Czego uczą metodologie testów penetracyjnych (cz.3.)

Inne metodologie i standardy

1. Information Systems Security Assessment Framework (ISSAF)

Ten projekt jest tworzony w duchu Open Source. ISSAF jest szczegółowo zdefiniowaną metodologią, którą można porównać do OSSTMM. Dokument ISSAF skupia się równie mocno na technicznym oraz kierowniczo-biznesowym aspekcie testów bezpieczeństwa. Nie jest to dokument opisujący ściśle testy penetracyjne – tutaj nacisk kładziony jest na proces, a nie jednorazowe wydarzenie.

Więcej informacji o frameworku ISSAF można znaleźć na stronie organizacji tworzącej standard.

2. EC-Council Licensed Penetration Tester methodology (LPT)

Jest to standard opracowany i licencjonowany przez EC-Council, które jest znaną instytucją certyfikującą inżynierów bezpieczeństwa. Dostęp do metodologii jest możliwy po uzyskaniu certyfikacji LPT, która wymaga między innymi certyfikatów CEH oraz ECSA.

Metodologia LPT jest więc dostępna dla bardzo wąskiego kręgu specjalistów. Doceniając markę oraz poziom szkoleń EC-Council można założyć, że jest to dobrze zdefiniowana praktyka przystosowana konkretnie do testów penetracyjnych.

3. OWASP Application Security Verification Standard Project (OWASP ASVS)

Ten projekt organizacji OWASP przedstawia wymagania stawiane bezpiecznym aplikacjom internetowym. W dokumencie ASVS istnieje kilka poziomów, które jednoznacznie określają, w jaki sposób powinny być implementowane, testowane oraz dokumentowane specyficzne komponenty web aplikacji.

Standard OWASP do weryfikacji bezpieczeństwa web aplikacji nie powinien odstraszać pentesterów swoją formą. Został napisany zwięźle i klarownie. W krótkim czasie można poznać nie tylko ciekawe podejście do weryfikacji bezpieczeństwa, ale również zapoznać się z potężnym narzędziem do określania poziom zaufania do badanej aplikacji internetowej. Trzeba pamiętać, że celem ASVS nie jest znajdywanie podatności, ale sprawdzenie dobrych praktyk, które przekładają się na wytwarzanie bezpiecznego oprogramowania.

W momencie pisania artykułu na stronach organizacji OWASP dostępna była druga, odświeżona wersja dokumentu w wersji beta (2013 r.). W witrynie OWASP dotyczącej ASVS można odnaleźć również starszą wersję dokumentu, także w języku polskim.

4. Penetration Testing Framework (PTF)

PTF odróżnia się od wszystkich wcześniej opisanych dokumentów tym, że nie jest ani standardem, ani metodologią — Penetration Testing Framework jest kompendium pentestera. PTF zawiera najważniejsze informacje dotyczące każdego etapu testu penetracyjnego: porty, usługi, exploity, topowe narzędzie pentesterskie, w tym ich cel, składnię i przykłady użycia.

5. OWASP TOP 10 Project oraz SANS 20 Critical Security Controls

Pierwsza lista, OWASP TOP 10, opisuje najczęściej występujące błędy bezpieczeństwa w aplikacjach internetowych. Dokument organizacji OWASP, aktualizowany ostatni raz w 2013 roku, pokazuje naturę zagrożeń, prawdopodobieństwo wykrycia oraz wpływ zagrożenia na bezpieczeństwo web aplikacji. OWASP pokazuje przykładowe wektory ataku oraz opisuje, w jaki sposób przygotować się do uchronienia się przed danym zagrożeniem.

OWASP TOP 10 bardzo dobrze współgra z innymi dokumentami organizacji, takimi jak np. Testing Guide czy ASVS.

SANS Critical Security Controls opisuje najpoważniejsze kategorie zagrożeń oprogramowania. Instytut SANS podszedł do swojej listy zdecydowanie bardziej szczegółowo niż OWASP. Dokument tworzony jest przez specjalistów bezpieczeństwa z instytutów badawczych oraz uczelni na podstawie badań prawdziwych systemów. Jest to lista tworzona z podejściem tzw. Lessons Learnt, sprawiającym, że nie jest to wyłącznie projekt czysto teoretyczny (podobnie zresztą jak OWASP TOP 10).

Podejście takie jest realizowane przez dokładny opis kolejnych zagrożeń, do których przypisane są zalecenia dotyczące ochrony. Mogą to być zarówno zalecenia tzw. Quick Wins, pozwalające w bardzo krótkim czasie ochronić kluczowe elementy organizacji, jak i Advanced sub-controls pokazujące, jak przy użyciu najnowszych technologii zapewnić kompleksową ochronę.

Warto poznać oba dokumenty — są one efektem wieloletnich badań wielu specjalistów, przez co stanowią dobrą referencję np. w raportach.

6. Wytyczne NIST

NIST opracował dokument NIST PUB 800-115 – Technical Guide to Information Security Testing and Assessment opisujący sposób, w jaki instytucje mogą podchodzić do zarządzania ryzykiem związanym z testowaniem bezpieczeństwa.

