Kaip pasiruošti įsilaužimų testavimui

Blogiausia testo ataskaita nėra ta, kurioje daug radinių. Blogiausia – ta, kurią perskaitę nežinote, ką daryti toliau, nes iš anksto nebuvo sutarta, ko ieškoma ir kas bus laikoma sėkme. Pasiruošimas yra pigiausia testo dalis ir labiausiai lemia jo vertę.

Nustatykite tikslą

Pirmiausia atsakykite, ką norite sužinoti. Ar reikia įvykdyti priežiūros institucijos reikalavimą? Patikrinti naują programą prieš paleidimą? Įvertinti, kaip toli nueitų užpuolikas, gavęs eilinio darbuotojo paskyrą? Ar patikrinti, ar stebėsenos komanda apskritai ką nors pastebi?

Šie tikslai reikalauja skirtingų testų. Atitikties tikslui testo apimtis ir metodas parenkami pagal taikomus reikalavimus; vienas testas savaime neįrodo atitikties. Aptikimą galima lavinti atvirai arba vertinti slaptu, vadovybės patvirtintu testu, apie kurį stebėsenos komanda nežino. Nesuderinus tikslo iš anksto, gaunama ataskaita, kuri formaliai teisinga, bet neatsako į jums rūpimą klausimą.

Komisijos įgyvendinimo reglamento (ES) 2024/2690 priedo 6.5.2 punktas šį žingsnį įtvirtina ir teisiškai: saugumo testų poreikis, apimtis, dažnumas ir rūšis nustatomi remiantis rizikos vertinimu, o ne nuojauta ar praėjusių metų sąskaita. Tiesiogiai reglamentas privalomas tik į jo taikymo sritį patenkantiems skaitmeninių paslaugų teikėjams; kitiems jis parodo, kokio pagrindimo tikimasi.

Apibrėžkite apimtį

Apimtis nustato, kas patenka į testą ir kokiomis sąlygomis. NCSC pabrėžia, kad tai bendras darbas: rizikos savininkas, technikai ir testavimo komanda kartu nustato technines ribas, testo tipą, terminus ir reikalingus išteklius, o rezultatas – dokumentuotas veiksmų planas.

• Išvardykite konkrečias sistemas, programas, domenus ir IP intervalus.
• Nurodykite, kas verslui svarbiausia – kur radinys skaudžiausias.
• Suderinkite, kokias technikas leidžiama naudoti, o kokių griežtai vengti.
• Užtikrinkite leidimus: testuojamos tik savos arba raštu įgaliotos sistemos.
• Patikrinkite, ar taikiniai priklauso jums – debesijos ir prieglobos paslaugų teikėjai gali turėti savų sąlygų testavimui.

Kartu su apimtimi paruoškite ir tai, ką testuotojui perduosite: paskyras kiekvienam naudotojo vaidmeniui, prieigą prie testinės aplinkos, jei ji naudojama, API dokumentaciją ir sąrašą sistemų, kurios yra jautrios ar seniai neatnaujintos. Kuo mažiau laiko testuotojas praleis laukdamas prieigos, tuo daugiau jo liks pačiam testavimui.

Kas lemia apimtį, trukmę ir kainą

Kaina nėra vieno taikinio įkainis – ji išvedama iš darbo dienų skaičiaus. Todėl pasiūlymas prasideda ne nuo skaičiaus, o nuo kelių klausimų, kurių atsakymai tą skaičių ir sudaro.

Veiksniai, lemiantys testo apimtį ir trukmę

Veiksnys	Klausimas, į kurį atsakote	Kaip veikia apimtį
Taikinių kiekis	Kiek adresų, domenų ir programų patenka į testą?	Tiesiogiai didina reikalingų dienų skaičių
Metodas	Juodoji, pilkoji ar baltoji dėžė?	Juodoji dėžė daug laiko skiria žvalgybai, baltoji – aprėpčiai
Funkcionalumo gylis	Kiek programoje naudotojų vaidmenų ir integracijų?	Kiekvienas naujas vaidmuo daugina tikrinamų scenarijų skaičių
Aplinka	Testuojama gamybinė aplinka ar atskira jos kopija?	Gamybinė aplinka reikalauja atsargesnio tempo ir daugiau derinimo
Slaptumas	Ar stebėsenos komanda žinos apie testą?	Slaptas testavimas verčia dirbti lėčiau, todėl trunka ilgiau
Tolesni veiksmai	Ar reikia pakartotinio testavimo ir rezultatų pristatymo?	Planuojama ir kainuojama atskirai nuo pagrindinio testo

