Penetration Testing Guide for Businesses: Scope, Methods, and Remediation

एक प्रवेश परीक्षण (पेंटेस्ट) हमलावरों से पहले कमजोरियों का पता लगाने के लिए आपके सिस्टम के खिलाफ वास्तविक दुनिया के हमलों का अनुकरण करता है। स्वचालित भेद्यता स्कैनिंग के विपरीत, प्रवेश परीक्षण में कुशल सुरक्षा पेशेवर शामिल होते हैं जो हमलावरों की तरह सोचते हैं, कमजोरियों को एक साथ जोड़ते हैं, और आपके बचाव का परीक्षण उन तरीकों से करते हैं जो स्वचालित उपकरण नहीं कर सकते।

Coalfire research shows that 73 percent of penetration tests discover at least one critical vulnerability, and 42 percent find a path to complete system compromise. फिर भी कई संगठन खराब तरीके से प्रवेश परीक्षण करते हैं --- बहुत संकीर्ण दायरे में रहना, गलत विक्रेता का चयन करना, या निष्कर्षों पर कार्रवाई करने में विफल होना। यह मार्गदर्शिका सुनिश्चित करती है कि आपको अपने प्रवेश परीक्षण निवेश से अधिकतम मूल्य प्राप्त हो।

---

प्रवेश परीक्षण के प्रकार

ज्ञान स्तर

---

आपके प्रवेश परीक्षण का दायरा

चरण 1: उद्देश्यों को परिभाषित करें

चरण 2: दायरा परिभाषित करें

शामिल हैं:

• सभी इंटरनेट-सामना वाले आईपी पते और डोमेन
• महत्वपूर्ण आंतरिक सिस्टम (ईआरपी, एचआर, वित्तीय)
• वेब एप्लिकेशन (उत्पादन यूआरएल)
• एपीआई समापन बिंदु
• क्लाउड वातावरण और सेवाएँ
• प्रमाणीकरण तंत्र

बहिष्कृत करें (उचितीकरण के साथ):

• तृतीय पक्ष द्वारा होस्ट की गई सेवाएँ आपके स्वामित्व में नहीं हैं
• सक्रिय विकास में सिस्टम (इसके बजाय परीक्षण स्टेजिंग)
• चरम व्यावसायिक घंटों के दौरान उत्पादन प्रणालियाँ (ऑफ-आवर्स शेड्यूल करें)
• विनाशकारी परीक्षण (DoS, डेटा विनाश) जब तक कि विशेष रूप से अधिकृत न किया गया हो

चरण 3: सगाई के नियम निर्धारित करें

परीक्षण शुरू होने से पहले इनका दस्तावेज़ीकरण करें:

| नियम | विशिष्टता | |------|----|| | परीक्षण विंडो | सप्ताह के दिनों में शाम 6 बजे से सुबह 6 बजे तक, सप्ताहांत किसी भी समय | | आपातकालीन संपर्क | [नाम, फ़ोन] यदि परीक्षण से व्यवधान उत्पन्न होता है | | ऑफ-लिमिट सिस्टम | [उन प्रणालियों की सूची जिनका परीक्षण कभी नहीं किया जाएगा] | | डेटा प्रबंधन | परीक्षक वास्तविक डेटा तक पहुंच सकता है लेकिन उसे बाहर नहीं निकाल सकता | | सोशल इंजीनियरिंग स्कोप | केवल ईमेल फ़िशिंग, कोई भौतिक पहुंच परीक्षण नहीं | | शोषण की गहराई | पहुंच साबित करें लेकिन उत्पादन डेटा को संशोधित न करें | | संचार आवृत्ति | दैनिक स्थिति अद्यतन, महत्वपूर्ण निष्कर्षों के लिए तत्काल अधिसूचना |

---

एक प्रवेश परीक्षण विक्रेता का चयन करना

मूल्यांकन मानदंड

| कसौटी | वजन | पूछने के लिए प्रश्न | |----|-------|----|----|| | प्रमाणपत्र | 20% | टीम के सदस्यों में OSCP, CREST, GPEN, CEH? | | अनुभव | 25% | कई साल से व्यापार? उद्योग के अनुभव? समान संलग्नताएँ? | | कार्यप्रणाली | 20% | कौन सी कार्यप्रणाली (ओडब्ल्यूएएसपी, पीटीईएस, एनआईएसटी)? वे परीक्षण कैसे करते हैं? | | रिपोर्टिंग गुणवत्ता | 15% | क्या आप एक नमूना रिपोर्ट देख सकते हैं? निवारण मार्गदर्शन शामिल है? | | सन्दर्भ | 10% | क्या आप तीन पुराने ग्राहकों से बात कर सकते हैं? | | बीमा | 10% | व्यावसायिक दायित्व और साइबर बीमा वर्तमान? |

