Cybersecurity / Penetration Testing

Hvad bruges Cybersecurity / Penetration Testing til? Cybersecurity / Penetration Testing bruges til at finde sikkerhedshuller ved kontrolleret at angribe virksomhedens it-systemer på samme måde, som en reel angriber kunne forsøge at gøre. Målet er ikke bare at finde tekniske fejl, men at undersøge om fejlene faktisk kan udnyttes, hvad en angriber kan få adgang til, og hvordan virksomheden bør lukke hullerne.

Cybersecurity / Penetration Testing er ikke ét enkelt program. Det er en arbejdsmetode, hvor specialisten kombinerer manuelle tests med værktøjer til blandt andet kortlægning, scanning, analyse og udnyttelse af sårbarheder. Nmap, Burp Suite og Kali Linux er eksempler på værktøjer og platforme, som ofte indgår i arbejdet.

En penetrationstest kan eksempelvis omfatte en hjemmeside, en webapplikation, API'er, virksomhedens internetvendte servere, interne netværk, Microsoft Active Directory, cloudmiljøer eller trådløse netværk. En mere omfattende red team-test kan undersøge, om en angriber kan kombinere flere svagheder og bevæge sig gennem organisationen. Phishing og anden social engineering kan også indgå, hvis virksomheden udtrykkeligt har aftalt det.

En penetrationstest adskiller sig fra en almindelig sårbarhedsscanning. En scanner leder primært efter kendte problemer. En penetrationstester vurderer også sammenhænge, forsøger kontrolleret at udnytte svagheder og undersøger, hvor stor den reelle risiko er.

I Danmark anbefaler SikkerDigital, at sikkerhedstest gennemføres under klare aftaler om mål, metoder, kontaktpersoner, datahåndtering og etiske grænser. Testeren skal have tydelig tilladelse til de systemer og angrebsformer, der indgår i testen.

Hvem bruger Cybersecurity / Penetration Testing? Cybersecurity / Penetration Testing bruges især af virksomheder, der driver systemer eller tjenester, hvor et sikkerhedsbrud kan påvirke drift, kunder, persondata eller forretningskritiske oplysninger. Det gælder blandt andet softwarevirksomheder, finansielle virksomheder, e-commerce, SaaS-leverandører, offentlige organisationer, industri, energi og virksomheder med større cloud- eller Microsoft-miljøer.

Arbejdet udføres typisk af penetrationstestere, offensive security-specialister, red team-specialister og sikkerhedskonsulenter. Interne security teams kan selv udføre dele af arbejdet, mens en ekstern specialist ofte bruges, når virksomheden ønsker en uafhængig vurdering eller mangler meget specialiseret angrebskompetence.

Udviklere, cloud architects, DevOps-teams og systemadministratorer arbejder også med resultaterne. De skal normalt rette de sårbarheder og konfigurationsfejl, som testen afdækker.

For visse regulerede virksomheder kan tekniske sikkerhedstest også være en del af arbejdet med at dokumentere, at sikkerhedsforanstaltninger fungerer. Den danske NIS 2-lovgivning omtaler blandt andet vurdering af behovet for tekniske tests som sårbarhedsscanninger og penetrationstests. På finansområdet indeholder DORA desuden regler om trusselsbaseret penetrationstest for udvalgte finansielle enheder.

Typiske opgaver for en Cybersecurity / Penetration Testing-specialist En specialist bliver ofte hyret til at teste en ny webapplikation eller API før lancering. Her undersøges blandt andet login, adgangskontrol, sessionshåndtering, inputvalidering, API-rettigheder og muligheder for at få adgang til data eller funktioner, som brugeren ikke burde kunne nå.

En anden typisk opgave er ekstern penetrationstest af virksomhedens internetvendte miljø. Specialisten kortlægger de systemer, som kan ses udefra, og undersøger eksempelvis fejlkonfigurationer, sårbare services, svage autentificeringsmekanismer og mulige veje ind i miljøet.

Interne penetrationstests bruges til at undersøge konsekvensen, hvis en angriber allerede har fået adgang til virksomhedens netværk. Her kan testen blandt andet omfatte Windows-domæner, Active Directory, rettigheder, servicekonti, netværkssegmentering og muligheder for at bevæge sig fra én computer til mere kritiske systemer.

Cloudmiljøer er også blevet et almindeligt testområde. Her kan specialisten undersøge identiteter, roller, adgangsrettigheder, eksponerede tjenester, secrets og konfigurationer i eksempelvis Microsoft Azure eller AWS. En cloud penetrationstest kræver samtidig forståelse for cloududbyderens regler og for præcis hvilke ressourcer virksomheden har givet tilladelse til at teste.

Virksomheder hyrer også penetrationstestere efter større systemændringer, migreringer eller sikkerhedsforbedringer for at kontrollere, om tidligere problemer reelt er blevet løst. En retest fokuserer normalt på de konkrete fund fra den tidligere rapport.

Ved mere avancerede opgaver kan en red team-specialist simulere et sammenhængende angreb mod organisationen. Formålet kan være at undersøge både tekniske kontroller og virksomhedens evne til at opdage og reagere på angrebet. Sådanne tests kræver særligt klare spilleregler, fordi flere systemer, medarbejdere og sikkerhedsfunktioner kan blive involveret.

En professionel opgave slutter normalt med dokumentation af fundene. Rapporten beskriver sårbarhederne, hvordan de blev konstateret, den mulige konsekvens og konkrete anbefalinger til udbedring. En god penetrationstester skal derfor både kunne finde fejl og forklare dem præcist til udviklere, teknikere og ansvarlige for risiko og ledelse.

Hvordan lærer man Cybersecurity / Penetration Testing? Cybersecurity / Penetration Testing læres bedst gennem en kombination af teknisk grundviden og praktiske øvelser i lovlige laboratoriemiljøer. Et godt fundament er netværk, TCP/IP, DNS, HTTP, Windows, Linux, Active Directory, webteknologi og grundlæggende scripting. Uden den forståelse bliver penetrationstest let reduceret til at køre automatiske værktøjer uden at forstå resultaterne.

OWASP Web Security Testing Guide er en central reference til test af webapplikationer og webservices. Guiden beskriver både testmetodik og konkrete kategorier af sikkerhedstest. NIST Special Publication 800-115 beskriver en mere generel metode til planlægning, gennemførelse og rapportering af tekniske sikkerhedstest.

PortSwigger Web Security Academy er en anerkendt praktisk læringsplatform til web security. Den kombinerer fagligt materiale med laboratorier, hvor man blandt andet kan træne SQL injection, adgangskontrol, authentication, cross-site scripting, API-sikkerhed og nyere angrebsteknikker i et kontrolleret miljø.

OffSecs PEN-200, Penetration Testing with Kali Linux, er en praktisk orienteret uddannelsesvej, som leder mod OSCP+-certificeringen. Indholdet omfatter blandt andet informationsindsamling, sårbarhedsanalyse, webangreb, privilege escalation, Active Directory og rapportering.

CREST har en certificeringsvej målrettet professionelle penetrationstestere. Den omfatter blandt andet CREST Practitioner Security Analyst, CREST Registered Penetration Tester og videre specialisering inden for applikations-, infrastruktur- og red team-test.

Certificeringer kan dokumentere et fagligt niveau, men penetration testing er i høj grad en praktisk færdighed. Erfaring med laboratorier, egne testmiljøer, analyse af forskellige teknologier og præcis rapportering er derfor mindst lige så vigtig som at lære bestemte værktøjer.