penetraatiotestauksen

Penetraatiotestaus on hallittu tietoturva-arviointi, jossa organisaation tietojärjestelmiä, verkkoja ja sovelluksia testataan hyökkäyskaltaisin menetelmin haavoittuvuuksien löytämiseksi ja niiden vaikutusten osoittamiseksi. Tavoitteena on paljastaa riskit ennen oikeita hyökkääjiä sekä vahvistaa turvallisuutta ja valmiutta reagoida.

Testauksen laajuus ja tyypit vaihtelevat. Yleisiä muotoja ovat ulkoinen penetraatiotestaus (reititty verkko- ja palvelinresurssit, joita ulkopuoliset voivat nähdä) sekä sisäinen testa us (reaaliset tai simuloidut uhkat sisältä päin). Testaus voi olla aktiivista (hyökkäyksenkaltaista toimintaa) tai passiivista (tarkkailua, ilman vahinkoja). Tutkimus voidaan suorittaa mustan laatikon (ei tutkittua järjestelmää), harmaan laatikon (rajallinen tieto) tai valkoisen laatikon (täysi tieto) periaattein.

Metodologia noudattaa usein standardeja, kuten PTES, OWASP Testing Guide tai NIST SP 800-115. Typisesti prosessi sisältää suunnittelun ja laajuuden määrittelyn, uhkamallinnuksen, haavoittuvuuksien havaitsemisen, hyväksikäytön, jälkitoimet sekä raportoinnin ja korjausten vahvistamisen. Käytetyt työkalut vaihtelevat Nmapista ja Metasploitista sovellus- ja verkkotestaukseen tarkoitettuihin työkaluihin sekä manuaalisiin tarkastuksiin.

Tuloksena syntyy raportti, jossa on riskinarvioinnit, liiketoimintavaikutukset ja suositukset korjaaviksi toimenpiteiksi. Penetraatiotestaus ei korvaa säännöllistä tilannekuvaa ja vahvistuksia, vaan täydentää niitä. Testaus tulee aina toteuttaa organisaation ja lainsäädännön mukaisella valtuutuksella ja selkeillä pelisäännöillä.