Elke werkdag behandelt Computable een onderwerp waarover lezers kunnen discussiëren. Vandaag over dé valkuil voor pentests: het bepalen van bereik daarvoor.
Het lijkt zinnig om tests gericht te laten uitvoeren. Het bepalen van een bereik is niet alleen nuttig vanwege het risico van enorm uitdijende kosten voor dat testen. Het stellen van zogeheten scope is natuurlijk ook nuttig om daarna gericht te kunnen verbeteren. Alleen is security nu net zo’n breed en belangrijk gebied dat het beperken van pentests middels vooraf opgelegde scope funest kan zijn.
Security-experts die worden ingezet – en soms extern ingehuurd – om te proberen binnen te komen, worden zo aan handen en voeten gebonden. De test of systemen zijn te penetreren heeft dan weinig tot geen nut. Sterker nog: het kan een vals gevoel van veiligheid geven. Want kwaadwillenden beperken zichzelf immers niet tot bepaalde gebieden of systemen. Zij proberen juist alles om maar binnen te komen. Dit wil niet zeggen dat scope verboden zou moeten worden. Scope moet wel wijselijk worden ingezet. Wat vind jij?
Scope?? Welke hacker gebruikt een scope?? Geef gewoon mandaat om de pentest uit te voeren, scope is zo breed als nodig is. Binnenkomen op welke manier dan ook. Zodra er een afbakening wordt afgezet in een scopebepaling, dan worden er bewust of onbewust onderdelen gemist, en dat is jammer want die onderdelen zijn vaak de sleutel voor inbraak.
Pen-tests zeggen niet zoveel. Er is namelijk ook nog een andere belangrijker scope, namelijk die van het spectrum van de tests die op de infrastructuur worden uitgevoerd. Hoeveel tests worden precies er tijdens de pen-test uitgevoerd? Worden inderdaad alle attack-surfaces getest of beperkt de test zich tot de inhoud van de tool (MetaSploit, Nessus, BackTrack etc) en is die tool up/to date en/of misschien een gratis (uitgeklede) versie? Betreft het alleen een black box pen test of wordt er ook met legitieme users getest? Een groot gedeelte hacks wordt namelijk door insiders gepleegd.
Er bestaan vele manieren om een infrastructuur en/of applicatie binnen te dringen. Een pen-test is een dure manier om aan te tonen dat er inderdaad een of meer kwetsbaarheden bestaan.
Ten eerste geen enkele infrastructuur kan volledig beveiligd worden. Anders kan ook niemand ermee werken. Ten tweede een professionele pen-tester zal nooit gratis, uitgeklede tools gebruiken maar vertrouwde up-to-date tools en methodieken gebruiken om te ontdekken welk kwetsbaarheden er zijn. Wanneer je een scope met een klant afspreekt dan is het ook noodzakelijk de klant bewust te maken dat er gebieden zullen zijn die niet getest zullen worden en dat de klant hiermee akkoord zal gaan en de risico’s accepteren.