Sérülékenységvizsgálat és penetrációs teszt
Általános információk
KÉK CSAPATOKNAK
VÖRÖS CSAPATOKNAK
Ingyenes sérülékenységvizsgálat, penetrációs teszt
Ingyenes HACKR sérülékenységkeresőnket azoknak a cégeknek ajánljuk, akik kételkednek a sérülékenységvizsgálat szükségességében. A célunk az, hogy a szervezetek olyan szemmel láthassák kiszolgálóikat, ahogyan azokat a kiberbűnözők és az automatikus támadótechnológiák is látják.
Mit kínálunk Önöknek?
Sérülékenységvizsgálat és penetrációs teszt szolgáltatásunkkal beazonosítjuk és kijavítjuk rendszerei, szolgáltatásai és szoftverei azon sebezhetőségeit, amikkel a kiberbűnözők olyan károkat okoznak, amiknek jellegét és mértékét jelenleg el sem tudják képzelni.
Mit tartalmaz a szolgáltatás?
Mindenre kiterjedő, nemzetközi módszertan alapján elvégzett vizsgálatot, részletes kifejtéssel és javítási javaslatokkal ellátott vizsgálati jelentést, segítségnyújtást a javításokban, visszaellenőrzést és kapcsolódó tanácsadásokat – nemcsak most, de a jövőben is.
Miért válasszon minket?
Fontosnak tartjuk, hogy az általunk elvégzett vizsgálat, tanácsadás és segítségnyújtás a lehető legnagyobb hasznot jelentse ügyfeleink számára. Ennek megfelelően Önök partnerünkként profitálnak a kiberbiztonsági auditokban és követelményrendszerekben szerzett sokéves tapasztalatunkból.
Ha érdeklődik a sérülékenységvizsgálat, penetrációs teszt, forráskódvizsgálat, mobilapp biztonsági vizsgálat és operációs rendszer hardening vizsgálataink iránt, kattintson a TOVÁBB A SZOLGÁLTATÁSOKRA gombra!
Ha kíváncsi a felsoroltak általános jellemzőire is, görgessen tovább!
Mi az a sérülékenységvizsgálat és penetrációs teszt?
A sérülékenységvizsgálat célja, hogy a szervezetek által üzemeltetett és általuk meghatározott rendszerek sebezhetőségei beazonosításra és javításra kerüljenek, ezzel csökkentve egy célzott vagy algoritmusok által tömegesen végrehajtott hackertámadás sikeres bekövetkezésének valószínűségét.
| Módszer | Sérülékenységvizsgálat | Penetrációs teszt |
|---|---|---|
| Sérülékenységek… | azonosítása | azonosítása + hatásvizsgálata |
| Kiindulás | külső / belső hálózati | külső / belső hálózati |
| Mélység | black‑ / gray‑ / white‑box | black‑ / gray‑ / white‑box |
A sérülékenységvizsgálat és a penetrációs teszt közötti lényegi különbség, hogy míg előbbi a sérülékenységek beazonosításánál megáll, addig az utóbbi már a felfedezett sérülékenységek gyakorlati próbáját, validálását is tartalmazza, aminek eredményei alapján meghatározható a sérülékenységekkel okozható károk típusa és kiterjedése.
A vizsgálatok általános típusai
Black-box
A black-box vizsgálat során kizárólag azokkal a lehetőségekkel élünk, amik egy külsős, távoli támadó rendelkezésére állnak: publikusan elérhető felületek, regisztrációs lehetőségek és űrlapok, kint felejtett tesztoldalak, keresőrobotok által indexelt információk.
Mikor ajánlott: Ha a rendszer nem rendelkezik erős azonosítást alkalmazó, felhasználói vagy admin szintű belépési interfésszel.
Gray-box
A gray-box vizsgálat esetében már ügyfél és admin oldali információkat, technikai részleteket, valamint dokumentációkat is felhasználunk, tehát a vizsgált rendszer kapcsolódási pontjaihoz, felületeihez is hozzáférünk – figyelembe véve a megbízó igényeit.
Mikor ajánlott: Ha a rendszer egynél több jogosultsági szintet definiál vagy a fiókok létrehozását humán azonosítás előzte meg.
White-box
A white-box vizsgálat során már nemcsak ügyfél és admin oldali információkat használunk fel, hanem a Megbízó részletes rendszerleírását is, ide értve a futtató infrastruktúrát, felhasznált keretrendszereket, a forráskódokat és a konfigurációs fájlokat is.
Mikor ajánlott: Ha a rendszer a rendszer erősen szenzitív, vagy üzleti szempontból kritikus adatokat kezel.
Static Application Security Testing (SAST)
A szoftver forráskódjának vagy binárisának biztonsági vizsgálata annak aktív futtatása nélkül. Ebben a vizsgálati stratégiában kizárólag azok a sérülékenységek kerülnek beazonosításra, amik a forráskódból, vagy a bináris fájlból kiderül.
