Kas yra įsilaužimų testavimas? Tipai ir nauda

Rinkoje tą patį darbą vadina keliais vardais: įsilaužimų testavimas, pentestas, penetracinis testavimas, o oficialiuose lietuviškuose ES teisės aktų tekstuose – skverbimosi testavimas. Skiriasi ne turinys, o kalbos registras, todėl derantis dėl paslaugos pirmiausia verta sutarti, apie ką kalbama: apie rankinį, sutartos apimties bandymą patekti į sistemas, o ne apie automatinę patikrą.

Apibrėžimas

Įsilaužimų testavimas (pentestas, penetracinis testavimas, angl. penetration testing) – tai kontroliuojamas ir teisėtas procesas, kuriame specialistas ieško sistemų, programų bei tinklų spragų ir jas išnaudoja taip, kaip tai darytų tikras užpuolikas. Tikslas – ne pakenkti, o įrodyti, kur ir kaip užpuolikas patektų, ir pateikti nurodymus, kaip tą kelią uždaryti.

Jungtinės Karalystės nacionalinis kibernetinio saugumo centras testavimą apibrėžia kaip metodą, kuriuo įgyjamas tikrumas dėl IT sistemos saugumo, bandant pralaužti dalį ar visas jos apsaugas tais pačiais įrankiais ir metodais, kokius naudotų priešininkas. Toje pačioje rekomendacijoje pabrėžiama mintis, kurią pravartu įsidėmėti prieš perkant testą: tai ne pagrindinis pažeidžiamumų paieškos būdas, o būdas patikrinti, ar jūsų pažeidžiamumų valdymo procesas veikia. NCSC tai lygina su finansų auditu – buhalterija dirba kasdien, o išorės auditas patvirtina, kad jos procesai pakankami.

Praktinė išvada paprasta: daugiausia naudos testavimas duoda ten, kur pagrindiniai dalykai jau sutvarkyti – pataisos diegiamos, turtas inventorizuotas, prieigos apribotos. Jei to dar nėra, testuotojas tiesiog brangiai patvirtins tai, ką parodytų ir nemokamas skeneris.

Skenavimas ir testavimas

Automatinis skenavimas padeda aptikti žinomus pažeidžiamumus ir konfigūracijos problemas. Galimybės priklauso nuo įrankio, suteiktų teisių ir tinklo vietos: skeneriai gali tikrinti paslaugų pasiekiamumą, versijas ir autentifikuotas konfigūracijas. Rezultatus reikia patikrinti ir susieti su aplinka. Rankinis testavimas papildo šį darbą verslo logikos, prieigos kontrolės ir susijusių spragų analize.

Įsilaužimų testavimą atlieka žmogus. Jis išnaudoja spragas, sujungia jas į grandinę ir randa loginius trūkumus, kurių įrankis neatpažįsta: prieigos kontrolės klaidas, neapsaugotas administravimo sąsajas, galimybę pasiekti svetimo naudotojo duomenis pakeitus vieną užklausos lauką. NIST techniniame vadove tai suformuluota tiesiai – skeneris tikrina tik galimą pažeidžiamumo buvimą, o testavimo išnaudojimo etapas jo egzistavimą patvirtina.

Dažniausi testavimo tipai

Testavimas nukreipiamas į konkretų taikinį, o ne į „visą įmonę“. Dažniausiai užsakomi šie tipai:

• Išorinio tinklo testavimas – internete matomos paslaugos, serveriai ir sąsajos, tai yra tas atakos paviršius, kurį pirmiausia mato pašalinis užpuolikas.
• Žiniatinklio programų ir API testavimas – autentifikacijos, prieigos kontrolės, sesijų valdymo ir įvesties tikrinimo spragos. OWASP žiniatinklio saugumo testavimo vadovas šią sritį skaido į dvylika kategorijų – nuo informacijos rinkimo iki API testavimo.
• Vidinio tinklo testavimas – ką užpuolikas nuveiktų jau patekęs vidun: judėjimas tinkle, teisių išplėtimas, prieiga prie domeno valdiklio ir svarbiausių duomenų.
• Debesijos aplinkų testavimas – per plačios paslaugų paskyrų teisės, klaidingos konfigūracijos, viešai pasiekiamos saugyklos.
• Belaidžių tinklų ir mobiliųjų programų testavimas – atskiros kompetencijos sritys, dažnai užsakomos kartu su vidiniu testavimu.
• Socialinė inžinerija – personalo ir procesų testavimas sukčiavimo laiškais, skambučiais ar bandymu fiziškai patekti į patalpas. Reikalauja atskiro teisinio ir etinio suderinimo.

