Kas yra įsilaužimų testavimas ir kada jo reikia įmonei?

Užpuolikai taikinių nesirenka pagal įmonės dydį – jie eina mažiausio pasipriešinimo keliu. Būtent todėl brangiausiai atsieina prielaida „mes niekam neįdomūs“: sąskaita už ją ateina vėliau ir su palūkanomis. Įsilaužimų testavimas šią eilę apverčia, nes patikra vyksta prieš incidentą, o ne po jo – pagal rašytinį leidimą ir sutartą apimtį kažkas bando įsilaužti, o paskui surašo, kur pavyko. Šiame straipsnyje surinkta, kas yra įsilaužimų testavimas, kuo jis skiriasi nuo spragų skenavimo, kaip vyksta patikra, kokie yra įsilaužimų testų tipai, kas lemia kainą ir ko dėl testavimo reikalauja Lietuvos teisės aktai. Rašyta ir nespecialistui, ir kibernetinio saugumo vadovui.

Kas yra įsilaužimų testavimas?

Įsilaužimų testavimas – tai kontroliuota informacinės sistemos, tinklo arba aplikacijos ataka, kurią pagal rašytinį savininko užsakymą atlieka saugumo specialistai, dar vadinami etiniais hakeriais. Tikslas – ne surašyti klaidas, o jomis pasinaudoti, nes tik išnaudojimas parodo, ką su konkrečia klaida padarytų tikras užpuolikas. Nuo tikro įsilaužimo testą skiria keturi dalykai: rašytinis leidimas, sutarta apimtis, laiko langas ir tai, kad po darbo viskas lieka veikti.

Lietuvių kalboje šiam darbui įsitvirtinęs pavadinimas – įsilaužimų testavimas, o šnekamojoje kalboje vartojamas pentestas. Du vertiniai geriau apeiti. „Penetracinis testavimas“ lietuviškai pirmiausia primena bitumo adatinės penetracijos matavimą pagal LST EN 1426, o „skvarbos testavimas“ – kapiliarinę medžiagų kontrolę skvarbiaisiais skysčiais. Nei suvirinimo siūlių tikrinimas, nei bitumo minkštumas su kibernetiniu saugumu niekur nesusikerta, o „įsiskverbimo testavimas“ pasitaiko nebent mašininio vertimo tekstuose.

Naudingas palyginimas – nepriklausomo auditoriaus darbas. Auditorius buhalterijos neveda, bet tikrina, ar procesai ir kontrolės veikia taip, kaip teigia vadovybė. Įsilaužimų testas tą patį daro su apsauga: patvirtina, kad sistemos sukonfigūruotos pagal gerąją praktiką ir kad testo dieną jose nėra viešai žinomų pažeidžiamumų. Stebuklingos priemonės iš to tikėtis neverta. Testas veikia tada, kai yra didesnės visumos dalis, o toje visumoje telpa reguliarus spragų skenavimas, darbuotojų mokymai, veiksmų planas incidento atveju ir galinių įrenginių stebėsena.

Kuo įsilaužimų testas skiriasi nuo spragų skenavimo?

Pasiūlymuose šios dvi paslaugos dažnai suplaukia į viena, nors atsako į skirtingus klausimus. Pažeidžiamumų vertinimas daugiausia yra automatizuotas darbas: įrankis palygina veikiančias versijas ir nustatymus su žinomų klaidų duomenų baze ir galiausiai pateikia sąrašą. Įsilaužimų testas tęsiasi ten, kur sąrašas baigiasi. Testuotojas radinius patikrina rankomis, sujungia į grandinę tas klaidas, kurios atskirai atrodo nekaltos, ir randa verslo logikos skyles, kurių neaprašo joks įrankis. Skenavimas atsako, kas pasenę. Testas atsako, kas išnaudojama ir kaip toli su tuo nueinama.

