È normale per un pentest?

Assolutamente no . Scenario migliore: stanno eseguendo test di penetrazione di "ingegneria sociale" e vogliono vedere se puoi essere spinto a compiere un'azione molto pericolosa. Scenario intermedio, non sanno come fare il loro lavoro. Nel peggiore dei casi, stanno solo fingendo di essere una società di revisione e soddisfare la loro richiesta si tradurrà in una costosa violazione.

Nel caso di un controllo del codice, la società avrà ovviamente bisogno di accedere al codice sorgente. Tuttavia, mi aspetto che un'azienda che fornisce tali servizi comprenda già la sensibilità di tale esigenza e abbia molti moduli da firmare e si offra di lavorare in un ambiente strettamente controllato. Una società di sicurezza rispettabile si preoccuperà non solo di proteggerti (perché è il loro lavoro) ma anche di proteggersi da clienti inaffidabili (il nostro codice sorgente è trapelato subito dopo che ti abbiamo assunto: stiamo facendo causa !!!!) . Tutto questo per dire: qualsiasi società di sicurezza rispettabile che non ti fa firmare molti contratti prima di andare a lavorare non è una società di sicurezza rispettabile.

Non riesco a immaginare nessuna circostanza in cui cedere l'accesso a una qualsiasi di queste cose sarebbe una buona idea.

Modifica RE: contratti nascosti

Alcuni hanno suggerito che l'azienda potrebbe semplicemente non averlo detto all'OP su eventuali contratti / accordi / NDA pertinenti. Suppongo sia possibile, ma ci tengo a precisare che la mancanza di un contratto non è l'unica bandiera rossa che vedo.

In qualità di persona che ha creato siti di e-commerce e software aziendale che ha richiesto l'integrazione con molti processori CC, non vedo assolutamente alcun vantaggio nel dare a qualcun altro l'accesso al tuo processore CC. A quel punto non stanno più testando la penetrazione dei tuoi sistemi: stanno testando la penetrazione dei sistemi di qualcun altro che ti capita di usare. In effetti, fornire le credenziali di accesso in questo modo probabilmente viola i termini di servizio che hai firmato quando hai iniziato a utilizzare il tuo Processore CC (per non parlare degli altri sistemi a cui richiedono l'accesso). Quindi, a meno che tu non abbia il permesso del tuo CC Processor di consegnare le tue credenziali a una società di audit della sicurezza (suggerimento: non ti darebbero mai il permesso), dare loro l'accesso è una responsabilità enorme .

Molti altri qui hanno fatto un ottimo lavoro nell'articolare le differenze tra i test white-box e black-box. È certamente vero che più accesso si concede ai revisori della sicurezza, più efficacemente possono svolgere il proprio lavoro. Tuttavia, un maggiore accesso comporta un aumento dei costi: sia perché fanno pagare di più per un controllo più approfondito, sia perché aumentano i costi in termini di maggiore responsabilità e maggiore fiducia che devi estendere a questa azienda e ai suoi dipendenti. Stai parlando di dare loro liberamente il controllo completo su tutti i sistemi della tua azienda. Non riesco a immaginare nessuna circostanza in cui acconsentirei.

Come devo procedere?

Non procedere con loro. Il modo in cui agiscono non è professionale. I pentest comportano rischi per entrambe le parti e non sembra che abbiano fatto nulla per affrontarli.

Primo, non dovresti assolutamente consegnare nulla senza un contratto scritto (incluso un NDA). È sorprendente che facciano regolarmente affari in questo modo. Come fanno a conoscere l'ambito esatto? In quali termini vengono pagati? Ad un certo punto si limiteranno a dire che sono "finiti" o c'è un calendario? Hai ricevuto un rapporto adeguato? Chi paga se provocano danni? Sono assicurati nel caso in cui perdano le tue credenziali a favore di terzi? Come saprai se una futura violazione fa parte del test o un attacco effettivo da parte di qualcun altro? Anche se ti fidi di loro, queste domande dovrebbero sicuramente trovare una risposta prima di dare il via a un pentest.

E non sei solo tu, si stanno mettendo a rischio. Se non hai mai chiarito l'ambito, potrebbero attaccare alcuni dei tuoi sistemi senza autorizzazione, con potenziali implicazioni legali.

Ho pensato che fosse per lo più una scatola nera.