Mikor ajánlott: Ha a vizsgált szoftver programozásának és konfigurációjának biztonsági hiányosságait keressük.
Dynamic Application Security Testing (DAST)
Ebben a vizsgálati stratégiában azok a sérülékenységek kerülnek beazonosításra, amik az aktív működésből, használatból derülhetnek ki. A mélyebb rétegeket, esetleg forráskód szintű sebezhetőségek beazonosítására nem mindig megfelelő.
Mikor ajánlott: Ha a vizsgált szoftver éles támadási felületeit akarjuk beazonosítani, külsős támadóként.
Interactive Application Security Testing (IAST)
Ötvözi a statikus és a dinamikus vizsgálatok jellemzőit. Egy kifinomult, célzott támadásnál a felkészült támadók is ennek a stratégiának megfelelően felépített taktikával derítik ki a szoftverek, rendszerek és szolgáltatások támadható sebezhetőségeit.
Mikor ajánlott: Ha a vizsgált szoftver teljes körű biztonsági felülvizsgálatára van szükség, külsős és belsős oldalról.
A vizsgálatok paraméterei
| Mennyiség | Módszer | Módszertan | Mélység | Technika | Kiindulás | Intenzitás | Megközelítés | Hatókör |
|---|---|---|---|---|---|---|---|---|
| Hosztok | Sérülékenységvizsgálat | OWASP WSTG | Black-box | Hálózati | Belső hálózaton | Passzív | Nyílt | Koncentrált |
| Szolgáltatások | Penetrációs teszt | OWASP ASVS | Gray-box | Oprendszer | Külső hálózatról | Óvatos | Rejtett | Korlátozott |
| Funkciók | OWASP MASTG | White-box | Alkalmazás | Helyszínen | Számító | Teljes | ||
| Szerepkörök | OWASP MASVS | Vezeték nélküli | Forráskódon | Agresszív | ||||
| MITRE ATT&CK | Fizikai | |||||||
| PTES | Social engineering | |||||||
| Egyéb |
Hálózati és webes sérülékenységvizsgálat, penetrációs teszt
- Internetes irányból és belső hálózaton, akár VPN-nel
- Black-box, gray-box és white-box mélységben
- Hálózati felderítés és nyitott portok vizsgálata
- Beazonosított szolgáltatásoknak megfelelő vizsgálati stratégia meghatározása
- OWASP Web Security Testing Guide (WSTG) módszertannal (Vizsgálati lépések részletes listája)
- OWASP Application Security Verification Standard (ASVS) követelményrendszernek való megfelelés ellenőrzése
- Bazonosított sérülékenységek gyakorlati tesztelése és hatásvizsgálata (opcionális)
- Részletes vizsgálati jelentés javítási javaslatokkal és aktív segítségnyújtással
- Elvégzett javítások visszaellenőrzése a vizsgálatot követő 16 hétben
Mobilapp sérülékenységvizsgálat
- Áruházi APK és IPA csomagok vizsgálata
- Obfuszkáció, root detection és certification pinning nélküli APK és IPA csomagok vizsgálata
- A mobilapp forráskódjának vizsgálata
- OWASP Mobile Application Security Testing Guide (MASTG) módszertannal
- OWASP Mobile Application Security Verification Standard (MASVS) követelményrendszernek való megfelelés ellenőrzése
- Kotlin, Swift, Flutter, Xamarin, React stb. nyelvek támogatásával
- Backend API-k sérülékenységvizsgálata és penetrációs tesztje
- Részletes vizsgálati jelentés javítási javaslatokkal és aktív segítségnyújtással
- Elvégzett javítások visszaellenőrzése a vizsgálatot követő 16 hétben
Operációs rendszer szintű biztonsági audit, hardening-ellenőrzés Windowson és Linuxon
- CIS Benchmark és MITRE ATT&CK alapján
- Automatizált CIS hardening parancsok segítségével
- Rendszerszintű sérülékenységvizsgálat, operációs rendszer audit
- Windows, Linux, OS/400 és egyéb operációs rendszereken
- Védelmi megoldások működésének ellenőrzése
- Fiókjogosultságok ellenőrzése
- Hálózati kapcsolatok ellenőrzése
- Titkosítási megoldások (Bitlocker, LVM, LUKS) ellenőrzése
- Frissítések ellenőrzése
- Telepített szoftverek ellenőrzése, szoftvernyilvántartással való összevetése
- Üzemeltetési hiányosságok beazonosítása
- Részletes vizsgálati jelentés javítási javaslatokkal és aktív segítségnyújtással
- Elvégzett javítások visszaellenőrzése a vizsgálatot követő 16 hétben
Hardveres sérülékenységvizsgálat