Pradžios tašką rinkitės pagal svarbiausias paslaugas, duomenis ir galimus patekimo kelius. Internetu pasiekiamos sistemos dažnai vertos ankstyvos patikros, tačiau kai kurioms organizacijoms svarbesnė vidinė prieiga, tapatybių valdymas ar tiekėjų jungtys.

Juodoji, pilkoji ir baltoji dėžė

Dėžės spalva nurodo, kiek informacijos testuotojas gauna iš anksto. Tai ne kokybės ar realizmo skalė: pasirinkimas priklauso nuo modeliuojamo užpuoliko žinių ir testo tikslo. Mažiau pradinės informacijos paprastai reiškia daugiau laiko žvalgybai.

Testavimo metodai pagal iš anksto pateikiamos informacijos kiekį

Metodas	Ką žino testuotojas	Stiprioji pusė	Kada rinktis
Juodoji dėžė	Beveik nieko – tik taikinių adresus	Leidžia vertinti ataką be suteiktos vidinės informacijos	Kai norima pamatyti, ką rastų atsitiktinis užpuolikas
Pilkoji dėžė	Naudotojo paskyras ir bendrą architektūrą	Leidžia tikrinti prieigą su suteiktomis naudotojo teisėmis	Kai svarbu patikrinti skirtingus naudotojų vaidmenis
Baltoji dėžė	Dokumentaciją, konfigūracijas ir pirminį kodą	Sudaro sąlygas išsamiau peržiūrėti kodą ir konfigūraciją	Kai svarbu rasti kuo daugiau spragų, o ne imituoti ataką

Atskirai verta nuspręsti, ar apie testą žinos jūsų pačių stebėsenos komanda. NIST skiria atvirą testavimą, apie kurį IT komanda informuota ir gali stebėti eigą, ir slaptą testavimą, vykdomą be jos žinios, bet su aiškiu vadovybės leidimu. Slaptas testavimas parodo ne tik spragas, bet ir tai, ar jas kas nors pastebi – užtat trunka ilgiau ir kainuoja daugiau, nes testuotojas turi dirbti lėtai ir nepastebimai.

Ką iš tikrųjų gaunate

Testavimo produktas yra ne patekimo įrodymas, o ataskaita. NIST rekomenduoja kiekvienam radiniui pateikti ne tik aprašymą, bet ir priežasties analizę bei taisymo pasiūlymą – tiek techninį (įdiegti konkrečią pataisą), tiek procesinį (pakeisti pačią pataisų valdymo tvarką). Įprastą ataskaitos sandarą sudaro:

• Vadovybės santrauka – kas rasta ir ką tai reiškia verslui, be techninio žargono.
• Metodika ir apimtis – kas buvo testuota, kada, kokiu metodu ir kokiomis sąlygomis.
• Radiniai pagal svarbą – su įrodymais, poveikio vertinimu ir konkrečiais taisymo nurodymais.
• Atakos grandinės – kaip kelios atskirai nekritinės spragos kartu duoda kritinį rezultatą.
• Rekomendacijos procesui – ką pakeisti, kad panašūs radiniai nebeatsirastų.

Gera ataskaita skaitoma dviem lygiais: vadovas iš pirmų puslapių supranta riziką ir sprendimą, o inžinierius iš likusios dalies – ką konkrečiai daryti. Kaip atrodo visa eiga nuo apimties derinimo iki pakartotinio testavimo, aprašome testavimo etapų vadove.

Ko reikalauja teisės aktai

NIS2 direktyvos 21 straipsnio 2 dalies f punktas įpareigoja esminius ir svarbius subjektus turėti politiką ir procedūras, skirtas kibernetinio saugumo rizikos valdymo priemonių veiksmingumui įvertinti. Kaip tai daroma praktiškai, patikslina Komisijos įgyvendinimo reglamentas (ES) 2024/2690: saugumo testavimas gali apimti automatinį arba rankinį testavimą, skverbimosi testavimą (taip penetration testing verčiamas oficialiuose lietuviškuose ES teisės aktų tekstuose), pažeidžiamumų skenavimą, statinį ir dinaminį programų saugumo testavimą, konfigūracijų testavimą arba saugumo auditus. Išsamūs šio reglamento reikalavimai privalomi tik į jo taikymo sritį patenkantiems subjektams – debesijos, duomenų centrų, DNS, turinio pristatymo tinklų, valdomų ir valdomų saugumo paslaugų teikėjams, elektroninėms prekyvietėms, paieškos sistemoms, socialinių tinklų platformoms ir patikimumo užtikrinimo paslaugų teikėjams; kitiems NIS2 subjektams jie yra naudingas orientyras.

