Penetračný test (angl. penetration test, skrátene pentest) je forma technického bezpečnostného testovania, pri ktorej sa kontrolovaným spôsobom simuluje útok na informačný systém, sieť alebo aplikáciu s cieľom identifikovať zraniteľnosti a overiť ich praktickú zneužiteľnosť. Na rozdiel od čisto pasívneho auditu môže penetračný test zahŕňať aj aktívne pokusy o prienik vopred dohodnutým spôsobom.
Typy penetračných testov
Podľa umiestnenia testera sa penetračné testy často delia na:
externý penetračný test – preveruje systémy dostupné z internetu, napríklad verejné webové aplikácie, servery alebo sieťový perimeter organizácie, interný penetračný test – simuluje útok z vnútornej siete organizácie, napríklad zo strany zamestnanca, dodávateľa alebo útočníka, ktorý už získal prístup do siete.
Podľa množstva informácií poskytnutých testerovi sa rozlišujú najmä:
black-box test – tester nemá vopred poskytnuté technické informácie o cieľovom systéme, white-box test – tester má k dispozícii technickú dokumentáciu, konfigurácie alebo zdrojový kód, grey-box test – tester má čiastočné informácie, napríklad bežný používateľský účet alebo obmedzenú dokumentáciu.
Priebeh testovania
Priebeh penetračného testu sa môže líšiť podľa metodiky, cieľa a rozsahu testu. Medzi bežné fázy patria:
stanovenie rozsahu a pravidiel testu, zber informácií o cieli, identifikácia zraniteľností, overenie zneužiteľnosti zistených slabín, vyhodnotenie dopadov, vypracovanie záverečnej správy, odstránenie testovacích účtov, nástrojov alebo dočasných prístupov vytvorených počas testu.
Medzi známe metodické zdroje patria napríklad NIST SP 800-115 alebo PTES (Penetration Testing Execution Standard).
Právne a etické aspekty
Penetračné testovanie sa vykonáva na základe predchádzajúceho súhlasu vlastníka alebo prevádzkovateľa testovaného systému. Súčasťou dohody býva vymedzenie rozsahu testu, povolených techník, časového okna, kontaktných osôb a spôsobu nahlasovania zistení. Testovanie bez oprávnenia môže byť právne rizikové, najmä ak zahŕňa obchádzanie bezpečnostných opatrení alebo neoprávnený prístup do počítačového systému.
Súvisiace oblasti
Penetračné testovanie súvisí s hodnotením zraniteľností, bezpečnostným auditom, red teamingom, DevSecOps a bezpečnosťou dodávateľského reťazca softvéru. V prostredí moderného vývoja softvéru sa pozornosť venuje aj bezpečnosti CI/CD procesov, ktorým sa venuje napríklad projekt OWASP Top 10 CI/CD Security Risks.
Referencie
Kategória:Počítačová bezpečnosť