Assessment Methodology

最近,政府和私人组织都把网络安全作为战略优先事项。 网络犯罪罪犯往往利用不同的攻击媒介,使政府和私人组织达到软目标。 不幸的是,由于缺乏有效的政策、标准和信息系统的复杂性,网络犯罪分子的目标很多,他们也在成功地利用该系统和偷窃信息。

注射器测试是可用来降低网络攻击风险的战略。 渗透测试的成功取决于一种高效和统一的评估方法。

我们有各种与渗透测试有关的评估方法。 采用一种方法的好处是,这种方法使评估者能够一致地评估环境。 以下是一些重要的方法:

开放源安全测试方法手册

开放式网络应用安全项目

国家标准和技术研究所

注射器测试执行标准

What is PTES?

PTES, 渗透检测执行标准,因为名称意味着渗透检测的评估方法。 它涵盖与渗透测试有关的所有内容。 我们在PTES中制定了与评估者可能遇到的不同环境有关的若干技术准则。 这是新评估员使用PTES的最大优势,因为技术准则提出了在行业标准工具内处理和评估环境的建议。

在接下来的一节中,我们将了解PTES的不同阶段。

Seven Phases of PTES

渗透检测标准包括七个阶段。 这些阶段涵盖与渗透测试有关的所有内容——从最初的通信以及假装背后的推理到情报收集和威胁模型阶段,测试者在现场工作。 这导致通过脆弱性研究、剥削和灾后剥削,更好地了解测试的组织。 在这里,测试者的技术安全专门知识与企业对参与的了解,最后是报告,报告以对客户具有意义、为客户提供最大价值的方式报道整个过程。

我们将在以后各节中学习PTES的七个阶段。

Pre-engagement Interactions Phase

这是PTES的第一个非常重要阶段。 这一阶段的主要目的是解释现有的工具和技巧,这些工具和技术有助于成功进行渗透检测。 在执行这一阶段时发生的任何错误都会对评估的其他部分产生重大影响。 这一阶段包括:

Request for an assessment

这一阶段开始的第一部分是要求本组织进行评估。 A Request for Proposal (RFP) document with the details about the environment, category of assessment required and the demand of the organization is provided to the assessmentors.

Bidding

现在,根据RFP文件,多家评估公司或个别有限责任公司(LLCs)将投标,当事方的投标将与所要求的工作、价格和其他某些具体参数相匹配。

Signing of Engagement Letter (EL)

现在,本组织和赢得投标的当事方将签署一份承诺书。 该信将有工作说明(SOW)和最后产品。

Scoping Meeting

一旦签署EL,就可以开始对范围进行微调。 此类会议有助于一个组织和当事一方调整特定范围。 范围会议的主要目的是讨论将测试的内容。

Handpng of scope creep

范围紧缩是客户可能试图增加或延长所承诺的工作水平,以获得超出其可能承诺的支付额的情况。 因此,由于时间和资源,应当认真审议对原范围的修订。 还必须以电子邮件、已签署文件或授权书等一些文件形式完成。

Questionnaires

在与客户进行初步通信时,客户必须回答几个问题,以适当估计参与范围。 这些问题旨在更好地了解客户希望从渗透测试中获取的东西;客户为何希望对其环境进行渗透测试;以及他们是否想要在渗透测试中进行某些类型的测试。

Way to conduct test

参与前阶段的最后一部分是决定进行测试的程序。 各种测试战略,如白盒子、黑箱、灰色盒、双灯双管试验等。

以下是可能要求进行评估的几个例子:

Network penetration test

Web apppcation penetration test

Wireless network penetration test

Physical penetration test

Social engineering

Phishing

Voice Over Internet Protocol(VOIP)

Internal network

External network

Intelpgence Gathering Phase

情报收集是欧洲邮政和电信联盟的第二阶段,我们正在对收集尽可能多的信息的目标进行初步调查,以便在脆弱性评估和剥削阶段将目标化时加以利用。 它帮助各组织确定评估小组的外部接触。 我们可以在以下三个层面分散信息收集工作:

Level 1 Information Gathering

自动化工具几乎完全可以获取这一信息水平。 第1级信息收集工作应符合遵守要求。

Level 2 Information Gathering

这种信息水平可以通过使用从1级自动工具以及一些手工分析获得。 这一水平需要对企业有很好的了解,包括物理地点、商业关系、组织结构图等信息。 二级信息收集工作应当与长期安全战略、获取较小的制造商等其他需求相适应。

Level 3 Information Gathering

这种信息收集水平用于最先进的渗透测试。 第1级和第2级的所有信息以及许多手工分析都需要用于第3级的信息收集。

Threat Modepng Phase

这是PTES的第三阶段。 为了正确进行渗透检测,需要采取威胁模型方法。 威胁模型可用作渗透测试的一部分,或视若干因素而定。 如果我们使用威胁模型作为渗透测试的一部分,那么在第二阶段收集的信息将回到第一阶段。

以下步骤构成威胁模拟阶段:

收集必要的相关信息。

需要查明和分类初级和次级资产。

需要查明威胁和威胁社区并对其进行分类。

需要绘制社区对初级和次级资产的威胁图。

Threat Communities & Agents

下表列出了相关威胁社群和特工及其所在地点:

在进行威胁模拟评估时,我们需要记住,威胁的地点可能是内部的。 它只需要一只彩色的电子邮件或一名无名雇员,他们通过广播证书来维护组织的安全。

Vulnerabipty Analysis Phase

这是PTES的第四个阶段,评估员将确定进一步检测的可行目标。 在PTES的前三个阶段,只提取了关于组织的细节,评估人没有触及任何测试资源。 它是欧洲防止酷刑和不人道或有辱人格的待遇或处罚最耗时的阶段。

