Turvalisustestid

Turvalisustestid on süsteemsete ning testimisega seotud tegevuste kogum, mille eesmärk on tuvastada ja hinnata organisatsiooni infosüsteemide turvanõrkusi ning anda soovitused nende kõrvaldamiseks. Need sobivad nii tarkvarasüsteemidele, võrkudele kui ka organisatsiooni protseduuridele ja kultuurile.

Peamised valdkonnad on tarkvara turvalisustestid, mis hõlmavad statilist ja dünaamilist koodianalüüsi, turvaaukude skaneerimist, fuzzingu ja turvalisuse auditit; võrgu turvalisustestid, sealhulgas sissetungimise testid, haavatavuste skaneerimine ja konfiguratsioonide hindamine; pilve- ja API-turvalisus; meeskondlikud ja sotsiaalse inseneerimise testid, sealhulgas sotsiaalse inseneerimise testid, mis hindavad inimfaktorile suunatud haavatavusi.

Metoodika: testimine käivitub tavaliselt probleemide ulatuse ja riskide määratlemisega (scoping), seejärel viiakse läbi threat modeling ja kontrollitud eksperimenti (pen-test), ning lõpeb detailse raporti ning remondieelse tegevusplaaniga. Kõik testid toimuvad kooskõlas asutuse reeglitega ja asjakohaste õigusaktidega, ning nõuavad omaniku loa ja eetilist heakskiitu (rules of engagement).

Standards ja raamistikud: OWASP Top Ten, OWASP Testing Guide, ISO/IEC 27001 ja 27002, NIST SP 800-53, PCI DSS. Tulemuseks on leitud haavatavused, hinnatud riski tase ning soovitused parenduste elluviimiseks; lõppdokumendis kajastuvad riskitasemed, prioriteedid ja jälgitavate remondi sammud.

Ressursid ja tööriistad: statiline ja dünaamiline analüüs, pen-testide tööriistad, haavatavuste skannerid ja logianalüüs.

Oluline on perioodiline teostus ja jälgimine, sest turvalisus on dünaamiline ning nõrkused võivad tekkida tarkvara uuenduste või konfiguratsioonimuudatuste tulemusena.