Zagotavljanje kibernetsko varnega okolja pogosto povezujemo z name\u0161\u010danjem novih, naprednej\u0161ih varnostnih naprav. Res je, da tehnolo\u0161ki razvoj omogo\u010da vedno bolj\u0161o tehni\u010dno za\u0161\u010dito informacijskega sistema. A praksa ka\u017ee, da sama oprema pogosto ne re\u0161i varnostnega izziva, s katerim se organizacija soo\u010da. Dejansko stanje kibernetske varnosti nam poka\u017ee \u0161ele vdorni test.<\/p>\n\n\n\n
Za doseganje ustrezno visokega nivoja kibernetske varnosti sta klju\u010dni pravilna ume\u0161\u010denost varnostnih naprav v sistem in njihova optimizacija. Za bolj\u0161o kibernetsko odpornost pa moramo poskrbeti \u0161e z ozave\u0161\u010danjem uporabnikov in skrbnikov informacijskega sistema.<\/p>\n\n\n\n
Vdorni test vam poka\u017ee, ali je tehni\u010dna za\u0161\u010dita va\u0161ega informacijskega sistema dovolj u\u010dinkovita, da izpolnjuje va\u0161e zahteve in kriterije na podro\u010dju kibernetske varnosti. Z izsledki testa pridobite informacije o morebitnih ranljivostih in pomanjkljivostih v konfiguraciji. S tak\u0161nim pristopom lahko bolje izkoristite obstoje\u010do opremo in novo dodajate ciljno na podro\u010dja, na katerih je vdorni test pokazal varnostne primanjkljaje.<\/p>\n\n\n\n
Zaznavanje varnostnih ranljivosti je po priporo\u010dilih ameri\u0161kega in\u0161tituta NIST<\/a> eden od klju\u010dnih korakov v upravljanju kibernetske varnosti. Sledi mu odzivanje na odkrite ranljivosti. S ponavljanjem teh dveh korakov stremimo k stalnemu izbolj\u0161evanju kibernetske varnosti.<\/p>\n\n\n\n Kljub temu da 100 % varnosti ne moremo dose\u010di, se ji lahko z ustreznimi ukrepi vsaj \u010dim bolj pribli\u017eamo. Na podlagi izvedenih varnostnih testov vpeljemo ukrepe, s katerimi na ravni sistema in uporabnikov poskrbimo za zaupnost, celovitost in razpolo\u017eljivost informacij in storitev.<\/p>\n\n\n\n Organizacije, ki poleg poslovnega informacijskega sistema uporabljajo \u0161e procesno okolje, se sre\u010dujejo z dodatnim izzivom. \u010ce so v prvem nadgradnje in spremembe obi\u010dajno stalnica, je pri drugem cilj \u010dim ve\u010dja stabilnost in nespremenljivost okolja. Temu primerno moramo prilagoditi tudi varnostno testiranje.<\/p>\n\n\n\n Vdorno testiranje IT sistema in aplikacij <\/a>je usmerjeno v zagotavljanje zaupnosti, celovitosti in razpolo\u017eljivosti poslovnega informacijskega sistema in storitev, ki jih pri svojem delu uporabljajo uporabniki in odjemalci.<\/p>\n\n\n\n Pri tem se najprej vpra\u0161amo, kaj v IT sistemu je dostopno od zunaj in v naslednji fazi, kako je za kibernetsko varnost poskrbljeno v notranjem omre\u017eju. S sistemati\u010dnim pristopom preverimo mo\u017ene vstopne to\u010dke v omre\u017eje in jih poskusimo izrabiti.<\/p>\n\n\n\n Testiranje spletnih in mobilnih aplikacij izvajamo v skladu s priznanimi metodologijami, za namen odkrivanja pomanjkljivosti v sami konfiguraciji aplikacije pa izvajamo tudi stati\u010dne preglede izvorne kode in na podlagi dobljenih rezultatov razvijalcem svetujemo, kako lahko produkte varnostno izbolj\u0161ajo.<\/p>\n\n\n\n Poslovni IT sistemi in aplikacije se soo\u010dajo s pojavom vedno novih ranljivosti, ki jih je treba odpravljati z name\u0161\u010danjem varnostnih popravkov ali s spremembami v konfiguraciji varnostnih naprav. Ta okolja so razmeroma prilagodljiva in agilna, zato je vpeljevanje sprememb praviloma neproblemati\u010dno.<\/p>\n\n\n\n Po drugi strani pa procesna okolja, kot so industrijski nadzorni sistemi, obi\u010dajno te\u010dejo na starej\u0161ih tehnologijah in varnostni popravki pogosto niso ve\u010d na voljo. Dokler so bila ta omre\u017eja popolnoma izolirana od ostalih informacijskih sistemov, so bila relativno varna pred kibernetskimi vdori.<\/p>\n\n\n\n S povezovanjem industrijskih sistemov v internet stvari se je na podro\u010dju OT povr\u0161ina napada mo\u010dno pove\u010dala in z njo tudi varnostna tveganja. Varnostni pregledi OT sistemov<\/a> se \u0161e vedno pogosto izvajajo s pregledovanjem arhitekture in politik ali testiranjem v demo okolju. Dodatno moramo pri ocenjevanju tveganj nujno vzeti v obzir tudi dobavno verigo, po kateri lahko pride do napada na omre\u017eje. Industrijski nadzorni sistemi so zaradi prepletanja zastarelih in sodobnih tehnologij danes veliko bolj izpostavljeni kibernetskim napadom, kot so jim bili v preteklosti.