�Penetrační testování lze definovat jako ověření úrovně zabezpečení informačního systému.

�Důležité je poznamenat to, že nelze odhalit všechny zranitelnosti.

�Možnosti jsou značně omezeny přidělenými prostředky (finance, čas, personál).

�Proto je třeba se zaměřit na zranitelná místa a chyby, které představují největší rizika.

�Testovacímu procesu by mělo podléhat vše, co může ohrozit bezpečnost informačního systémů a průniku do něj.

�Patří jsem např.

�Testování slouží pro eliminaci chyb při vývoji systémů a aplikací. V oblasti informačních systémů můžeme tito testy rozdělit do několika základních kategorií podle způsobu provedení na:

�Podle znalostí o testovaném systému:

�Manuální testy jsou testerem vykonávány ručně.

�Mezi hlavní výhody patří nastavení sofistikovaných testů přes na míru daným podmínkám.

�Manuální testy mají výhodu v tom, že jsou dělány člověkem, který je schopný je později interpretovat i nezainteresovaným osobám.

�Nevýhodou je náročnost na čas a znalosti testera.

�Vzhledem k neomezeným možnostem, vytváření aplikací a programů, jsou nezbytné rozsáhlé znalosti v testovaných oblastech.

�Časová náročnost je dále způsobena manuálním prováděním testů.

�Automatizované testy nabízejí jednoduchost, rychlost a rozšiřitelnost podle vlastních potřeb.

�Nástroje pro automatizované testování byly vytvořeny profesionály.

�Výhodou je časová nenáročnost.

�Nevýhoda je nemožnost prezentace výsledků ve přívětivé formě.

�Pro správnou prezentaci jsou opět nutné znalosti o použité aplikaci a testované oblasti.

�Mezi další nevýhody patří nemožnost testovat některé typy zranitelností.

�Jedná se o kombinaci manuálních a automatických testů.

�Jsou kompromisem mezi oběma skupinami testování.

�Díky kombinaci testů je dosaženo maximálního využití výhod obou forem.

�Nejpoužívanější typ testování.

�Simuluje vnější přístup útočníka, který zná jenom vstupy a potenciální výstupy. Nezná však vnitřní strukturu.

�Pro určení vstupů a výstupů testovaného systému je potřeba rozsáhlý průzkum.

�Výhody:

�Nevýhody

�Nejpoužívanější typ testování.

�Simuluje vnější přístup útočníka, který zná jenom vstupy a potenciální výstupy. Nezná však vnitřní strukturu.

�Pro určení vstupů a výstupů testovaného systému je potřeba rozsáhlý průzkum.

�Výhody:

�Nevýhody

�Při těchto testech jsou samozřejmostí plné vstupní znalosti.

�Jsou to znalosti architektury, kódu, počet zařízení a politiky podniku.

�Při testování probíhá analýza kódu, kde se hledají chyby.

�U tohoto testu jsou zapotřebí znalosti programovacího jazyku.

�Výhody

�Nevýhody

�Tento druh testování se snaží maximalizovat výhody white box a black box testování.

�Při testování se využívá vnitřní logiky aplikací, ale testy probíhají z hlediska uživatele a útočníka.

�Grey box testy mohou také zahrnovat metody reverzního inženýrství.

�Základní a nejdůležitější otázka.

�Příklad otevřené metodiky testování přináší Open-Source Security Testing Methodology.

�Uvedená metodologie  probírá základní oblasti, mezi než patří:

�Jedná se o nejdůležitější otázku, protože náklady na testování všeho by byly extrémní.

�Každý další test, zabezpečení snižuje celkový přínos.

�Proto je důležité zvolit správný počet testů.

�Hloubka testu určuje například určitou úrovni dosažení oprávnění, získání určitých dat, přístupu k aplikacím a systému.

�Hloubka testu také závisí na finální sumě peněz, investovaných do zabezpečení a testování.

�Penetrační testování může být podrobena reálná již hotová infrastruktura nebo může jít o vyvíjenou a připravenou infrastrukturu.

�Pro testování jsou nutné hardwarové a softwarové vybavení.

�Jedinou problémovou oblastí je typ síťového zařízení. Je nezbytná, aby ovládače zařízení podporovaly práci v promiskuitním režimu.

�Co se týče softwarového vybavení, existuje několik desítek předem připravených prostředí, které obsahují potřebné nástroje. Například:

�Proces testování je limitován množstvím dostupných, zdrojů, peněz, času a pracovní síly.

�Ohraničení testů může být určeno například časově, kdy jsou na ně vyhrazeny kupříkladu tři dny práce v pěti lidech.

�Závěry penetračních testů by měly být shrnuty ve zprávě, která bude následně předána zadavateli.

�Negativní výsledek testů může znamenat dobře zabezpečení systém, což ale neznamená neprolomitelnou ochranu.

�Negativní výsledek také může znamenat nekvalitní navržení testů.

�Důležitým prvkem reportů je způsob komunikace.

�Při tvorbě zpráv je důležité vědět, co říct, ale hlavně jak to říct.

�V penetračním testování je důležitý lidský kontakt.

�Při nalezení problémů a chyb v aplikacích, konfiguracích a systémech je potřeba nález oznámit tvůrci/autorovi či odpovědné osoby.

�Vhodné je slušné jednání z klientem.

�Penetrační testování při správné realizaci poskytují velice hodnotné informace.

�Díky těmto informacím, lze opravit chyby jež by mohly způsobit problémy.

�Testy neodhalí 100% bezpečnostních chyb a zranitelností.

�Proto by měly v případě webových aplikací kombinovaný s revizí kódu, v případě sítí s analýzou architektury a kontrolou konfigurace jednotlivých sítových prvků.