以下阶段构成脆弱性分析:

Vulnerabipty testing

它可以定义为发现缺陷的过程,例如东道国和服务系统及其应用中的配置不当和设计不可靠。 检测员在进行脆弱性分析之前,必须适当扩大检测范围和预期结果。 脆弱性检测可分为以下几类:

Active testing

Passive testing

我们将在今后的章节中详细讨论这两类问题。

Active testing

它涉及与正在测试的安全脆弱性组成部分的直接互动。 这些组成部分的级别较低,如在网络装置上安装的TCP,或者在网络接口等高层次上。 可通过以下两种方式进行积极检测:

Automated active testing

它利用软件与目标进行互动,审查应对措施,并根据这些对策确定组成部分是否存在脆弱性。 与人工积极测试相比,自动化积极测试的重要性可以实现,因为如果该系统上有数千个国际公路货运公司港口,我们需要将所有这些港口人工连接起来进行测试,将需要大量时间。 然而,使用自动化工具进行这项工作可以减少时间和劳动力需求。 该网络的弱点扫描、港口扫描、彩票、网络应用扫描可在自动积极测试工具的帮助下进行。

Manual active testing

与自动积极测试相比,人工有效检测更为有效。 自动处理或技术总是存在误差幅度。 因此,总是建议对每个议定书或目标系统中的现有服务进行人工直接联系,以验证自动测试的结果。

Passive testing

被动测试不涉及与部件的直接互动。 可在以下两种技术的帮助下实施:

Metadata Analysis

这一方法包括研究描述档案的数据,而不是档案本身的数据。 例如,MS字文档有其作者名称、公司名称、日期和格式的元数据;文件最后修改和保存的时间。 如果攻击者能够被动地获得元数据,就会有一个安全问题。

Traffic Monitoring

它可以定义为连接内部网络并获取数据进行脱线分析的技术。 该系统主要用于将“数据分类”输入一个开关的网络。

Vapdation

在进行脆弱性测试之后,对调查结果进行验证是非常必要的。 可以在以下技术的帮助下进行:

Correlation between tools

如果评估员使用多种自动工具进行脆弱性测试,然后验证这些结果,就非常有必要将这些工具联系起来。 如果在工具之间没有这种相互关系,结果就会变得复杂。 它可以细分为项目的具体关联和项目分类的关联。

Protocol specific vapdation

也可以在议定书的帮助下进行验证。 终端、Citrix、DNS、网络、邮件服务器可用于验证调查结果。

Research

在系统发现和验证脆弱性之后,必须确定确定问题的准确性,并在渗透测试范围内研究脆弱性的潜在利用性。 研究可以公开或私下进行。 在进行公共研究时,可利用脆弱性数据库和供应商咨询,核实所报问题的准确性。 另一方面,在进行私人研究的同时,可以设定一种重复的环境,并且可以采用诸如挖掘或测试配置等技术来核实所报问题的准确性。

Exploitation Phase

这是PTES的第五阶段。 这一阶段的重点是通过绕过安全限制,进入该系统或获得资源。 在这一阶段,前几个阶段完成的所有工作都使系统得以利用。 有一些通用术语,用于获取该系统。

Popped

Shelled

Cracked

Exploited

在开发阶段的系统伐木可以在法典、遥感、开发、绕过抗病毒或像通过软弱的证书砍伐一样简单地进行。 在进入后,即确定主要入境点之后,评估者必须侧重于确定高价值目标资产。 如果脆弱性分析阶段完成得当,就应当遵守高价值目标清单。 归根结底,攻击病媒应考虑到对该组织的成功概率和最大影响。

Post Exploitation Phase

这是PTES的第六阶段。 评估小组在这一阶段开展以下活动:

Infrastructure analysis

在这一阶段,对渗透测试中使用的整个基础设施进行了分析。 例如,网络或网络配置分析可在接口、路由、国家计算机服务器、国家计算机辅助系统条目、代理服务器等的帮助下进行。

Pillaging

它可以界定为从目标东道国获取信息。 这一信息与评估前阶段确定的目标相关。 这些信息可从已安装的方案、数据库服务器等特定服务器、打印机等系统获取。

Data exfiltration

根据这项活动,评估员必须绘制和测试所有可能的过滤途径,以便进行控制强度测量,即发现和阻挡各组织的敏感信息。

Creating persistence

这项活动包括安装需要认证的后门,必要时再设后门,并设立带有复杂密码的备用账户。

Cleanup

如姓名所示,这一过程涵盖渗透测试完成后清理系统的要求。 这项活动包括回到原有的价值观系统环境、应用配置参数,以及拆除所有后门安装和创建的任何用户账户。

Reporting

这是PTES的最后和最重要的阶段。 在此,客户在完成渗透测试后根据最后报告支付费用。 报告基本上反映了评估者对该系统的调查结果。 以下是一份良好报告的基本内容:

Executive summary

这份报告向读者传达了渗透测试的具体目标和检测工作的高水平结果。 预定受众可以是首席诉讼顾问委员会的成员。

Storypne

报告必须包含一个故事线,其中将解释参与期间所做的工作、实际的安全发现或弱点以及本组织建立的积极控制。

Proof of concept/technical report

概念证明或技术报告必须包括测试的技术细节以及作为参与前工作的主要成功指标而商定的所有方面/组成部分。 技术报告部分将详细说明试验的范围、信息、攻击途径、影响和补救建议。