Įsilaužimų testavimo etapai: kaip vyksta testavimas

Iš šalies testas atrodo kaip vienas darbas: kažkas kelias savaites bando patekti į sistemas ir atsiunčia ataskaitą. Praktikoje rezultatą labiausiai lemia du etapai, kuriuos užsakovas mato prasčiausiai – apimties derinimas prieš testą ir taisymų patikrinimas po jo. Toliau einame per visus etapus iš eilės ir nurodome, ką kiekviename iš jų turėtumėte gauti.

Bendra eiga

Skirtingos metodikos etapus skaido nevienodai, bet turinys sutampa. NIST techninis vadovas SP 800-115 skiria keturis etapus – planavimą, aptikimą, ataką ir ataskaitą, – pabrėždamas, kad ataskaitos rengimas vyksta lygiagrečiai su visais kitais. PTES standartas tą pačią eigą skaido į septynias dalis, nuo išankstinio derinimo iki ataskaitos. NCSC modelinę užduotį aprašo dar trumpiau: pradinis susitarimas, apimties nustatymas, testavimas, ataskaita ir tolesni veiksmai.

Įsilaužimų testavimo etapai ir jų rezultatas

Etapas	Kas vyksta	Ką gauna užsakovas
1. Apimties derinimas	Suderinami taikiniai, metodas, terminai, leidžiamos technikos ir kontaktiniai asmenys	Pasirašytos veiksmų taisyklės ir aiškus leidimas testuoti
2. Žvalgyba	Nustatomi domenai, paslaugos, technologijos ir visas pasiekiamas atakos paviršius	Vaizdas, ką apie jus mato pašalinis stebėtojas
3. Skenavimas ir analizė	Automatinė ir rankinė pažeidžiamumų paieška, klaidingų signalų atmetimas	Patikrintas kandidatų į spragas sąrašas
4. Išnaudojimas	Kontroliuojamai patvirtinama, kurios spragos tikrai veikia	Įrodymas, kad spraga reali, o ne teorinė
5. Tolesni veiksmai	Vertinamas teisių išplėtimas, judėjimas tinkle ir pasiekiami duomenys	Realaus poveikio verslui vertinimas
6. Ataskaita	Radiniai rikiuojami pagal svarbą, aprašomi ir papildomi taisymo nurodymais	Dokumentas vadovybei ir inžinieriams
7. Pakartotinis testavimas	Patikrinami sutarti taisymai ir susijusios funkcijos	Patikrintų taisymų rezultatai ir likę apribojimai

Eiliškumas nėra atsitiktinis. Kiekvienas etapas siaurina lauką: žvalgyba nustato, kas apskritai pasiekiama, analizė atrenka, kas gali būti pažeidžiama, o išnaudojimas patvirtina, kas iš to veikia. Praleidus etapą, ataskaita pasidaro arba per plati (spėjimų sąrašas), arba per siaura (rasta tik tai, ko buvo ieškoma).

Apimtis ir veiksmų taisyklės

Pirmasis etapas yra popierinis, bet nuo jo priklauso viskas. NIST jam skiria atskirą veiksmų taisyklių (angl. rules of engagement) šabloną, kuriame surašomi testo tikslas, apimties ribos, prielaidos ir apribojimai, būdinga rizika ir jos mažinimo priemonės, o atskirame skyriuje – kontaktiniai asmenys iš abiejų pusių, įskaitant incidentų valdymo komandą, bei tikslus testavimo grafikas su valandomis.

Grafikas nėra formalumas. NIST tiesiogiai pataria techninį gamybinės sistemos testavimą planuoti ne piko valandomis, o vakare. Praktikoje čia sprendžiami ir tokie klausimai kaip paslaugos trikdymo atakų draudimas, socialinės inžinerijos ribos, duomenų, kuriuos leidžiama išnešti kaip įrodymą, kiekis ir tvarka, kaip nedelsiant pranešti apie kritinį radinį, nelaukiant ataskaitos.

Prie veiksmų taisyklių priskiriamas ir testo metu surinktų duomenų likimas. Testuotojas gali susidurti su produkciniais duomenimis, todėl raštu susitarkite, ką leidžiama išsaugoti kaip įrodymą, kur tai saugoma ir kada sunaikinama.

