Ten przewodnik zawiera wszystko, co potrzebujesz, aby zrozumieć, określić zakres i przeprowadzić tego typu testy - z praktycznymi wskazówkami, które możesz od razu zastosować.
Black Box: Perspektywa Osoby z Zewnątrz
W testach Black Box tester zaczyna z zerową wiedzą – bez poświadczeń, dokumentacji i wiedzy o architekturze. Symuluje prawdziwego zewnętrznego atakującego, zaczynając od rozpoznania i przechodząc do eksploatacji. Zapewnia to najbardziej realistyczną symulację ataku zewnętrznego, ale faza odkrywania pochłania dużo czasu testowania, co oznacza mniej czasu na głęboką eksploatację. Najlepsze dla: oceny ekspozycji zewnętrznej z perspektywy atakującego.
Grey Box: Zrównoważone Podejście
Testy Grey Box zapewniają testerowi ograniczone informacje – zazwyczaj standardowe konto użytkownika, podstawową dokumentację API i ogólny przegląd architektury. Symuluje to bardziej poinformowanego atakującego lub skompromitowanego insidera z ograniczonym dostępem. Tester pomija znaczną część fazy odkrywania i koncentruje czas testowania na eksploatacji i głębi. Jest to najczęstsze podejście w przypadku testów penetracyjnych (pentestów) ukierunkowanych na zgodność, ponieważ maksymalizuje głębię wykrywania w rozsądnym czasie. Najlepsze dla: większości SaaS, chmury i testów zgodności.
White Box: Maksymalna Głębokość
Testy White Box zapewniają testerowi pełny dostęp – kod źródłowy, dokumentację architektury, poświadczenia administratora, schematy baz danych. Umożliwia to najgłębszą możliwą analizę, w tym przegląd bezpiecznego kodu i identyfikację luk w zabezpieczeniach na poziomie architektury. Ceną jest zmniejszony realizm – prawdziwy atakujący nie zaczynałby z takim poziomem dostępu. Najlepsze dla: przedpremierowych przeglądów bezpieczeństwa, audytów bezpiecznego kodu i aplikacji o wysokim poziomie bezpieczeństwa.
Wybór Właściwego Podejścia
Dla większości organizacji testy Grey Box zapewniają najlepszy zwrot z inwestycji (ROI). Zapewniają wystarczającą ilość informacji, aby tester mógł pracować wydajnie, zachowując realistyczną perspektywę przeciwnika. Black Box dodaje realizmu kosztem głębi. White Box maksymalizuje głębię kosztem realizmu. Ramy zgodności z przepisami zazwyczaj nie nakazują konkretnego podejścia – ważne jest, aby zakres, metodologia i wyniki spełniały oczekiwania audytora.
Podsumowanie
Właściwe podejście zależy od celów, harmonogramu i wymagań dotyczących zgodności. Penetrify zaleca testy Grey Box dla większości projektów ukierunkowanych na zgodność – zapewnia to najsilniejszą równowagę głębi, wydajności i znaczenia w świecie rzeczywistym. Niezależnie od podejścia, połączenie automatycznego skanowania i ręcznego testowania przez ekspertów zapewnia kompleksowe pokrycie.