<\/p>\n\n\n\n Povezovalni element, ki ga je smotrno preveriti tako v industrijskih kot poslovnih okoljih, so gesla. Tipi\u010dno skrbniki sistemov ve\u010d pozornosti namenjajo mo\u010dnim geslom uporabnikov, a se je \u017ee ve\u010dkrat izkazalo, da so varnostno bolj pomanjkljiva sistemska gesla. Kot enega pomembnih korakov pri varnostnem testiranju zato prepoznavamo tudi test varnosti gesel<\/a>, s katerim preverite u\u010dinkovitost politike uporabe gesel in ustreznost uporabni\u0161kih, sistemskih in servisnih gesel.<\/p>\n\n\n Pomembna sprememba, do katere je v zadnjih letih pri\u0161lo na podro\u010dju varnosti gesel, je njihova struktura. \u010ce je v preteklosti veljalo, da morajo biti gesla kompleksna v smislu uporabe razli\u010dnih znakov in simbolov, zadnje smernice bolj poudarjajo dol\u017eino gesla. Priporo\u010damo, da oblikujete gesla v obliki dalj\u0161ih stavkov (ang. pass-phrases<\/em>), ki tvorijo smiselno celoti in si jih la\u017eje zapomnite (npr. V otro\u0161tvu smo pogosto hodili na po\u010ditnice v Bohinj, kjer smo se kopali v kristalno \u010disti jezerski vodi.). Tudi za sistemska gesla lahko poi\u0161\u010dete re\u0161itve gesel v povedih, ki si jih bodo lahko zapomnili vsi administratorji z odobrenim dostopom. Poleg tega za dodatno za\u0161\u010dito vpeljite dvofaktorsko avtentikacijo. Ob tak\u0161ni politiki gesel spreminjanje vsakih nekaj mesec ni potrebno, lahko jih na primer spremenite enkrat letno.<\/p>\n\n\n\n Poleg ustrezne politike gesel je treba veliko pozornosti nameniti tudi ozave\u0161\u010danju uporabnikov, zakaj so dobro varovana gesla izredno pomembna za organizacijo in zakaj jih nikakor ne smejo z nikomer deliti. Poleg tega je zlata vredna tudi nalo\u017eba v treniranje uporabnikov v prepoznavanju napadov s socialnim in\u017eeniringom.<\/p>\n\n\n\n Zakaj je torej kakovosten vdorni test nujen sestavni del obvladovanja kibernetskih tveganj?<\/p>\n\n\n\n Na podlagi na\u0161ih izku\u0161enj bodo napadalci z zelo veliko verjetnostjo preko va\u0161ih zaposlenih pridobili dostop do notranjega omre\u017eja. V organizacijah, kjer sistemati\u010dno skrbijo za izobra\u017eevanje zaposlenih na podro\u010dju kibernetske varnosti, je mo\u017enost za to sicer manj\u0161a kot tam, kjer ne, vseeno pa obstaja. Motivirani napadalci lahko ob dobro pripravljeni vsebini z usmerjenim napadom z ribarjenjem prelisi\u010dijo tudi pozornega uporabnika.<\/p>\n\n\n\n Ko napadalec dobi dostop v notranje omre\u017eje, je vse odvisno od nastavitev va\u0161ih varnostnih naprav in sposobnosti odziva. To \u00bbpoglavje\u00ab kibernetske varnosti lahko najbolj u\u010dinkovito preverite ravno z usmerjenimi vdornimi testi. Pri tak\u0161nem testiranju dolo\u010dite segment, ki ga \u017eelite pregledati in cilje, ki jih \u017eelite s tem dose\u010di. Kakovostno poro\u010dilo ob koncu testiranja je odli\u010dna osnova za nadaljnje ukrepe in izbolj\u0161ave.<\/p>\n\n\n\n <\/p>\n\n\n Penetracijski test omogo\u010da odkrivanje ranljivosti IT sistema in je podlaga za dolo\u010danje njihove kriti\u010dnosti in podajanje priporo\u010dil.<\/p>\n<\/div><\/div><\/article>\nVdorni test poslovnega in procesnega sistema – zakaj nista enaka?<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2023\/05\/smartphone-3685851_1280-1024x381.jpg\")
<\/figure>\n\n\n\n\u0160ibka gesla so skupni imenovalec tveganj v IT in OT okoljih<\/h2>\n\n\n\n
\n![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2023\/05\/subscribe-3534409_1280-1024x661.jpg\")
<\/figure>\n<\/div>\n\n\nZakaj vdorni test?<\/h2>\n\n\n\n
\nVas zanima ve\u010d o vdornih testih? Pi\u0161ite nam.<\/a><\/div>\n<\/div>\n\n\n\n![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/Penetration-testing.jpg\")
<\/a><\/div>Penetracijski test<\/a><\/h3><\/header>
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/isco.jpg\")
<\/a><\/div>![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/code-review.jpg\")
<\/a><\/div>