Žvalgyba ir skenavimas

Aptikimo etapas turi dvi dalis. Pirmoji – informacijos rinkimas: domenų ir subdomenų, atvirų prievadų, veikiančių paslaugų, technologijų versijų, viešai prieinamų duomenų apie darbuotojus ir infrastruktūrą. Antroji – pažeidžiamumų analizė, kai surinkta informacija lyginama su žinomų spragų šaltiniais ir atrenkami realūs kandidatai.

Šiame etape dirba ir įrankiai, ir žmogus. Įrankiai apima plotį, žmogus atmeta klaidingus signalus ir pastebi tai, ko įrankis neieško: paliktą testinę aplinką, senos programos versiją antrame domene, administravimo sąsają be prieigos apribojimo.

Būtent čia kyla ir daugiausia nesusipratimų. Ilgas skenerio sąrašas atrodo įtikinamai, tačiau nemaža jo dalis yra triukšmas: pasenusi versijų informacija, paslaugos už kompensuojančių apsaugos priemonių, pranešimai, netaikomi naudojamai konfigūracijai. Juos atsijoti yra ekspertinis darbas, o ne formalumas.

Išnaudojimas ir tolesni veiksmai

Išnaudojimas yra tas etapas, kuris skiria testavimą nuo skenavimo. Skeneris tikrina tik galimą pažeidžiamumo buvimą, o čia jis patvirtinamas realiu veiksmu. NIST šį etapą vaizduoja su grįžtamuoju ryšiu į aptikimą: gavęs prieigą, testuotojas mato naują atakos paviršių ir ciklas kartojasi.

Tolesni veiksmai atsako į klausimą, kiek ta prieiga verta. Ar iš vieno užvaldyto serverio pasiekiama duomenų bazė? Ar eilinio naudotojo paskyra leidžia išplėsti teises iki administratoriaus? Ar iš vienos aplinkos galima pereiti į kitą? Būtent čia paaiškėja, ar atskirai vidutinės svarbos radiniai kartu sudaro kritinę atakos grandinę.

Ataskaita – svarbiausias rezultatas

NIST pabrėžia, kad saugumo testas yra kur kas vertingesnis, jei jis baigiasi ne radinių sąrašu, o įgyvendinama taisymo strategija: kiekvienam radiniui turi būti pateikta priežasties analizė ir rekomendacija, kuri gali būti tiek techninė (įdiegti konkrečią pataisą), tiek procesinė (pakeisti pačią pataisų valdymo tvarką).

Reikalavimai ataskaitai yra ir teisės aktuose. Komisijos įgyvendinimo reglamento (ES) 2024/2690 priedo 6.5.2 punktas įpareigoja dokumentuoti atliktų testų rūšį, apimtį, atlikimo laiką ir rezultatus, įskaitant kiekvieno nustatyto fakto kritiškumą ir jo poveikio mažinimo veiksmų vertinimą, o nustačius kritinius faktus – taikyti poveikio mažinimo veiksmus. Tiesiogiai jis privalomas tik į savo taikymo sritį patenkantiems skaitmeninių paslaugų teikėjams, bet kaip ataskaitos turinio orientyras tinka bet kuriam užsakovui.

Lietuvoje ta pati kryptis įtvirtinta Kibernetinio saugumo įstatyme: kibernetinio saugumo subjektai ne rečiau kaip kartą per trejus metus atlieka kibernetinio saugumo auditą pagal Nacionalinio kibernetinio saugumo centro (NKSC) tvirtinamą metodiką, o auditorių nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus nustato ta pati metodika.

Kadangi ataskaita turi dvi auditorijas, NIST rekomenduoja ir kelis formatus: vadovybei reikia rizikos ir sprendimo, inžinieriui – metodikos, rezultatų ir konkretaus veiksmų plano. Ką ataskaita apima ir kaip ją skaityti, plačiau aprašome pagrindiniame vadove.

Silpna ataskaita atpažįstama iš kelių požymių: radiniai nukopijuoti iš skenerio kartu su bendrinėmis rekomendacijomis, nėra įrodymų, kaip spraga buvo išnaudota, o svarbos įvertinimas nesusietas su jūsų aplinka. Tokią ataskaitą galima pateikti auditoriui, bet pagal ją sunku dirbti.

