Ist das normal für einen Pentest?

Absolut nicht . Best-Case-Szenario: Sie führen Penetrationstests im Bereich "Social Engineering" durch und möchten herausfinden, ob Sie unter Druck gesetzt werden können, eine sehr gefährliche Aktion auszuführen. Im mittleren Fall wissen sie nicht, wie sie ihre Arbeit machen sollen. Im schlimmsten Fall geben sie nur vor, ein Prüfungsunternehmen zu sein, und die Erfüllung ihrer Anfrage führt zu einem teuren Verstoß.

Im Falle eines Code-Audits benötigt das Unternehmen offensichtlich Zugriff auf den Quellcode. Ich würde jedoch erwarten, dass ein Unternehmen, das solche Dienstleistungen anbietet, die Sensibilität eines solchen Bedarfs bereits versteht und über viele Formulare verfügt, die Sie unterschreiben und anbieten können, in einer streng kontrollierten Umgebung zu arbeiten. Eine seriöse Sicherheitsfirma wird sich nicht nur darum kümmern, Sie zu schützen (weil es ihre Aufgabe ist), sondern sich auch vor nicht vertrauenswürdigen Kunden zu schützen (Unser Quellcode ist direkt nach unserer Einstellung durchgesickert: Wir verklagen !!!!) . All dies, um zu sagen: Jedes seriöse Sicherheitsunternehmen, bei dem Sie nicht viele Verträge unterschreiben, bevor Sie zur Arbeit gehen, ist kein seriöses Sicherheitsunternehmen.

Ich kann mir keine Umstände vorstellen, unter denen der Zugriff an übergeben wird Jedes dieser Dinge wäre eine gute Idee.

RE bearbeiten: versteckte Verträge

Einige haben vorgeschlagen, dass das Unternehmen dem OP möglicherweise einfach nichts gesagt hat über relevante Verträge / Vereinbarungen / NDAs. Ich nehme an, dass dies möglich ist, aber ich möchte klarstellen, dass das Fehlen eines Vertrags nicht die einzige rote Fahne ist, die ich sehe.

Als jemand, der E-Commerce-Websites und Unternehmenssoftware erstellt hat, für die eine Integration mit vielen CC-Prozessoren erforderlich ist, sehe ich absolut keinen Vorteil darin, jemand anderem Zugriff auf Ihren CC-Prozessor zu gewähren. Zu diesem Zeitpunkt testen sie Ihre Systeme nicht mehr auf Penetration: Sie testen die Systeme anderer, die Sie gerade verwenden. Das Vergeben von Zugangsdaten auf diese Weise verstößt wahrscheinlich gegen die Nutzungsbedingungen, die Sie zu Beginn der Verwendung Ihres CC-Prozessors unterzeichnet haben (ganz zu schweigen von den anderen Systemen, auf die der Zugriff angefordert wird). Wenn Sie also nicht die Erlaubnis Ihres CC-Prozessors haben, Ihre Anmeldeinformationen an eine Sicherheitsüberprüfungsfirma weiterzugeben (Hinweis: Sie würden niemals eine Erlaubnis erhalten), ist der Zugriff eine große Haftung.

Viele andere hier haben großartige Arbeit geleistet, um die Unterschiede zwischen White-Box- und Black-Box-Tests zu artikulieren. Es ist sicher richtig, dass je mehr Zugriff Sie Sicherheitsprüfern gewähren, desto effektiver können sie ihre Arbeit erledigen. Ein verbesserter Zugang ist jedoch mit höheren Kosten verbunden: Sowohl weil sie mehr für eine gründlichere Überprüfung verlangen, als auch weil die Kosten in Bezug auf eine erhöhte Haftung und ein erhöhtes Vertrauen, das Sie diesem Unternehmen und seinen Mitarbeitern entgegenbringen müssen, steigen. Sie sprechen davon, ihnen die vollständige Kontrolle über alle Systeme Ihres Unternehmens zu geben. Ich kann mir keine Umstände vorstellen, unter denen ich dem zustimmen würde.

Wie soll ich vorgehen?

