Metodología de test de intrusión
La metodología de test de penetración ISSAF esta diseñada para evaluar su Red de trabajo, sistema y control de aplicaciones .Esta enfocada en tres fases y nueve pasos de evaluación.
El enfoque incluye tres fases siguientes:
- Planificación y Preparación
- Evaluación
- Reportes, Limpieza y Destrucción de Objetos
Planificación y Preparación
En esta fase comprende los pasos iniciales para el intercambio de información, planificar y prepararse para la prueba. Antes de llevar a cabo la prueba formal de acuerdo será firmado por las ambas partes. Que constituye la base de esta tarea y la mutua protección jurídica. Asimismo especificará la participación del equipo, las fechas exactas, los tiempos de la prueba, la escalada de privilegios y otros arreglos.
Las Siguientes actividades son previstas en la siguiente fase
- Identificación de las personas de contactos de ambas partes
- Apertura de Reunión para identificar el alcance, el enfoque y la metodología, de acuerdo a los casos de pruebas, la escalada de privilegios y los Path.
Evaluación
Esta es la fase en donde lleva acabo el test de penetración. En la fase de evaluación en un enfoque por capas deberá ir seguida, como se muestra en la siguiente figura.
- Recolección de Información
- Mapeo de la red de trabajo
- Identificación de vulnerabilidades
- Penetración
- Obtener Acceso y escalada de privilegios
- Enumeración
- Comprometer usuarios remotos y sitios
- Mantener Acceso
Reportes, Limpieza y Destrucción de Objetos
En esta fase se presenta reportes
En el curso de pruebas de penetración en caso de una cuestión crítica es identificado, debe ser informado de inmediato para garantizar que la organización es consciente de ello. En este punto crítico de su expedición deben ser discutidos y buscar contramedidas para Resolver los problemas críticos identificados en la prueba.
Después de la terminación de todos los casos de prueba definidos en el ámbito de trabajo, un informe escrito que describe los resultados detallados de las pruebas y los exámenes deberían preparar con recomendaciones para la mejora. El informe debe seguir una estructura bien documentada. Cosas que deberían incluirse en el informe se las presenta en la siguiente lista:
- Resumen de Gestión
- Alcance del proyecto
- Herramientas utilizadas (Incluyendo Exploits)
- Fechas y horas reales en las que se llevo acabo las pruebas en el sistema
- Todos y cada uno de salida de las pruebas realizadas (con exclusión de informes de análisis de vulnerabilidad que pueden ser incluidos como documentos adjuntos).
Toda la información que se crea y / o son almacenados en los sistemas de prueba deben ser removido de estos sistemas. Si estos es por alguna razón no fueran posibles remover desde un sistema remoto, todos estos archivos (con su ubicación) deben mencionarse en el informe técnico para que el cliente y el personal técnico fuera capaz de eliminar estos después de que el informe haya sido recibido.
