Интродакшшн
Сразу скажу ничего сверхъестественного о пентестах в данном посте сказано не будет. Но все таки, читая хабр, особенно ИБ, достаточно продолжительное время ( пока только рид онли, так что за инвайт буду очень благодарен ) начинаю понимать, что у людей складывается какое то очень отдаленное понимание, что такое пентест. Для начала о себе, занимаюсь пентестами уже довольно продолжительное время (известная компания в этих кругах), начинал в свое время с так называемого «скрипт — кидди», но со временем пришло более широкое понимание, что и как устроено в нашем мире.
Начнем с терминологии
Пентест — имитация реальных атакующих ( крекеры, хакеры и т.д. ) для тестирования систем безопасности. (пруф, и еще один.) И тут казалось бы все нормально парень нашел страшный XSS http://habrahabr.ru/post/173285/ и благородно сообщил об этом владельцам ресурса и т.д.
Так ли это на самом деле ?
Возникает один интересный момент люди прочитав пару таких статей автоматически решают что достаточно найти одну уязвимость заэксплойтить ее и все ты уже пенестер, провел крутой пентест, и вообще кулхацкер. Так вот недавно говорил с одним знакомым, ну и наткнулся на фразу с его стороны «ну а что там тестировать проскань, найди уязвимость, и все напиши отчет». Также он привел в пример пару статей с хабра о пентестах и был полон уверенности что он знает «мой хлеб» лучше чем я сам. И тут мы подходим к самой сути этой статьи. Для теста на проникновение не достаточно проэксплуатировать одну уязвимость, недостаточно даже написать отчет о ней и даже недостаточно дать рекомендации. Пентест подразумевает проверку всего, да именно ВСЕГО начиная от мусорных контейнеров клиента, заканчивая социальной инженерией. Удивлены? Вероятно. Так вот знаете сколько даже в крупных компаниях мусора выкидывается ежедневно? А сколько из этого мусора составляют корпоративные бланки ( с номерами телефонов, с e-mail — ами ), сколько людей готовы запустить тимвьвер, просто потому что ты назвался представителем «АЙТИ ОТДЕЛА». Сколько из «пентесторов» хабра занимались этим? Ни разу? Почему вы тогда решили назвать это пентестом? Пентест — настолько широкое поле деятельности, что нельзя просто взять и натянуть это понятие на эксплуатацию уязвимости. Просто нельзя, вы же не пишете в акте, что покупка гарнитуры это усовершенствование ИТ инфраструктуры предприятия. Мой долг как человека, считающего себя довольно хорошим специалистом в этой сфере, донести до сообщества эту мысль.
Что почитать
Если вы дочитали до этого абзаца, вот несколько важных документов для тестов на проникновение
- http://www.pentest-standard.org/index.php/Main_Page
- www.owasp.org/index.php/Main_Page
- Кевин Митник «Искусство обмана»
список не исчерпывающий но начать с этого можно. Всего доброго. Ломайте на здоровье.