|
Pentesting qanday amalga oshiriladi?
|
| bet | 2/7 | | Sana | 17.05.2024 | | Hajmi | 122,28 Kb. | | #239289 |
Bog'liq Alimov Jonibek 2Pentesting qanday amalga oshiriladi?
Tizim ma'lumotlari turiga qarab tasniflangan penetratsion testlarning bir necha turlari mavjud. Whitebox pentestlarida tizim, ilovalar yoki arxitektura haqida hamma narsa ma'lum, qora quti pentestlarida esa maqsad haqida hech qanday ma'lumot yo'q. Shuni yodda tutingki, bunday tasniflash amaliy zaruratdir, chunki ko'pincha sinov shartlari foydalanuvchi mezonlariga asoslanadi.
Shundan so'ng siz turli xil pentesting usullaridan birini tanlashingiz kerak. Tanlov tizimning xususiyatlari bilan belgilanadi yoki hatto kompaniyadagi tashqi talablarga muvofiq amalga oshiriladi. Har qanday holatda, mavjud usullar orasida ISSAF, PCI, PTF, PTES, OWASP va OSSTMM va boshqalar mavjud. Har bir usul o'ziga xos nuanslarga ega, ammo pentestlarni amalga oshirishda ularning chuqur bilimlari zarur.
Qaysi usulni tanlash kerak?
Bir qator ekspertlarning fikriga ko'ra, PTES va OWASP bu usullarning tuzilishi tufayli penetratsion testlarning etarlicha yaxshi turlari hisoblanadi. Ularning so'zlariga ko'ra, Penetratsion testlarni bajarish standarti (yoki PTES), ko'plab rasmiylar tomonidan qabul qilinganidan tashqari, Rapid7 Metasploit kabi penetratsion test tizimlari uchun o'quv qo'llanmalarida qo'llaniladigan modeldir. Boshqa tomondan, Ochiq manbali xavfsizlikni tekshirish metodologiyasi qo'llanmasi (OSSTMM) standartga aylandi. Ushbu testlar ayniqsa innovatsion bo'lmasa-da, bu xavfsizlik kontseptsiyasining universal tuzilishiga birinchi yondashuvlardan biridir.
Bugungi kunda u nafaqat yuqori sifatli, tashkiliy va samarali penetratsion testlarni ishlab chiqmoqchi bo'lgan tashkilotlar uchun, balki bir qator kompaniyalar uchun ham etalonga aylandi. Shu bilan bir qatorda, Axborot tizimlari xavfsizligini baholash asosi (ISSAF) har bir xavfsizlik yechimlari sohasidagi mutaxassislar tomonidan tuzilgan va ko'rib chiqilgan "baholash mezonlari" atrofida ma'lumotlarni tartibga soladi. Toʻlov kartalari sanoati maʼlumotlar xavfsizligi standarti (PCI DSS) yetakchi kredit va debet karta kompaniyalari kengashi tomonidan ishlab chiqilgan va karta egasi maʼlumotlarini qayta ishlovchi, saqlaydigan va uzatuvchi tashkilotlar uchun qoʻllanma boʻlib xizmat qiladi. Aynan shu standart ostida PCI pentesting ishlab chiqilgan. Usullar va ramkalar soni juda katta, ular keng va xilma-xildir. Yuqorida aytib o'tilganidek, ular o'rtasidagi tanlov kompaniyangizning ehtiyojlarini tushunishga va zarur xavfsizlik standartlarini bilishga bog'liq bo'ladi. Ammo buni to'g'ri bajarsangiz, qaerda va qanday qilib muvaffaqiyatsiz bo'lishi mumkinligini oldindan bilib, tizimlaringizni yanada samaraliroq himoya qilishingiz mumkin. Undan qanday foydalanishni biladiganlar uchun bebaho ma'lumot.
|
| |