Fahren Sie nicht mit ihnen fort. Sie verhalten sich unprofessionell. Pentests bergen Risiken für beide Parteien, und es scheint, dass sie nichts unternommen haben, um sie anzugehen.

Erstens sollten Sie absolut nichts ohne einen schriftlichen Vertrag (einschließlich einer NDA) übergeben. Es ist überraschend, dass sie routinemäßig solche Geschäfte machen. Woher kennen sie den genauen Umfang? Unter welchen Bedingungen werden sie bezahlt? Werden sie einfach sagen, dass sie irgendwann "fertig" sind oder gibt es einen Zeitplan? Erhalten Sie einen ordnungsgemäßen Bericht? Wer bezahlt, wenn sie Schaden anrichten? Sind sie versichert, falls sie Ihre Zugangsdaten an Dritte verlieren? Woher wissen Sie, ob ein zukünftiger Verstoß Teil des Tests oder ein tatsächlicher Angriff einer anderen Person ist? Selbst wenn Sie ihnen vertrauen, sollten diese Fragen unbedingt beantwortet werden, bevor Sie einen Pentest starten.

Und nicht nur Sie, sie setzen sich selbst einem Risiko aus. Wenn Sie den Umfang nie geklärt haben, greifen sie möglicherweise einige Ihrer Systeme ohne Erlaubnis an, mit möglichen rechtlichen Auswirkungen.

Ich nahm an, dass es sich hauptsächlich um eine Black Box handelt.

Sowohl Black- als auch White-Box-Tests sind üblich und jeder Ansatz hat seine eigenen Vorteile. Aber wenn die Art des Testens nie aufgetaucht ist, scheint es nie eine Diskussion darüber gegeben zu haben, was durch die Durchführung eines Pentests überhaupt erreicht werden sollte. Ein professioneller Auftragnehmer hätte Sie bei der Ermittlung der richtigen Bedingungen und Methoden unterstützt.

(Eine gute erste Frage an einen potenziellen Auftragnehmer besteht darin, ihn um einen Pentest-Musterbericht zu bitten. Er gibt Ihnen eine erste Vorstellung davon, wie Sie funktionieren und welche Ergebnisse Sie erwarten können.)

Vor jedem Penetrationstest sollten Dokumente zum Umfang und zu den Einsatzregeln vorhanden sein, die von beiden Parteien unterzeichnet sind. In diesen Dokumenten sollte detailliert beschrieben werden, was getestet wird und welche Methoden von Ihrem Unternehmen und dem Auftragnehmer vereinbart wurden. Wenn Sie diese Diskussion mit Ihrem Auftragnehmer nicht durchlaufen haben, brechen Sie das Engagement ab und suchen Sie andere Fachleute.

Als Penetrationstester habe ich Unternehmen gebeten, Konten oder Laptops bereitzustellen, die sie einem normalen Benutzer zur Verfügung stellen würden. Dies ermöglicht das Testen aus der Perspektive eines böswilligen Mitarbeiters. Dies alles wird jedoch vor dem Test in den Scoping and Rules of Engagement vereinbart.

Nur meine 2 Cent.

NIEMALS !!

Wir machen einen vollen Pentest bei meiner Arbeit. Die Pentester haben ausdrücklich erklärt, dass sie für nichts das Login / Passwort benötigen. Wir sagten, dass es großartig war, da wir ihnen nie zuvor etwas zur Verfügung stellen würden. Es gibt drei Haupttypen von Pentests: White Box, Grey Box, Black Box.

White Box ist, dass Sie ihnen alle Informationen geben und sie Probleme mit Ihrer Software, Ihrem Netzwerk usw. finden.

Gray Box ist, dass Sie ihnen einige Details darüber geben, was sie pentestieren sollen. Wir haben das verwendet, da sie keine Ahnung hatten, welchen externen drahtlosen ISP wir verwendeten. Wir haben ihnen gesagt, dass sie zuerst einen externen Test durchführen sollen, also haben wir ihnen ein paar IPs gegeben, und sie sind leicht eingebrochen.

