การทดสอบการเจาะคืออะไร? {ขั้นตอน วิธีการ ประเภท}

การลบจุดอ่อนออกจากระบบและแอปพลิเคชันถือเป็นเรื่องสำคัญด้านความปลอดภัยทางไซเบอร์ บริษัทต่างๆ อาศัยเทคนิคต่างๆ ในการค้นหาข้อบกพร่องของซอฟต์แวร์ แต่ไม่มีวิธีการทดสอบใดที่ให้การวิเคราะห์ที่สมจริงและรอบด้านได้มากไปกว่าการทดสอบการเจาะระบบ

บทความนี้เป็นข้อมูลเบื้องต้นเกี่ยวกับการทดสอบการเจาะระบบ อ่านต่อเพื่อเรียนรู้วิธีการทำงานของการทดสอบปากกา และวิธีที่บริษัทต่างๆ ใช้การทดสอบเหล่านี้เพื่อป้องกันการละเมิดที่มีราคาแพงและสร้างความเสียหาย

คำจำกัดความของการทดสอบการเจาะ

การทดสอบการเจาะ (หรือการทดสอบปากกา) คือการจำลองการโจมตีทางไซเบอร์ที่ทดสอบระบบคอมพิวเตอร์ เครือข่าย หรือแอปพลิเคชันเพื่อหาจุดอ่อนด้านความปลอดภัย การทดสอบเหล่านี้อาศัยการผสมผสานระหว่างเครื่องมือและเทคนิคที่แฮกเกอร์ตัวจริงจะใช้ในการละเมิดธุรกิจ

ชื่อทั่วไปอื่นๆ สำหรับการทดสอบการเจาะระบบคือ การโจมตีแบบหมวกขาว และการแฮ็กอย่างมีจริยธรรม

โดยทั่วไปแล้ว ผู้ทดสอบปากกาจะใช้เครื่องมือทดสอบอัตโนมัติและแนวทางปฏิบัติด้วยตนเองผสมกันเพื่อจำลองการโจมตี ผู้ทดสอบยังใช้เครื่องมือการเจาะเพื่อสแกนระบบและวิเคราะห์ผลลัพธ์ เครื่องมือทดสอบการเจาะที่ดีควร:

• ง่ายต่อการติดตั้งและใช้งาน
• สแกนระบบได้อย่างรวดเร็ว
• จัดเรียงจุดอ่อนตามความรุนแรง
• ตรวจสอบจุดอ่อนโดยอัตโนมัติ
• ตรวจสอบการหาประโยชน์ในอดีตอีกครั้ง
• จัดทำรายงานและบันทึกโดยละเอียด

วัตถุประสงค์หลักของการทดสอบปากกาคือการระบุข้อกังวลด้านความปลอดภัยภายในระบบปฏิบัติการ บริการ แอปพลิเคชัน การกำหนดค่า และพฤติกรรมของผู้ใช้ การทดสอบรูปแบบนี้ช่วยให้ทีมค้นพบ:

• ช่องโหว่ของระบบและข้อบกพร่องด้านความปลอดภัย
• ขาดการปฏิบัติตามกฎระเบียบด้านความเป็นส่วนตัวและความปลอดภัยของข้อมูล (PCI, HIPAA, GDPR ฯลฯ)
• ขาดความตระหนักด้านความปลอดภัยทั่วทั้งทีม
• ข้อบกพร่องในโปรโตคอลการระบุภัยคุกคาม
• ช่องว่างสำหรับการปรับปรุงแผนรับมือเหตุการณ์
• ข้อผิดพลาดในนโยบายความปลอดภัย

โดยทั่วไปบริษัทต่างๆ จะจ้างผู้รับเหมาภายนอกเพื่อทำการทดสอบปากกา การขาดความรู้เกี่ยวกับระบบทำให้ผู้ทดสอบจากภายนอกมีความละเอียดรอบคอบและสร้างสรรค์มากกว่านักพัฒนาภายในองค์กร บางบริษัทยังดำเนินโปรแกรมค่าหัวที่เชิญฟรีแลนซ์ให้แฮ็กระบบโดยสัญญาว่าจะมีค่าธรรมเนียมหากพวกเขาละเมิดระบบ

ผลลัพธ์สุดท้ายของการทดสอบการเจาะคืออะไร?

