Modalitate de testare a masurilor de securitate folosite de catre firme

Testul de penetrare reprezinta o forma controlata de hacking (ethical hacking/white hack), in care un expert care lucreaza in numele unei organizatii, isi verifica retelele si aplicatiile pentru a cauta punctele slabe pe care un hacker le-ar putea exploata. Testul de penetrare poate fi automatizat, cu aplicatii software sau efectuat manual. Procesul presupune strangerea de informatii despre tinta inainte de testare, identificarea posibilelor puncte de intrare, incercarea de a patrunde in sistem/sisteme (fie virtual, fie real) - si raportarea rezultatelor.

Principalul obiectiv al testului de penetrare este identificarea punctelor slabe de securitate. Testul poate fi, de asemenea, utilizat pentru a evalua/verifica politica de securitate a unei organizatii si respectarea acesteia, constientizarea securitatii angajatilor si capacitatea organizatiei de a identifica si de a raspunde la incidentele de securitate.

Informatiile despre punctele slabe de securitate identificate sau exploatate prin testul de penetrare, sunt agregate si furnizate managerilor de sisteme IT si de retea ale organizatiei, permitandu-le sa ia decizii strategice si sa acorde prioritate eforturilor de remediere.
Exista multe motive pentru a efectua teste de penetrare. De exemplu:

Astfel de vulnerabilitati sunt deschise unor potentiale atacuri devastatoare, cum ar fi SQL injection si alte lucruri la fel de benigne precum paginile de eroare si care pot oferi atacatorilor suficiente informatii pentru a exploata o vulnerabilitate mai putin evidenta dar mult mai daunatoare.

Luate singular vulnerabilitatile mici pot parea neglijabile, dar hackerii cauta deseori aceste puncte slabe pentru a crea secvente de intruziune, depunand eforturi mici si constante pentru a identifica o cale de acces catre o vulnerabilitate mult mai mare a sistemului.

Spre deosebire de rapoartele generate automat de instrumente care ofera sfaturi generice de remediere, rapoartele testelor de penetrare pot clasifica si evalua vulnerabilitatile in functie de amploarea riscului si a bugetului companiei.

Rapoartele testului de penetrare ofera feedback-ul necesar unei organizatii pentru a acorda prioritate investitiilor pe care intentioneaza sa le faca in securitatea sa. Aceste rapoarte pot ajuta, de asemenea, dezvoltatorii de aplicatii sa creeze aplicatii mai sigure, fara erori identice sau similare in viitor.

In practica, pot aparea, desigur, anumite probleme legate de reticenta managementului companiei de a angaja pe cineva sa intre in sistemul/sistemele organizatiei. Daca necesitatea unui test de penetrare a fost aprobata de management trebuie sa va asigurati ca lasati datele companiei, inclusiv datele personale, pe mainile unor profesionisti calificati si care prezinta garantii suficiente, conform GDPR. Daca testele de penetrare nu sunt efectuate in mod corespunzator de catre experti calificati, acestea pot distruge serverele, pot expune date sensibile, pot corupe date cruciale de productie sau pot provoca o serie de alte efecte adverse asociate metodele unui hacker veritabil.

Atunci cand o companie decide responsabil efectuarea unui astfel de test ar trebui luate in calcul si aspecte, precum:

Testele de penetrare trebuie adaptate atat organizatiei in mod individual, cat si industriei in care functioneaza si ar trebui sa includa sarcini de urmarire si evaluare, astfel incat vulnerabilitatile constatate in ultimul test sa fie urmarite si in testele ulterioare.