Black Box ist, dass Sie ihnen nichts zur Verfügung stellen und sie alles selbst finden müssen. Danach können sie ihren Pentest auf den externen IPs durchführen. Bei internen Tests ist dies anders. Sie befinden sich in Ihrem Netzwerk und führen nmap und andere intensive Scans für jedes Ziel aus, auf das sie stoßen. Dies ist das Schwierigste, aber meiner Meinung nach das Beste.

Mein Unternehmen führt derzeit eine Sicherheitsüberprüfung durch, die als Pentest eingestuft ist.

und

Hinweis, wir haben noch nie eine unterschrieben einzelne NDA oder ein anderer Vertrag mit ihnen noch, und ich bin sehr zurückhaltend, diese Informationen ihnen aus diesem Grund zur Verfügung zu stellen.

Die Verwendung von "beschäftigt" in diesem Zusammenhang impliziert eine Definition von " einen Vertrag abschließen, um etwas zu tun. " Daher frage ich mich, ob die widersprüchlichen Aussagen zufällig sind oder ob Sie nicht das Unternehmen in Ihrem Unternehmen sind, das das Sicherheitsunternehmen beauftragt hat.

Wenn letzteres der Fall ist, kann es durchaus Verträge / Vereinbarungen geben, die Sie getroffen haben nicht bewusst gemacht. Dies wäre nicht ungewöhnlich, da viele der Penetrationstests, bei denen ich am empfangenden Ende war, die spezifischen Details des Tests vor den Mitarbeitern verbergen, damit diese keine "abnormalen" Maßnahmen zum Schutz vor den Tests ergreifen.

Wenn dies der Fall ist, machen Sie mit der Anfrage das, was Sie normalerweise mit einer solchen Anfrage machen würden. Sagen Sie ihnen "Nein", und wenn sie zurückschieben ("aber wir müssen den Penetrationstest durchführen"), führen Sie die Anfrage (schriftlich) an Ihren Vorgesetzten weiter und geben Sie Ihre Bedenken an. Wenn Ihr Vorgesetzter Sie (schriftlich) auffordert, diese Informationen freizugeben, sollten Sie sich im Klaren sein, da er den Test möglicherweise besser versteht als Sie. Wenn Ihre Vorgesetzten unklar sind, führen Sie die Befehlskette weiter nach oben und / oder fordern Sie sie auf, sich von der Stelle, die die Sicherheitsfirma beauftragt hat, beraten zu lassen.

Wenn Sie jedoch das Unternehmen sind, das die Sicherheitsfirma beauftragt hat, hätte ich (wie die anderen Antworten hier) ernsthafte Bedenken. Wenn Sie der Meinung sind, dass es sich dennoch lohnt, sie weiterzuverfolgen (oder befürchten, dass sie eine Art Vertragsverletzungsklage erheben), würde ich Ihnen empfehlen, ein Mittel zur Bewertung zu verwenden, ob es sich um einen Social-Engineering-Test handelt. Sie können beispielsweise eine Liste gefälschter Administratorkonten und Kennwörter erstellen. Geben Sie ihnen dies, sagen Sie, dass Sie noch am Rest arbeiten, und Sie werden es mitschicken, sobald es fertig ist. Sehen Sie dann, wie sie reagieren.

Wenn es sich nur um einen Social-Engineering-Test handelt, müssen sie lediglich den Nachweis erbringen, dass diese Art von Informationen durchgesickert sind (was Sie später als gefälschte Konten anzeigen können). Ein verantwortungsbewusstes Sicherheitsunternehmen sollte keine weiteren angeforderten Informationen mehr benötigen und Sie daran hindern, diese bereitzustellen. ("Wenn Sie sich ansehen, was Sie bereitgestellt haben, sollte dies meiner Meinung nach ausreichen, um fortzufahren. Machen Sie sich keine Sorgen um den Rest, es sei denn, es dreht sich um." raus brauchen wir es wirklich "). Wenn sie keine weiteren Informationen stoppen, deaktivieren Sie sie sofort.