- Burkolat bonthatóságának tesztelése
- Kábelezés feltérképezése, tápellátás megszakítása és helyreállítása
- Billentyűkombinációk próbája
- Fizikai környezet bonthatósága-módosíthatósága
- Hozzáférhető portok keresése és tesztelése
- Szeizmikus tesztek
- Riasztópróba
- Kommunikációs csatornák figyelése és manipulációja
- Adathordozók, tárolók keresése és vizsgálata
- Firmware és szoftver manipulációelleni védelmének tesztelése
- Hozzáférési naplók és eseménykezelés vizsgálata
- Hozzáférési jogok és hitelesítési mechanizmusok vizsgálata
Fizikai behatolásteszt székhelyeknél, telephelyeknél
- Az Ajánlatkérő által meghatározott (saját) telephelyen
- Az Ajánlatkérő által előzetesen jóváhagyott kereteken belül
- Black-box vagy gray-box módszerrel
- Nemzetközi social engineering, phishing és human exploitation ajánlások alapján
- 1-3 napos helyszíni vizsgálattal
- Nyílt forrású információgyűjtés (OSINT)
- Alkalmazottak közösségi média profiljainak vizsgálata (SOCMINT)
- Drónos telephely-feltérképezés
- Tokenes/kártyás beléptetés tesztelése
- Ajtók és zárak vizsgálata
- CCTV és megfigyelőrendszerek ellenőrzése
- Társas belépés vizsgálata (tailgating)
- Irodai beléptető rendszerek vizsgálata
- Ismeretlen eszközök használatának ellenőrzése
- Dokumentumok és információs anyagok védelmének ellenőrzése
- Zárképernyők és munkaállomások biztonságának ellenőrzése
- Személyes és hitelesítő adatok védelmének ellenőrzése
- Állásinterjús bejutási lehetőségek tesztelése
- Karbantartói bejutási lehetőségek tesztelése
- Impersonation (személyazonosság felvétele)
- Hamis segítségkérő e-mail használata
- Evidenciák vizuális (fotós/videós) rögzítése
- Magyar/angol nyelvű vizsgálati jelentéssel és javítási javaslatokkal
Egyéb sérülékenységvizsgálati szolgáltatásaink
- DevSecOps – Szoftverek, szolgáltatások, fejlesztések kiberbiztonsági felügyelete, támogatása
- Egyszerűsített (WordPress, Joomla, Drupal, PrestaShop stb.) sérülékenységvizsgálat
- Red Teaming, Threat-Led Penetration Testing (TLPT) szolgáltatás
- Cloud, felhő (AWS, Azure) sérülékenységvizsgálat és penetrációs teszt
- Firmware sérülékenységvizsgálat
- Feltört weboldal vagy rendszer hátsó bejáratainak (backdoor) azonosítása
- Automatikus sérülékenységvizsgálati jelentés felülvizsgálata
- Forráskódvizsgálat, source code review
- Kiszervezett sérülékenység-menedzsment szolgáltatás
A sérülékenységvizsgálat folyamatai
Konzultáció és megbízás
(Pre-engagement Interactions)
Az ingyenes konzultáció során meghatározásra kerül a vizsgálat(ok) típusa, mélysége, hatóköre, időintervalluma (összes paraméter) és ezek függvényében az ára.
A kiválasztott vizsgálat(ok) hatásköre, órapontosságú időintervalluma és ára rögzítésre kerül a megbízási szerződésben. Titoktartási és a fenyegetésmentességi nyilatkozattal garantáljuk az adatok és eredmények biztonságát, a Megbízó pedig a jogi nyilatkozattal hozzájárul a művelet elvégzéséhez.
Feltérképezés
(Information Gathering)
A Megbízó által meghatározott hatókörbe tartozó kiszolgálók és egyéb hálózati pontok funkcionalitása alapján megtervezzük a vizsgálati stratégiát.
Stratégiatervezés
(Threat Modeling)
A vizsgálat megkezdése előtt feltérképezzük a hatáskörbe tartozó kiszolgálókat és azok nyitott portjait, hogy ne terheljük feleslegesen a futtató infrastruktúrát és ne akadályozzuk a rendelkezésre állást.
Sérülékenységvizsgálat
(Vulnerability Analysis)
A szerződésben meghatározott módszerekkel, automatikus és manuális eszközök segítségével elvégezzük a vizsgálatot a kiválasztott kiszolgálókon.
Penetrációs teszt
(Penetration Testing)
A szerződésben meghatározott módszerekkel, automatikus és manuális eszközök segítségével elvégezzük a sérülékenységvizsgálat során beazonosított potenciális sérülékenységek gyakorlati hatásvizsgálatát és ennek megfelelő súlyozását.