Lietuvoje NIS2 perkelta nauja Kibernetinio saugumo įstatymo redakcija, įsigaliojusia 2024 m. spalio 18 d. Tarp įstatymo 14 straipsnyje išvardytų kibernetinio saugumo reikalavimų atskiru punktu nurodyta politika ir procedūros, skirtos šių reikalavimų veiksmingumui įvertinti; įsilaužimų testavimas yra vienas iš būdų tą vertinimą atlikti. To paties straipsnio 8 dalis eina dar toliau – kibernetinio saugumo subjektai ne rečiau kaip kartą per trejus metus atlieka kibernetinio saugumo auditą pagal Nacionalinio kibernetinio saugumo centro (NKSC) tvirtinamą metodiką. Pats NKSC stebi subjektų atitiktį rizikos valdymo priemonėms ir turi teisę tikrinti jų valdomas sistemas ieškodamas spragų.

Finansų sektoriui DORA reglamentas yra konkretesnis. Pagal 24 straipsnio 6 dalį finansų sektoriaus subjektai, išskyrus labai mažas įmones, turi užtikrinti tinkamą visų ypatingos svarbos arba svarbias funkcijas palaikančių IRT sistemų ir programų testavimą bent kartą per metus, o 26 straipsnis atrinktiems subjektams numato bent kas trejus metus atliekamą grėsmėmis grindžiamą skverbimosi testavimą (TLPT). 27 straipsnio 1 dalyje nustatyti reikalavimai TLPT testuotojams: geriausia reputacija, įrodytos ekspertinės žinios skverbimosi ir raudonosios komandos testavimo srityse, akredituotos įstaigos suteiktas sertifikavimas arba oficialaus elgesio kodekso laikymasis, nepriklausomas patikinimas dėl testavimo rizikos valdymo ir tinkamas profesinės civilinės atsakomybės draudimas, apimantis netinkamo elgesio ir aplaidumo riziką.

Kokia nauda

• Matote realias, išnaudojamas rizikas, o ne teorinį sąrašą – ir sužinote, kaip toli užpuolikas nueitų.
• Gaunate taisymo nurodymus, surikiuotus pagal svarbą ir nukreipiančius ribotą komandos laiką ten, kur jis duoda daugiausia.
• Gaunate įrodymų apie sutartos apimties techninių priemonių veiksmingumą. Jie gali prisidėti prie NIS2, DORA ar ISO 27001 vertinimo, bet vieni neįrodo atitikties.
• Patikrinate ne tik apsaugą, bet ir aptikimą: ar stebėsena pastebėjo veiksmus, kuriuos atliko testuotojas.
• Stiprinate klientų ir partnerių pasitikėjimą parodydami, kad saugumas yra ne deklaruotas, o ištestuotas.

Investicijos pagrįstumą rodo ir statistika: pagal Verizon 2026 m. duomenų pažeidimų tyrimų ataskaitą, 31 % pažeidimų prasideda nuo programinės įrangos pažeidžiamumo išnaudojimo – tai aplenkė pavogtus slaptažodžius kaip dažniausią patekimo būdą.

Nauda neapsiriboja radiniais. Testavimas parodo, kaip jūsų aplinka atrodo iš išorės, o tas vaizdas neretai platesnis už jūsų pačių dokumentaciją: pamiršta testinė aplinka, seni subdomenai, paslaugos, kurių niekas nebeprisimena įjungęs.

Ko užsakovai dažniausiai nesitiki

• Testas neaprėpia visko. Apimtis ir laikas riboti, o kas liko už apimties ribų, lieka nepatikrinta.
• Švari ataskaita nereiškia, kad spragų nėra. Ji reiškia, kad per sutartą laiką ir apimtį jų nerasta.
• Vertė atsiranda tik ištaisius radinius. Neištaisyta ataskaita yra tiesiog dokumentuota rizika.
• Testavimas nepakeičia pažeidžiamumų valdymo, pataisų diegimo ir turto apskaitos – jis patikrina, ar tai veikia.
• Rezultatas priklauso nuo pasiruošimo. Kaip jam pasiruošti, surašėme atskirame vadove.