Ets Hackejable?
Les proves de penetració (també anomenades “pen testing”) són una pràctica per posar a prova un sistema informàtic, xarxa o aplicació web per trobar vulnerabilitats que un atacant podria explotar.
Les proves de penetració poden ser automatitzades amb aplicacions de programari, o es poden realitzar manualment. De qualsevol manera, el procés inclou la recopilació d'informació sobre l'objectiu abans de la prova (reconeixement), la identificació de possibles punts d'entrada, intents d'entrar (ja sigui virtualment o de manera real) i l'informe dels resultats.
El principal objectiu de les proves de penetració consisteix a determinar les debilitats de seguretat. Una prova de penetració també pot ser utilitzada per provar el compliment de la política de seguretat d'una organització, la consciència de seguretat dels seus empleats i la capacitat de l'organització per identificar i respondre als incidents de seguretat.
Les proves de penetració de vegades s'anomenen “atacs de barret blanc” perquè en una prova d'aquest tipus els bons estan intentant entrar a la força.
Les estratègies de prova de penetració són:
Proves orientades a un objectiu
Aquestes proves selectives es duen a terme conjuntament per l'equip de TI de l'organització i l'equip de proves de penetració. De vegades se l'anomena un enfocament de “llums enceses” perquè qualsevol pot veure l'examen que es duu a terme.
Comprovació externa
Aquest tipus de prova de penetració es dirigeix als servidors o dispositius de la companyia que són visibles externament, incloent servidors de noms de domini (DNS), servidors de correu electrònic, servidors web o firewalls. L'objectiu és esbrinar si un atacant extern pot entrar i fins on pot arribar un cop ha obtingut accés.
Proves internes
Aquesta prova simula un atac intern darrere del firewall per un usuari autoritzat, amb privilegis d'accés estàndard. Aquest tipus de prova és útil per estimar la quantitat de dany que un empleat descontent podria causar.
Proves a cegues
Una estratègia de prova a cegues simula les accions i procediments d'un atacant real, limitant severament la informació donada per endavant a la persona o equip que està realitzant la prova. Normalment, només se'ls pot donar el nom de l'empresa. Com que aquest tipus de prova pot requerir una quantitat considerable de temps per al reconeixement, pot ser costosa.
Proves de doble cec
Les proves de doble cec prenen la prova a cegues i la porten un pas més enllà. En aquest tipus de prova de penetració, només una o dues persones de l'organització poden ser conscients que s'està realitzant una prova. Les proves de doble cec poden ser útils per provar el monitoratge de seguretat i la identificació d'incidents de l'organització, així com els seus procediments de resposta.