ผลลัพธ์สุดท้ายของการทดสอบการเจาะคือรายงานการทดสอบปากกา รายงานจะแจ้งให้ผู้จัดการระบบไอทีและเครือข่ายทราบถึงข้อบกพร่องและช่องโหว่จากการทดสอบที่ค้นพบ รายงานควรรวมขั้นตอนในการแก้ไขปัญหาและปรับปรุงการป้องกันระบบด้วย

รายงานการทดสอบปากกาทุกฉบับควรมี:

• บทสรุปสำหรับผู้บริหาร: สรุปนำเสนอภาพรวมระดับสูงของการทดสอบ ผู้อ่านที่ไม่ใช่ด้านเทคนิคสามารถใช้ข้อมูลสรุปเพื่อรับข้อมูลเชิงลึกเกี่ยวกับข้อกังวลด้านความปลอดภัยที่เปิดเผยโดยการทดสอบปากกา
• เครื่องมือ วิธีการ และเวกเตอร์: ส่วนนี้ครอบคลุมถึงเครื่องมือและวิธีการเบื้องหลังการทดสอบ ผู้ทดสอบยังสรุปรูปแบบการโจมตีทีละขั้นตอนซึ่งนำไปสู่การละเมิดที่ประสบความสำเร็จ
• การค้นพบโดยละเอียด: ส่วนนี้แสดงรายการความเสี่ยงด้านความปลอดภัย ช่องโหว่ ภัยคุกคาม และข้อกังวลทั้งหมดที่พบในการทดสอบการเจาะระบบ รายงานส่วนนี้แตกต่างจากบทสรุปผู้บริหารตรงที่เจาะลึกรายละเอียดทางเทคนิค
• คำแนะนำ: ส่วนคำแนะนำจะอธิบายวิธีปรับปรุงความปลอดภัยและปกป้องระบบจากการโจมตีทางไซเบอร์จริง

คุณควรทำการทดสอบการเจาะระบบบ่อยแค่ไหน?

บริษัทต่างๆ ดำเนินการทดสอบการเจาะระบบเป็นประจำ โดยทั่วไปปีละครั้ง นอกเหนือจากการทดสอบประจำปีแล้ว บริษัทควรจัดให้มีการทดสอบปากกาทุกครั้งที่ทีม:

• เพิ่มโครงสร้างพื้นฐานเครือข่ายใหม่
• ติดตั้งแอพพลิเคชั่นใหม่
• อัปเกรดหรือปรับเปลี่ยนโครงสร้างพื้นฐานหรือแอปพลิเคชันอย่างมีนัยสำคัญ
• จัดตั้งสำนักงานในที่ตั้งใหม่
• เพิ่มแพตช์รักษาความปลอดภัยใหม่
• ทำการเปลี่ยนแปลงนโยบายผู้ใช้ปลายทาง

ขึ้นอยู่กับขนาดและงบประมาณของบริษัทของคุณ การทำการทดสอบการเจาะระบบทุกครั้งที่ทีมทำการเปลี่ยนแปลงอาจไม่เป็นจริง ในกรณีดังกล่าว ทีมงานควรใช้การทดสอบการเจาะระบบและการสแกนช่องโหว่ร่วมกัน แม้ว่าจะไม่ได้มีประสิทธิภาพมากนัก แต่การสแกนช่องโหว่แบบอัตโนมัติจะเร็วกว่าและราคาถูกกว่าการทดสอบด้วยปากกา

ขั้นตอนการทดสอบการเจาะ

การทดสอบการเจาะเป็นแนวทางปฏิบัติที่ซับซ้อนซึ่งประกอบด้วยหลายขั้นตอน ด้านล่างนี้เป็นการดูทีละขั้นตอนว่าการทดสอบปากกาตรวจสอบระบบเป้าหมายอย่างไร

ขอบเขตการทดสอบการเจาะ

ขั้นตอนนี้เกี่ยวข้องกับการเตรียมตัวเบื้องต้นสำหรับการทดสอบ ทีมงานควร:

• สรุปลอจิสติกส์ของการทดสอบ
• กำหนดขอบเขตการทดสอบ
• ตั้งความคาดหวัง.
• กำหนดเป้าหมาย.
• กำหนดขีดจำกัดความก้าวร้าวของทีมเจาะทะลวง
• พิจารณาผลกระทบทางกฎหมายที่อาจเกิดขึ้น

การลาดตระเวน (การรวบรวมข่าวกรอง)