Lietuvoje prie šio pokalbio prisideda niuansas, kurio užsienio medžiagoje nerasite. Spragų skenavimas čia nėra rinkodaros pavadinimas – tai reguliavimo žodis ir konkreti techninė priemonė: Kibernetinio saugumo reikalavimų aprašo 45.8 papunktis kibernetinio saugumo subjektams nustato visos informacinės sistemos pažeidžiamumų skenavimą ne rečiau kaip kas 6 mėnesius. Iš to plaukia praktinė išvada, kurią rinkoje retai kas pasako garsiai: įsilaužimų testas šios pareigos neatstoja, o skenavimas neatstoja testo. Pirmasis – šiems subjektams privaloma reguliari kontrolė, antrasis – savanoriška gilesnė patikra, kurios jokia norma nereikalauja. Pirkėjui tai reiškia, kad iš vieno rangovo pasiūlymo, kuriame parašyta tik „saugumo patikra“, nematyti, kuri iš dviejų pareigų bus uždaryta. Abi patikras greta esame sustatę straipsnyje apie tai, kada rinktis pažeidžiamumų skenavimą, o kada įsilaužimų testavimą.

Kodėl testuoja ir tie, kurie savęs taikiniu nelaiko

Įsitikinimas, kad įmonė užpuolikams per maža arba per nuobodi, brangiausiai atsieina tą akimirką, kai pasirodo klaidingas. 2023 m. kibernetinę ataką patyrė 41 proc. smulkiųjų įmonių. Užpuolikas žiūri ne į darbuotojų skaičių, o į atvirą prievadą, pasenusį komponentą ir tarnybinę paskyrą, kurios slaptažodžio metų metus niekas nekeitė. Infrastruktūra tokia saugi, koks saugus jos silpniausias taškas, o tai, ko niekas niekada netikrino – vidinis tinklas, belaidis tinklas, debesija – lieka akla zona. Ja vienodai gerai pasinaudoja ir nuoskaudą turintis darbuotojas, ir kas nors iš išorės.

Reputacija ir pinigai

• Duomenų nutekėjimas ir prastova. Teste rasta klaida – tai klaida, kuria niekas daugiau nepasinaudos. Ten, kur veikla nepertraukiama (elektroninėje parduotuvėje ar finansų paslaugoje), kiekviena prastovos minutė virsta negautomis pajamomis ir pasitikėjimu, kurio per ketvirtį atgal neuždirbsi.
• Klientų pasitikėjimas. Vienas incidentas ištrina metais statytą reputaciją. Reguliarus testavimas veikia priešinga kryptimi: partneriams jis parodo, kad saugumas yra procesas, o ne pareiškimas. Viešuosiuose pirkimuose tai vis dažniau tampa atskiru vertinimo kriterijumi.
• Teisinė ir priežiūros rizika. BDAR 32 straipsnis reikalauja procedūros, kuria reguliariai tikrinamas ir vertinamas techninių bei organizacinių priemonių veiksmingumas. Įsilaužimų testo jis taip nevadina, bet praktikoje tai vienas iš įrankių, kuriais tas veiksmingumas matuojamas. Asmens duomenų apsaugą Lietuvoje prižiūri Valstybinė duomenų apsaugos inspekcija.

Ką kainuoja neatliktas testas

Jei įsilaužimų testas yra tik išlaidų eilutė, tai iš sąskaitos dingsta būtent ta pusė, kurią galima suskaičiuoti. Tyrimai rodo, kad kiekvienas testavimui investuotas doleris sutaupo iki dešimties dolerių, kuriuos kainuoja incidento padariniai. Testo kaina kukli šalia sąskaitos, kurią išrašo rimtas saugumo įvykis: nukentėjusių asmenų informavimas, priežiūros institucijos procedūra, teisinė pagalba ir ilgas darbas atkuriant prekės ženklą.

