Ten przewodnik zawiera wszystko, co potrzebujesz, aby zrozumieć, zaplanować i przeprowadzić ten rodzaj testów - z praktycznymi wskazówkami, które możesz natychmiast zastosować.
Testowanie Sieci Zewnętrznej
Zewnętrzny Penetration Testing ocenia infrastrukturę dostępną z Internetu z perspektywy osoby z zewnątrz. Tester symuluje atakującego bez dostępu wewnętrznego, sondując Twoje publiczne zakresy adresów IP, serwery WWW, serwery pocztowe, punkty końcowe VPN, infrastrukturę DNS i wszelkie inne usługi udostępniane w Internecie. Cel: zidentyfikować, czy zewnętrzny atakujący może naruszyć Twoją barierę ochronną i uzyskać dostęp do systemów wewnętrznych.
Testowanie Sieci Wewnętrznej
Wewnętrzny Penetration Testing rozpoczyna się wewnątrz Twojej sieci - symulując scenariusz, w którym atakujący już uzyskał dostęp, na przykład poprzez phishing, zainfekowany punkt końcowy lub złośliwego pracownika. Tester ocenia, czy może on eskalować uprawnienia, przemieszczać się w poziomie między segmentami sieci, uzyskiwać dostęp do wrażliwych danych, naruszyć Active Directory i dotrzeć do krytycznych systemów, które powinny być chronione segmentacją.
Testowanie Segmentacji
Segmentacja sieci to Twoja strategia obrony warstwowej - izolowanie wrażliwych systemów (takich jak środowisko danych kart płatniczych lub bazy danych ePHI) od szerszej sieci. Testowanie segmentacji weryfikuje, czy te granice rzeczywiście obowiązują. Czy użytkownik w sieci WiFi dla gości może dotrzeć do Twojej produkcyjnej bazy danych? Czy zainfekowana stacja robocza w dziale marketingu może uzyskać dostęp do serwera finansowego? Dla zgodności z PCI DSS testowanie segmentacji jest obowiązkowe.
Bezpieczeństwo Active Directory
Active Directory to szkielet większości sieci korporacyjnych - i główny cel przemieszczania się w poziomie i eskalacji uprawnień. Wewnętrzny pentesting powinien oceniać polityki haseł, bezpieczeństwo Kerberos (Kerberoasting, AS-REP Roasting), błędy w konfiguracji zasad grupy, luki w delegowaniu uprawnień i ścieżki, które atakujący mógłby obrać od standardowego konta użytkownika do administratora domeny (Domain Admin).
Kiedy Potrzebujesz Obu
Większość ram zgodności wymaga zarówno testów zewnętrznych, jak i wewnętrznych. PCI DSS wyraźnie nakazuje oba. Audytorzy SOC 2 oczekują dowodów, że obie perspektywy zostały ocenione. A z punktu widzenia bezpieczeństwa, testowanie tylko obwodu, ignorując to, co dzieje się po naruszeniu, jest jak zamknięcie drzwi wejściowych, ale pozostawienie wszystkich pomieszczeń w środku szeroko otwartych.
Podsumowanie
Network Penetration Testing ocenia infrastrukturę, od której zależą Twoje aplikacje i dane - zarówno z zewnątrz, jak i od wewnątrz. Penetrify obejmuje obie perspektywy dzięki automatycznemu skanowaniu w celu szerokiego pokrycia infrastruktury oraz ręcznemu testowaniu przez ekspertów pod kątem ataków na Active Directory, obejść segmentacji i ścieżek przemieszczania się w poziomie, które określają Twoją rzeczywistą podatność.