haavoittuvuustestausmenetelmiä

Haavoittuvuustestausmenetelmät ovat joukko tekniikoita, joita käytetään tietojärjestelmien, verkkojen ja sovellusten haavoittuvuuksien tunnistamiseen. Tavoitteena on löytää ja korjata turvallisuusaukot ennen kuin ne ehtivät joutua hyökkääjien hyväksikäyttämiksi. Nämä menetelmät voidaan jakaa karkeasti kahteen pääluokkaan: passiivisiin ja aktiivisiin.

Passiiviset menetelmät keskittyvät tiedonkeruuseen ilman, että järjestelmän toimintaan puututaan suoraan. Tähän kuuluvat esimerkiksi verkon seuranta, lokitiedostojen analysointi ja julkisesti saatavilla olevan tiedon kerääminen järjestelmästä. Passiiviset menetelmät auttavat ymmärtämään järjestelmän tilaa ja tunnistamaan potentiaalisia heikkouksia ilman riskiä häiriöistä.

Aktiiviset menetelmät puolestaan sisältävät suoria vuorovaikutuksia testattavan järjestelmän kanssa. Yleisimpiä aktiivisia menetelmiä ovat tunkeutumistestaus (penetration testing), jossa pyritään simuloimaan todellisia hyökkäyksiä, sekä automaattiset haavoittuvuusskannerit. Skannerit käyttävät ennalta määritettyjä tietokantoja tunnistaakseen tunnettuja haavoittuvuuksia. Tunkeutumistestauksessa keskitytään enemmän järjestelmän kokonaisvaltaiseen turvallisuuden arviointiin ja hyökkäyspolkujen löytämiseen.

Menetelmät voidaan jakaa myös tietämyksen perusteella. Valkoisen laatikon (white-box) testauksessa testaajalla on täysi tieto järjestelmän sisäisestä rakenteesta ja koodista. Harmaan laatikon (grey-box) testauksessa testaajalla on rajallinen tieto, ja mustan laatikon (black-box) testauksessa testaajalla ei ole lainkaan tietoa järjestelmän sisäisestä toiminnasta, jolloin hän toimii kuin ulkopuolinen hyökkääjä. Näiden menetelmien yhdistelmä tarjoaa kattavimman kuvan järjestelmän turvallisuudesta.