Publikacja NIST zakresem przypomina OWASP Testing Guide, jest jednak napisana dużo dokładniej i z większą starannością. Niestety dokumenty NIST są rzadko uaktualniane, ale opis wykonywanych czynności w dokumencie nie powinien się zdezaktualizować.

7. Certyfikacje i normy

Zarówno audyt, test penetracyjny czy chociażby proces zarządzania bezpieczeństwem, może być oparty o międzynarodowe normy i standardy. Standardami, które często stanowią „podkładkę” pod inne metodologie lub wymagania, są m.in.:

• PCI-DSS v2.0 (Payment Card Industry Data Security Standard) — dotyczy zapewniania bezpieczeństwa systemom, które przetwarzają środki płatnicze przy wykorzystaniu kart płatniczych. Kontrola prowadzona jest w zakresie bezpieczeństwa sieci, ochrony danych, zarządzania historią płatności, szczegółowej kontroli dostępu oraz monitoringu. Instytucje akceptujące transakcje kartami płatniczymi oraz centra autoryzacyjne mogą mieć narzucone wymaganie pozytywnego audytu tej normy;
• ISO/IEC 27001 (Information Security Management Systems) — standaryzacja zarządzania bezpieczeństwem informacji w systemach teleinformacyjnych. Definiuje obszary, takie jak polityka bezpieczeństwa, bezpieczeństwo fizyczne, ciągłość działania, zarządzanie incydentami bezpieczeństwa czy kontrola dostępu;
• ISO/IEC 27002 (Code of Practice for Information Security Management) — rozwinięcie poprzedniej normy o element monitoringu, wdrożeń systemów oraz utrzymania tzw. Systemu Zarządzania Bezpieczeństwem Informacji;
• ISO/IEC 27005 (Information Security Risk Management) — dotyczy usystematyzowania procesów związanych z zarządzaniem ryzykiem w kontekście bezpieczeństwa informacji.

Co wybrać?

Zanim zdecydujemy się na wybór konkretnego standardu, najpierw musimy się zastanowić, w jaki sposób chcemy zwiększyć bezpieczeństwo danego systemu. Zarówno audyt, jak i test penetracyjny sprawdzają bezpieczeństwo w zdefiniowanym oknie czasowym. Ciągłe zapewnianie bezpieczeństwa wymaga wdrożenia zmian w procesie wytwarzania oprogramowania — SDLC — i wymaga przyjęcia całkowicie odmiennej strategii (ale o tym innym razem). Skupmy się teraz na audycie i teście penetracyjnym.

Audytor z definicji powinien podążać za wymaganiami, ale czy spontaniczny pentester również musi zakuwać się w niewidoczne kajdany metodologii? Otóż nie musi, co nie oznacza, że nie powinien podążać za dobrymi praktykami wybranych metodologii.

Test penetracyjny jest na tyle skomplikowanym procesem, że skupienie i uporządkowanie procesu okazuje się zbawienne. Nie zawsze istnieje możliwość wykorzystywania wszystkich narzędzi lub klient ogranicza testy do wielu podsystemów. Reguły gry podczas testów penetracyjnych często potrafią się zmieniać i wtedy metodyczne podejście może okazać się jedyną deską ratunkową. Poza tym, metodyczne podejście jest wręcz wymagane w zespołach złożonych z kilku pentesterów — wtedy dużo łatwiej zrównoleglić testy i synchronizować wyniki.

Początkującym inżynierom bezpieczeństwa polecam zapoznanie się z prostymi metodologiami, takimi jak OWASP Testing Guide lub PTES – pomogą one wyrobić sobie podstawowe nawyki, które będą wykorzystywane w każdym teście penetracyjnym, niezależnie od jego charakteru.

Bardziej zaawansowani testerzy powinni zainteresować się klasyfikacją taką jak WASC-TC oraz metodologiami, które oferują szerokie spojrzenie na aspekt bezpieczeństwa – zarówno techniczne, jak i biznesowe. Ze swojej strony polecam OSSTMM, który bardzo dokładnie definiuje sposób testowania w wielu różnych sytuacjach.

Bibliografia

Spis źródeł dotyczy wszystkich części cyklu.

• S. Ali i T. Heriyanto, BackTrack 4: Assuring Security by Penetration Testing, English: Packt Publishing, 2011.
• J. Zubairi i A. Mahboob, Cyber Security Standards, Practices and Industrial Applications: Systems and Methodologies, English: Idea Group Inc (IGI), 2011.
• D. Kennedy, J. O’Gorman, D. Kearns i M. Aharoni, Metasploit: The Penetration Tester’s Guide, English: No Starch Press, 2011.
• K. Scarfone, M. Souppaya, A. Cody i A. Orebaugh, „Technical Guide to Information Security Testing and Assessment – Recommendations of the National Institute of Standards and Technology,” 2008. [Online].
• ISECOM, „Open Source Security Testing Methodology Manual (OSSTMM),” [Online].
• OWASP, „OWASP Testing Guide v4,” [Online].
• WASC, „The Web Application Security Consortium / Threat Classification,” [Online].
• OISSG, „Information Systems Security Assessment Framework (ISSAF),” [Online].

 Adrian “Vizzdoom” Michalczyk dla portalu Sekurak.pl