Pasirinkite metodą

Metodą rinkitės pagal tikslą ir modeliuojamo užpuoliko žinias. Juodoji dėžė leidžia vertinti patekimo kelius be suteiktos vidinės informacijos. Pilkoji dėžė su naudotojų paskyromis padeda tikrinti prieigos kontrolę, o baltoji dėžė su kodu ir dokumentacija leidžia atlikti išsamesnę vidinių sprendimų analizę. Aprėptį lemia ir skirtas laikas bei specialistų patirtis. Metodai palyginti pagrindiniame vadove.

Atskirai nuspręskite, ar apie testą žinos jūsų stebėsenos komanda. NIST skiria atvirą testavimą, kuriame IT komanda dalyvauja ir mokosi, ir slaptą, atliekamą be jos žinios, bet su aiškiu vadovybės leidimu. Slaptas testavimas parodo aptikimo gebėjimą, tačiau kainuoja daugiau ir trunka ilgiau.

Susitarkite dėl taisyklių raštu

NIST veiksmų taisyklių šablone surašomi testo tikslas ir testuojama organizacija, apimties ribos, prielaidos ir apribojimai, būdinga rizika kartu su jos mažinimo priemonėmis, o logistikos dalyje – visi kontaktiniai asmenys, įskaitant incidentų valdymo komandą, ir tikslus grafikas su valandomis.

• Kas testuojama ir kas aiškiai lieka už apimties ribų.
• Kokios technikos leidžiamos ir kurios draudžiamos.
• Kada testuojama – dienomis, vakarais ar savaitgaliais.
• Kaip skubiai pranešama apie kritinį radinį, nelaukiant ataskaitos.
• Kada testuotojas privalo sustoti ir su kuo susisiekti.
• Kaip tvarkomi ir sunaikinami testo metu gauti duomenys.

Kaip pasirinkti testuotoją

Nepriklausomumas ir kvalifikacija svarbesni už kainą. TLPT testuotojams skirti DORA reglamento 27 straipsnio 1 dalies kriterijai gali padėti sudaryti ir kitų paslaugų pirkimo klausimyną, tačiau nėra visiems privalomas reikalavimų rinkinys: geriausia reputacija, techniniai bei organizaciniai pajėgumai, įrodyta patirtis skverbimosi ir raudonosios komandos testavimo srityje, sertifikavimas valstybėje narėje akredituotos įstaigos arba oficialaus elgesio kodekso laikymasis, nepriklausomas patikinimas dėl testavimo rizikos valdymo ir tinkamas profesinės civilinės atsakomybės draudimas, apimantis netinkamo elgesio ir aplaidumo riziką.

To paties reglamento 24 straipsnio 4 dalis prideda principą, tinkantį ir už finansų sektoriaus ribų: testus turi atlikti nepriklausomos vidaus arba išorės šalys, o kai testuoja vidaus komanda, per visą testo rengimo ir vykdymo laikotarpį privaloma išvengti interesų konfliktų. Nepriklausomą vertinimą gali atlikti ir tinkamai atskirta vidaus komanda; svarbu suvaldyti interesų konfliktus. Draudimo reikalavimo taip pat neverta praleisti – būtent jis parodo, ar testuotojas pajėgus atsakyti už savo klaidą.

Praktinis patikrinimas prieš pasirašant: paprašykite anonimizuoto ataskaitos pavyzdžio. Iš jo matyti daugiau nei iš bet kokio pasiūlymo – ar radiniai aprašyti su įrodymais, ar rekomendacijos konkrečios, ar yra vadovybės santrauka ir ar tekstas apskritai skirtas skaityti, o ne tik pridėti prie audito bylos.

