소프트웨어 테스팅

초보자를 위한 침투 테스트

2021년 10월 30일

침투 테스트는 공격자가 이용할 수 있는 보안 취약점을 찾기 위해 컴퓨터 시스템, 웹 애플리케이션 및 네트워크를 테스트하는 것입니다. 이러한 종류의 테스트는 자동화된 또는 수동으로 수행됩니다. 이 프로세스에는 테스트 전에 대상에 대한 정보 수집, 가능한 진입점 식별, 가상 또는 실제 침입 시도, 결과 보고가 포함됩니다.

펜 테스트의 주요 목표는 조직의 보안 태세에서 취약한 부분을 식별하고 보안 정책의 수용도를 측정하고 보안 인식을 테스트하며 조직이 보안 재해의 대상인지 여부를 결정하는 것입니다.

에게 침투 테스트는 또한 회사의 약점을 강조합니다. 보안 정책.

침투 테스트에서 생성된 보고서는 피드백을 제공합니다. 보고서는 애플리케이션 개발자가 보다 안전한 애플리케이션을 만드는 데 도움이 됩니다.

목차

침투 테스트를 시작하는 단계

1단계) 기획단계

  1. 과제의 범위와 전략이 결정됩니다.
  2. 보안 정책, 표준은 범위를 정의하는 데 사용됩니다.

단계 2) 발견 단계.

  1. 디자인의 데이터, 사용자 이름 및 암호를 포함하여 시스템에 대한 정보를 수집합니다.
  2. 포트로 스캔 및 프로브
  3. 시스템 취약점 확인

3단계) ​​공격 단계

  1. 다양한 약점에 대한 익스플로잇을 찾으십시오. 시스템을 악용하는 데 필요한 보안 권한을 얻지 못합니다.

4단계) 보고 단계

  1. 보고서에는 자세한 결과가 포함되어야 합니다.
  2. 발견된 약점의 위험과 비즈니스에 미치는 영향.
  3. 권장 사항 및 솔루션.

침투 테스트 방법

외부 테스트

예를 들어, 이메일 및 도메인 이름 서버(DNS)와 웹 애플리케이션 자체, 회사 웹사이트와 같이 인터넷에서 볼 수 있는 회사의 자산을 대상으로 합니다. 주요 목표는 액세스 권한을 얻고 귀중한 데이터를 추출하는 것입니다.

내부 테스트

방화벽 뒤의 애플리케이션에 대한 액세스 권한이 있는 테스터는 내부자의 공격을 시뮬레이션합니다. 이것이 반드시 불량 직원에게 영향을 미치는 것은 아닙니다. 일반적인 시나리오는 자격 증명이 도난당한 직원일 수 있습니다.

블라인드 테스트

테스터에게는 대상이 되는 기업의 이름만 제공됩니다. 보안 담당자에게 실제 적용 방법을 보여줍니다.

이중 맹검 테스트

보안 요원은 공격을 모릅니다. 그들은 침입 전에 방어를 강화할 시간이 없었습니다.

표적 테스트

테스터와 보안 요원은 함께 작업하고 서로의 움직임을 계속 알립니다. 보안팀에 해커의 관점에서 실시간 피드백을 제공하는 훈련입니다.

장점

  • 테스트는 대담한 보안 접근 방식을 가능하게 합니다.
  • 실제 위험을 연구하고 주어진 시간에 회사의 IT 인프라 보안 상태를 정확하게 나타낼 수 있습니다.
  • 데이터 침해 또는 네트워크 침입을 조사하여 데이터 유출 또는 지적 재산 절도의 원인을 찾는 데 도움이 됩니다.
  • 이를 통해 시스템에 대한 정보 수집이 학습되고 활동 중인 해커에 대한 내부 보고서를 접할 수도 있습니다.
  • 알려지지 않은 결함과 알려진 결함을 모두 찾아내고 보안 취약성을 악용할 수 있습니다. 보안 취약성은 자동화된 도구를 사용하여 훨씬 더 효과적인 방식으로 사용되기 전에 식별하고 수정할 수 있습니다.
  • 취약점을 식별할 때 취약점 평가에서 제공하는 분석을 훨씬 능가하는 방어 메커니즘의 효율성을 검증할 수 있습니다.
  • 대부분의 악의적인 해커처럼 생각하고 공격하는 전문가의 작업 덕분에 실제 사건과 최대한 유사한 공격으로 시스템을 테스트할 수 있는 방법을 제공합니다.