Reguliarumas taip pat turi skaitinę pusę. Viena vidutinio dydžio įmonė per pusmetį nepašalintų pažeidžiamumų skaičių sumažino 42 proc., pereidama nuo metinio ciklo prie ketvirtinio. Naujų atakos būdų atsiranda kas savaitę, todėl metų senumo ataskaita aprašo sistemą, kurios tokio pavidalo nebėra. Ir dar viena mintis: reikalavimas iš teisės akto yra geras pretekstas testavimą pradėti ir blogas pretekstas ties tuo sustoti. Auditorius žiūri, ar testas įvyko. Užpuolikas žiūri, ar po jo kas nors pasikeitė.

Kaip vyksta įsilaužimų testas?

Profesionalaus testo sandara stabili ir paprastai remiasi pripažinta testavimo metodika – pavyzdžiui, PTES (Penetration Testing Execution Standard) standartu, nustatančiu žemiausią kokybės ir išsamumo ribą.

Juodosios, baltosios ar pilkosios dėžės principas

• Juodosios dėžės principas. Apie sistemos vidų testuotojas negauna nieko. Taip modeliuojamas užpuolikas iš išorės, žinantis tik tai, ką išsiaiškina pats. Tikrovei šis variantas artimiausias, tačiau reikalauja daugiausia laiko – kartais daugiau nei mėnesio – ir todėl kainuoja brangiausiai.
• Baltosios dėžės principas. Testuotojas gauna viską: tinklo schemas, architektūros aprašymą, paskyras, neretai ir pirminį kodą. Šis modelis patikrina, ar vidiniai pažeidžiamumų valdymo procesai iš tikrųjų veikia, ir iškelia konfigūracijos klaidas, prie kurių ataka iš išorės neprieitų ir per kelias savaites. Vaizdas iš to susidaro išsamiausias.
• Pilkosios dėžės principas. Testuotojas gauna tikslingai parinktą informaciją, dažniausiai naudotojų paskyras ir trumpą sistemos aprašymą. Taip modeliuojamas nuoskaudą turintis darbuotojas arba pavogta paskyra, o kaina ir gylis čia subalansuoti geriausiai. Šis variantas pasirenkamas dažniausiai.

Modelis renkamas pagal grėsmę, kurios organizacija iš tikrųjų bijo, o ne pagal biudžeto eilutę. Protingoje programoje jie maišomi: iš išorės juodoji dėžė viešoms sistemoms, iš vidaus baltoji dėžė toms, kurių sustojimas sustabdo įmonę.

Įsilaužimų testo etapai

Tą pačią seką kartais aprašo šešiais etapais – planavimas, žvalgyba, informacijos analizė, ataka, rezultatų analizė ir rekomendacijos – ir turinys nuo to nepasikeičia. Visą darbą lemia du etapai, ir abu dažnai atliekami paviršutiniškai. Pirmasis – pasirengimas, nes blogai nustatyta apimtis kainuoja daugiau nei bet kuri kita projekto klaida. Antrasis – darbas gavus prieigą: pats įėjimas apie nuostolio dydį dar nieko nepasako, ir tik teisių išplėtimas bei persikėlimas į kitas sistemas parodo, kaip giliai užpuolikas nueitų ir ką dėl to taisyti pirmiausia.

Kokie yra įsilaužimų testų tipai?

Užpuolikai vienu metu eina keliais keliais, todėl vienas testo tipas viso atakos paviršiaus neuždengia. Kas tikrina tik išorinį tinklą, palieka aklas zonas, o anksčiau ar vėliau į jas kas nors pažiūri.

Visą paviršių dengti logiška todėl, kad užpuolikas smogia į silpniausią vietą, nesvarbu, kur ji būtų. Jei fizinė prieiga ar žmogiškasis veiksnys lieka už apimties ribų, durys atsiveria ir techniškai tvarkingoje organizacijoje. Aplikacijoms atskaitos taškas tebėra OWASP Top 10 – reguliariai atnaujinamas svarbiausių web klaidų sąrašas, – o tai, kad radiniai iš esmės kartoja tas pačias kategorijas, savaime jau yra išvada: metų metus žinomos klaidos tebeveikia gamyboje. Kam reikia ne vienos skiltelės, o viso vaizdo, po pentestų paprastai pereina prie Red Team operacijų, nes jos vienu metu matuoja ir apsaugą, ir gebėjimą ataką pastebėti. Atskira sritis – AI ir LLM integracijų testavimas, kur atakos paviršių sukuria pats modelis.

