Lakukan Pengujian Penetrasi Internal Berkala
Deskripsi
Lakukan pengujian penetrasi internal berkala berdasarkan persyaratan program, tidak kurang dari setiap tahun. Pengujian dapat berupa clear box atau opaque box.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform pengujian keamanan berkelanjutan dengan program bug bounty, pentesting terkelola, dan pengungkapan kerentanan
HackerOne · Langganan berbasis program
Platform pengujian keamanan crowdsourced dengan peneliti terverifikasi, pentesting berbasis AI, dan penilaian berkelanjutan
Synack · Langganan berbasis aset
Platform Pentest as a Service dengan pentester terverifikasi, pengujian terprogram, dan manajemen temuan
Cobalt · Langganan berbasis kredit
Platform manajemen permukaan serangan berkelanjutan dan keamanan ofensif yang menggabungkan pemindaian otomatis dengan pentesting yang dipimpin ahli
Bishop Fox · Langganan perusahaan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Jalur Pergerakan Lateral Tidak Ditemukan Sampai Pelanggaran Nyata
ConfidentialityPenyerang yang mendapatkan akses internal awal menemukan dan mengeksploitasi jalur pergerakan lateral antar segmen jaringan yang akan teridentifikasi oleh pengujian penetrasi internal.
Eskalasi Hak Istimewa Internal ke Domain Administrator
ConfidentialityPenyerang meningkat dari akun pengguna standar ke domain administrator menggunakan miskonfigurasi Active Directory yang akan diungkap dan ditandai untuk remediasi oleh pengujian penetrasi internal.
Ancaman Orang Dalam Mengeksploitasi Kelemahan Internal
ConfidentialityOrang dalam yang berbahaya mengeksploitasi segmentasi internal yang lemah, berbagi file yang terlalu permisif, dan layanan yang salah konfigurasi yang tidak pernah diuji dari perspektif penyerang internal.
Kerentanan (Saat Pengamanan Tidak Ada)
Jaringan Internal Tidak Diuji dari Perspektif Penyerang
Tanpa pengujian penetrasi internal, kerentanan yang dapat dieksploitasi setelah akses awal seperti miskonfigurasi Active Directory, segmentasi lemah, dan jalur pergerakan lateral tetap tidak ditemukan.
Skenario Assume-Breach Tidak Pernah Divalidasi
Ketiadaan pengujian penetrasi internal berarti organisasi tidak pernah mengevaluasi postur pertahanannya dengan asumsi bahwa penyerang telah melewati kontrol perimeter dan memiliki akses internal.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |