Es gibt keine Möglichkeit, dass ein Pentester zu 100% sicherstellen kann, dass Daten nicht geändert oder gelöscht werden, genauso wie er nicht sicherstellen kann, dass die Systemverfügbarkeit nicht beeinträchtigt wird (ich habe Systeme mit einem Port umgestoßen Scan oder ein einzelnes Zeichen). Wie Sie sagen, kann ein Webcrawler Daten aus einem System löschen, wenn sie schlecht eingerichtet sind.

Ich würde sagen, dass so etwas wie "Es wird jede Sorgfalt darauf verwendet, sicherzustellen, dass die Tests durchgeführt werden." wirkt sich nicht negativ auf die zu überprüfenden Systeme aus und es werden keine absichtlichen Versuche unternommen, Produktionsdaten zu ändern oder zu löschen oder die Verfügbarkeit von In-Scope-Systemen negativ zu beeinflussen. Bei allen Sicherheitstests besteht jedoch das Risiko, dass Systeme und der Kunde betroffen sind sollte sicherstellen, dass vor Beginn der Überprüfung Sicherungen aller Daten und Systeme vorhanden sind "

Ein Pentester, der behauptet, dass er niemals Produktionsdaten ändern wird, ist entweder ein schmutziger Lügner oder hält sich für viel kompetenter als er wirklich ist oder stark beabsichtigt, überhaupt nichts zu tun (das ist der einzige todsichere Weg, niemals etwas zu zerbrechen). Auf jeden Fall möchten Sie nicht mit diesem Typen zusammenarbeiten.

Ein potenzieller Kunde, der glaubt, dass qualifizierte Pentester die getesteten Systeme niemals beschädigen werden, und der sich weigert, mit Pentestern zu arbeiten, es sei denn, er verspricht genau das. ist ein Kunde, der 1. im Einhorn-Traumland lebt und 2. fast garantiert nur mit schmutzigen Lügnern Geschäfte macht. Er wird irgendwann desillusioniert sein, wahrscheinlich auf ziemlich spektakuläre Weise.

Es ist ein moralischer Imperativ und auch grundlegender Selbstschutz für Pentester, um Klauseln über mögliche Brüche in ihre Verträge aufzunehmen. Das Risiko von Kollateralschäden ist real, selbst wenn der Pentester sehr gut darin ist, was er tut (da der Schaden nicht von wie gut der Pentester ist, sondern von wie schlecht das getestete System entworfen wurde und implementiert ). Ein Pentester könnte verklagt werden, weil er den Kunden nicht gewarnt hat.

Ein Kunde, der einen Vertrag mit einer solchen Klausel ablehnt, hat einen anderen Namen: "Ärger". Es ist normalerweise besser, solche Kunden insgesamt zu überspringen.

Vorsichtsmaßnahme: Ich bin kein professioneller Pentester. Und ich arbeite in Backup-Software.

Kann ein erfahrener und professioneller Pentester immer sicherstellen, dass während eines Pentests keine Daten in der Produktion gelöscht oder geändert werden?

Ich würde nein sagen, es gibt keine absoluten Garantien, dass etwas nicht versehentlich gelöscht wird, wenn Sie versuchen, Dinge zu zerbrechen. Allerdings sollte ein Pentester im Allgemeinen versuchen, Systeme so auszunutzen, dass keine Daten gelöscht werden. Während beispielsweise die beliebteste SQL-Anweisung aller lautet:

  Wählen Sie * von Benutzern aus, bei denen userid = 'dave'; DROP ALL TABLES;  

Ein verantwortungsbewussterer Ansatz wäre einfach, alle Daten aufzulisten:

  Wählen Sie * aus Benutzern aus, bei denen userid = '2' OR 1 = 1;  

Im Allgemeinen stelle ich mir vor, dass die meisten Pen-Tester eine Reihe von Exploits der zerstörungsfreien Variante wie die letztere entwickelt haben.

Javascript-Injektion in ihren verschiedenen Formen kann Verwenden Sie einfachen Proof-of-Concept-Code wie alert ("Sie ausgenutzt"); anstelle von echtem Exploit-Code.

Kann ein Pentest wirklich durchgeführt werden, wenn das Pentest-Team dies getan hat? die Einschränkung, dass Daten nicht erstellt oder geändert werden können?