लाल झंडे

• विक्रेता केवल स्वचालित स्कैनिंग का प्रस्ताव करता है (वास्तविक प्रवेश परीक्षण नहीं)
• मान्यता प्राप्त प्रमाणपत्रों वाला कोई नामांकित परीक्षक नहीं
• बेहद कम कीमत (<एक बहु-दिवसीय सहभागिता के लिए $3K)
• सगाई की चर्चा का कोई नियम नहीं
• रिपोर्ट टेम्पलेट में कोई सुधारात्मक मार्गदर्शन नहीं है
• विक्रेता अपनी कार्यप्रणाली नहीं बता सकते

---

आपकी पेनेट्रेशन टेस्ट रिपोर्ट को समझना

भेद्यता गंभीरता रेटिंग

| गंभीरता | सीवीएसएस स्कोर | विवरण | निवारण समयरेखा | |---|----|---|----|----| | गंभीर | 9.0-10.0 | तत्काल व्यवस्था से समझौता संभव | 48 घंटे के अंदर | | उच्च | 7.0-8.9 | महत्वपूर्ण सुरक्षा प्रभाव | 2 सप्ताह के अंदर | | मध्यम | 4.0-6.9 | मध्यम प्रभाव, विशिष्ट परिस्थितियों की आवश्यकता हो सकती है | 30 दिनों के भीतर | | निम्न | 0.1-3.9 | मामूली प्रभाव, सीमित शोषणशीलता | 90 दिनों के अंदर | | सूचनात्मक | 0 | सर्वोत्तम अभ्यास सिफ़ारिशें | अगला निर्धारित रखरखाव |

एक अच्छी रिपोर्ट में क्या शामिल है

• कार्यकारी सारांश --- व्यवसाय-जोखिम वाली भाषा, तकनीकी शब्दजाल नहीं
• कार्यप्रणाली --- क्या परीक्षण किया गया और कैसे
• निष्कर्ष गंभीरता, साक्ष्य और व्यावसायिक प्रभाव के साथ
• प्रत्येक खोज के लिए उपचार संबंधी मार्गदर्शन (विशिष्ट, कार्रवाई योग्य)
• सकारात्मक निष्कर्ष --- आप क्या अच्छा कर रहे हैं
• सुरक्षा सुधार के लिए रणनीतिक सिफारिशें
• परिशिष्ट कच्चे डेटा और विस्तृत तकनीकी साक्ष्य के साथ

---

निवारण प्रक्रिया

चरण 1: ट्राइएज (दिन 1-2)

• आईटी और सुरक्षा टीम के साथ सभी निष्कर्षों की समीक्षा करें
• निष्कर्षों को मान्य करें (पुष्टि करें कि वे वास्तविक हैं, गलत सकारात्मक नहीं)
• प्रत्येक खोज के लिए मालिकों को नियुक्त करें
• गंभीरता और व्यावसायिक जोखिम के आधार पर प्राथमिकता दें

चरण 2: योजना (दिन 3-7)

चरण 3: निवारण (भिन्न)

• गंभीर और उच्च निष्कर्षों को तुरंत ठीक करें
• मध्यम निष्कर्षों को अगली रखरखाव विंडो में समूहित करें
• अगली तिमाही के लिए निम्न निष्कर्षों को शेड्यूल करें

चरण 4: सत्यापित करें (उपचार के बाद)

• महत्वपूर्ण और उच्च निष्कर्षों के पुन: परीक्षण का अनुरोध करें (अधिकांश विक्रेताओं में सीमित पुन: परीक्षण शामिल है)
• निवारण के दस्तावेज़ साक्ष्य
• जोखिम रजिस्टर अपडेट करें

---

प्रवेश परीक्षण अनुसूची

---

संबंधित संसाधन

• घटना प्रतिक्रिया योजना टेम्पलेट --- जब कमजोरियों का फायदा उठाया जाए तो क्या करें
• जीरो ट्रस्ट कार्यान्वयन गाइड --- वास्तुशिल्प सुरक्षा
• क्लाउड सुरक्षा सर्वोत्तम अभ्यास --- क्लाउड-विशिष्ट सुरक्षा
• एपीआई सुरक्षा और प्रमाणीकरण --- लक्ष्य को भेदने वाले एपीआई को सुरक्षित करना

---

पेनेट्रेशन परीक्षण आपके सुरक्षा कार्यक्रम की वास्तविकता जांच है। यह आपकी सुरक्षा स्थिति के बारे में आपके विचार और हमलावर को क्या मिलेगा, के बीच अंतर को उजागर करता है। सुरक्षा मूल्यांकन और प्रवेश परीक्षण समन्वय के लिए ECOSIRE से संपर्क करें।