A penetrációs tesztelés, rövid nevén penteszt, egy olyan biztonsági ellenőrzési módszer, amelynek során egy komplex informatikai rendszert vagy alkalmazást tesztelünk, hogy kiderüljön, sebezhető-e a támadásokkal szemben? Ha a rendszer sebezhetőnek bizonyul, akkor a pentesztelő - vagy etikus hacker - felderíti, milyen hatása van a sebezhetőségnek, és milyen lépéseket kell tennie a fejlesztőnek a kijavítására.

Milyen részei vannak a folyamatnak, és mi a Quadron specialitása ezen a területen? Nézzük!

Mi az a penteszt?

A penteszt célja, hogy azelőtt feltárjuk az informatikai háttér sebezhetőségét, mielőtt ezt más, akár rosszindulatú felhasználó ezt élesben megtenné, ami által sérülne akár az ügyfelek vagy a cég adatai, vagy a teljes szervezet működése megállna. A Penteszt segítségével felderítjük az infrastruktúra és alkalmazás rétegekben azokat a gyenge pontokat, amelyeket egy támadó kihasználhat. Az ilyen támadásoknak rendkívül sokféle következménye lehet, akár az adatok ellopása, adminisztrátori jogosultság megszerzése, amivel már bármit megtehet a támadó például rászabadíthat a szervezetre egy zsarolóvírust több millió dollár váltságdíjat követelve az adatok visszaállításáért. A Pentest alkalmával automatizált és manuális eszközöket használunk és igyekszünk felderíteni a kihasználható sérülékenységeket, sőt akár eddig nem ismert sérülékenységeket is fellelhetünk.

Milyen lépései vannak a penetrációs tesztelésnek?

Minden Penteszt első lépése a vizsgálatban érintett rendszerrel kapcsolatos lehető legtöbb információ megszerzése. A rendszer felépítése, működési elvének megértése, a használt technológiák felderítése stb... Ezt nevezzük információ gyűjtési szakasznak, ez a szakasz kulcsfontosságú egy sikeres penteszt elvégzéséhez. Egy webalkalmazás pentesztje esetében például a webalkalmazást futtató környezet felépítése, a használt keretrendszer, mappastruktúrák, debug információk, a programozási nyelv, amiben az alkalmazást fejlesztették, alkalmazás funkciók stb... Számos olyan dolog, ami információval látja el a tesztelést végző szakembert a támadási vektor meghatározásához. Miután meghatároztuk a lehetséges támadási felületet és azonosítottuk a potenciális sérülékenységeket, megvizsgáljuk azok kihasználhatóságát az adott környezetben. A vizsgálat végeztével részletes technikai és összefoglaló vezetői jelentést készítünk, amelyekben kitérünk a sérülékenységekből származó biztonsági események kockázataira és a megoldási javaslatokra. Támogatjuk ügyfeleinket a kockázatok csökkentését célzó akciótervek kialakításában, valamint a megoldásokat követő visszamérésekben.

Kik azok az etikus hackerek?

Az etikus hacker az a személy, aki végzi a penetrációs tesztelést. Olyan, rendkívül magas szintű informatikai tudással bíró személy, aki tudását felhasználva képes feltárni a biztonsági réseket, gyenge pontokat, és segít kijavítani őket. Ezt úgy teszi, hogy teszteli a rendszer biztonságát, és minden lehetséges problémát jelent. Fontos tudni, hogy ami az interneten keresztül elérhető azt folyamatosan tesztelik, vagy akár támadják. A penetrációs tesztelés célja, hogy ne a sajtóból vagy zsaroló levélből derüljön ki, hogy feltörhető a rendszerünk, hanem mi tudjuk meg először. Az etikus hacker célja a biztonság javítása, nem pedig a szervezet támadása vagy lejáratása! A pentesztereket általában fehér kalapos hackereknek is nevezik, mivel képességeiket jóra használják - ellentétben a fekete kalapos hackerekkel

Mi a Quadron penteszt filozófiája?

Számunkra az információbiztonság egy folyamatos kihívásokkal teli világ, ahol nem csak kell, de érdemes is kutatni az új trendeket, megoldásokat, kihívásokat. A Quadron Research Lab munkatársai folyamatosan gyűjtik és elemzik a legújabb betörési trendeket. Ezért is fontos kiemelni, hogy mi a Quadronnál az emberekben hiszünk. Penteszter szakembereink szakmájukban a legmagasabb szintű tanúsítványokkal rendelkeznek, és ezt gazdag tapasztalati háttérrel erősítik meg. Számos sikeres hazai és nemzetközi penteszt projektet tudhatunk a hátunk mögött, amelyekről elégedett és visszatérő ügyfeleink tanúskodnak.

Legyen szó mobil- vagy webapplikációról, IT infrastruktúra elemről vagy egy golden image-ről, - minden technológiai platformot képesek vagyunk tesztelni és támogatni a biztonság megerősítését.

A pentesztelésen felül több zéró day publikációnk és kutatási eredményünk is van.

Mit jelent a nulladik napi támadás, és miért különösen veszélyes?
A nulladik napi támadás az, amikor egy támadó kihasználja a szoftver vagy egyéb eszközök sebezhetőségeit, mielőtt azok javításra kerülnének. Emiatt ezek a támadások nagyon veszélyesek és rendkívül sokszínűek: célozhatják az otthoni routert, a nyomtatót, a céges mobilt vagy laptopot is, de bármilyen modern szoftver, operációs rendszer, IoT-eszköz és webes alkalmazás is célkeresztbe kerülhet.

A saját kutatások miatt a Quadron szakembereinek nagyobb rálátása van a nemzetközi trendekre, és ezeket az eredményeket hatékonyan implementálják az ügyfélmunka során. A Quadron penteszterei számára elvárás az önképzés, valamint, hogy az ügyfélmunka mellett saját kutatásokat is végezzenek. Ez különösen fontos, hiszen ez az egyik legfontosabb kiberbiztonsági szolgáltatás, ami csakis úgy maradhat magas színvonalon, ha a legnaprakészebb információkkal és tapasztalatokkal dolgoznak a szakértőink.

A Quadron által végzett sérülékenységi vizsgálatok pontosan ezeket a területeket célozzák, feltárják a rendszer gyenge pontjait, majd ezt követően segítünk az ellenállóképesség fokozásában.

Ha érdekel Pentest szolgáltatásunk, állunk rendelkezésedre - töltsd ki hozzá ezt az űrlapot, és 24 órán belül felvesszük veled a kapcsolatot!