Metodológie Penetration Testing: Vysvetlenie PTES, OWASP a NIST

Táto príručka poskytuje všetko, čo potrebujete na pochopenie, stanovenie rozsahu a vykonanie tohto typu testovania – s praktickými radami, ktoré môžete okamžite využiť.

PTES: Penetration Testing Execution Standard

PTES poskytuje komplexný rámec pre vykonávanie penetračných testov, pokrývajúci sedem fáz: interakcie pred začatím testovania, zhromažďovanie informácií, modelovanie hrozieb, analýza zraniteľností, zneužitie, činnosti po zneužití a vytváranie reportov. Je to najčastejšie uvádzaná metodológia v oblasti všeobecného pentestingu a poskytuje podrobné technické pokyny pre každú fázu.

OWASP Testing Guide

OWASP Testing Guide je štandardná referencia pre pentesting webových aplikácií. Poskytuje podrobné testovacie prípady usporiadané podľa kategórií – zhromažďovanie informácií, testovanie konfigurácie, správa identity, autentifikácia, autorizácia, správa relácií, validácia vstupu, spracovanie chýb, kryptografia, obchodná logika a testovanie na strane klienta. Pre webové aplikácie a API pentesting je OWASP metodológiou, ktorú audítori najčastejšie očakávajú.

NIST SP 800-115

NIST Special Publication 800-115 poskytuje usmernenia pre testovanie a hodnotenie informačnej bezpečnosti. Je to metodológia, ktorá sa najčastejšie uvádza vo vládnom a zdravotníckom kontexte a je v súlade s požiadavkami HIPAA a FedRAMP. NIST SP 800-115 pokrýva plánovanie, zisťovanie, vykonávanie útokov a reporting.

Ktorú metodológiu si vybrať

Pre webové aplikácie a API: OWASP Testing Guide. Pre všeobecné testovanie infraštruktúry a siete: PTES. Pre zdravotníctvo a štátnu správu: NIST SP 800-115. Pre cloudové prostredia: CSA Cloud Penetration Testing Playbook spolu s príslušnou metodológiou pre aplikácie/infraštruktúru. Väčšina profesionálnych poskytovateľov pentestov kombinuje prvky z viacerých rámcov na základe rozsahu zákazky.

Dokumentácia pre účely zhody

Váš pentest report by mal odkazovať na použitú metodológiu. Audítori v rámci väčšiny rámcov nemajú stanovenú špecifickú metodológiu, očakávajú však zdokumentovaný a uznávaný prístup. Penetrify dokumentuje metodológiu testovania v každom reporte, pričom odkazuje na OWASP, PTES a NIST, podľa toho, ako je to relevantné pre rozsah zákazky.