Коллектив авторов - Защита от хакеров корпоративных сетей

Новое лицо тестирования уязвимости

В июле 2001 года во время информационного совещания The Black Hat Briefings в Лас-Вегасе, штат Невада, Иван Акр (Ivan Acre) и Максимилиано Какерес (Maximiliano Caceres) из компании CORE-SDI представили свою работу, посвященную тестированию на проникновение и автоматизации тестирования на проникновение. Их теория состоит в том, что современные методологии, используемые для выполнения тестов на проникновение, недостаточно эффективны и оптимальны, как они могли бы быть на самом деле. Кроме того, типичное автоматизированное инструментальное сканирующее средство отсканирует хост, идентифицирует уязвимость и не сделает ничего реального для того, чтобы взломать сканируемый хост или предпринять попытку просмотреть любые другие хосты, которые могут быть подключены к нему тем или иным способом.

CORE-SDI проделало впечатляющий объем работ, развивая новые инструментальные средства, которые, по их мнению, призваны помочь автоматизировать внутренний процесс тестирования на проникновение, начиная с фазы сбора информации и заканчивая фактическим использованием хоста. Некоторые из ключевых преимуществ этого подхода могут быть реализованы в инструментальном средстве, которое полностью охватывает процесс тестирования на проникновение, описывая его общей структурой, для того чтобы определить и реализовать стандартизованную методологию, улучшить безопасность тестирования на проникновение и, наконец, ускорить безошибочное решение монотонных и отнимающих много времени задач.

Лично автор чувствует, что CORE-SDI обладает потенциалом для революционных преобразований в области тестирования на проникновение и поднятия планки сканирования уязвимости на новую высоту. Прошло некоторое время с момента озвучивания новых идей. По слухам, CORE-SDI близка к выпуску бета-версии своего инструментального средства. Как и любой другой, кто каждый год выполняет большое число тестов на проникновение, автор выжидает, наблюдая, что предложит CORE-SDI, поскольку заявленное ими инструментальное средство не только улучшит качество работы современных тестировщиков на проникновение, но и повысит ценность тестирования на проникновение для организаций.

Совместно используя коммерческие и свободно распространяемые приложения сканирования уязвимости, можно добиться поразительных результатов при выполнении тестов на проникновение. Инструментальные средства имеют собственные ограничения и поэтому не превращают оператора в эксперта. Поэтому читатель должен осторожно относиться к так называемым специалистам по тестированию на проникновение, которые в своих действиях целиком полагаются на автоматизированный инструментарий.

К некоторым ключевым моментам успешного использования автоматизированных инструментальных средств для тестирования на проникновение относятся следующие: осмысление функциональных возможностей и ограничений автоматизированного инструментария, то есть то, что он делает или не делает, глубокие познания в области уязвимости и знание условий, при наступлении которых ими можно воспользоваться в злонамеренных целях, способность распознать ошибочные результаты работы пользователей и выяснить, является ли система уязвимой.

Во время типичного теста на проникновение клиент генерирует ряд запросов. Некоторые из них будут способствовать скрытному проведению тестирования настолько, насколько это возможно, вплоть до уклонения от обнаружения тестирования системами обнаружения вторжения. Сканеры уязвимости нельзя использовать из-за того, что, как правило, они создают слишком большой шумовой трафик в сети и оставляют многочисленные следы в журналах регистрации.

Тестирование на уязвимости вне зависимости от того, является ли тест автоматизированным или нет, не относится к классу точных наук. Для проверки существования одной и той же уязвимости обычно есть несколько способов. К этому надо добавить и то, что некоторые производители искажают предоставляемые сведения о некоторых уязвимостях, для того чтобы увеличить число «выполняемых их программами проверок на уязвимости». В результате покупка сканера уязвимости превращается в запутанное мероприятие. Поскольку подобные программы недешевы, то к вопросу выбора сканера уязвимости следует подходить очень тщательно. Из сказанного вытекает следующее: будущее автоматизированных сканеров уязвимости и автоматизированного инструментария тестирования на проникновение выглядит обнадеживающим, потому что в этой области есть место для дальнейшего их усовершенствования и новаторства.