Ich würde nein sagen. Wie würden Sie einen Proof of Concept für gespeichertes XSS vorlegen, ohne Ihr XSS in der Datenbank speichern zu können? Dadurch werden ausnahmslos neue Daten erstellt.

Es gibt zahlreiche Beispiele, bei denen ein Exploit das Schreiben von Daten erfordert, auch wenn dies nur vorübergehend ist.

Sollte die Pentesting-Firma für alle Fälle immer die Haftungsausschlussklausel einfügen?

Auch hier erweitere ich mein persönliches Wissen, aber ich werde sagen ja.

Dies kommt jedoch auf den Punkt zurück, an dem zunächst eine Pen-Test-Firma eingestellt wurde. Bei einem Pen-Test geht es darum, Risiken zu identifizieren, die möglicherweise bewertet und behoben werden müssen, bevor die Bösen sie finden.

Ich würde auch hoffen, dass jeder gute Pentester nach einer Notfallwiederherstellung in gewissem Umfang fragen würde und jedes gute Unternehmen daran gedacht hätte. Sicherlich sollten Sie auf Ihren Systemen eine Sicherungskopie eines Formulars haben, damit Sie diese bei Bedarf wiederherstellen können. Sie benötigen dies nicht nur für den Fall, dass der Pentest Ihre Daten zerstört, sondern auch für den Fall, dass Sie wirklich von den Bösen verletzt werden. In diesem Fall möchten Sie möglicherweise, dass ein nicht kontaminiertes Backup zurückgesetzt wird.

Ich führe auf meinen Websites regelmäßig Penetrationstests durch.

Als ich zum ersten Mal einen Test ausführte, stoppte ich die Website und überflutete ihren Mailserver mit Spam.

Ich dann Ich habe ein paar Formulare gezwitschert, um den Spam loszuwerden, und es war möglich, alle anderen bekannten Lücken zu identifizieren und zu beheben, ohne den Server zum Stillstand zu bringen.

Ich war ehrlich gesagt erstaunt über die Verschlagenheit der Exploiter Ich musste Löcher stopfen, an die ich nicht gedacht hatte.

Aber vor dem Ausführen der Tests dachte ich, meine Websites seien sicher. Ich habe die Best Practices für das Website-Design so weit wie möglich befolgt, aber es gab immer noch Probleme.

Im Nachhinein weiß ich, dass das Testen meine Produktionsstätte beeinträchtigen kann. P. >

Also plane ich im Voraus.

Ich stelle sicher, dass zuerst alles gesichert wird.

Wenn die Site wirklich sehr, sehr kritisch ist, werde ich dann einen vollständigen Klon erstellen Testen Sie diesen Klon zuerst.

Ich habe aus Erfahrung gelernt, dass Sie den Klon auf einem anderen Server erstellen, wenn Sie ihn erstellen. Andernfalls wirkt sich der Server beim Anhalten des Klons weiterhin auf Ihre Produktionsumgebung aus.

Ich führe jedoch weiterhin meine Tests durch. Wie erhalten Hacker Ihrer Meinung nach Zugriff auf Websites? Vermutlich führen sie solche Tests selbst auf nicht autorisierte Weise durch. Solange Ihre Website nicht geschützt ist, ist sie immer anfällig. Es ist viel besser, die Tests zuerst mit den Vorsichtsmaßnahmen (Backup usw.) durchzuführen, als die Teile aufzunehmen, wenn Sie es am wenigsten erwarten.

Ja, es ist akzeptabel, aber es ist ist auch vorhersehbar und sollte entsprechend verwaltet werden.

Die Antwort auf Ihren Titel lautet "Ja", und der Kunde muss dies wissen!

Bei diesem Haftungsausschluss handelt es sich nicht um CYA, sondern um wichtige Informationen, auf die sich der Kunde vorbereiten muss das Pentest. Ich bin kein Pen-Tester, aber IMO sollte dies nicht auf der letzten Seite im Kleingedruckten vergraben sein, sondern auf Seite 1 des Vertrags, vorne und in der Mitte und in einer großen, fett gedruckten Schrift. Das Kundenunternehmen muss sich darauf vorbereiten, dass etwas schief geht - Backups müssen erstellt, Wiederherstellungspläne erstellt und eingerichtet usw. Es ist unverantwortlich, den Kunden glauben zu lassen, dass ein Pen-Test risikofrei ist. Sie versuchen per Definition, falsches Verhalten auszulösen, ohne Kontrolle darüber zu haben, wie weit sich dieses fehlerhafte Verhalten erstreckt oder auswirkt.