แฮกเกอร์เริ่มเรียนรู้เกี่ยวกับระบบและมองหาจุดเริ่มต้นที่เป็นไปได้ในระหว่างขั้นตอนการรวบรวมข้อมูล ระยะนี้ต้องการให้ทีมรวบรวมข้อมูลเกี่ยวกับเป้าหมายเป็นหลัก แต่ผู้ทดสอบยังสามารถค้นพบจุดอ่อนในระดับพื้นผิวได้

ขั้นตอนการลาดตระเวนรวมถึงการสแกนของ:

• ฮาร์ดแวร์ทั้งหมด
• เครือข่ายท้องถิ่นและไร้สาย
• ไฟร์วอลล์
• แอปพลิเคชันที่เกี่ยวข้อง
• เว็บไซต์.
• ระบบบนคลาวด์
• พฤติกรรมและระเบียบปฏิบัติของพนักงาน

คำทั่วไปอีกคำหนึ่งสำหรับขั้นตอนการลาดตระเวนคือ การรวบรวมข่าวกรองโอเพ่นซอร์ส (OSINT)

การสร้างแบบจำลองภัยคุกคาม

ผู้ทดสอบใช้ข้อมูลเชิงลึกจากขั้นตอนการลาดตระเวนเพื่อออกแบบภัยคุกคามแบบกำหนดเองเพื่อเจาะระบบ ทีมงานยังระบุและจัดหมวดหมู่เนื้อหาต่างๆ เพื่อการทดสอบ

การแสวงหาผลประโยชน์

ผู้ทดสอบพยายามที่จะเจาะเข้าไปในเป้าหมายผ่านจุดเริ่มต้นที่พบในระยะแรกๆ หากฝ่าฝืนระบบ ผู้ทดสอบจะพยายามยกระดับสิทธิ์การเข้าถึงของตน การเคลื่อนที่ไปทางด้านข้างผ่านระบบทำให้ผู้ทดสอบปากกาสามารถระบุ:

• การตั้งค่าการแบ่งกลุ่มเครือข่ายไม่ดี
• การเข้าถึงข้อมูลและทรัพยากรที่ละเอียดอ่อน
• การจัดการบัญชีและรหัสผ่านที่อ่อนแอ

หลังการแสวงหาผลประโยชน์

ผู้ทดสอบปากกาจะประเมินขอบเขตความเสียหายที่แฮ็กเกอร์อาจเกิดจากการหาประโยชน์จากจุดอ่อนของระบบ ขั้นตอนหลังการแสวงหาผลประโยชน์ยังกำหนดให้ผู้ทดสอบพิจารณาว่าทีมรักษาความปลอดภัยควรฟื้นตัวจากการละเมิดการทดสอบอย่างไร

การวิเคราะห์ การรายงาน และการสร้างขั้นตอนการดำเนินการสำหรับการป้องกัน

ผู้ทดสอบจะรวบรวมผลการทดสอบลงในรายงานที่สรุปดังนี้

• การแยกย่อยกิจกรรมของแฮ็กเกอร์ทีละขั้นตอน
• จุดอ่อนและช่องโหว่ที่ค้นพบ
• ผู้ทดสอบข้อมูลสามารถเข้าถึงได้
• นานแค่ไหนที่ผู้ทดสอบยังคงตรวจไม่พบภายในระบบ
• ขั้นตอนที่บริษัทต้องทำเพื่อลบช่องโหว่และป้องกันการโจมตีจริง

การทดสอบอีกครั้ง

เมื่อทีมรักษาความปลอดภัยดำเนินการเปลี่ยนแปลงจากรายงานปากกา ระบบก็พร้อมสำหรับการทดสอบใหม่ ผู้ทดสอบควรใช้การโจมตีจำลองแบบเดียวกันเพื่อดูว่าเป้าหมายสามารถต้านทานความพยายามในการฝ่าฝืนได้หรือไม่

วิธีการทดสอบการเจาะที่เป็นมาตรฐาน

โดยทั่วไปบริษัทต่างๆ จะใช้วิธีทดสอบการเจาะระบบที่เป็นมาตรฐานหนึ่งในห้าวิธี: OWASP, OSSTMM, ISSAF, PTES และ นิสต์

