Black Box, Grey Box a White Box Penetration Testing: Rozdiely
Táto príručka poskytuje všetko, čo potrebujete na pochopenie, určenie rozsahu a vykonanie tohto typu testovania – s praktickými radami, ktoré môžete okamžite aplikovať.
Black Box: Pohľad zvonka
Pri testovaní metódou black box tester začína s nulovými informáciami – žiadne prihlasovacie údaje, žiadna dokumentácia, žiadne znalosti architektúry. Simuluje skutočného externého útočníka, začína prieskumom a postupuje k zneužitiu. To poskytuje najrealistickejšiu simuláciu externého útoku, ale fáza zisťovania spotrebuje značný čas testovania, čo znamená menej času na hlboké zneužitie. Najlepšie pre: vyhodnotenie vašej vonkajšej expozície z pohľadu útočníka.
Grey Box: Vyvážený prístup
Testovanie metódou grey box poskytuje testerovi obmedzené informácie – typicky štandardný používateľský účet, základnú dokumentáciu API a prehľad architektúry na vysokej úrovni. To simuluje informovanejšieho útočníka alebo kompromitovaného zasvätenca s obmedzeným prístupom. Tester preskočí väčšinu fázy zisťovania a zameriava čas testovania na zneužitie a hĺbku. Toto je najbežnejší prístup pre pentesty riadené súladom s predpismi, pretože maximalizuje hĺbku nálezov v primeranom časovom rámci. Najlepšie pre: väčšinu SaaS, cloudových a testov súladu s predpismi.
White Box: Maximálna hĺbka
Testovanie metódou white box poskytuje testerovi plný prístup – zdrojový kód, dokumentáciu architektúry, prihlasovacie údaje správcu, databázové schémy. To umožňuje čo najhlbšiu analýzu vrátane kontroly bezpečného kódu a identifikácie zraniteľností na úrovni architektúry. Nevýhodou je znížený realizmus – skutočný útočník by nezačínal s touto úrovňou prístupu. Najlepšie pre: bezpečnostné kontroly pred vydaním, audity bezpečného kódu a aplikácie s vysokou istotou.
Výber správneho prístupu
Pre väčšinu organizácií poskytuje grey box testovanie najlepšiu návratnosť investícií. Poskytuje testerovi dostatok informácií na efektívnu prácu pri zachovaní realistickej nepriateľskej perspektívy. Black box pridáva realizmus na úkor hĺbky. White box maximalizuje hĺbku na úkor realizmu. Váš rámec súladu s predpismi zvyčajne nenariaďuje konkrétny prístup – dôležité je, aby rozsah, metodológia a zistenia spĺňali očakávania audítora.
Záver
Správny prístup závisí od vašich cieľov, časového harmonogramu a požiadaviek na súlad s predpismi. Penetrify odporúča grey box testovanie pre väčšinu projektov riadených súladom s predpismi – poskytuje najsilnejšiu rovnováhu medzi hĺbkou, efektívnosťou a relevantnosťou pre skutočný svet. Bez ohľadu na prístup, kombinácia automatizovaného skenovania a manuálneho odborného testovania zaisťuje komplexné pokrytie.