Kas ir ielaušanās tests? Veidi un ieguvumi

Definīcija

Ielaušanās tests (angļu val. penetration testing, ikdienā arī pentests) ir kontrolēts un atļauts process, kurā speciālists meklē un izmanto sistēmu, lietotņu un tīklu vājās vietas kā īsts uzbrucējs. Mērķis nav kaitēt, bet parādīt, kā uzbrucējs rīkotos, cik tālu viņš nonāktu un kā to novērst.

ASV Nacionālā standartu un tehnoloģiju institūta (NIST) vadlīnijas SP 800-115 ielaušanās testu apraksta kā drošības testēšanu, kas atdarina reāla uzbrucēja rīcību, izmantojot tos pašus rīkus un paņēmienus, tikai iepriekš saskaņotās robežās. Tieši saskaņotās robežas atšķir testu no noziedzīga nodarījuma.

Skenēšana un tests nav viens un tas pats

Automātiska skenēšana ātri uzrāda iespējamo vājo vietu sarakstu, bet nepierāda, kuras no tām ir reāli bīstamas. Ielaušanās testu veic cilvēks: viņš izmanto vājās vietas, savieno tās ķēdē un atrod loģikas kļūdas, ko rīks neatpazīst – piemēram, ka viens lietotājs var redzēt cita pasūtījumus, mainot skaitli adresē.

Kā notiek tests: četras fāzes

NIST SP 800-115 ielaušanās testu iedala četrās fāzēs, un šī shēma joprojām ir nozares kopsaucējs. Būtiskākais tajā ir atgriezeniskā saite: uzbrukuma fāzē iegūtā informācija atgriežas izpētes fāzē, un cikls atkārtojas, līdz beidzas saskaņotais laiks vai apjoms.

1. Plānošana. Tiek noteikti mērķi, apjoms un noteikumi, saņemta un dokumentēta vadības atļauja. Šajā fāzē testēšana vēl nenotiek.
2. Izpēte. Informācijas vākšana par mērķi, pakalpojumu un versiju apzināšana, pēc tam ievainojamību analīze.
3. Uzbrukums. Atrasto vājo vietu izmantošana, lai apstiprinātu, ka tās ir reālas, un noskaidrotu, cik tālu ar tām var tikt.
4. Ziņošana. Atradumu apraksts, riska novērtējums, pierādījumi un konkrēti labošanas ieteikumi.

Praksē lielākā daļa laika aiziet izpētei un uzbrukuma fāzei, bet lielākā vērtība rodas ziņošanā. Ziņojums bez skaidra riska pamatojuma un labojuma soļiem noved pie tā, ka atradumi paliek nelaboti.

Biežākie testa veidi

• Ārējā tīkla tests – internetā pieejamie pakalpojumi, VPN, pasta vārtejas un pārējā uzbrukuma virsma.
• Web-lietotņu un API tests – autentifikācija, tiesību pārbaudes, datu apstrāde un biznesa loģika.
• Iekšējā tīkla tests – ko uzbrucējs paveiktu, jau esot iekšā ar vienu darbstaciju vai vienu darbinieka kontu.
• Mākoņa konfigurācijas tests – tiesību modeļi, atvērtas krātuves, servisa konti un starpservisu piekļuve.
• Bezvadu tīklu un mobilo lietotņu tests – atsevišķas jomas ar savu metodiku.

Web-lietotņu testēšanā par praktisko atskaites punktu ir kļuvusi OWASP tīmekļa drošības testēšanas rokasgrāmata (WSTG) – tā apraksta konkrētas pārbaudes, ko sagaidīt kvalitatīvā testā. Cik daudz informācijas testētājs saņem pirms darba, ir atsevišķs lēmums; to salīdzinām ceļvedī par melno, pelēko un balto kasti.

Kāpēc to vispār vērts darīt

Verizon 2025. gada pārskata dati parāda, kāpēc pārbaudes fokuss pēdējos gados ir mainījies: ievainojamību izmantošana ir sasniegusi 20 % no visiem pārkāpumiem, un malas iekārtu un VPN īpatsvars šajos gadījumos gada laikā pieaudzis no 3 % līdz 22 %. Vienlaikus tikai aptuveni 54 % šo ievainojamību gada laikā tika pilnībā izlabotas, ar mediāno labošanas laiku 32 dienas.

• Redzi reālus, izmantojamus riskus, nevis teorētisku sarakstu ar simtiem “vidēja riska” ierakstu.
• Saņem prioritizētus labošanas norādījumus, ko var iekļaut izstrādes darbu sarakstā.
• Uzzini, ko tavas uzraudzības sistēmas nepamanīja – bieži tas ir vērtīgākais atradums.
• Izpildi standartu un līgumu prasības par regulāru drošības pārbaudi.
• Iegūsti argumentu budžeta sarunām: konkrēts iekļūšanas ceļš pārliecina labāk nekā statistika.