OWASP

OWASP (Open Web Application Security Project) เป็นเฟรมเวิร์กสำหรับระบุช่องโหว่ของแอปพลิเคชัน วิธีนี้ช่วยให้ทีมสามารถ:

• รับรู้ช่องโหว่ภายในแอปพลิเคชันบนเว็บและมือถือ
• ค้นพบข้อบกพร่องในแนวทางปฏิบัติในการพัฒนา

OWASP ยังช่วยให้ผู้ทดสอบสามารถประเมินความเสี่ยง ซึ่งช่วยประหยัดเวลาและช่วยจัดลำดับความสำคัญของปัญหา เฟรมเวิร์กนี้มีชุมชนผู้ใช้จำนวนมาก ดังนั้นจึงไม่มีบทความ OWASP เทคนิค เครื่องมือ และเทคโนโลยีมากมาย

OSSTMM

OSSTMM (คู่มือวิธีการทดสอบความปลอดภัยแบบโอเพ่นซอร์ส) อาศัยวิธีการทางวิทยาศาสตร์สำหรับการทดสอบการเจาะเครือข่าย กรอบงานที่ได้รับการตรวจสอบโดยผู้ทรงคุณวุฒินี้ให้ลักษณะเฉพาะที่แม่นยำของความปลอดภัยในการปฏิบัติงาน ซึ่งเหมาะสำหรับการแฮ็กอย่างมีจริยธรรม

OSSTMM ช่วยให้ผู้ทดสอบปากกาทำการทดสอบแบบกำหนดเองที่ตรงกับความต้องการทางเทคโนโลยีและเฉพาะขององค์กร

ไอเอสซาฟ

ISSAF (กรอบการประเมินความปลอดภัยของระบบสารสนเทศ) ให้แนวทางการทดสอบเฉพาะทางและมีโครงสร้าง

เฟรมเวิร์กนี้เหมาะสำหรับผู้ทดสอบที่ต้องการวางแผนและจัดทำเอกสารทุกขั้นตอนของการทดสอบปากกาโดยละเอียด ISSAF ยังมีประโยชน์สำหรับผู้ทดสอบที่ใช้เครื่องมือที่แตกต่างกัน เนื่องจากวิธีนี้ทำให้คุณสามารถเชื่อมโยงแต่ละขั้นตอนเข้ากับเครื่องมือเฉพาะได้

ปตท

PTES (ระเบียบวิธีและมาตรฐานการทดสอบการเจาะ) เสนอแนวทางการทดสอบเจ็ดขั้นตอนที่มีโครงสร้างสูง วิธีการนี้จะแนะนำผู้ทดสอบตลอดขั้นตอนการทดสอบการเจาะระบบทั้งหมด ตั้งแต่การลาดตระเวนและการรวบรวมข้อมูล ไปจนถึงการใช้ประโยชน์และการรายงานภายหลัง

PTES กำหนดให้ผู้ทดสอบต้องทราบกระบวนการขององค์กรเพื่อทำการทดสอบให้ประสบผลสำเร็จ

NIST

NIST (สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ) เสนอแนวทางการทดสอบการเจาะระบบที่แม่นยำเพื่อปรับปรุงความปลอดภัยทางไซเบอร์โดยรวม กรอบการทำงานนี้ได้รับความนิยมในอุตสาหกรรมที่มีความเสี่ยงสูง เช่น การธนาคาร การสื่อสาร และพลังงาน

การปฏิบัติตาม NIST มักเป็นข้อกำหนดด้านกฎระเบียบสำหรับธุรกิจในอเมริกา เพื่อให้เป็นไปตาม NIST บริษัทต้องทำการทดสอบการเจาะระบบบนแอปพลิเคชันและเครือข่าย

ประเภทของการทดสอบการเจาะ

การทดสอบการรุกจะแตกต่างกันในแง่ของเป้าหมาย เงื่อนไข และเป้าหมาย บริษัทจะให้ข้อมูลระดับต่างๆ เกี่ยวกับระบบแก่ผู้ทดสอบ ทั้งนี้ขึ้นอยู่กับการตั้งค่าการทดสอบ ในบางกรณี ทีมรักษาความปลอดภัยจะเป็นทีมที่มีความรู้จำกัดเกี่ยวกับการทดสอบ

การทดสอบการเจาะกล่องดำ

ทีมการเจาะไม่มีข้อมูลเกี่ยวกับระบบเป้าหมายในการทดสอบกล่องดำ แฮกเกอร์ต้องหาทางเข้าสู่ระบบของตนเองและวางแผนวิธีการจัดการกับการละเมิด