단점

  • 침투가 의심된다. 테스트는 모든 보안을 찾을 것입니다 취약점을 스캔하고 자동화된 보고서를 생성할 때 문제를 해결하거나 모든 문제를 해결할 것입니다.
  • 테스터는 취약점 평가를 수행하는 것보다 공격을 식별하기 위해 시스템을 검사하는 데 더 많은 시간이 걸립니다. 테스트 범위가 더 중요합니다. 그/그녀의 행동은 실제 공격을 모방하므로 비즈니스 활동에 지장을 줄 수도 있습니다.
  • 노동 집약적이며 비용이 증가할 수 있으며 이에 대한 예산을 할당할 수 없는 조직은 거의 없습니다. 이것은 회사가 작업을 수행하기 위해 고용된 경우에 해당됩니다.
  • 그것은 잘못된 안전감을 줍니다. 대부분의 경우 테스트는 위협을 찾을 준비가 되어 있고 방어할 준비가 되어 있는 회사 보안 팀에 알려져 있습니다. 실제 공격은 예고되지 않고 무엇보다 예상치 못한 것입니다.

침투 테스트의 유형

침투 테스트의 필수 유형은 다음과 같습니다.

    화이트박스 침투 테스트 블랙박스 침투 테스트 그레이 박스 침투 테스트

화이트박스 침투 테스트

이것은 소스 코드, 스키마, OS 세부 정보, IP 주소 등과 같은 시스템 및 네트워크에 대한 많은 정보를 테스터에게 제공하는 포괄적인 테스트입니다. 내부 소스에 의한 공격의 시뮬레이션으로 간주됩니다. 구조, 유리 상자, 투명 상자 및 개방형 상자 테스트라고도 합니다.

화이트 박스 침투 테스트는 코드 커버리지를 검사하고 데이터 흐름 테스트, 경로 테스트, 루프 테스트를 수행합니다.

장점

  • 모듈의 독립적인 경로가 실행되었는지 확인합니다.
  • 참 및 거짓 값과 함께 검증된 모든 논리적 결정을 제공합니다.
  • 오류를 발견하고 구문을 확인합니다.
  • 프로그램의 논리적 흐름과 실제 실행의 차이로 인해 발생하는 설계 오류를 찾아냅니다.

단점

  • 공격에 현실성이 부족합니다.
  • 테스터는 정보가 없는 공격자와 다르게 생각합니다.

블랙박스 침투 테스트

이 테스트에서 테스터는 자신이 테스트할 시스템에 대해 전혀 모릅니다. 네트워크 또는 시스템에 대한 정보 수집에 관심이 있습니다. 예를 들어, 이러한 유형의 테스트에서 테스터는 예상 출력이 무엇인지만 알고 결과가 어떻게 될지 모릅니다. 그/그녀는 프로그래밍 코드를 검사하지 않습니다.

장점

  • 특정 프로그래밍 언어 지식을 요구하지 않습니다.
  • 테스터는 기존 시스템의 모순을 확인합니다.
  • 테스트는 일반적으로 디자이너가 아닌 사용자 관점에서 수행됩니다.

단점

  • 테스트 케이스는 설계하기가 어렵습니다.
  • 모든 것을 수행하지는 않습니다.

그레이 박스 침투 테스트

Gray Box Penetration Testing에서 테스터는 일반적으로 시스템 프로그램에 대한 부분적 또는 제한된 정보를 제공합니다. 조직의 네트워크에 불법적으로 액세스한 외부 해커의 공격으로 간주됩니다.

장점

  • 테스터는 소스 코드에 대한 액세스가 필요하지 않습니다.
  • 개발자와 테스터 사이에는 분명한 차이가 있으므로 개인적인 갈등의 위험이 적습니다.
  • 프로그램 기능 및 기타 작업에 대한 내부 정보를 제공할 필요가 없습니다.

단점

  • 테스터는 코드를 볼 수 있는 액세스 권한이 없습니다.
  • 애플리케이션 개발자가 유사한 테스트 사례를 실행한 경우 그레이 박스 테스트는 중복됩니다.
  • 그레이 박스 테스트는 알고리즘 테스트에 적합하지 않습니다.

침투 테스트 도구

네트워크 매퍼(NMAP라고도 함)

기업이나 기업의 네트워크 환경에서 일종의 취약점을 발견하는데 사용합니다. 감사 목적으로도 사용할 수 있습니다. NMAP는 생성된 원시 데이터 패킷을 가져옵니다.

  • 특정 네트워크 트렁크 또는 세그먼트에서 사용할 수 있는 호스트의 종류
  • 이 호스트는 서비스에 대한 정보를 제공합니다.
  • 특정 호스트가 데이터 패킷 필터/방화벽의 버전 및 유형을 사용하고 있습니다.

네트워크 맵을 만들고 거기에서 사이버 공격자가 침투할 수 있는 취약점의 중요한 영역을 지적할 수 있습니다.

img 617dd209ddbd1

와이어샤크

이 도구는 실제 데이터 패킷 분석기이며 보안을 분석하는 네트워크 프로토콜 실시간으로 트래픽의 약점. 정보 및 데이터는 다음에서 수집할 수 있습니다.