Kaip klasifikuojami radiniai

Radiniai rikiuojami pagal svarbą, dažniausiai – pagal CVSS skalę. Svarbu suprasti, ką balas reiškia: jis apibūdina pažeidžiamumo techninę svarbą, o ne jūsų riziką. Tas pats 8,1 balo radinys vidiniame testų serveryje ir internete matomame mokėjimų portale reikalauja skirtingos skubos.

CVSS v4.0 kokybinės svarbos kategorijos

Kategorija	CVSS balas
Kritinė	9,0–10,0
Aukšta	7,0–8,9
Vidutinė	4,0–6,9
Žema	0,1–3,9
Nėra	0,0

Todėl svarbos kategoriją verta paversti terminu. Praktiškas būdas – iš anksto susitarti, per kiek laiko taisomas kritinis, aukštas ir vidutinis radinys jūsų organizacijoje, ir tą tvarką aprašyti kartu su pačiu vertinimu. Tada ataskaita nesibaigia diskusija, ar aštuoni balai yra daug.

Verta žinoti ir tai, kad taisyti reikia ne kiekvieną radinį. Dalis jų sąmoningai priimama kaip liekamoji rizika, kai taisymas kainuotų daugiau nei pati žala. Svarbu ne tai, ar radinys lieka ataskaitoje be žymos, o tai, kad sprendimą priima rizikos savininkas ir kad jis užfiksuojamas.

Saugumas gamybinėse sistemose

Testavimą galima saugiai atlikti ir gamybinėse sistemose, tačiau NIST nemenkina rizikos: testuojant naudojami tikri išnaudojimo įrankiai prieš tikras sistemas, todėl sutrikimo tikimybė niekada nėra nulinė. Patyręs testuotojas ją mažina, bet nepanaikina.

Todėl rizikingi veiksmai suderinami iš anksto: kas atliekama tik testinėje aplinkoje, kas – ne darbo valandomis, kas apskritai draudžiama. Prieš testą verta įsitikinti, kad atsarginės kopijos veikia ir kad jas moka atkurti ne vienas žmogus.

Pakartotinis testavimas ir kas toliau

Testo vertė atsiranda tik ištaisius radinius, todėl paskutinis etapas yra patikrinimas. DORA reglamento 24 straipsnio 5 dalis šį principą įtvirtina tiesiogiai: subjektai privalo turėti procedūras, pagal kurias visos testuojant nustatytos problemos suskirstomos pagal prioritetą, klasifikuojamos ir sprendžiamos, ir vidaus patvirtinimo metodikas, užtikrinančias, kad silpnosios vietos būtų visiškai pašalintos.

Pakartotinis testavimas atsako į du klausimus: ar spraga tikrai uždaryta ir ar taisymas neatvėrė naujos. Antrasis klausimas nėra teorinis – skubūs taisymai gamybinėje aplinkoje neretai išjungia dalį apsaugos arba palieka apeinamąjį kelią.

Pakartotinį testavimą verta sutarti jau pirminėje užduotyje ir suplanuoti pakankamai toli, kad taisymai spėtų būti atlikti. Užsakytas tik po visko, jis virsta atskiru projektu ir praktikoje neretai lieka visai neatliktas.

Kiek trunka ir kaip dažnai kartoti

Trukmę lemia apimtis, pasirinktas metodas ir taikinio sudėtingumas: viena žiniatinklio programa juodosios dėžės metodu ir visas vidinis tinklas su keliais domenais reikalauja skirtingo laiko. Tikslų terminą galima nustatyti tik po apimties derinimo, todėl pasiūlymas be apimties pokalbio yra tik spėjimas.

Dažnumo klausimu NIST laikosi nuosaikios pozicijos: dėl didelės kainos ir galimo poveikio kasmetinio organizacijos tinklo ir sistemų testavimo dažnai pakanka. Reguliuojamiems sektoriams riba aiškesnė – DORA 24 straipsnio 6 dalis finansų sektoriaus subjektams, išskyrus labai mažas įmones, reikalauja tinkamai testuoti visas ypatingos svarbos arba svarbias funkcijas palaikančias IRT sistemas ir programas bent kartą per metus. Tai nėra vienodas kasmetinio įsilaužimų testo reikalavimas; labai mažoms įmonėms taikoma 25 straipsnio 3 dalis. Papildomai testuojama po reikšmingų pakeitimų, o kaip prie testo pasiruošti, surašėme atskirame vadove.