Wat is penetratietesten?

Penetratietesten is een onderdeel van security testing en wordt gebruikt om de kwetsbaarheid van een systeem of applicatie te bepalen. Het doel van deze test is om alle, in het systeem aanwezige, beveiligingskwetsbaarheden te vinden. Onder kwetsbaarheid wordt verstaan: Het risico dat een aanvaller de geautoriseerde toegang tot het systeem of de daarin aanwezige data kan verstoren of verkrijgen. Het wordt ook pen-testen of pen-test genoemd.

Kwetsbaarheden worden meestal per ongeluk geïntroduceerd. Veelvoorkomende kwetsbaarheden zijn ontwerpfouten, configuratiefouten, softwarefouten enz. Momenten waarop kwetsbaarheden geïntroduceerd worden zijn:

• De ontwikkeling van software.
• De implementatie van software.
• Het configureren van software.
• De introductie van nieuwe infrastructuur.
• Het configureren van netwerk componenten.

Waarom penetratietesten?

Om de schade van indringers te voorkomen of in ieder geval te beperken is  penetratietesten essentieel voor een organisatie:

• Financiële sectoren zoals banken, verzekeraars, en uitkeringsinstanties willen dat hun data wordt beveiligd. Daarbij is penetratietesten essentieel is om de veiligheid te waarborgen.
• Als een systeem al is gehackt worden gelijk maatregelen genomen om een tweede keer te voorkomen. De organisatie wil dan bepalen of deze maatregel effectief zijn en er nog steeds kwetsbaarheden in het systeem aanwezig zijn. Het doel is om toekomstige hacks te voorkomen.
• Proactieve penetratietesten. Het regelmatig uitvoeren van een Pen-test is de beste beveiliging tegen hackers.

Soorten penetratietesten

Het type penetratietest dat wordt uitgevoerd, hangt meestal af van het bereik en welke aanval de organisatie wil simuleren. Dat kunnen een aanval door een werknemer, netwerkbeheerder (interne bronnen) of externe bronnen zijn. Er zijn drie soorten penetratietesten:

• Black Box testen.
• White Box Penetratietests.
• Gray Box Penetratietests.

Bij black-box penetratietesten heeft tester geen kennis over de systemen die moeten worden getest. Hij is verantwoordelijk voor het verzamelen van informatie over het netwerk of systeem.

In een white-box penetratietest wordt de tester gewoonlijk voorzien van de volledige informatie over het netwerk of de systemen die moeten worden getest, inclusief:

• Het IP-adresschema.
• De broncode.
• OS-details.
• Enz.

Dit kan worden beschouwd als een simulatie van een aanval door interne bronnen (Medewerkers van een organisatie).

In een penetratietest met grijze kaders wordt de tester voorzien van gedeeltelijke kennis van het systeem. Het kan worden beschouwd als een aanval door een externe hacker die onwettige toegang heeft verkregen tot de netwerkinfrastructuurdocumenten van een organisatie.

Penetratie Testproces:

Hieronder volgen activiteiten die moeten worden uitgevoerd om penetratietest uit te voeren –

1. Planningsfase
   1. Scope & Strategie van de opdracht wordt bepaald.
   2. Bestaand beveiligingsbeleid en standaard worden gebruikt voor het definiëren van de scope.
2. Onderzoeksfase
   1. Verzamel zoveel mogelijk informatie over het systeem, inclusief data in het systeem, gebruikersnamen en zelfs wachtwoorden.
   2. Scan en probe in de poorten.
   3. Check op kwetsbaarheden van het systeem.
3. Aanvalsfase
   1. Vind exploits voor verschillende kwetsbaarheden. Je moet de nodige Privileges hebben om het systeem te kunnen exploiteren.
4. Rapportage fase
   1. Rapport moet gedetailleerde bevindingen bevatten.
   2. Risico’s van gevonden kwetsbaarheden en hun impact op de organisatie.
   3. Aanbevelingen en oplossingen.

De belangrijkste taak bij penetratietesten is het verzamelen van systeeminformatie. Er zijn twee manieren om informatie te verzamelen –

• ‘Eén-op-één’ of ‘één-op-veel’-model met betrekking tot de host. Een tester voert technieken op lineaire wijze uit tegen één doelhost of een logische groep van doelhosts (bijvoorbeeld een subnet).
• ‘Veel op één’ of ‘veel op veel’ model. De tester gebruikt meerdere hosts om informatieverzamelingstechnieken uit te voeren in een willekeurige, beperkte snelheid en in niet-lineaire vorm.

Tools voor penetratietesten:

Er is een breed scala aan tools die worden gebruikt bij penetratietesten. Belangrijke tools zijn:

1. NMap – Dit tool wordt gebruikt voor poortscans, OS-identificatie, Trace route en voor het scannen van kwetsbaarheden.
2. Nessus – Dit is een traditioneel, op netwerken gebaseerde tool voor kwetsbaarheden.
3. Pass-The-Hash – Dit tool wordt voornamelijk gebruikt voor het kraken van wachtwoorden.
4. Cain en Abel – Dit tool wordt voornamelijk gebruikt voor wachtwoordherstel, network sniffing, draadloos scannen en VoIP.

Rol en verantwoordelijkheden van penetratietesters:

De taken van penetratie testers zijn:

• Het verzamelen van de vereiste informatie van de organisatie om de penetratietests mogelijk te maken.
• Zoeken naar fouten waardoor hackers een doelsysteem kunnen aanvallen.
• Denken en handelen als echte hackers, maar dan wel ethisch handelen.
• De bevindingen van de penetratietesters moeten reproduceerbaar zijn, zodat ontwikkelaars het gemakkelijk kunnen repareren.
• Startdatum en einddatum voor het uitvoeren van de test moeten van tevoren worden vastgelegd.
• De testers zijn verantwoordelijk voor de schade aan het systeem of de informatie ten gevolge van het testen.
• Testers moeten data en informatie vertrouwelijk behandelen.

Handmatige penetratie versus geautomatiseerde penetratietesten

Handmatig penetratietesten	Geautomatiseerd penetratietesten
Handmatig testen vereist deskundige professionals om de tests uit te voeren.	Geautomatiseerde testtools leveren duidelijke rapporten, ook met minder ervaren professionals.
Handmatig testen vereist Excel en andere hulpmiddelen voor de vastlegging van bevindingen.	Geautomatiseerde Tests maken gebruik van  gecentraliseerde standaardtools.
Bij handmatig testen variëren de resultaten van test tot test.	Bij geautomatiseerde tests variëren de resultaten niet van test tot test.

Beperkingen van penetratietesten

Met penetratietests kan je niet alle kwetsbaarheden in het systeem vinden. Er zijn beperkingen van tijd, budget, reikwijdte, en vaardigheden van penetratietesters.

Penetratietests kunnen ernstige gevolgen hebben zoals:

• Dataverlies of verminking van data.
• Down Time.
• Toenemende kosten.

Samenvatting

Penetratietesters moeten:

• Zich gedragen als een echte hacker.
• De applicatie of het systeem testen op kwetsbaarheden.
• Controleren of de code veilig is geschreven.
• Controleren of de instellingen van het systeem juist zijn.

Een penetratietest heeft pas zin als er een goed geïmplementeerd beveiligingsbeleid is. Penetratietestbeleid en -methodologie moeten geïmplementeerd zijn om penetratietesten effectiever te maken.

Discussieer mee op LinkedIn.