Sebuah sistem boleh kelihatan stabil pada hari Isnin, tetapi menjadi laluan masuk penyerang pada hari Selasa selepas satu perubahan kecil pada konfigurasi, kemas kini aplikasi atau akaun pengguna. Sebab itu, persoalan bilakah syarikat perlu ujian penembusan tidak patut ditangguhkan sehingga berlaku kebocoran data. Ujian penembusan memberi organisasi gambaran praktikal tentang sama ada kawalan keselamatan benar-benar dapat menahan serangan yang munasabah, bukan sekadar sama ada perisian keselamatan telah dipasang.
Bagi pemimpin operasi, IT dan pemilik perniagaan, matlamatnya bukan untuk mencari kesilapan pasukan dalaman. Matlamatnya ialah mengenal pasti kelemahan yang boleh menjejaskan operasi, pelanggan, data kewangan dan reputasi sebelum pihak yang tidak diberi kuasa menemuinya. Dengan skop yang jelas dan pengujian yang dikendalikan secara profesional, hasilnya menjadi asas kepada keputusan pembaikan yang lebih tepat.
Apakah ujian penembusan sebenarnya?
Ujian penembusan, atau penetration testing, ialah simulasi serangan yang dibenarkan terhadap aset organisasi. Penguji keselamatan menggunakan teknik yang menyerupai tindakan penyerang untuk menguji rangkaian, aplikasi web, aplikasi mudah alih, persekitaran awan, identiti pengguna atau sistem dalaman.
Ia berbeza daripada imbasan kelemahan. Imbasan boleh mengenal pasti senarai isu teknikal yang berpotensi, seperti versi perisian lama atau port rangkaian terbuka. Ujian penembusan pula menilai sama ada isu tersebut benar-benar boleh dieksploitasi, sejauh mana kesannya, dan sama ada beberapa kelemahan kecil boleh digabungkan untuk mencapai akses yang lebih besar.
Sebagai contoh, satu akaun pengguna dengan kata laluan lemah mungkin kelihatan sebagai isu terhad. Namun, jika akaun itu boleh mengakses storan fail, sistem kewangan atau data pelanggan tanpa kawalan tambahan, risikonya berubah menjadi isu perniagaan yang serius. Nilai utama ujian ini ialah konteks tersebut.
Bilakah syarikat perlu ujian penembusan?
Tiada satu jadual yang sesuai untuk semua organisasi. Syarikat yang mengendalikan transaksi pelanggan, data sensitif atau sistem operasi kritikal lazimnya memerlukan pengujian lebih kerap berbanding organisasi dengan persekitaran digital yang kecil dan kurang kompleks. Walau bagaimanapun, beberapa keadaan jelas menunjukkan bahawa ujian penembusan perlu diberi keutamaan.
Sebelum melancarkan aplikasi atau portal baharu
Aplikasi pelanggan, portal vendor, sistem tempahan, platform e-dagang dan aplikasi dalaman baharu sering diperkenalkan untuk mempercepatkan kerja. Tetapi kod yang berfungsi dengan baik tidak semestinya selamat. Kelemahan seperti kawalan akses yang tidak tepat, input pengguna yang tidak ditapis atau tetapan sesi yang longgar boleh mendedahkan data dan fungsi penting.
Ujian sebelum pelancaran membolehkan pasukan membaiki isu ketika kos pembetulan masih rendah. Selepas sistem digunakan secara meluas, sebarang perubahan mungkin melibatkan gangguan operasi, kelulusan tambahan dan komunikasi kepada pelanggan. Pengujian awal membantu pelancaran dibuat dengan keyakinan yang lebih munasabah.
Selepas perubahan besar pada infrastruktur
Migrasi ke awan, pemasangan firewall baharu, penyusunan semula rangkaian, penyepaduan sistem ERP, atau pembukaan akses kerja jarak jauh semuanya mengubah permukaan serangan organisasi. Perubahan yang dirancang untuk meningkatkan kecekapan kadangkala meninggalkan peraturan akses lama, storan awan terbuka atau laluan pentadbiran yang tidak lagi diperlukan.
Dalam keadaan ini, ujian penembusan tidak semestinya perlu menilai seluruh persekitaran dari awal. Pengujian yang disasarkan pada aset dan aliran data yang berubah boleh menjadi lebih pantas serta lebih berbaloi. Skop yang tepat ialah cara terbaik untuk mengimbangi perlindungan, bajet dan masa operasi.
Apabila organisasi mengendalikan data sensitif
Jika syarikat menyimpan maklumat peribadi, rekod kesihatan, data pembayaran, reka bentuk kejuruteraan, dokumen makmal, kontrak atau data kewangan, kesan kebocoran biasanya lebih besar daripada gangguan teknikal sementara. Selain risiko undang-undang dan kewangan, organisasi mungkin kehilangan kepercayaan pelanggan yang dibina selama bertahun-tahun.
Ujian penembusan membantu menilai laluan sebenar kepada data tersebut. Ini termasuk sama ada pengguna biasa boleh melihat maklumat yang tidak sepatutnya, sama ada pangkalan data boleh dicapai melalui aplikasi, dan sama ada sandaran atau persekitaran ujian menerima perlindungan yang sama seperti sistem produksi.
Sebelum audit, tender atau keperluan pelanggan
Banyak pelanggan perusahaan, rakan niaga dan badan pematuhan meminta bukti bahawa kawalan keselamatan telah diuji. Ujian penembusan mungkin diperlukan untuk menyokong audit dalaman, keperluan kontrak, pensijilan industri atau proses tender.
