraken.

Deze soorten tests omvatten het proberen vertrouwelijke data te verkrijgen door medewerkers van het bedrijf te lokken om gevoelige informatie onthullen. Dit kan worden bereikt via zowel remote testing als fysieke testing.

Lees ook: 15 Beste Test Data Generatie Tools

Remote testing omvat het sturen van phishing-e-mails naar medewerkers of het bombarderen van hun apparaten met valse alarmen of fictieve dreigingen. Fysieke testing omvat daarentegen tailgating, impersonatie, dumpster diving, fysieke dreigingen, etc.