Testy penetracyjne PENT
Testowanie skuteczności kontroli bezpieczeństwa poprzez emulację narzędzi i technik prawdopodobnych napastników.
Uwagi zawierające wskazówki
Testy penetracyjne mogą być samodzielnym działaniem lub aspektem testów akceptacyjnych przed wydaniem zgody na użytkowanie.
Działania obejmują między innymi:
- hacking etyczny – wykorzystywanie tych samych narzędzi i technik co przeciwnik w celu bezpiecznego wykorzystania słabych punktów zabezpieczeń
- pokazanie, w jaki sposób przeciwnik może podważyć cele bezpieczeństwa lub osiągnąć konkretne antagonistyczne cele
- ocenę skuteczności obecnych/planowanych zabezpieczeń lub kontroli łagodzących
- zapewnienie bezpieczeństwa sieci, systemów i aplikacji
- identyfikowanie wglądu w ryzyko biznesowe związane z różnymi lukami w zabezpieczeniach
- testowanie sieci, infrastruktury, aplikacji internetowych i mobilnych pod kątem słabych punktów
- sprawdzanie poziomów poprawek i konfiguracji
- inżynierię społeczną.
Poziom odpowiedzialności za tę umiejętność
| 3 | 4 | 5 | 6 |
Testy penetracyjne: Poziomy 1-2
Ta umiejętność nie jest zazwyczaj obserwowana ani praktykowana na tych poziomach odpowiedzialności i rozliczalności.
Testy penetracyjne: Poziom 3
Stosuje standardowe podejścia do projektowania i przeprowadzania testów penetracyjnych. Bada i analizuje techniki ataków oraz rekomenduje sposoby obrony przed nimi. Analizuje i tworzy raporty z działań związanych z testami penetracyjnymi, wynikami, problemami i ryzykiem.
Testy penetracyjne: Poziom 4
Wybiera odpowiednie podejście do testowania, wykorzystując dogłębną analizę techniczną ryzyk i typowych luk w zabezpieczeniach. Tworzy skrypty testowe, materiały i pakiety testowe oraz testuje nowe i istniejące sieci, systemy lub aplikacje. Udziela porad w zakresie testów penetracyjnych, wspierając innych. Rejestruje i analizuje działania i wyniki oraz w razie potrzeby modyfikuje testy. Dostarcza raporty o postępach, anomaliach, ryzyku i problemach związanych z całym projektem.
Testy penetracyjne: Poziom 5
Planuje i napędza testy penetracyjne w ramach zdefiniowanego obszaru działalności biznesowej. Dostarcza obiektywny wgląd w istnienie luk w zabezpieczeniach, skuteczność zabezpieczeń i kontroli łagodzących. Bierze odpowiedzialność za integralność działań testowych i koordynuje ich wykonanie. Przekazuje autorytatywne porady i wskazówki na temat wszystkich aspektów testów penetracyjnych. Identyfikuje potrzeby i wdraża nowe podejścia do testów penetracyjnych. Przyczynia się do rozwoju standardów testowania bezpieczeństwa.
Testy penetracyjne: Poziom 6
Określa politykę testów penetracyjnych i jest właścicielem procesów wspierających. Zarządza wszystkimi działaniami związanymi z testami penetracyjnymi w organizacji. Ocenia i doradza w zakresie praktyczności testowania alternatywnych procesów. Ustanawia zdolność do ciągłego doskonalenia i wynalazczości w zakresie testów penetracyjnych oraz prowadzi wdrażanie nowych podejść. Ocenia możliwości dostawców w zakresie rozwoju i testowania. Zarządza relacjami z klientami w zakresie testów penetracyjnych.
Testy penetracyjne: Poziom 7
Ta umiejętność nie jest zwykle obserwowana ani praktykowana na tym poziomie odpowiedzialności i rozliczalności.