Kas lemia įsilaužimų testo kainą?

Kaina neateina iš vienetinių įkainių lentelės. Darbas matuojamas žmogaus dienomis, o dienų skaičių lemia tai, ką ir kaip giliai reikia apžiūrėti. Labiausiai jį judina šie veiksniai.

• Apimtis. Kiek aplikacijų, kiek IP adresų, kiek naudotojų rolių, kiek įrenginių ir kiek vietų telpa į darbą. Vienos aplikacijos patikra juntamai pigesnė nei visos IT infrastruktūros ar debesijos peržiūra.
• Testo modelis. Juodosios dėžės principas paprastai brangesnis ir ilgesnis nei baltosios, kai testuotojas iš karto gauna viską. Pilkoji dėžė yra viduryje.
• Aplinkos sudėtingumas. Vidinė patikra kainuoja daugiau nei išorinė, nes papildomai analizuojamos teisės, duomenų srautai ir sistemų tarpusavio priklausomybės. Kelis nuomininkus aptarnaujanti SaaS aplinka prideda dar vieną sluoksnį.
• Rankinio darbo dalis. Automatizuotas įrankis aplikacijos logikos nesupranta, todėl būtent rankinis darbas randa teisių ir logikos klaidas. Čia dažniausiai ir išsiskiria du pasiūlymai tai pačiai sistemai, kartais dvigubai.
• Komandos kvalifikacija. Patyręs testuotojas kainuoja daugiau ir pastebi tai, kas mažiau patyrusiam neužkliūva. Taupymas šioje vietoje tariamas: nerastas pažeidžiamumas lieka sistemoje kartu su pigesnio testo sąskaita.
• Reikalavimai ataskaitai. Jei ataskaita turi įsigulti į konkretų rėmą – ISO/IEC 27001 arba NIS2 pasirengimo įrodymus – arba kalbama apie neįprastą technologijų rinkinį, tai papildomas darbas.
• Pakartotinis patikrinimas. Pataisymų peržiūra ir konsultacijos šalinimo metu išlaidas didina, tačiau būtent iš jų ataskaita virsta pokyčiais.
• Vykdytojų prieinamumas. Testuotojų rinka siaura, ir geroms komandoms artimiausias laisvas langas neretai būna po kelių savaičių; tai taip pat atsiliepia kainai.

Vieno teisingo skaičiaus čia nėra, ir kainoraštis pagal darbuotojų skaičių jo nepakeis: skaičiuoti verta nuo savo sistemų sąrašo. Vienas praktinis orientyras vis dėlto veikia be jokių lentelių – jei pasiūlymas vidutinio sudėtingumo aplikacijai kelis kartus pigesnis už visus kitus, pirkėjas greičiausiai gaus spragų skenavimą, o ne rankinę patikrą. Kaip tą skaičių išsivesti savo apimčiai, aprašyta straipsnyje apie tai, kiek kainuoja įsilaužimų testavimas.

Ko dėl įsilaužimų testų reikalauja Lietuvos teisė

Kibernetinio saugumo reikalavimus Lietuvoje nustato Kibernetinio saugumo įstatymas. NIS2 direktyva perkelta ne atskiru teisės aktu, o šį įstatymą išdėstant nauja redakcija (įstatymas Nr. XIV-2902, priimtas 2024 m. liepos 11 d., įsigaliojęs 2024 m. spalio 18 d.). Konkrečios techninės ir organizacinės pareigos surašytos Vyriausybės nutarimu Nr. 945 patvirtintame Kibernetinio saugumo reikalavimų apraše. Būtent čia rinkos medžiaga klysta dažniausiai.

