Вътрешно или външно тестване за проникване

Външният тест започва от публичния интернет и проверява какво може да постигне нападател без предоставен вътрешен достъп. Вътрешният започва от позиция в мрежата и проследява възможностите за достигане до привилегировани акаунти, чувствителни данни и критични системи. Двата подхода отговарят на различни въпроси и трябва да се избират според целта на проверката.

Двете гледни точки

Разликата е позиционна, не е разлика в уменията или инструментите. И двете използват същото изброяване, използване на уязвимости и последваща работа. Онова, което се променя, е къде стои тестерът, когато започва, и съответно на кои въпроси ангажиментът може да отговори.

Външното тестване започва с нищо освен вашето име и публичните ви диапазони от адреси. Работата е откриване преди атака: намиране на хостовете, услугите, поддомейните, забравените тестови среди, административните интерфейси и активите, хоствани от трети страни, които са достижими от интернет — включително онези, за които не сте знаели, че са там. После тестване на всеки от тях: дефекти без удостоверяване, слаби или стандартни данни за достъп, изложени административни функции, необновени гранични устройства, неправилно конфигурирани облачни услуги и всеки път, който води от публичния интернет до нещо, до което не бива.

Вътрешното тестване започва от договорена позиция вътре: мрежов порт в офис, VPN акаунт, виртуална машина в потребителска подмрежа или работна станция на стандартен домейн потребител. Оттам въпросът е обхват. Какво може да бъде изброено от тази позиция? Кои хостове са необновени, кои споделени ресурси са четими, кои служебни акаунти имат прекомерни права, кои данни за достъп могат да бъдат прихванати от мрежата или извлечени от паметта, кои връзки на доверие могат да бъдат използвани неправомерно? Целта обикновено се изразява като обективна задача — домейн администратор, конкретна база данни, системата за резервни копия — защото констатацията, която има значение, е пътят, а не инвентарът.

Външно — въпросът за периметъра

  откриване на публичната повърхност → установяване на достижимите услуги
    → използване на слабост без удостоверяване → опорна точка?
  отговаря:  може ли външен човек да влезе и какво е изложено?
  спира при: първия вътрешен хост — или при нищо

Вътрешно — въпросът за ограничаването

  начало от предоставена опорна точка → изброяване
    → прихващане или разбиване на данни за достъп → локално повишаване на права
    → хоризонтално придвижване → злоупотреба с доверие → цел
  отговаря:  колко лош е един компрометиран лаптоп?
  допуска:   периметърът вече се е провалил

Едно до друго

Кога външното тестване е подходящо

Външното тестване отговаря на единствения въпрос с еднозначен, неподлежащ на преговори отговор: изложено ли е нещо в момента, което не бива да бъде?

Действителната му стойност обикновено е инвентарът, а не използването на уязвимости. Най-полезната външна констатация рядко е изобретателен експлойт; тя е актив, за който никой не е знаел, че е жив — тестова среда, никога изведена от употреба, административен интерфейс, публикуван при срив и никога оттеглен, поддомейн, сочещ към освободен облачен ресурс, който някой друг може да присвои, услуга, хоствана от доставчик и носеща вашата марка. Изложената повърхност последователно е по-голяма от това, което записите показват, а компетентният външен тест произвежда проверен списък, а не твърдян.

Това е и гледната точка, която се съотнася директно към най-безразборния клас атаки. Масовото използване на уязвимости в достъпни от интернет устройства — VPN концентратора, устройството за прехвърляне на файлове, граничната защитна стена — не избира жертви по сектор или стойност; то ги избира по изложеност. Тези кампании започват и завършват при периметъра, а външният тест е измерването, което им пасва.

Ограничението е, че външното тестване е, по замисъл, сляпо отвъд периметъра. Чист външен отчет означава, че външен човек без данни за достъп не е намерил пряк път през него в онзи ден. Той не казва нищо за това какво се случва, когато някой отвори прикачен файл, използва отново парола, която се появява в изтекли данни, или одобри push известие, което не е очаквал. Тъй като това са пътищата, по които започват повечето прониквания, програма само за периметъра измерва входния път, на който нападателите разчитат най-малко.

