Penetrationstest er en vigtig måde at holde dine oplysninger sikre på, men mange af os gør en del falske antagelser om det.
Sårbarheder i dine computersystemer er ikke nødvendigvis problematiske, før ubudne gæster opdager og udnytter dem. Hvis du dyrker en kultur for at identificere smuthuller før trusselsaktører, kan du løse dem, så de ikke udgør nogen væsentlig skade. Dette er den mulighed, som penetrationstest giver dig.
Men der er mere end et par myter omkring penetrationstest, der kan holde dig tilbage fra at tage skridt til at forbedre din sikkerhed.
1. Penetrationstest er kun for organisationer
Der er en forestilling om, at penetrationstest er en aktivitet for organisationer, ikke enkeltpersoner. At forstå målet med en pentest er nøglen til at afklare dette. Slutspillet på testen er at sikre data. Organisationer er ikke de eneste med følsomme data. Vanlige mennesker har også følsomme data såsom bankoplysninger, kreditkortoplysninger, lægejournaler osv.
Hvis du som person ikke identificerer sårbarheder i dit system eller din konto, vil trusselsaktører udnytte dem til at få adgang til dine data og bruge dem mod dig. De kunne bruge det som lokkemad til ransomware-angreb, hvor de kræver, at du betaler et engangsbeløb, før de genopretter adgangen til dig.
2. Penetrationstest er strengt taget en proaktiv foranstaltning
Ideen om at opdage trusler i et system forud for ubudne gæster indikerer, at penetrationstest er en proaktiv sikkerhedsforanstaltning, men det er ikke altid tilfældet. Det kan nogle gange være reaktivt, især når du efterforsker et cyberangreb.
Efter et angreb kan du udføre en pentest for at få indsigt i angrebets karakter for at tackle det korrekt. Ved at opdage, hvordan hændelsen skete, de anvendte teknikker og de målrettede data, kan du forhindre det i at ske igen ved at lukke hullerne.
3. Penetrationstest er et andet navn for sårbarhedsscanning
Da både penetrationstest og sårbarhedsscanning handler om at identificere trusselsvektorer, bruger folk dem ofte i flæng og tror, de er de samme.
Sårbarhedsscanning er en automatiseret proces af identificere etablerede sårbarheder i et system. Du oplister mulige fejl og scanner dit system for at bestemme deres tilstedeværelse og indvirkning på dit system. Penetrationstest handler på den anden side om at kaste dine angrebsnet ud over hele dit system på samme måde som en cyberkriminel ville, i håb om at identificere svage led. I modsætning til sårbarhedsscanning har du ingen forudbestemt liste over trusler, du skal holde øje med, men prøv alt muligt.
4. Penetrationstestning kan automatiseres fuldt ud
Automatisering af penetrationstest ser godt ud i teorien, men det er langt ude i virkeligheden. Når du automatiserer en pentest, udfører du sårbarhedsscanning. Systemet har muligvis ikke kapacitet til at løse problemerne.
Penetrationstest kræver menneskelig input. Du er nødt til at brainstorme mulige måder at identificere trusler på, selv når det ser ud til, at ingen eksisterer på overfladen. Du skal afprøve din viden om etisk hacking ved at bruge alle tilgængelige teknikker til at bryde ind i de mest sikre områder af dit netværk, ligesom en hacker ville. Og når du identificerer sårbarheder, søger du måder at løse dem på, så de ikke længere eksisterer.
5. Penetrationstest er for dyrt
Udførelse af penetrationstest kræver både menneskelige og tekniske ressourcer. Den, der udfører testen, skal være meget dygtig, og sådanne færdigheder er ikke billige. De skal også have det nødvendige værktøj. Selvom disse ressourcer måske ikke er let tilgængelige, er de værdien værd, som de tilbyder for at forhindre trusler.
Omkostningerne ved at investere i penetrationstest er ingenting sammenlignet med de økonomiske skader ved cyberangreb. Nogle datasæt er uvurderlige. Når trusselsaktører afslører dem, er konsekvenserne uden for økonomisk måling. De kan ødelægge dit omdømme ud over forløsning.
