PTES: standard, který popisuje průběh penetračního testu

PTES dělí test na sedm fází, které jdou po sobě od první schůzky až po předání reportu. Rozdělení je užitečné hlavně jako kontrola úplnosti: pokud v nabídce některá fáze chybí, obvykle to znamená, že se na ni nepočítá s časem.

Fáze nejsou stejně dlouhé a jejich poměr se liší podle předmětu testu. U externího perimetru spolyká hodně času sběr informací, u aplikace za přihlášením naopak analýza zranitelností a exploitace.

V zakázce se sedm fází promítne do tří viditelných bodů: domluva rozsahu na začátku, průběžná komunikace při nálezu, který nesnese odkladu, a report na konci. Zbytek běží pod povrchem a zadavatel ho vidí až ve struktuře výstupu.

Pro zadavatele je z celého standardu nejdůležitější první fáze. Pravidla zapojení, tedy co se smí testovat, kdy a koho volat, když se něco rozbije, rozhodují o průběhu víc než volba nástrojů. Jak se z toho skládá konkrétní zakázka, popisujeme u penetračního testování aplikací a infrastruktury.

Test podle PTES do písmene nedělá prakticky nikdo a je poctivější to říct než tvrdit shodu. Nejčastější odchylka je splynutí exploitace a post-exploitace: jakmile tester potvrdí průnik, pokračuje rovnou do hloubky, protože se u zakázky s pevným rozsahem obojí odehraje v jednom kroku.

Druhá odchylka je threat modeling. Ve standardu je to samostatná fáze s vlastním výstupem, u běžné zakázky se z ní stane hodinová část scopingu, protože rozsah je daný předem. Třetí je průběžnost reportingu: kritický nález se hlásí okamžitě, ne až v poslední fázi.

Metodiky si nekonkurují, každá odpovídá na jinou otázku. PTES říká, jak má test probíhat, OWASP dokumenty říkají, co v aplikaci hledat a jaké požadavky má splnit, NIST dává obecný rámec hodnocení.

V praxi se kombinují: průběh podle PTES, obsah testu webu podle WSTG a požadavky, proti kterým se výsledek poměřuje, podle ASVS.

PTES předpokládá test s vymezeným rozsahem a známým cílem. U scénářové operace, kde se hledá cesta k předem určenému aktivu a měří se i reakce obránců, se fáze prolínají a vracejí: po prvním přístupu následuje další sběr informací, pak další exploitace.

Pro tenhle typ zapojení je vhodnější popis útoku po jednotlivých krocích, jak ho používá simulace kybernetického útoku, případně mapování technik na MITRE ATT&CK. Sedm lineárních fází tam přestane odpovídat realitě.

PTES vznikl začátkem roku 2009 z diskuse několika konzultantů nad tím, jakou hodnotu vlastně penetrační testy mají, a jeho text se od té doby prakticky nemění. Sám se stále označuje za verzi 1.0 a slibuje verzi 2.0, která nikdy nevyšla. Nemá vydavatele v podobě organizace, která by ho revidovala, takže nevycházejí nové verze tak, jak je to zvykem u projektů OWASP. Poznat je to i na infrastruktuře: oficiální web standardu dodnes běží jen přes nezabezpečené HTTP a na portu pro HTTPS neodpovídá vůbec. Použitelnost to nesnižuje, ale je dobré to vědět.

Struktura testu totiž stárne pomalu. Co zastarává, jsou konkrétní nástroje a příkazy v technických přílohách, protože ty odpovídají době vzniku. Podle PTES se proto řídí průběh, ne výběr nástrojů.