Кога вътрешното тестване е подходящо

Вътрешното тестване измерва последствието. Предоставена една обикновена опорна точка, каква част от организацията става достижима?

Отговорът често е много по-лош от очакваното и по структурни причини, а не от небрежност. Вътрешните мрежи се натрупват: плоско адресно пространство, което е било добре, когато е било малко, служебни акаунти с права, дадени за проект, завършил преди години, пароли на локални администратори, споделени в целия билд, остарели протоколи за удостоверяване, оставени включени за едно устройство, системи за резервни копия с данни за достъп до всичко и права в директорията, които се сглобяват в пътища за повишаване, непроектирани от никого. Всяка точка е защитима сама по себе си. Заедно те често образуват път от стандартен потребител до пълен контрол — затова нашата работа по оценка на Active Directory се съсредоточава върху сглобените пътища, а не върху отделните неправилни конфигурации.

Вътрешното тестване е и единственият начин сегментацията да бъде проверена. Мрежовите диаграми описват намерение. Правилата на защитните стени натрупват изключения, а VLAN с позволяващо правило, добавено за миграция преди три години, функционално изобщо не е сегментиран. Единственият надежден начин да се разбере дали една граница издържа е да застанеш от едната ѝ страна и да опиташ да я прекосиш — което вътрешният тест прави. Твърдения за ограничаване, които никога не са били тествани, трябва да се третират като хипотези.

Честното ограничение е, че опорната точка е подарък. Тестът започва там, където нападателят би трябвало да свърши действителна работа, а част от това, което вътрешното тестване намира, би изисквало противник първо да успее с фишинг или кражба на данни за достъп. Затова сериозна вътрешна констатация е твърдение за последствие, не за вероятност — което е точно причината да бъде съчетана с честен поглед колко достижима е тази отправна позиция.

Допуснатото проникване вече е разумният подход по подразбиране

Вътрешното тестване премина от незадължително към подход по подразбиране, защото периметърът спря да бъде решаващият контрол. Данните за достъп се крадат и продават в голям обем. Фишингът работи, включително срещу обучени служители, а многофакторното удостоверяване се заобикаля чрез изтощение, relay и кражба на токени достатъчно често, за да е рутинно. Външни изпълнители, доставчици и неуправлявани устройства — всички притежават законен достъп, а голяма част от мрежата вече е на един домашен рутер разстояние.

Допуснатото проникване приема това като предпоставка, а не като сценарий. Вместо ангажиментът да бъде изразходван за установяване дали достъпът е постижим, той се предоставя в началото и цялото усилие отива в това, което следва. Практическото последствие е, че научавате далеч повече за изразходван ден: при ангажимент, започващ от периметъра, по-голямата част от времето се консумира от откриване и опити за влизане, а ако влизането се провали, най-важните въпроси никога не биват изследвани.

Това е рамка, не различна техника. Допуснатото проникване е вътрешно тестване с направено явно разсъждение: опорната точка се предоставя, защото въпросът е ограничаването, а преструването на друго изразходва бюджет за преоткриване, че фишингът работи.

Кое от двете всъщност ви трябва

Започнете външно, ако нещо от следното е вярно. Не можете да изготвите уверен списък на това, което излагате към интернет. Наскоро сте мигрирали към облака, сменили сте хостинг или сте завършили придобиване и сте наследили среда, която не познавате напълно. Използвате достъпни от интернет устройства — VPN, отдалечен достъп, прехвърляне на файлове, сигурност на електронната поща — които са устройствата, набелязвани първи от кампаниите за масово използване на уязвимости. Никога не сте имали периметъра си проверен от някой извън собствения ви екип. Клиент, застраховател или одитор изисква доказателства, покриващи конкретно външната повърхност.