Hvis hackere sigter mod at afpresse dig penge under et angreb, kræver de store summer, som normalt er højere end dit største budget.
6. Penetrationstest kan kun udføres af udenforstående
Der er en langvarig myte om, at penetrationstest er mest effektivt, når det udføres af eksterne parter end interne parter. Dette skyldes, at eksternt personale vil være mere objektivt, fordi de ikke har nogen tilknytning til systemet.
Selvom objektivitet er nøglen i testens gyldighed, gør det ikke ligefrem en uobjektiv at have en tilknytning til et system. En penetrationstest består af standardprocedurer og præstationsmålinger. Hvis testeren følger retningslinjerne, er resultaterne gyldige.
Mere så, at være fortrolig med et system kan være en fordel, da du er fortrolig med stammekendskab, der vil hjælpe dig med at navigere i systemet bedre. Vægten skal ikke være på at få en ekstern eller intern tester, men på en, der har evnerne til at gøre et godt stykke arbejde.
7. Penetrationstest bør udføres en gang imellem
Nogle mennesker vil hellere udføre penetrationstest en gang imellem, fordi de mener, at virkningen af deres test er langsigtet. Dette er kontraproduktivt i betragtning af cyberspaces volatilitet.
Cyberkriminelle arbejder døgnet rundt på udkig efter sårbarheder at udforske i systemer. At have lange intervaller mellem dine pentest giver dem god tid til at udforske nye smuthuller, du måske ikke kender.
Du behøver ikke at udføre en penetrationstest hver anden dag. Den rigtige balance ville være at gøre det regelmæssigt inden for måneder. Dette er tilstrækkeligt, især når du har andre sikkerhedsforsvar på jorden for at underrette dig om trusselsvektorer, selv når du ikke aktivt leder efter dem.
8. Penetrationstest handler om at finde tekniske sårbarheder
Der er en misforståelse om, at penetrationstest fokuserer på de tekniske sårbarheder i systemer. Dette er forståeligt, fordi de endepunkter, hvorigennem ubudne gæster får adgang til systemer, er tekniske, men der er også nogle ikke-tekniske elementer i dem.
Tag for eksempel social engineering. Det kunne en cyberkriminel bruge social engineering teknikker for at lokke dig til at afsløre dine loginoplysninger og andre følsomme oplysninger om din konto eller dit system. En grundig pentest vil også udforske ikke-tekniske områder for at bestemme din sandsynlighed for at blive ofre for dem.
9. Alle penetrationstests er de samme
Der er en tendens til, at folk konkluderer, at alle penetrationstests er ens, især når de tager omkostningerne i betragtning. Man kan beslutte at gå efter en billigere testudbyder bare for at spare omkostninger, idet man tror, at deres service er lige så god som en dyrere, men det er ikke sandt.
Som med de fleste tjenester har penetrationstest forskellige grader. Du kan få en omfattende test, der dækker alle områder af dit netværk, og en ikke-omfattende test, der fanger nogle få områder af dit netværk. Det er bedst at fokusere på den værdi, du får fra testen, og ikke prisen.
10. En ren test betyder, at alt er godt
At have et rent testresultat fra din test er et godt tegn, men det burde ikke gøre dig selvtilfreds med din cybersikkerhed. Så længe dit system er operationelt, er det sårbart over for nye trusler. Hvis noget, bør et rent resultat motivere dig til at fordoble din sikkerhed. Udfør en penetrationstest regelmæssigt for at løse nye trusler og opretholde et trusselsfrit system.
Få komplet netværkssynlighed med penetrationstest
Penetrationstest giver dig unik indsigt i dit netværk. Som netværksejer eller administrator ser du dit netværk anderledes end, hvordan en ubuden gæst ser det, hvilket gør, at du går glip af nogle oplysninger, de kan være fortrolige med. Men med testen kan du se dit netværk fra en hackers linse, hvilket giver dig fuldstændig synlighed af alle aspekter, inklusive trusselsvektorer, der normalt ville være i dine blinde vinkler.