Kainos skirtumai tarp pasiūlymų dažniausiai paaiškinami dienų skaičiumi, o ne dienos įkainiu. Todėl lyginant pasiūlymus verta prašyti nurodyti planuojamas darbo dienas ir apimtį, kuriai jos skirtos – kitaip lyginami nepalyginami dalykai, o pigiausias pasiūlymas neretai tiesiog aprėpia mažiau sistemų per mažiau dienų.

Paruoškite organizaciją

• Paskirkite kontaktinį asmenį, pasiekiamą visą testavimo laiką.
• Įspėkite prieglobos ar debesijos paslaugų teikėją, jei to reikalauja jo sąlygos.
• Įsitikinkite, kad atsarginės kopijos veikia ir kad jas moka atkurti daugiau nei vienas žmogus.
• Nuspręskite, ar stebėsenos komandai pranešama, ir užfiksuokite sprendimą raštu.
• Neatidėkite skubių saugumo pataisų dėl testo. Užfiksuokite pakeitimus ir testuokite kasdien naudojamą konfigūraciją.

Verta iš anksto sutarti ir dėl to, kas nutinka radus tikrą įsilaužimą. Testuotojai kartais aptinka, kad sistemoje jau yra kažkas kitas. Tokiu atveju testas stabdomas, o darbas perduodamas incidentų valdymui – ši tvarka turi būti aprašyta prieš pradedant, o ne sugalvota tą pačią dieną.

Pasiruošimo tikslas – patikimas kasdienės aplinkos vertinimas. Venkite vien testui skirtų laikinų pakeitimų, kuriuos vėliau atšauksite. Nuolatinius saugumo patobulinimus atlikite nelaukdami testo ir informuokite testuotojus, kas pasikeitė.

Išnaudokite rezultatus

1. Peržiūrėkite ataskaitą kartu su testuotoju ir įsitikinkite, kad kiekvienas radinys suprastas.
2. Surikiuokite radinius pagal svarbą ir paveiktos sistemos reikšmę, o ne vien pagal balą.
3. Ištaisykite kritinius ir aukštos rizikos radinius pirmiausia, priskirdami atsakingus asmenis ir terminus.
4. Atlikite pakartotinį testavimą: patikrinkite konkrečius taisymus ir sutartos apimties susijusius veiksmus. Jis negarantuoja, kad neliko kitų spragų.
5. Ieškokite priežasties: jei ta pati klaida kartojasi keliose sistemose, taisyti reikia procesą, o ne tik sistemą.

Ataskaitą verta perskaityti ir kaip įvestį kitam ciklui. Jei tas pats radinys grįžta antrą kartą, kaltas ne testuotojas, o taisymo procesas; jei radiniai sutelkti vienoje sistemoje, išsiaiškinkite priežastį ir patikrinkite, ar ji gali paveikti kitas sistemas.

Ko dažniausiai nesitikima

NCSC formuluoja idealą, kuris skamba netikėtai: gerai pasiruošusi organizacija turėtų maždaug žinoti, ką testuotojai ras, dar prieš jiems randant. Jei ataskaita nustebina, problema paprastai ne teste, o pažeidžiamumų valdyme.

Ta pati rekomendacija primena, kad planuojamas testas nepanaikina įprasto saugumo tikrinimo – vertinti, ar apibrėžtos apsaugos veikia, nėra vertingiausias būdas panaudoti brangų testuotojo laiką. Grėsmių foną, kuriame tai vyksta, kasmet apibendrina ENISA: 2025 metų grėsmių apžvalgoje išanalizuoti 4 875 incidentai, įvykę nuo 2024 m. liepos 1 d. iki 2025 m. birželio 30 d.

Lietuvoje ta pati mintis turi ir teisinę pusę. Kibernetinio saugumo įstatymas įpareigoja kibernetinio saugumo subjektus ne rečiau kaip kartą per trejus metus atlikti kibernetinio saugumo auditą pagal Nacionalinio kibernetinio saugumo centro (NKSC) tvirtinamą metodiką, o pats NKSC stebi subjektų atitiktį rizikos valdymo priemonėms ir auditui gali pasitelkti nepriklausomą auditorių. Testavimo tvarką paprasčiau susidėlioti anksčiau, nei jos paprašo auditas.