Започнете вътрешно, на основата на допуснато проникване, ако нещо от следното е вярно. Външната ви повърхност вече е малка, добре разбрана и редовно проверявана. Зависите от Active Directory за удостоверяване и оторизация, което означава, че директорията е действителната цел. Правили сте твърдения за сегментация — среда с данни на картодържатели, производствен анклав, граница с OT — които никога не са били тествани от някой, който се опитва да ги прекоси. Притежавате концентрирани чувствителни данни и не знаете какво ги достига от позицията на обикновен потребител. Имали сте инцидент по сигурността, едва избегнат такъв или фишинг кампания, която е успяла. Служителите ви работят дистанционно на устройства, които са само отчасти управлявани.

Ако можете да осигурите средства само за едно и трябва да изберете, решаващият въпрос е кой провал би навредил повече: да бъде извършен пробив във вашата среда или да не можете да ограничите някой, който вече е вътре. За повечето организации със скромна, добре поддържана външна повърхност и голяма плоска вътрешна мрежа второто е по-голямата изложеност — и вътрешното тестване е по-добрата първа покупка. И двете гледни точки са в обхвата на нашата работа по тестване за проникване именно защото полезният отговор обикновено изисква разсъждение през връзката между тях.

Честата грешка на купувача

Грешката, специфична за тази двойка, е да бъде провеждано външно тестване година след година, никога да не бъде тествано вътрешно, и чистите външни отчети да бъдат четени като доказателство за сигурност.

Това е лесен модел, в който да се изпадне. Външното тестване е по-просто за определяне по обхват, не изисква осигуряване на достъп и произвежда отчет, който се чете добре. Вътрешното тестване изисква съгласуване, достъп и готовност да бъде чуто, че директорията, която управлява компанията, може да бъде завладяна от акаунт на стандартен потребител. Затова външният тест се повтаря, периметърът наистина се подобрява, а вътрешността никога не бива разгледана.

Резултатът е организация с добре поддържана входна врата и без вътрешни стени — такава, в която е трудно да се влезе и тривиално да бъде завладяна, щом се влезе. Тъй като реалистичните входни пътища са фишингът и откраднатите данни за достъп, а не използването на уязвимости в периметъра, програмата е оптимизирала контрола, който има най-малко значение, оставяйки неизмерен онзи, който определя критичността на всеки инцидент.

Обратната грешка е по-рядка, но се случва: поръчване на вътрешна работа с допуснато проникване, докато външната повърхност остава без опис. Констатациите за ограничаването са ценни, но ако неудостоверен административен интерфейс е публикуван към интернет, той е трябвало да бъде намерен първо — а е и по-евтино да бъде намерен.

Как се съчетават в рамките на една програма

Двете гледни точки са половини от една картина, а стойността е в свързването им, а не в която и да е от двете сама.

Дръжте външния изглед актуален и евтин. Изложената ви повърхност се променя всеки път, когато нещо бъде внедрено, затова я проверявайте с редовен ритъм и третирайте описа като основния предаван продукт. Всеки външен тест трябва да става постепенно все по-малко интересен — правилният изход и сигналът, че усилието трябва да се премести навътре.

Направете вътрешното тестване инвестицията в дълбочина. Тук времето се изразходва най-добре, защото тук са пътищата. Всеки ангажимент трябва да произвежда конкретни пътища на атака с назовани слаби звена, а отстраняването трябва да е насочено към звената, които се появяват в няколко пътя наведнъж: правата на един служебен акаунт, остарял протокол за удостоверяване, парола, използвана повторно в целия билд, правило за сегментация, което никога не е било стеснено след миграция.

После ги свържете. Полезният въпрос е дали слабост в периферията се свързва с път вътре — дали външно достижимият хост е отправна точка към потребителската мрежа, а не изолирано устройство. Това изисква или един ангажимент, обхващащ двете гледни точки, или вътрешен тест, чиято отправна позиция е информирана от външните констатации. Поръчани като две несвързани упражнения от двама доставчици, именно връзката остава неразгледана.

Докато програмата узрява, естествената следваща стъпка е скритото тестване. Щом пътищата на атака бъдат прекъснати и ограничаването стане достоверно, red teaming тества дали някой забелязва противник, който се опитва да ги използва — въпрос, на който нито вътрешният, нито външният тест е проектиран да отговори, защото и двата са обявени. За да видите как документираме път на атака и слабите му звена, преди да се обвържете с обхват, вземете отчета.