Entrambi i test box in bianco e nero sono comuni e ogni approccio ha i suoi vantaggi. Ma se la modalità di test non è mai venuta fuori, sembra che non ci sia mai stata una discussione su cosa si dovrebbe ottenere conducendo un pentest in primo luogo. Un appaltatore professionista ti avrebbe aiutato a capire le condizioni e i metodi giusti.

(Una prima grande domanda per un potenziale appaltatore è chiedere loro un rapporto pentest campione. Ti darà un'idea iniziale di come funzionano e quali risultati potresti aspettarti.)

Prima di qualsiasi penetration test dovrebbe esserci uno o più documenti di scoping e regole di coinvolgimento firmati da entrambe le parti. Questi documenti dovrebbero descrivere in dettaglio cosa sarà testato e quali metodi sono stati concordati dalla vostra azienda e dall'appaltatore. Se non hai seguito questa discussione con il tuo appaltatore, interrompi l'incarico e cerca altri professionisti.

In qualità di penetration tester, ho chiesto alle aziende di fornire account o laptop che avrebbero fornito a un utente normale. Ciò consente di eseguire test dal punto di vista dei dipendenti malintenzionati. Tuttavia, questo è tutto concordato prima del test in Scoping and Rules of Engagement.

Solo i miei 2 centesimi.

MAI MAI !!

Stiamo facendo un pentimento completo al mio lavoro. È stato esplicitamente affermato dai pentester che non hanno nemmeno bisogno del login / password per nulla. Abbiamo affermato che è stato fantastico dato che non avremmo mai rilasciato loro nulla prima. Esistono 3 tipi principali di pentest: scatola bianca, scatola grigia, scatola nera.

La scatola bianca è che tu dai loro tutte le informazioni e trovano problemi con il tuo software, rete, ecc.

Grey Box è che dai loro alcuni dettagli di ciò che vuoi che pentano. L'abbiamo utilizzato poiché non avevano idea di quale ISP wireless esterno stessimo utilizzando. Abbiamo detto loro di fare prima un test esterno, quindi abbiamo dato loro alcuni IP e si sono introdotti facilmente.

Black Box è che non fornisci loro nulla e devono trovare tutto da soli. Dopodiché possono fare il loro pentest sugli IP esterni. Per i test interni, è diverso. Saranno all'interno della tua rete che eseguono nmap e altre scansioni intense su ogni target che incontrano. Questo è il più difficile, ma il migliore secondo me.

La mia azienda è attualmente impegnata in un audit di sicurezza inquadrato come un pentest.

e

Nota, non abbiamo mai firmato un un singolo accordo di non divulgazione o altro contratto con loro e sono molto riluttante a fornire loro queste informazioni per questo motivo.

L'uso di "impegnato" in questo contesto implica una definizione di " stipulare un contratto per fare qualcosa ". Ciò mi lascia a chiedermi se le dichiarazioni contrastanti siano accidentali o se non sei l'entità all'interno della tua azienda che ha incaricato la società di sicurezza.

In quest'ultimo caso, potrebbero esserci contratti / accordi di cui eri non messo a conoscenza. Ciò non sarebbe insolito, poiché molti dei test di penetrazione in cui sono stato sul lato ricevente nascondono i dettagli specifici del test ai dipendenti in modo che non intraprendano azioni "anormali" per proteggersi dai test.

Se questo è il caso, fai con la richiesta quello che faresti normalmente con tale richiesta. Di 'loro "no" e se respingono ("ma è necessario per noi eseguire il penetration test"), allora esegui la richiesta (per iscritto) fino al tuo supervisore fornendo le tue preoccupazioni. Se il tuo supervisore ti dice (per iscritto) di rilasciare queste informazioni, dovresti essere chiaro in quanto potrebbe avere una migliore comprensione del test di te. Se i tuoi superiori non sono chiari, eseguilo più in alto nella catena di comando e / o spingili affinché richiedano assistenza all'entità che ha incaricato la società di sicurezza.

Tuttavia, se sei l'entità che ha ingaggiato la società di sicurezza, io (come le altre risposte qui) avrei serie preoccupazioni. Se ritieni che valga la pena proseguire (o sei preoccupato che possano avanzare una sorta di reclamo per "violazione del contratto"), allora ti suggerirei di utilizzare un mezzo per valutare se questo è un test di ingegneria sociale. Ad esempio, potresti generare un elenco di account e password amministratore falsi. Forniscigli questo, dì che stai ancora lavorando al resto e lo invierai non appena sarà pronto. Quindi guarda come rispondono.