Namun, organisasi tidak sepatutnya melihatnya sebagai dokumen semata-mata. Laporan yang hanya dibuat untuk melepasi audit tidak banyak membantu jika isu kritikal tidak diperbaiki. Pengujian yang baik harus menghasilkan pelan tindakan yang boleh dilaksanakan, pemilik bagi setiap pembetulan dan pengesahan semula selepas tindakan diambil.
Selepas insiden atau petanda aktiviti mencurigakan
Akaun yang mengambil alih akses secara luar biasa, percubaan log masuk berulang, peranti tidak dikenali dalam rangkaian atau perubahan fail yang tidak dapat dijelaskan ialah isyarat untuk bertindak. Jika berlaku insiden, organisasi perlu mengutamakan tindak balas insiden dan pemulihan terlebih dahulu. Selepas persekitaran stabil, ujian penembusan boleh membantu mengenal pasti laluan yang mungkin digunakan serta kelemahan berkaitan yang belum ditemui.
Dalam situasi ini, masa sangat penting. Pengujian perlu diselaraskan dengan pasukan IT, operasi dan pengurusan risiko supaya bukti tidak terganggu dan sistem kritikal tidak menerima beban ujian pada waktu yang salah.
Sebagai sebahagian daripada jadual keselamatan berkala
Walaupun tiada projek besar atau insiden, persekitaran teknologi sentiasa berubah. Kemas kini perisian, pengguna baharu, vendor baharu, API tambahan dan konfigurasi sementara boleh mencipta risiko yang tidak wujud pada ujian tahun lepas. Bagi banyak organisasi, ujian tahunan ialah titik permulaan yang praktikal. Syarikat dengan sistem internet-facing, transaksi bernilai tinggi atau perubahan yang kerap mungkin memerlukan pengujian setiap enam bulan atau mengikut kitaran keluaran sistem.
Menentukan skop tanpa mengganggu operasi
Ujian penembusan yang berkesan bermula dengan perancangan, bukan dengan cubaan menyerang sistem. Organisasi perlu menetapkan aset yang akan diuji, masa pengujian, had tindakan penguji, saluran eskalasi dan orang yang perlu dihubungi sekiranya ditemui isu kritikal.
Pengujian boleh dilakukan dalam beberapa pendekatan. Ujian black box meniru penyerang yang mempunyai maklumat sangat terhad. Ujian white box memberi penguji akses kepada seni bina, dokumentasi atau kod tertentu untuk penilaian lebih mendalam. Ujian grey box berada di antara kedua-duanya dan sering sesuai apabila organisasi mahu menguji risiko daripada perspektif pengguna atau rakan niaga yang mempunyai akses sah.
Pilihan ini bergantung pada objektif. Black box membantu menilai pendedahan luaran yang nyata, manakala white box boleh mengenal pasti kelemahan tersembunyi dengan lebih menyeluruh. Pendekatan paling luas tidak semestinya paling sesuai jika keutamaan sebenar ialah portal pelanggan baharu atau rangkaian kilang yang sensitif terhadap gangguan.
Hasil yang patut diterima oleh pihak pengurusan
Laporan teknikal semata-mata tidak mencukupi untuk menyokong keputusan perniagaan. Pengurusan perlu menerima gambaran risiko yang jelas: apakah aset yang terlibat, bagaimana kelemahan boleh dieksploitasi, kesan kepada operasi, dan tindakan pembetulan yang dicadangkan mengikut keutamaan.
Laporan yang berguna biasanya membezakan isu kritikal, tinggi, sederhana dan rendah berdasarkan kebarangkalian serta kesan. Ia juga perlu memisahkan masalah yang memerlukan pembaikan segera, seperti akses pentadbir tanpa pengesahan tambahan, daripada penambahbaikan jangka sederhana seperti pengukuhan konfigurasi atau latihan pengguna.
Selepas pembetulan dibuat, retest atau pengujian semula penting untuk mengesahkan bahawa kelemahan telah ditutup tanpa mencipta masalah baharu. Langkah ini sering diabaikan, sedangkan ia memberi bukti bahawa pelaburan pembaikan benar-benar menghasilkan pengurangan risiko.
Memilih rakan pelaksana yang sesuai
Syarikat perlu memilih penyedia yang memahami kedua-dua keselamatan teknikal dan keutamaan operasi. Penguji perlu bekerja mengikut kebenaran bertulis, melindungi data yang ditemui, berkomunikasi dengan jelas semasa isu kritikal berlaku dan menghasilkan cadangan yang boleh dilaksanakan oleh pasukan dalaman.
Keupayaan selepas pengujian juga penting. Sesetengah organisasi memerlukan bantuan untuk memperbaiki konfigurasi, menambah kawalan keselamatan, melatih pengguna atau membina proses pemantauan berterusan. Pendekatan perundingan seperti yang disediakan oleh TT Synergy Resources boleh membantu menyelaraskan penilaian keselamatan dengan keperluan infrastruktur, aplikasi dan operasi sebenar, bukan sekadar menyerahkan laporan.
Ujian penembusan paling bernilai apabila ia menjadi perbualan berterusan antara keselamatan dan operasi. Jangan tunggu sehingga ada tajuk berita, aduan pelanggan atau kegagalan audit untuk bertanya sama ada sistem boleh ditembusi. Mulakan dengan aset yang paling penting kepada perniagaan, tetapkan skop yang realistik, dan jadikan setiap penemuan sebagai peluang untuk membina operasi yang lebih yakin.