Trys reguliarios pareigos, ir nė viena iš jų – ne testas

Toliau surašytos pareigos taikomos kibernetinio saugumo subjektams, o ne visoms rinkoje veikiančioms įmonėms, todėl pirmas klausimas visada yra statusas, o ne dažnumas.

Teiginys „NIS2 įpareigoja kasmet atlikti įsilaužimų testą“ yra paprasčiausiai neteisingas. Kasmetinė pareiga tikrai yra, bet tai atitikties vertinimas, kurį subjektas atlieka pats; reguliari techninė patikra tikrai yra, bet tai spragų skenavimas kas 6 mėnesius; auditas tikrai yra, bet jis atliekamas kas 3 metus ir jį atlieka teisės aktuose aprašytus reikalavimus atitinkantys auditoriai. Įsilaužimų testas nėra nė viena iš šių trijų pareigų. Kiekviena iš jų atskirai – ką tiksliai nurodo aprašo papunkčiai ir nuo kada skaičiuojami terminai – išnarstyta straipsnyje apie tai, ar įsilaužimų testavimas privalomas. Kiek prie šių pareigų prisideda jau turimas standartas, atskirai išnarstyta straipsnyje apie tai, ar ISO 27001 pakanka NIS2 reikalavimams.

Nuo kada skaičiuojami terminai

Bendros visai rinkai datos nėra, ir tai svarbiausia praktinė detalė. Terminai skaičiuojami kiekvienam subjektui atskirai – nuo jo paties registracijos Kibernetinio saugumo informacinėje sistemoje (KSIS): organizaciniams reikalavimams įgyvendinti skiriama 12 mėnesių, o Apraše išvardytiems techniniams reikalavimams – 24 mėnesiai. Todėl pirmas žingsnis rengiantis yra ne kalendorius iš straipsnio, o savo registracijos datos pasitikrinimas.

Kas gali atlikti testą

Čia normą verta skaityti pažodžiui, nes rinkoje ji perpasakojama laisvai. Įsilaužimų testuotojams Lietuvoje netaikomi nei licencijavimo, nei registravimo reikalavimai: testuotojų registro nėra, o žodis „licencija“ Kibernetinio saugumo įstatyme neminimas nė karto. Vadinasi, vykdytoją renkasi pats užsakovas, ir vieninteliai realūs filtrai – kompetencija, nepriklausomumas ir rašytinė sutartis.

Kitaip yra su auditu. Kibernetinio saugumo įstatymo 14 str. 8 d. numatytą kibernetinio saugumo auditą atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, papildomai baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą. Ši norma riboja ne pavadinimą, o veiklos vykdytojų ratą, todėl audito ir įsilaužimų testo painioti negalima nei viena, nei kita kryptimi. Kam tokį auditą apskritai leidžiama atlikti, surašyta straipsnyje apie tai, kas gali atlikti kibernetinio saugumo auditą, o ko jis reikalauja iš pačios organizacijos – straipsnyje apie tai, kaip pasirengti kibernetinio saugumo auditui.

Verta žinoti ir tai, kad įstatymas atskirai reglamentuoja sąžiningą pažeidžiamumų paiešką be užsakymo kibernetinio saugumo subjektų valdomose sistemose: Kibernetinio saugumo įstatymo 25 str. tokiai veiklai kelia griežtas sąlygas – pranešti Nacionaliniam kibernetinio saugumo centrui per 24 valandas, sustoti radus ir patvirtinus pažeidžiamumą, nespėlioti slaptažodžių, nemanipuliuoti darbuotojais ir laikytis viešo atskleidimo termino. Užsakytas testas stovi ant kitokio pagrindo, ir tai yra paprastesnis pagrindas: dirbama pagal rašytinį užsakovo leidimą ir sutartą apimtį, o ribos suderinamos iš anksto. Kaip pasirinkti vykdytoją, plačiau aprašyta straipsnyje apie tai, kam patikėti patikrą.