โดยปกติแล้ว ผู้ทดสอบจะมีเพียงชื่อบริษัทเมื่อเริ่มต้นการทดสอบกล่องดำ ทีมเจาะจะต้องเริ่มต้นด้วยการลาดตระเวนโดยละเอียด ดังนั้นการทดสอบรูปแบบนี้จึงต้องใช้เวลาพอสมควร

การทดสอบการเจาะกล่องสีเทา

ทีมทดสอบมีความรู้เกี่ยวกับผู้ใช้ที่มีสิทธิ์ระดับสูง แฮกเกอร์รู้เกี่ยวกับ:

• การออกแบบและสถาปัตยกรรมของเอกสาร
• โครงสร้างภายใน

การทดสอบปากกากล่องสีเทาช่วยให้ทีมมุ่งเน้นไปที่เป้าหมายที่มีความเสี่ยงและมูลค่าสูงสุดตั้งแต่เริ่มต้น การทดสอบประเภทนี้เหมาะสำหรับการเลียนแบบผู้โจมตีที่สามารถเข้าถึงเครือข่ายในระยะยาว

การทดสอบการเจาะกล่องสีขาว

ผู้ทดสอบปากกามีข้อมูลเกี่ยวกับระบบเป้าหมายก่อนที่จะเริ่มทำงาน ข้อมูลนี้อาจรวมถึง:

• ที่อยู่ IP
• แผนผังโครงสร้างพื้นฐานเครือข่าย
• โปรโตคอลผู้ใช้
• สิ่งประดิษฐ์ของระบบ (ซอร์สโค้ด, ไบนารี, คอนเทนเนอร์)

ผู้ทดสอบสามารถเข้าถึงเซิร์ฟเวอร์ที่รันระบบได้ ทั้งนี้ขึ้นอยู่กับการตั้งค่า แม้ว่าจะไม่แท้เท่ากับการทดสอบกล่องดำ แต่กล่องสีขาวก็สามารถจัดระเบียบได้อย่างรวดเร็วและราคาถูก

การทดสอบแบบกำหนดเป้าหมาย

เจ้าหน้าที่ไอทีของบริษัทและทีมทดสอบทำงานร่วมกันเพื่อทำการทดสอบแบบกำหนดเป้าหมาย ผู้ทดสอบและเจ้าหน้าที่รักษาความปลอดภัยจะทราบกิจกรรมของกันและกันในทุกขั้นตอน

อีกคำหนึ่งสำหรับการทดสอบแบบกำหนดเป้าหมายคือแนวทาง "เปิดไฟ" เนื่องจากการทดสอบมีความโปร่งใสสำหรับผู้เข้าร่วมทุกคน

การทดสอบภายนอก

การทดสอบภายนอกจำลองการโจมตีบนเซิร์ฟเวอร์หรืออุปกรณ์ที่มองเห็นได้จากภายนอก เป้าหมายทั่วไปสำหรับการทดสอบภายนอกคือ:

• เซิร์ฟเวอร์ชื่อโดเมน (DNS)
• แอปพลิเคชันเว็บ
• เซิร์ฟเวอร์อีเมล
• เว็บไซต์.
• เว็บและเซิร์ฟเวอร์แอปพลิเคชัน
• ไฟร์วอลล์

วัตถุประสงค์ของการทดสอบภายนอกคือการตรวจสอบว่าผู้โจมตีจากภายนอกสามารถเจาะเข้าสู่ระบบได้หรือไม่ วัตถุประสงค์รองคือการดูว่าผู้โจมตีสามารถไปได้ไกลแค่ไหนหลังจากการฝ่าฝืน

การทดสอบภายใน

การทดสอบภายในเลียนแบบภัยคุกคามภายในที่มาจากหลังไฟร์วอลล์ จุดเริ่มต้นโดยทั่วไปสำหรับการทดสอบนี้คือผู้ใช้ที่มีสิทธิ์การเข้าถึงมาตรฐาน สถานการณ์ทั่วไปสองประการคือ:

• พนักงานไม่พอใจที่ตัดสินใจทำลายระบบ
• ผู้โจมตีที่เข้าถึงระบบผ่านการโจมตีแบบฟิชชิ่ง

