Πώς ελέγχουμε
Ο εξωτερικός έλεγχος ασφαλείας αξιολόγησε την ασφάλεια των συστημάτων του πελάτη που είναι εκτεθειμένα στο Διαδίκτυο, από τη σκοπιά ενός επιτιθέμενου στο Διαδίκτυο χωρίς προηγούμενη πρόσβαση ή διαπιστευτήρια. Ο έλεγχος περιορίστηκε στις διευθύνσεις IP, τα εύρη, τα hostnames και τα domains που αναφέρονται στο Εύρος & ημερομηνίες. Οι εξαιρέσεις δεν ελέγχθηκαν.
Η προσέγγιση ακολουθεί αναγνωρισμένες πρακτικές του κλάδου, όπως το Penetration Testing Execution Standard (PTES) και το NIST SP 800-115. Αυτοματοποιημένα εργαλεία χρησιμοποιήθηκαν για την κάλυψη· κάθε εύρημα της αναφοράς επαληθεύτηκε χειροκίνητα.
Φάσεις
- Αναγνώριση: παθητική συλλογή δημόσιων πληροφοριών για τα συστήματα του εύρους, όπως εγγραφές DNS, αρχεία certificate transparency και δημόσια banners υπηρεσιών.
- Ανακάλυψη: εντοπισμός ενεργών hosts, πλήρης σάρωση θυρών TCP και σάρωση των συνηθισμένων θυρών UDP, για τον εντοπισμό εκτεθειμένων υπηρεσιών.
- Απαρίθμηση υπηρεσιών: αναγνώριση του είδους, του προϊόντος και της έκδοσης κάθε υπηρεσίας και έλεγχος των ρυθμίσεών της.
- Ανάλυση ευπαθειών: έλεγχος για γνωστές ευπάθειες, παρωχημένο λογισμικό, αδύναμη κρυπτογράφηση (πρωτόκολλα TLS, ciphers και πιστοποιητικά), προεπιλεγμένα ή αδύναμα διαπιστευτήρια, εκτεθειμένες διεπαφές διαχείρισης και διαρροή πληροφοριών.
- Εκμετάλλευση: ελεγχόμενες προσπάθειες επιβεβαίωσης των ευπαθειών και ανάδειξης της πραγματικής τους επίπτωσης, χωρίς διακοπή της διαθεσιμότητας των υπηρεσιών και χωρίς αλλαγή δεδομένων πέρα από όσα χρειάστηκαν για την απόδειξη.
- Αναφορά: κάθε επιβεβαιωμένο πρόβλημα καταγράφεται με τη σοβαρότητά του, τα επηρεαζόμενα συστήματα, αποδεικτικά στοιχεία και οδηγίες αποκατάστασης.
Περιορισμοί
- Ο έλεγχος αποτυπώνει την κατάσταση σε μια συγκεκριμένη χρονική στιγμή. Αλλαγές στα συστήματα μετά τις ημερομηνίες του ελέγχου δεν καλύπτονται.
- Επιθέσεις άρνησης υπηρεσίας, κοινωνική μηχανική και φυσικές επιθέσεις δεν πραγματοποιήθηκαν, εκτός αν αναφέρονται στο εύρος.
- Η απουσία ευρήματος δεν εγγυάται ότι ένα σύστημα δεν έχει ευπάθειες.