Обзор методологий и стандартов пентестинга

Почему важно использовать методологии?

Использование стандартизированных методологий тестирования на проникновение обеспечивает ряд ключевых преимуществ для специалистов по информационной безопасности. Во-первых, это гарантирует систематичность и полноту проверки, охватывающей все критически важные аспекты безопасности. Во-вторых, стандартизированный подход позволяет обеспечить воспроизводимость результатов, что особенно важно при проведении повторных аудитов безопасности. В-третьих, использование признанных методологий облегчает коммуникацию между членами команды и заказчиками, поскольку все стороны оперируют единой терминологией и понимают этапы работы.

С течением времени появляются новые угрозы и методы атак, поэтому ведущие методологии регулярно обновляются, чтобы соответствовать современным реалиям кибербезопасности. Рассмотрим основные из них, которые применяются в индустрии.

MITRE ATT&CK

Основные характеристики MITRE ATT&CK

MITRE ATT&CK — это не просто набор документов, а живой фреймворк, который постоянно обновляется и расширяется. Он был разработан для того, чтобы помочь организациям лучше понимать противника и разрабатывать более эффективные механизмы защиты. Фреймворк активно используется как специалистами offensive security (пентестерами, red teamers, исследователями уязвимостей), так и специалистами по реагированию на инциденты и командами threat hunting.

Фреймворк включает несколько матриц:

• Enterprise ATT&CK Matrix — основная матрица для корпоративных систем
• Network — матрица для сетевых атак
• Cloud — матрица для облачных сред
• ICS — матрица для промышленных систем управления
• Mobile — матрица для мобильных устройств

Официальный сайт фреймворка: https://attack.mitre.org

OWASP WSTG

Структура и содержание WSTG

Руководство WSTG охватывает все аспекты тестирования безопасности веб-приложений и предоставляет детальную информацию о методологиях тестирования. Документ структурирован таким образом, чтобы помочь тестировщикам провести полноценную оценку безопасности от начала до конца.

WSTG подробно описывает:

• Фазы тестирования безопасности веб-приложений
• Методы сбора информации о приложении
• Тестирование конфигурации и развёртывания
• Тестирование аутентификации и авторизации
• Тестирование управления сессиями

Более подробно об этих атаках вы узнаете в модуле 6 курса «Эксплуатация уязвимостей приложений».

Официальная страница OWASP WSTG: https://owasp.org/www-project-web-security-testing-guide/

NIST SP 800-115

Содержание NIST SP 800-115

NIST SP 800-115 предоставляет организациям рекомендации по планированию и проведению тестирования информационной безопасности. Этот документ заменил предыдущий стандарт SP 800-42 и значительно расширил его положения с учётом современных реалий кибербезопасности.

Аспект	Описание
Типы тестирования	Описание различных методов тестирования: vulnerability scanning, penetration testing, security testing
Планирование	Рекомендации по определению scope, целей и ограничений тестирования
Проведение	Пошаговые инструкции по выполнению тестов
Анализ результатов	Методология оценки найденных уязвимостей
Документирование	Требования к отчётности и рекомендации по устранению недостатков

NIST SP 800-115 широко признан в индустрии и цитируется во многих других стандартах и нормативных документах. Этот стандарт особенно важен для организаций, работающих в регулируемых отраслях или имеющих дело с государственными контрактами.

Доступ к NIST SP 800-115: https://csrc.nist.gov/publications/detail/sp/800-115/final

OSSTMM

Распространение и развитие

OSSTMM распространяется через Institute for Security and Open Methodologies (ISECOM) — организацию, которая занимается продвижением открытых методологий в области безопасности. Документ определяет повторяемый и последовательный подход к безопасному тестированию, обеспечивая объективность и сопоставимость результатов.

На текущий момент актуальной является версия 3, а версия 4 находится в стадии черновика и готовится к публикации с учётом новейших тенденций в области кибербезопасности.

Ключевые разделы OSSTMM

Раздел	Описание
Operational Security Metrics	Метрики операционной безопасности для количественной оценки
Trust Analysis	Анализ доверия между компонентами системы
Work Flow	Рабочий процесс тестирования
Human Security Testing	Тестирование безопасности человеческого фактора
Physical Security Testing	Тестирование физической безопасности
Wireless Security Testing	Тестирование беспроводных сетей
Telecommunications Security Testing	Тестирование телекоммуникационной безопасности
Data Networks Security Testing	Тестирование безопасности сетей передачи данных
Compliance Regulations	Соответствие нормативным требованиям
Reporting with STAR	Отчётность с использованием STAR (Security Test Audit Report)

Сайт ISECOM: https://www.isecom.org

PTES

Семь фаз PTES

Стандарт PTES чётко структурирован и включает семь основных фаз, каждая из которых имеет свои подзадачи и методологии:

Фаза	Описание
1. Pre-engagement Interactions	Взаимодействие до начала тестирования — определение scope, правил взаимодействия, юридических аспектов
2. Intelligence Gathering	Сбор разведывательных данных — пассивная и активная разведка, OSINT
3. Threat Modeling	Моделирование угроз — определение потенциальных векторов атак
4. Vulnerability Analysis	Анализ уязвимостей — сканирование и идентификация слабых мест
5. Exploitation	Эксплуатация — использование найденных уязвимостей для получения доступа
6. Post-exploitation	Пост-эксплуатация — закрепление доступа, повышение привилегий
7. Reporting	Отчётность — документирование результатов и рекомендации

Официальный сайт PTES: http://www.pentest-standard.org/

ISSAF

Фазы ISSAF

ISSAF определяет следующие этапы проведения оценки безопасности:

Этап	Описание
Information Gathering	Сбор информации о целевой системе
Network Mapping	Картографирование сети, определение топологии
Vulnerability Identification	Идентификация уязвимостей
Penetration	Проникновение в систему
Gaining Access & Privilege Escalation	Получение доступа и повышение привилегий
Enumerating Further	Дальнейшее枚举рование
Compromising Remote Users/Sites	Компрометация удалённых пользователей и сайтов
Maintaining Access	Закрепление доступа

Сравнение методологий

Заключение

Выбор методологии тестирования на проникновение зависит от конкретных целей, типа проверяемой системы и требований заказчика. Опытные специалисты по пентестингу обычно комбинируют элементы из разных методологий, адаптируя их под конкретные задачи. Важно помнить, что никакая методология не является универсальной — ключ к успеху лежит в понимании принципов, стоящих за каждой из них, и умелом применении этих знаний на практике.

В современном ландшафте угроз знание основных фреймворков и стандартов является обязательным для любого специалиста по информационной безопасности. Мы рекомендуем вам изучить каждый из рассмотренных фреймворков более детально и определить, какие из них наиболее соответствуют вашим профессиональным целям.