  • 블루투스
  • IEEE 802.11
  • IPsec
  • 토큰 링
  • 프레임 릴레이
  • 케르베로스
  • SNMPv3
  • SSL/TLS
  • WEP
  • 모든 이더넷 기반 연결
img 617dd20a27ffd

W3AF

그만큼 소프트웨어 개발자 이 제품군을 만들고 주요 목표는 웹 기반 응용 프로그램에 있는 보안 약점을 찾아 악용하는 것입니다. 다음과 같은 위협을 근절할 수 있는 많은 도구로 구성됩니다.

  • 사용자 에이전트 위조
  • 요청에 대한 사용자 정의 헤더
  • DNS 캐시 중독
img 617dd20aa10c4

침투 테스트를 위한 최고의 기업

사이언스소프트

사이버 보안 서비스 제공업체이자 소프트웨어 개발 회사입니다. 은행, 의료, 제조 및 기타 산업 분야에서 활동하는 고객이 IT 환경에 가장 적절한 방어를 설계하고 구현할 수 있도록 지원합니다.

img 617dd20ae7785

넷스파커

취약점을 식별하는 정확한 자동 스캐너입니다. 웹 애플리케이션 및 웹 API . 취약점을 고유하게 검증하여 오탐지가 아닌 실제임을 증명합니다.

윈도우 소프트웨어 및 온라인 서비스로 제공됩니다.

img 617dd20b464c0

인더스페이스 WAS

OWASP 상위 10위를 기반으로 약점을 감지하고 보고하는 자동화된 웹 애플리케이션 약점 스캐너와 번들로 제공되는 수동 침투 테스트를 제공합니다.

이 회사는 인도에 있으며 뭄바이, 벵갈루루, 바도다라, 델리 및 샌프란시스코에 사무실이 있으며 전 세계적으로 25개 이상의 국가에서 1,100명 이상의 고객이 서비스를 사용하고 있습니다.

img 617dd20c1f727

침입자

이것은 사이버 보안 회사 고객에게 자동화된 SaaS 솔루션을 제공합니다. 강력한 스캔 도구는 실행 가능한 결과를 제공하도록 설계되어 바쁜 팀이 진정으로 중요한 것에 집중할 수 있도록 도와줍니다.

Intruder는 대형 은행과 동일한 엔진을 사용하므로 복잡성 없이 고품질 보안 검사를 즐길 수 있습니다. 침입자는 또한 자동화된 스캔의 기능을 넘어서는 문제를 식별하는 데 도움이 되는 수동 테스트를 포함하는 하이브리드 침투 테스트 서비스를 제공합니다.

침투 테스트

자주 묻는 질문

얼마나 자주 침투 테스트를 수행해야 합니까?

침투 테스트를 수행하는 빈도를 고려하면서 깊이 생각해야 하는 다양한 요소에 따라 다릅니다. 다음은 명심해야 할 사항입니다
환경 변경 빈도: 테스트는 프로덕션 준비 상태에 가까워지기 때문에 종종 변경 시간이 지정됩니다.
환경의 규모: 더 광범위한 설정은 테스트 노력과 지면에 가해지는 하중을 평준화하기 위해 단계적으로 테스트됩니다.

침투 테스트의 일반적인 비용은 얼마입니까?

침투 테스트 비용은 매우 다양합니다.
펜 테스트 가격 책정에는 다음을 포함한 여러 요소가 사용됩니다. 침투 테스트에 참여하기 전에 요구 사항을 명확하게 이해하고 작업 명세서를 개발하기 위해 상세한 범위 지정 회의를 갖는 것이 필수적입니다. 이상적으로는 계획되지 않은 지출을 제거하기 위해 고정 비용으로 침투 테스트를 수행해야 합니다. 견적 비용에는 모든 노동력과 필요한 테스트 도구가 포함되어야 합니다.

침투 테스트 프로세스에서 무엇을 기대해야 합니까?

침투 테스트는 훈련된 과정입니다. 테스트 회사는 프로세스의 모든 중요한 단계를 통해 모든 이해 관계자에게 충분한 정보를 제공해야 합니다. 침투 테스트 서비스를 원하는 회사는 다음 사항을 염두에 두어야 합니다.
무슨 일이 언제 일어나고 있는지 알기 위한 계획되고 문서화되고 의사 소통된 접근 방식입니다.
훈련되고 반복 가능한 접근 방식을 따라야 합니다.
시스템은 비즈니스 환경에 맞게 사용자 정의되어야 합니다.
정확한 결과와 교정에 대한 명확한 이해를 보장하기 위해 정의된 시작 프로세스, 계획 프로세스, 조정된 테스트 및 협업 제공 프로세스.