Weitere Informationen können nur den Verdacht auf Penetrationen erwecken, die sie von diesem Punkt an ausführen (dh es ist einfach, in ein System einzudringen, wenn Sie Administratorzugriff haben). und / oder sie potenziellen Rechtsstreitigkeiten in Bezug auf geistiges Eigentum auszusetzen (z. B. durchgesickerten Quellcode usw.).

Kommen Sie aus einem etwas anderen Blickwinkel auf die Frage:

Sind Sie der CEO oder CTO?

Nein? Geben Sie den Prüfern dann keine Passwörter. Immer.

Stellen Sie ein Informationspaket zusammen und leiten Sie es an Ihren IT-Manager, CTO, CEO oder was auch immer weiter. Um es ganz klar auszudrücken, es ist ihre Aufgabe, diese Art von Entscheidungen zu treffen (und die Konsequenzen zu ziehen), nicht Ihre.

Wenn Ihr Chef sagt: "Nein, Sie senden es." Antworten Sie dann: "Als Mitarbeiter ist es mir unangenehm, solche gefährlichen Informationen an Dritte weiterzugeben."

Wenn Sie tatsächlich CTO sind, lassen Sie sich von den obigen Antworten beraten.

Überprüfen Sie Ihre Annahmen.

Wenn dies ein Black-Box-Test sein soll, sollten sie keinerlei Passwörter erhalten oder benötigen.

Wenn dies eine Konfiguration sein soll Bei Überprüfungen oder White-Box-Tests sollten einige Passwörter übergeben werden. Das richtige Verfahren besteht darin, sie vor dem Test in eine eindeutige (zufällige Zeichenfolge) zu ändern und sie nach dem Test erneut zu ändern.

Wenden Sie sich an Ihr Management und fragen Sie explizit, ob die richtigen NDAs und Verträge unterzeichnet wurden.

Ist das normal für einen Pentest?

Das von Ihnen beschriebene Szenario ist ungewöhnlich, aber nicht ganz unplausibel. Es hängt alles davon ab, was genau für den Testumfang und die Aktivitäten vereinbart wurde.

Ich nahm an, dass es sich meistens um eine Black Box handelt. Wie soll ich vorgehen?

Wenden Sie sich an den Manager, der für die Unterzeichnung dieses Pentesting-Teams verantwortlich ist. Ihr CISO oder CSO oder IT-Manager oder wer auch immer. Bringen Sie Ihre Bedenken zum Ausdruck und fragen Sie, ob dieser Ansatz vereinbart wurde.

Geben von Passwörtern / Quellcode

Persönlich würde ich niemandem Passwörter oder Quellcode ohne einen richtigen geben NDA unterzeichnet. Ich würde ihnen auch niemals die tatsächlichen Passwörter geben. In allen Pentests, an denen ich beteiligt war, wurden auf beiden Seiten sowohl als Kunde als auch als Projektmanager (ich bin kein Pentester, aber ich habe Pentester verwaltet) immer Benutzerkonten für den Pentest erstellt und Kennwörter geändert. Wir empfehlen unseren Kunden sogar, sie nach Abschluss des Tests zu ändern (einige tun dies nicht, das ist immer ein trauriger Befund für den nächsten Bericht).

Kennwortstärke

Was einige Antworten über "Bewertung der Passwortstärke" geschrieben haben - das ist eine Menge Quatsch. Ja, es gibt eine "Best Practice" für gute Passwörter, die ein Typ vor einigen Jahrzehnten aus dem Nichts gezogen hat und die er heute schrecklich bedauert. Die gesamte Mathematik zu diesem Thema ist voller Lücken und nicht überprüfter Annahmen, und viele Kennwortrichtlinien reduzieren den Suchraum tatsächlich, anstatt ihn zu vergrößern. Der einzige echte Test für die Kennwortstärke besteht aus zwei Teilen: Erstens: Holen Sie sich die besten 10.000 Kennwörter aus einer der rund 20 Listen, die im Internet verbreitet sind, und verwenden Sie diese als schwarze Liste. Zweitens: Führen Sie dieselbe Cracking-Software aus, die Bösewichte (die meisten davon sind Freie Software) für Ihre Passwort-Hashes verwenden. Wenn Ihre Instanz von John es knackt, wird es auch ihre tun.