Se è solo un test di ingegneria sociale, tutto ciò di cui hanno bisogno è vedere la prova della fuga di questo tipo di informazioni (che puoi dimostrare in seguito sono account falsi). Una società di sicurezza responsabile non dovrebbe avere più bisogno delle informazioni richieste e dovrebbe impedirti di fornirle ("Guardando ciò che hai fornito, penso che questo dovrebbe essere sufficiente per farci procedere; non preoccuparti per il resto a meno che non ne abbiamo davvero bisogno "). Se non interrompono ulteriori informazioni, disimpegnati immediatamente.

Ulteriori informazioni potrebbero solo destare sospetti su qualsiasi penetrazione che eseguono da quel punto in avanti (cioè è facile penetrare in un sistema se hai accesso amministratore) e / o esporli a potenziali azioni legali sulla proprietà intellettuale (ad es. codice sorgente trapelato, ecc.).

Venendo alla domanda da una prospettiva leggermente diversa:

Sei il CEO o CTO?

No? Quindi non fornire alcuna password ai revisori. Mai.

Metti insieme un pacchetto di informazioni e inoltralo lungo la catena al tuo responsabile IT, CTO, CEO o qualsiasi altra cosa. Per dirla senza mezzi termini, è il loro lavoro prendere quel tipo di decisioni (e prenderne le conseguenze), non il tuo.

Se il tuo capo dice "No, mandalo tu". quindi rispondi: "Come dipendente, non mi sento a mio agio nel rilasciare informazioni così pericolose a terze parti".

Se sei, in effetti, il CTO, segui i consigli delle risposte precedenti.

Convalida le tue ipotesi.

Se si suppone che questo sia un test della scatola nera, non dovrebbero ottenere o richiedere alcuna password di sorta.

Se si suppone che questa sia una configurazione review, o white box test, alcune password dovrebbero essere consegnate. La procedura corretta è cambiarli prima del test in qualcosa di unico (stringa casuale), e poi cambiarli di nuovo dopo il test.

Verificare con la propria direzione e chiedere esplicitamente se sono stati firmati accordi di non divulgazione e contratti appropriati.

È normale per un pentest?

Lo scenario come lo hai descritto è insolito, ma non del tutto plausibile. Tutto dipende da cosa esattamente è stato concordato per l'ambito e le attività del test.

Ho pensato che fosse per lo più una scatola nera. Come devo procedere?

Rivolgiti al manager responsabile della firma di questo team pentesting. Il tuo CISO o CSO o responsabile IT o chiunque possa essere. Esprimi le tue preoccupazioni e chiedi se questo approccio è stato concordato.

Fornire password / codice sorgente

Personalmente, non darei password o codice sorgente a nessuno senza un adeguato Firmato NDA. Inoltre, non darei mai e poi mai loro le password effettive. In tutti i pentest in cui sono stato coinvolto, sia come cliente che come project manager (non sono un pentest, ma ho gestito pentesters) c'erano sempre account utente creati per pentest e password cambiate. Consigliamo anche ai nostri clienti di cambiarli dopo che il test è terminato (alcuni non lo fanno, è sempre una triste scoperta per il rapporto successivo).

Forza della password

Quanto a quello che hanno scritto alcune risposte sulla "valutazione della sicurezza della password", è un mucchio di sciocchezze. Sì, esiste una "best practice" sulle buone password, che un tizio ha tirato fuori dal nulla alcuni decenni fa e di cui oggi è terribilmente dispiaciuto. Tutta la matematica sull'argomento è piena di buchi e ipotesi non verificate e molte politiche sulle password riducono effettivamente lo spazio di ricerca invece di ingrandirlo. L'unico vero test per la sicurezza della password ha due parti: una, ottieni le prime 10.000 password da una delle circa 20 liste che fluttuano su Internet e usale come lista nera. Due, esegui lo stesso software di cracking che usano i malintenzionati (la maggior parte di loro sono software libero) sugli hash delle tue password. Se la tua istanza di John non funziona, lo farà anche la loro.