Ką gaunate įsilaužimų testo pabaigoje

Rezultatas – ataskaita, ir iš jos matyti, kiek darbas buvo vertas. Ataskaitos turinio teisės aktai nenustato, todėl reikalavimų lygį nustato pirkėjas. Naudingoje ataskaitoje yra penkios dalys.

• Apimtis ir laikas. Kurios sistemos, sąsajos ir prieigos lygiai tikrinti, kokiu modeliu ir kuriomis dienomis.
• Radiniai su įrodymais. Kiekvienam radiniui – atkūrimo žingsniai ir įrodymas, kad pažeidžiamumas praktiškai išnaudojamas, o ne tik pažymėtas įrankio.
• Rizikos vertinimas konkrečioje aplinkoje. Šalia CVSS įverčio – aprašymas, ką klaida reiškia būtent šioje organizacijoje: klientų duomenys, prastova, finansinis nuostolis.
• Taisymo eiliškumas. Ne „atnaujinkite sistemą“, o kuris komponentas, iki kurios versijos, kuris nustatymas ir nuo ko pradėti.
• Pakartotinis patikrinimas. Po pataisymų radiniai peržiūrimi dar kartą ir raštu užfiksuojama, kurie uždaryti. Būtent šis dokumentas pažeidžiamumų sąrašą paverčia atliktu darbu.

Metodiką įvardijame ataskaitoje: web aplikacijas tikriname pagal OWASP ASVS ir OWASP WSTG, kad apimtį būtų galima palyginti su viešu kriterijų sąrašu, o ne su mūsų žodžiu. Kibernetinio saugumo vadovui ataskaita yra ir pokalbio įrankis: kai šalia kiekvieno radinio stovi finansinė ar veiklos pasekmė, pokalbis su vadovybe iš prašymo skirti biudžetą virsta prioritetų pasirinkimu.

Santrauka

Įsilaužimų testavimas nebėra atsargiųjų prabanga. Atakos pigios ir automatizuotos, o reguliavimas tapo konkretus: Kibernetinio saugumo įstatymas ir Kibernetinio saugumo reikalavimų aprašas įvardija reguliarias pareigas ir jų dažnumus, ir pagal juos organizacija turi gebėti parodyti ne tik patikros faktą, bet ir tai, kas su radiniais padaryta toliau. Įsilaužimų testas tarp tų pareigų nefigūruoja, ir kaip tik todėl jį verta suprasti teisingai: tai savanoriška gilesnė patikra, kuri parodo, ar privalomos kontrolės iš tikrųjų veikia. Pirmiausia išsiaiškinkite savo statusą ir registracijos datą, paskui planuokite testus ir tik tada lyginkite pasiūlymus.

HAXORIS – Slovakijoje, Europos Sąjungos ir NATO valstybėje narėje, registruota įmonė, Lietuvoje neturinti nei biuro, nei atstovybės. Kibernetinio saugumo įstatymo 14 str. 8 d. numatyto audito neatliekame ir sertifikatų neišduodame: jį atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, atitinkantys teisės aktuose nustatytus reikalavimus. Siūlome techninį saugumo testavimą ir pasirengimo vertinimą – įsilaužimų testavimą visais anksčiau išvardytais būdais ir įsilaužimų testavimą NIS2 pasirengimui, kai ataskaita reikalinga ir kaip techninis įrodymas. Jei praverstų antras žvilgsnis, užsisakykite nemokamą konsultaciją ir pasiimkite sistemų sąrašą: per pusvalandį paprastai paaiškėja, nuo ko pradėti.

Įsilaužimų testavimas – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: web aplikacijų ir IT infrastruktūros įsilaužimų testavimas · įsilaužimų testavimas pasirengiant NIS2 reikalavimams