Sérülékenységvalidálás
(Exploitation)
A Megbízó engedélyezheti a felfedezett sebezhetőségek hitelesítését (validálás szintű kihasználását), amivel átfogóbb képet kaphat azok valódi súlyosságáról.
Sérülékenységek kihasználása
(Post Exploitation)
A Megbízó engedélyezheti a felfedezett sebezhetőségek gyakorlati (ellenőrzött körülmények között történő) kihasználását, a kompromittált gép értékének meghatározása, a gép feletti ellenőrzés fenntartása, valamint későbbi felhasználás céljából.
Jelentés
(Reporting)
Minden részletre kiterjedő vezetői és szakértői jegyzőkönyvben (magyar és/vagy angol nyelven) magyarázzuk el a felfedezett sebezhetőségek típusát (CVE, CWE, OWASP, MITRE ATT&CK), kihasználhatóságát (CVSS, EPSS), pontos helyét és javításának módját, kiegészítve a vizsgálat során generált naplófájlokkal, igazolva a munkánk körülményeit.
Amennyiben olyan sérülékenységek is szerepelnek a vizsgálati jegyzőkönyvben, amiknek javítása további konzultációt igényel, közös egyeztetéssel egészítjük ki a Megbízó javítási tervét.
Remediációs vizsgálat
(Remediation Testing)
A felfedezett sebezhetőségek javítása után ellenőrizzük a javítások sikerességét.
Zárójelentés és konzultáció
(Final audit report, consultation)
A remediációs vizsgálat eredményeit részletesen ismertetjük a Megbízóval az alapjelentés formájában, további konzultáció igénye esetén pedig közösen dolgozzuk ki a további lépéseket.
Sérülékenységvizsgálati módszertanok és ajánlások
A Makay Kiberbiztonsági Kft. szakemberei által végzett vizsgálatok az alábbi módszertanoknak, ajánlásoknak és követelményrendszereknek megfelelően, vagy azokat alapul véve kerülhetnek megvalósításra:
- Web Security Testing Guide – OWASP WSTG
- Mobile Application Security Testing Guide – OWASP MASTG (korábban MSTG)
- Application Security Verification Standard – OWASP ASVS
- Mobile Application Security Verification Standard – OWASP MASVS
- Cloud Application Security Assessment – CASA Tier 2
- Google Mobile Application Security Assessment – MASA
- Technical Guide to Information Security Testing and Assessment – NIST SP 800-11
- MITRE ATT&CK knowledge base
- The Penetration Testing Execution Standard – PTES
- CIS Benchmarks – CIS
- Open Source Security Testing Methodology Manual – OSSTMM
- Information Systems Security Assessment Framework – ISSAF
- B.A.S.E – A Security Assessment Methodology – SANS
- Penetration Testing Guidance – PCI DSS
- The Vulnerability Assessment & Mitigation Methodology – RAND
- Penetration Test Guidance – FedRAMP
- MSZ ISO/IEC 15408 – Magyar Szabványügyi Testület
- TISAX (Trusted Information Security Assessment Exchange) – VDA Information Security Assessment
Miért fontos a rendszeres ellenőrzés?
- A támadásoknak való megnövekedett kitettség: A támadók már automatikus eszközökkel, online adatbázisok alapján, válogatás nélkül támadnak meg mindenkit.
- A törvényeknek való megfelelés (NIS2, GDPR, 8/2020. (VI.22.) MNB ajánlás stb.): A Szervezetek számára nemcsak a reputáció miatt fontos az adatok védelme.
- Elavuló, sérülékennyé váló szoftverek: A szoftverek akkor is sérülékennyé válhatnak, ha nem nyúltak hozzájuk.
- Általános változások: A fejlesztési, konfigurációs és strukturális változtatások, de még a javítások is hozhatnak új sebezhetőségeket.
A kiberbiztonsági szakértők területtől függetlenül általában legalább éves rendszerességű, de biztonság szempontjából kritikusabb, szenzitív adatokat nagyobb mennyiségben kezelő, infrastrukturálisan vagy szoftveresen gyakrabban változó környezetben, még ennyél is gyakoribb vizsgálatot javasolnak.
Leggyakoribb sérülékenységtípusok és javításuk
- Broken Object Level Authorization
- Cross-site scripting (XSS)
- SQL (database) injection
- OS version leak
- Software version leak
- Cross-Site Request Forgery (CSRF)
- Cross-Site WebSocket Hijacking
- Session hijacking
- Wildcard certificate
Magas és kritikus kockázatú sérülékenységek az elmúlt 30 napból
Sérülékenységvizsgálat szolgáltatás árajánlat
Keresse etikus hacker kollégáinkat az Árajánlat gombbal, és kérjen tájékoztatást az Ön által üzemeltetett rendszerek fenyegetettségéről!