Пентест мережі відповідає на два різні питання: «чи проб'ються до нас іззовні?» і «наскільки далеко зайде той, хто вже всередині?». Це два окремі тести з різними сценаріями, різною ціною й різними висновками. Загальний устрій процесу — етапи, звіт, моделі доступу — розібрано в оглядовій статті Пентест: що це і як проходить. Тут — специфіка саме мережевої інфраструктури.
Про різні назви однієї послуги
У договорі її зазвичай називають тестування на проникнення мережі, у розмові — пентест мережі, а в пошуку часто набирають латиницею: pentest мережі, pentesting мережі, penetration testing мережі. Запити про підхід виглядають як «методологія penetration testing мережі» чи «методологія тестування на проникнення мережі» — ідеться про один і той самий набір визнаних методик, про які нижче окремий розділ. Послуга одна, написань багато.
Зовнішній тест: погляд з інтернету
Моделює дії нападника, у якого немає жодного доступу, — лише ваша назва й публічні адреси.
Що перевіряють:
- які служби й порти відповідають ззовні — і чи всі вони справді мусять відповідати;
- забуті або тимчасові вузли: старий тестовий сервер, стенд підрядника, панель керування, підняті колись «ненадовго»;
- налаштування фаервола та правил фільтрації;
- захищеність віддаленого доступу: VPN, RDP, адміністративні інтерфейси;
- застаріле програмне забезпечення з відомими дірами;
- слабкі, типові або повторно використані облікові дані.
Окрема робота — узгодити, що саме входить у зовнішню поверхню. Компанія часто дає список із десяти адрес, а команда знаходить сорок: піддомени зі старих сертифікатів, записи у службі імен, згадки в публічних репозиторіях. Розбіжність між списком і реальністю — уже перша знахідка.
Типова знахідка. Служба, про яку в компанії давно ніхто не пам'ятає, але яка досі дивиться в інтернет. Часто винен радше спадок, ніж адміністратор: змінили підрядника, переїхали в іншу хмару, а старий вузол лишився ввімкненим.
Ще одна деталь: периметр давно перестав збігатися зі стінами офісу. Хмарні панелі керування, сервіси підрядників, домашні маршрутизатори працівників — усе це частина зовнішньої поверхні, хоча в жодній схемі воно не намальоване.
Внутрішній тест: нападник уже всередині
Вихідна умова інша: команді свідомо дають доступ рівня звичайного працівника — обліковий запис, робочу станцію або точку підключення. Підхід називають «припускаємо компрометацію» (assumed breach), і він ближчий до реальності, ніж здається: більшість гучних інцидентів починається не з пробою периметра, а з фішингового листа.
Що перевіряють:
- чи вдасться з робочої станції дістатися критичних серверів — тобто чи працює сегментація;
- чи можна підвищити права до адміністративних;
- як зберігаються й передаються облікові дані — паролі у скриптах, спільних теках, старих сесіях;
- чи можна перехопити або підмінити внутрішній трафік;
- наскільки жорсткі політики доступу й чи прибираються права після звільнення.
Технічно доступ дають по-різному: обліковий запис у домені, віртуальна машина всередині контуру або фізичне підключення до розетки в переговорній. Останній варіант перевіряє заразом і фізичний контроль — гостя, якого лишили наодинці з розеткою.
Типова знахідка. Пласка структура без поділу: із будь-якого комп'ютера бухгалтерії видно сервер із резервними копіями. Покроковий шлях нападника всередині розібрано у статті інформаційна безпека мереж і баз даних.
Wi-Fi, комутатори, принтери: те, що забувають унести в межі
Перелік меж (scope) часто зводиться до переліку серверів. А поза ним лишається:
- гостьовий Wi-Fi, який «чомусь» бачить робочі ресурси;
- комутатори й маршрутизатори з типовим паролем, увімкненим SNMP і прошивкою кількарічної давності;
- принтери, камери, розумні телевізори — повноцінні вузли з власною операційною системою, які майже ніхто не оновлює;
- резервні канали та модеми, підняті «щоб працювало» і згодом забуті.
Кожен із них — цілком законна точка входу. Просте правило: якщо пристрій має адресу, він має бути в переліку.
Методології: PTES, OSSTMM, NIST SP 800-115
Методологія потрібна для того, щоб перевірка була повторюваною й повною, а не набором випадкових спроб.
| Документ | Що дає | Особливість |
|---|---|---|
| PTES | послідовність робіт від домовленостей до звіту | найпоширеніший каркас у комерційних проєктах |
| OSSTMM | вимірювання: скільки поверхні відкрито й наскільки вона контрольована | орієнтований на числову оцінку, а не на перелік знахідок |
| NIST SP 800-115 | технічний посібник з оцінювання захищеності | чотири фази: планування → виявлення → атака → звіт |
Деталь із документа NIST, яку зазвичай пропускають: фаза атаки замикається назад на виявлення. Щойно фахівець дістав новий доступ, він бачить те, чого раніше не бачив, — і цикл починається заново. Саме тому одноразовий прохід по чеклісту повноцінним підходом не вважається.
MITRE ATT&CK стоїть осторонь: це словник технік нападника, а не спосіб організації робіт. Ним зручно описувати знахідки, щоб служба моніторингу зрозуміла, які саме дії їй треба навчитися бачити.
Головне: визнаний підхід каже, що має бути покрито й у якій послідовності, але не диктує інструментів. Питання «за яким стандартом ви працюєте» варто поставити виконавцеві ще до підписання договору.
Практичний наслідок: якщо наступного року роботу виконає інша команда за тим самим каркасом, результати можна буде порівняти. Без спільної основи два звіти просто не зіставляються, і динаміку захищеності побачити нікому.
Що робити з результатами
Знайдене зазвичай розкладається у три кошики:
- Закрити зайве — служби, порти, доступи, які нікому не потрібні. Найдешевший і найшвидший клас виправлень.
- Оновити — програмне забезпечення, прошивки, компоненти з відомими дірами.
- Розділити — сегментація, обмеження прав, окремі зони для серверів, робочих станцій і гостей.
Порядок тут свідомий: спершу зникає зайве, потім закривається відоме, й аж тоді береться найдорожче — перебудова структури. Пріоритет усередині кошиків задає видимість: те, до чого дотягується будь-хто з інтернету, закривають першим. Системно ці заходи описано у статтях політика мережевої безпеки та безпека корпоративної мережі. А між перевірками картину тримає регулярне сканування вразливостей — воно дешевше й запускається частіше.
Помилки в межах перевірки
- Замовили лише зовнішній тест. Периметр чистий, а всередині — пласка структура. Половина картини.
- Виключили критичні системи саме тому, що вони критичні. Нападник таких обмежень не має. Якщо страшно чіпати бойову систему — тестують її копію, а не викреслюють зі списку.
- «У нас NAT, нас не видно». Трансляція адрес не є фільтрацією — про це докладно в матеріалі міжмережевий екран.
- Отримали звіт і не змінили структуру. Оновити пакет легко, розділити зони — дорого, тож саме третій кошик найчастіше лишається невиконаним.
Плануєте перевірку інфраструктури? Фахівці визначать межі, проведуть зовнішній і внутрішній тест і нададуть звіт із пріоритетами — отримати консультацію.