Ekstern eller intern penetrationstest: hvilket spørgsmål skal testen besvare?

En ekstern penetrationstest og en intern penetrationstest giver svar på forskellige spørgsmål om virksomhedens sikkerhed. Valget afhænger af, hvor testen begynder, hvilke systemer der indgår, og hvilken adgang testeren har fra starten.

En webshop skal måske åbne for kunder, mens et nyt ERP-system skal kunne bruges af flere afdelinger. Begge dele kan være grund til at teste. Men bestillingen skal sige, om spørgsmålet handler om adgang fra internettet eller om rettigheder og adskillelse inde i virksomheden.

Udgangspunktet bestemmer perspektivet

Ekstern og intern beskriver testens udgangspunkt i forhold til den grænse, der undersøges. Det beskriver ikke testerens ansættelse. En konsulent udefra kan teste både virksomhedens offentlige kundeportal og dens interne netværk. Derfor bør indkøberen altid få beskrevet, hvor hver del af testen starter.

NIST SP 800-115, afsnit 2.4.1 skelner mellem de to perspektiver. I en almindelig virksomhed kan forskellen være testen af en tjeneste fra internettet og testen fra et kontornet. Skriv netværk, system eller brugerrolle ind i bestillingen. Ordet “intern” alene fortæller for lidt om opgaven.

Testerens forhold til driftsleverandøren er et andet spørgsmål. Hvis samme firma har bygget kundeportalen og skal vurdere den, bør I kende rollerne, før rapporten bestilles. → Uafhængig penetrationstest

Hvad belyser en ekstern test?

En ekstern test tager udgangspunkt uden for den aftalte sikkerhedsgrænse, ofte på internettet. Den kan undersøge en offentlig webshop eller virksomhedens fjernadgang. Resultatet skal vise, hvilke svagheder der blev påvist fra dette udgangspunkt, og hvad de betød for de undersøgte systemer.

For en webshop er det relevante spørgsmål ikke kun, om noget blev fundet. Det er også, om fundet berører kundedata, bestillinger eller driften af butikken. Beskriv derfor de vigtige funktioner i bestillingen. En liste over adresser fortæller ikke, hvilke følger virksomheden især har brug for at kende.

En kundeportal kan desuden testes med eller uden en udleveret kundekonto. Ordet “ekstern” afgør ikke, om funktionerne efter login er med. Skriv det udtrykkeligt, så et svar om den offentlige del ikke bliver læst som en vurdering af hele portalen. → Hvad er en penetrationstest?

Hvad belyser en intern test?

En intern test begynder inden for den aftalte grænse. Udgangspunktet kan eksempelvis være en almindelig medarbejders adgang til virksomhedens netværk. Testen kan så belyse, om denne adgang giver muligheder ud over det, virksomheden havde tænkt sig.

Et konkret spørgsmål kan være, om salgsafdelingen er adskilt fra de systemer, økonomiafdelingen bruger. Et andet kan være, om gæstenettet er adskilt fra virksomhedens øvrige net. De spørgsmål kræver forskellige udgangspunkter og bør ikke gemmes under samme upræcise bestilling af “en intern test”.

Et nyt ERP-system gør forskellen tydelig. En test med økonomimedarbejderens rolle siger noget andet end en test med administratorens adgang. Vælg de roller, I skal træffe en beslutning om, og skriv de øvrige fravalg ned. → Scope i en penetrationstest

Adgang og forhåndsviden er særskilte valg

Testeren kan kende meget eller lidt til systemerne ved begge testtyper. Til en kundeportal kan virksomheden udlevere kundekonti og en beskrivelse af brugerrollerne. Til et internt net kan den udlevere en oversigt over afdelinger og kritiske systemer. Oplysningerne skal fremgå af opgaven.

En intern test med administratoradgang fra begyndelsen viser ikke i sig selv, hvad en almindelig kontormedarbejder kunne opnå. Tilsvarende skal rapporten om kundeportalen skelne mellem fund med og uden den udleverede konto. Ellers kan den, der læser resuméet, misforstå den adgang, fundene krævede.

Black box, grey box og white box bruges om forskellige mængder forhåndsviden. Ordene bør følges af en konkret beskrivelse. Ved en webshop er “to kundekonti med forskellige roller” mere præcist end betegnelsen grey box alene. → Black box, grey box og white box

Cloud kræver en beskrevet grænse

Ved cloudtjenester skal grænsen beskrives for den enkelte løsning. En kundeportal kan ligge hos en udbyder, mens medarbejderne bruger den fra kontoret. Kontorets adresse fortæller derfor ikke, hvilke dele af portalen der er eksterne eller interne i testens forstand.