การทดสอบภายในเหมาะอย่างยิ่งสำหรับการพิจารณาว่าผู้ประสงค์ร้ายหรือพนักงานที่ถูกบุกรุกสามารถสร้างความเสียหายให้กับระบบได้มากเพียงใด

การทดสอบคนตาบอด

การทดสอบแบบ Blind Test จำลองการโจมตีในชีวิตจริง แม้ว่าทีมรักษาความปลอดภัยจะรู้เกี่ยวกับการทดสอบ แต่เจ้าหน้าที่ก็มีข้อมูลที่จำกัดเกี่ยวกับกลยุทธ์การละเมิดหรือกิจกรรมของผู้ทดสอบ

การทดสอบแบบปกปิดสองครั้ง

ในการตั้งค่าแบบปกปิดสองทาง มีเพียงหนึ่งหรือสองคนในบริษัทเท่านั้นที่ทราบเกี่ยวกับการทดสอบที่กำลังจะเกิดขึ้น การทดสอบแบบ double-blind เหมาะอย่างยิ่งสำหรับการตรวจสอบ:

• ระบบตรวจสอบความปลอดภัย
• โปรโตคอลการระบุเหตุการณ์
• ขั้นตอนการตอบสนอง

การทดสอบแบบ double-blind จะทำให้ทีมรักษาความปลอดภัยสามารถตรวจจับและตอบสนองต่อการโจมตีในชีวิตจริงได้อย่างแท้จริง

แนวทางการทดสอบการเจาะ (ขอบเขตการทดสอบ)

ด้านล่างนี้คือวิธีทดสอบการเจาะข้อมูลแบบต่างๆ ที่คุณสามารถใช้เพื่อตรวจสอบการป้องกันของบริษัทของคุณ

การทดสอบการเจาะเครือข่ายและการใช้ประโยชน์

การทดสอบการเจาะเครือข่ายเลียนแบบเทคนิคการแฮ็กสำหรับการละเมิดเครือข่าย เราเตอร์ สวิตช์ และโฮสต์

การทดสอบรูปแบบนี้ประกอบด้วย:

• การข้ามไฟร์วอลล์
• หลบเลี่ยงระบบป้องกันการบุกรุกยุคใหม่ (NGIPS)
• การทดสอบเราเตอร์และพร็อกซีเซิร์ฟเวอร์
• การหลีกเลี่ยง IPS และ DPS
• เปิดการสแกนพอร์ต
• การโจมตีด้านความปลอดภัย SSH
• นโยบายการทดสอบที่หยุดการเคลื่อนไหวด้านข้าง
• การสกัดกั้นการรับส่งข้อมูลเครือข่าย
• การค้นพบอุปกรณ์รุ่นเก่าและเครื่องใช้ของบุคคลที่สาม

การทดสอบประเภทนี้รวมถึงการหาประโยชน์จากเครือข่ายทั้งภายในและภายนอก จุดอ่อนที่พบบ่อยในการเจาะเครือข่ายคือ:

• สินทรัพย์ที่กำหนดค่าไม่ถูกต้อง
• ช่องโหว่เฉพาะผลิตภัณฑ์
• จุดอ่อนของเครือข่ายไร้สาย
• บริการอันธพาล
• โปรโตคอลรหัสผ่านที่อ่อนแอ

การโจมตีจำลองบนโครงสร้างพื้นฐานเครือข่ายของธุรกิจคือการทดสอบปากกาประเภทที่พบบ่อยที่สุด

การทดสอบความปลอดภัยของแอปพลิเคชันเว็บ

การทดสอบความปลอดภัยของแอปพลิเคชันจะค้นหาความเสี่ยงที่อาจเกิดขึ้นในแอปพลิเคชันฝั่งเซิร์ฟเวอร์ วิชาทั่วไปของการทดสอบเหล่านี้คือ:

• แอปพลิเคชันเว็บ
• API
• การเชื่อมต่อ
• กรอบงาน
• แอพมือถือ

ช่องโหว่ของแอปพลิเคชันทั่วไป ได้แก่:

• การปลอมแปลงคำขอข้ามไซต์และการเขียนสคริปต์
• ข้อบกพร่องในการฉีด
• การจัดการเซสชันไม่ดี
• การอ้างอิงวัตถุโดยตรงที่ไม่ปลอดภัย
• ข้อผิดพลาดในการเข้ารหัส
• การรับรองความถูกต้องหรือโปรโตคอลการอนุญาตที่ใช้งานไม่ได้
• การเข้ารหัสที่อ่อนแอ

