Asliddin Malikov Beshimov Javohir Mustaqil ish Mavzu: Penetration testing

Kulrang quti testi(Grey box penetration testing)

Shaffof quti testi sifatida ham tanilgan kulrang quti pen testida faqat cheklangan ma'lumotlar tester bilan almashiladi. Odatda bu login ma'lumotlari shaklida bo'ladi. Kulrang quti testi imtiyozli foydalanuvchi ega bo'lishi mumkin bo'lgan kirish darajasini va ular keltirishi mumkin bo'lgan zararni tushunishga yordam beradi. Kulrang quti testlari chuqurlik va samaradorlik o'rtasidagi muvozanatni saqlaydi va ichki tahdidni yoki tarmoq perimetrini buzgan hujumni simulyatsiya qilish uchun ishlatilishi mumkin.

Haqiqiy hujumlarining aksariyatida doimiy raqib maqsadli muhitda razvedka olib boradi va ularga xuddi shunday bilimlarni insayderga beradi. Kulrang quti testi ko'pincha mijozlar tomonidan samaradorlik va haqiqiylik o'rtasidagi eng yaxshi muvozanat sifatida ma'qullanadi, bu potentsial vaqt talab qiladigan razvedka bosqichini yo'q qiladi.

Oq quti testi(White box penetration testing)

Oq quti pentesting turi, ba'zan kristall yoki qiya quti qalam testi deb ataladi, to'liq tarmoq va tizim ma'lumotlarini, shu jumladan tarmoq xaritalari va hisob ma'lumotlarini tester bilan almashishni o'z ichiga oladi. Bu vaqtni tejashga va shartnomaning umumiy narxini kamaytirishga yordam beradi. Oq quti pentesting iloji boricha ko'proq hujum vektorlaridan foydalangan holda ma'lum bir tizimga maqsadli hujumni simulyatsiya qilish uchun foydalidir.

Penetration testing usullari.

• Tashqi
• Tashqi kirish testlari kompaniyaning internetda ko'rinadigan aktivlariga, masalan, veb-ilovaning o'zi, kompaniya veb-saytiga, elektron pochta va domen nomlari serverlariga (DNS) qaratilgan. Maqsad qimmatli ma'lumotlarga kirish va olishdir.
• Ichki
• Ichki testda tizim firewalli orqasidagi ilovaga kirish huquqiga ega bo'lgan tester zararli insayder hujumini simulyatsiya qiladi. Bu tovlamachi xodimni taqlid qilish shart emas. Umumiy boshlang'ich stsenariy hisob ma'lumotlari fishing hujumi tufayli o'g'irlangan xodim bo'lishi mumkin.
• Blind testing
• Blind testingda pen tester faqat maqsadli korxona nomi beriladi. Bu xavfsizlik xodimlariga haqiqiy dastur hujumi qanday sodir bo'lishini real vaqt rejimida ko'rish imkonini beradi.