Ko satur labs ziņojums

Ziņojums ir vienīgais testa nodevums, ar ko strādās pārējā organizācija, tāpēc tā kvalitāte nosaka visa darba vērtību. Vadības kopsavilkumam jābūt saprotamam cilvēkam bez tehniskas sagatavotības un jāatbild uz vienu jautājumu: kas šodien ir iespējams uzbrucējam un kāda tam ir ietekme uz uzņēmumu.

• Atraduma apraksts ar precīzu atrašanās vietu – sistēmu, adresi, parametru.
• Atkārtošanas soļi tik detalizēti, lai izstrādātājs var reproducēt problēmu bez papildu jautājumiem.
• Pierādījums – ekrānuzņēmums, pieprasījums un atbilde vai iegūto datu fragments.
• Riska pamatojums tieši šai videi, ne tikai vispārīgs smaguma līmenis.
• Konkrēts labojums un, ja labošana prasa laiku, pagaidu risinājums.

Ar ko tests atšķiras no red team

Ielaušanās testa mērķis ir pēc iespējas pilnīgāk pārbaudīt noteiktu apjomu noteiktā laikā. Red team uzdevums ir cits: sasniegt konkrētu mērķi, paliekot nepamanītam, un tādējādi pārbaudīt nevis sistēmas, bet organizācijas spēju pamanīt un reaģēt. Testā aizsardzības komanda parasti zina, ka tests notiek; red team uzdevumā to zina tikai daži cilvēki.

Praktisks secinājums: red team ir jēga tikai tad, ja uzraudzība un reaģēšana jau eksistē. Ja tās vēl nav, ielaušanās tests dos vairāk informācijas par mazāku cenu.

Ielaušanās tests un Latvijas regulējums

Nacionālās kiberdrošības likums ielaušanās testu tieši nepieprasa, taču nosaka ietvaru, kurā tas kļūst praktiski nepieciešams. Likuma 44. pants paredz, ka Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs var uzdot subjektam veikt ārēju atbilstības auditu; šādu auditu veic neatkarīgs kiberdrošības auditors, kuram ar subjektu nav interešu konflikta, un audita izmaksas sedz pats subjekts.

Konkrētu biežumu nosaka Ministru kabineta noteikumi “Minimālās kiberdrošības prasības”: to 131. punkts paredz, ka A klases informācijas sistēmai ielaušanās testu veic pirms tās nodošanas ekspluatācijā un pēc tam vismaz reizi trijos gados. Noteikumu 132. punkts izvirza prasības arī testa veicējam: neiesaistīšanos testējamās sistēmas izstrādē vai uzturēšanā pēdējo trīs gadu laikā, bet ārējai personai papildus – sertifikātu, kas apliecina kvalifikāciju ielaušanās testu jomā, vai vismaz divu gadu pieredzi, kas iegūta pēdējo piecu gadu laikā.

Svarīgs ir arī 39. un 40. pants par koordinētu ievainojamību atklāšanu: persona, kas subjekta sistēmā konstatē ievainojamību, ne vēlāk kā piecu darbdienu laikā iesniedz ziņojumu kompetentajai kiberincidentu novēršanas institūcijai, bet subjektam ievainojamība jānovērš ne vēlāk kā 90 dienu laikā, ar iespēju termiņu pagarināt līdz 180 dienām. Testa rezultāti tāpēc nav tikai iekšējs dokuments – tie var iekļauties regulētā procesā ar termiņiem.

Tāpēc testa rezultātus ir vērts uzreiz sadalīt divās daļās: konkrēti labojumi ar atbildīgo un termiņu, un sistēmiskie secinājumi – kāpēc šī kļūda vispār nonāca produkcijā. Otrā daļa parasti dod lielāko ilgtermiņa efektu, jo maina procesu, nevis vienu rindiņu kodā.

Biežākās kļūdas

• Tests kā atzīme. Ja mērķis ir iegūt apliecinājumu, apjoms parasti tiek sašaurināts līdz nekaitīgākajai sistēmai.
• Pārāk šaurs apjoms. Uzbrucējs neievēro robežas starp sistēmām; ja tests tās ievēro pārāk stingri, tas nepierāda gandrīz neko.
• Nav atkārtotā testa. Bez pārbaudes nav zināms, vai labojums tiešām aizvēra ceļu vai tikai konkrēto simptomu.
• Ziņojums bez īpašnieka. Atradumi bez atbildīgā un termiņa pēc gada izskatīsies tieši tāpat.