ฝั่งไคลเอ็นต์หรือเว็บไซต์และเครือข่ายไร้สาย

การทดสอบประเภทนี้จะตรวจสอบอุปกรณ์ไร้สายและโครงสร้างพื้นฐานเพื่อหาช่องโหว่ การทดสอบปากกาไร้สายจะค้นพบการกำหนดค่าเครือข่ายไร้สายที่ไม่ปลอดภัยและการตรวจสอบการรับรองความถูกต้องที่ไม่ดี

การทดสอบประเภทนี้รวมถึงการสแกน:

• การกำหนดค่าเว็บเซิร์ฟเวอร์ไม่ถูกต้อง
• กลยุทธ์การป้องกันมัลแวร์และ DDoS
• การฉีด SQL
• การปลอมแปลงที่อยู่ MAC
• เครื่องเล่นมีเดียและซอฟต์แวร์สร้างเนื้อหา
• การเขียนสคริปต์ข้ามไซต์
• ฮอตสปอตและจุดเข้าใช้งาน
• โปรโตคอลการเข้ารหัส

การโจมตีทางวิศวกรรมสังคม

การทดสอบทางวิศวกรรมสังคมจะค้นหาช่องโหว่ภายในระเบียบปฏิบัติและพฤติกรรมของพนักงาน การตกเป็นเหยื่อของการโจมตีทางวิศวกรรมโซเชียลอาจนำไปสู่การเข้าถึงที่ไม่ได้รับอนุญาต มัลแวร์ แรนซัมแวร์ หรือข้อมูลประจำตัวที่ถูกบุกรุก

การทดสอบปากกาวิศวกรรมสังคมมักจะเลียนแบบการโจมตีในโลกแห่งความเป็นจริง เช่น:

• การดักฟัง
• การตัดหาง
• การโจมตีแบบฟิชชิ่ง
• หอกฟิชชิ่ง
• เหยื่อล่อ
• สแกร์แวร์
• การกล่าวอ้าง

การทดสอบทางกายภาพ

การทดสอบการเจาะทางกายภาพพยายามที่จะเข้าถึงพื้นที่ธุรกิจทางกายภาพ การทดสอบประเภทนี้ช่วยให้มั่นใจในความสมบูรณ์ของ:

• ระบบอาร์เอฟไอดี
• กล้อง.
• ระบบเข้าประตูและแผงปุ่มกด
• พฤติกรรมของพนักงานและผู้ขาย
• เซ็นเซอร์ตรวจจับความเคลื่อนไหวและแสง

แฮกเกอร์มักจะรวมการทดสอบทางกายภาพเข้ากับวิศวกรรมสังคมเพื่อสร้างเงื่อนไขการโจมตีที่สมจริง

การทดสอบปากกาคลาวด์

การทดสอบการเจาะระบบคลาวด์จะตรวจสอบการป้องกันที่ปกป้องทรัพย์สินระบบคลาวด์ การทดสอบปากการะบุความเสี่ยงที่อาจเกิดขึ้นภายในแอปพลิเคชัน เครือข่าย และการกำหนดค่าในการตั้งค่าคลาวด์ที่อาจทำให้แฮกเกอร์เข้าถึง:

• ข้อมูลประจำตัวของบริษัท
• ระบบภายใน.
• ข้อมูลที่ละเอียดอ่อน

การทดสอบประเภทนี้จำเป็นสำหรับบริษัทที่ใช้โซลูชัน IaaS, PaaS และ SaaS การทดสอบปากกาบนคลาวด์ก็มีความสำคัญเช่นกันเพื่อให้มั่นใจว่าการใช้งานคลาวด์ปลอดภัย

ส่วนสำคัญของกลยุทธ์การประเมินความเสี่ยง

การทดสอบการเจาะข้อมูลช่วยให้บริษัทสามารถค้นพบจุดอ่อนของระบบในเชิงรุกก่อนที่แฮกเกอร์จะมีโอกาสสร้างความเสียหาย เรียกใช้การโจมตีจำลองบนระบบของคุณเป็นประจำเพื่อให้แน่ใจว่าการดำเนินงานด้านไอทีปลอดภัยและป้องกันการละเมิดที่มีค่าใช้จ่ายสูง