For et ERP-system i cloud kan spørgsmålet handle om forskellen mellem almindelige brugeres og administratorers adgang. Beskriv de relevante roller og virksomhedens egne ressourcer. Skeln mellem den løsning, virksomheden råder over, og udbyderens fælles platform, så rapportens læser kan se, hvad vurderingen dækker.

Microsofts og andre udbyderes regler skal afklares før test af eksempelvis en kundeportal i cloud. → Før penetrationstesten

Hvilken test skal bestilles først?

Start med den beslutning, der mangler et svar. En virksomhed med en ny webshop kan have mest brug for at kende forholdene ved adgang fra internettet. En virksomhed, der har samlet flere afdelinger i et nyt ERP-system, kan have brug for at få de interne roller undersøgt først.

Ny webshop · overvej et eksternt perspektiv, og beskriv særskilt, om kundernes funktioner efter login indgår.
Nyt ERP-system · overvej et internt perspektiv med de medarbejderroller, der skal vurderes.
Nyt gæstenet · formulér spørgsmålet om adskillelse fra de øvrige netværk.
Krav fra en kunde · få kundens forventning til systemer, adgang og dokumentation på skrift.

Hvis budgettet kun rækker til webshoppen, bør bestillingen sige, at ERP-systemet ikke er vurderet. Så ved ledelsen, hvilket spørgsmål der stadig står åbent. Et fravalg kan være nødvendigt, men det skal være synligt for dem, der bruger resultatet. → Derfor får virksomheder lavet en penetrationstest

Ledelsens valg af indsats behandles også på sikkerhedstesten.dk.

Tilbud og rapport skal skelne mellem perspektiverne

Sammenlign tilbud på den samme opgave. Et tilbud på kundeportalens offentlige del kan ikke sammenlignes direkte med et tilbud, der også omfatter kundekonti og interne brugerroller. Sæt systemer, adgang, undtagelser og leverancer ved siden af hinanden, før I vurderer forskellen.

I en samlet test af webshop og kontornet bør rapporten skelne mellem resultaterne. Det skal stå klart, om en adgang var udleveret fra starten. Et fund på kontornettet må ikke fremstå som dokumentation for, at samme adgang var mulig gennem webshoppen.

Rapportens resumé bør også nævne vigtige begrænsninger. Hvis økonomiafdelingens del af ERP-systemet ikke indgik, skal ledelsen kunne se det uden at lede i bilagene. Gennemgå de oprindelige spørgsmål ved afleveringen: Hvilke fik svar, og hvilke kræver en anden undersøgelse? → Sådan læser I en pentestrapport

Det skal I lade være med

At bestille efter navnet alene. Skriv, om testen af kundeportalen begynder uden konto eller med kundeadgang.
At bruge en ekstern test som svar på interne forhold. En undersøgt webshop siger ikke, om adgangen til lønsystemet er passende.
At lade administratorens resultat gælde for alle. En test af ERP-systemet skal vise, hvilken rolle der var udgangspunktet.
At gentage sidste bestilling uden at se på behovet. Et nyt gæstenet kan rejse andre spørgsmål end den tidligere test af webshoppen.
At sammenligne antallet af fund alene. Se først, om rapporterne dækker samme systemer og brugerroller.

Hvis spørgsmålet alene handler om dokumenterede indstillinger i ERP-systemet, kan en teknisk gennemgang være relevant. Vælg undersøgelsesform efter spørgsmålet. → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?

Hvad kan og ikke kan konkluderes

Et dokumenteret fund kan vise en svaghed og den konsekvens, der blev påvist under testen. Hvis en kundekonto var udleveret, dokumenterer resultatet ikke samtidig, at en fremmed kunne skaffe kontoen. Rapporten skal holde den forskel tydelig, også når fundet er alvorligt.

En test uden fund er heller ikke en garanti for hele virksomheden. Testen af en webshop dækker ikke automatisk lagerets netværk eller det interne ERP-system. Den siger heller ikke, at alle fejl i webshoppen er undersøgt. Læs resultatet sammen med omfang, adgang og periode.

Overvågningen er et særskilt spørgsmål. At en svaghed i kundeportalen blev påvist, fortæller ikke alene, om driftsleverandøren opdagede og håndterede testaktiviteten. Det kræver, at netop den del er undersøgt og beskrevet i resultatet.