Die Antworten auf die drei Fragen im Hauptteil Ihres Beitrags lauten: (1) Nein, Sie Ich kann keine Garantie für anderen Code übernehmen. (2) Eine eingeschränkte Form des Stifttests kann durchgeführt werden, ohne dass absichtlich Daten geändert oder erstellt werden (wenn Sie eine Protokollierung ausschließen, die die App möglicherweise ausführt), aber die Ergebnisse wären nicht vollständig und schließlich ( 3) Sie sollten diesen Haftungsausschluss IMMER einschließen - so viel für die Kunden wie für Sie.

Der Tester sucht grundsätzlich nach einem Fehler, den er ausnutzen kann, und kann in keiner Weise garantieren, dass er keinen Fehler findet das schadet. Betrachten Sie einen typischen Software-Haftungsausschluss für etwas, das NICHT auftreten oder Fehler verursachen soll, und denken Sie dann daran, dass Sie den zu testenden Code wahrscheinlich nicht geschrieben haben ...

Wahrscheinlich können Sie dies nur unter bestimmten Bedingungen sicherstellen. Offensichtlich ist Pentest ein Kompromiss zwischen vielen Faktoren, einige Faktoren stehen in direktem Widerspruch zur Systemverfügbarkeit, und einer davon ist die Tiefe Ihrer Analyse. Einige Leute könnten argumentieren, dass ein Pentest ohne Ausbeutung kein Pentest ist.

In der Vergangenheit musste ich einige SCADA-Systeme pentest, die für ihre Fragilität berühmt sind, und ich kann Ihnen versichern, dass es möglich ist, die meisten zu stimmen der Werkzeuge sanft genug zu sein. Zum Beispiel hat das Deaktivieren des NMAP-Fingerabdrucks und das Erhöhen der Verzögerung zwischen Paketen sehr geholfen.

Um Ihre Frage jedoch persönlich zu beantworten, werde ich NIEMALS einer Klausel zustimmen, um dies einem meiner Kunden zu garantieren. Ich werde ihm mein Wort geben, aber geschäftlich können Sie nicht verantwortlich sein, wenn ihre Anwendung während Ihres Pentests von selbst bricht.

"Kann ein erfahrener und professioneller Pentester immer sicherstellen, dass während eines Pentests keine Daten in der Produktion gelöscht oder geändert werden?"

Nein.

"Kann ein Pentest wirklich durchgeführt werden, wenn das Pentest-Team die Einschränkung hat, dass Daten nicht erstellt oder geändert werden können?"

Denken Sie nicht. .

"Sollte das Pentesting-Unternehmen für alle Fälle immer die Haftungsausschlussklausel einschließen?"

Eine interne Vereinbarung wird sich stark von einer dritten Vereinbarung unterscheiden Zustimmung. Ich kenne keine Pen-Test-Firma, die unter anderem keine Haftungsversicherungsbeschränkungen hat ...

Penetrationstests sollten einer Methode folgen, bei der Tests, die Schäden verursachen können, nur in nicht produktiven Szenarien wie einer Staging- oder Laborumgebung durchgeführt werden.

Das eigentliche Problem ist nicht das Löschen oder Ändern von Daten, weil Tester können diese Testfälle nicht produktiven Systemen überlassen. Das eigentliche Problem besteht darin, neue Daten wie Fehlerprotokolle oder überflüssige fehlerhafte Dateien zu hinterlassen, die vertrauliche Informationen enthüllen, oder sogar das Vorhandensein des Pentests selbst, einschließlich des clientseitigen Datenmaterials des Penetrationstesters.

Ein weiteres Problem Bei Penetrationstests ist die Offenlegung anderer Kundendaten, geschäftlicher E-Mails oder Browser-Lesezeichen während Demos oder Screencasts weit verbreitet.