Jak připravit server pro automatizované testování a spustit první bezpečnostní test v Penterep

Automatizace dnes tvoří nedílnou součást moderního penetračního testování. Dokáže výrazně urychlit rutinní činnosti, sjednotit postupy jednotlivých testerů a zajistit, že se nezapomene na základní bezpečnostní kontroly. Přesto je důležité si uvědomit, že automatizace nenahrazuje zkušeného bezpečnostního specialistu. Její hlavní úlohou je uvolnit ruce testerům, aby mohli více času věnovat analýze a hledání skutečně zajímavých zranitelností.

V tomto článku si ukážeme, jak připravit server pro automatizované testování, propojit jej s platformou Penterep a spustit první automatické testy webové aplikace. Pokud si chcete celý proces projít krok za krokem, doporučujeme začít videem níže, kde je vše předvedeno v reálném prostředí.

Automatické testování neprobíhá v platformě

Jednou z věcí, kterou je potřeba na začátku vysvětlit, je samotná architektura řešení.

Platforma Penterep neslouží jako skener nebo bezpečnostní nástroj, který by přímo prováděl testy proti cílovým systémům. Jejím úkolem je správa projektů, checklistů, nálezů, reportů a koordinace jednotlivých testovacích aktivit.

Samotné automatické testování probíhá na samostatném serveru, kde běží PT Manager a nástroje Penterep Tools. Nejčastěji se jedná o Kali Linux, ale může jít o libovolný systém splňující požadavky použitých nástrojů.

Díky tomu může být testovací server umístěn prakticky kdekoliv. Některé organizace jej provozují v internetu, jiné jej umisťují přímo do interní sítě, aby mohly testovat systémy, které nejsou zvenku dostupné.

Tento přístup dává organizacím plnou kontrolu nad tím, odkud jsou testy spouštěny a jaké systémy mají být dostupné pro automatizované nástroje.

Instalace PT Manageru

Než bude možné server propojit s platformou Penterep, je potřeba nainstalovat PT Manager. Jedná se o nástroj, který zajišťuje správu Penterep Tools a zároveň funguje jako spojovací článek mezi platformou a automatizačními nástroji.

PT Manager dokáže instalovat nové nástroje, aktualizovat je na nejnovější verze a přebírat úlohy z platformy Penterep. Po dokončení testů pak výsledky automaticky vrací zpět do projektu.

Doporučeným způsobem instalace je použití připraveného DEB balíčku.

Nejprve stáhněte aktuální instalační balíček:

wget -P /tmp https://github.com/Penterep/deb-pentereptools/raw/refs/heads/main/penterep-tools_0.2_all.deb

Poté jej nainstalujte:

sudo apt install /tmp/penterep-tools_0.2_all.deb

Po dokončení instalace si můžete ověřit, které nástroje jsou aktuálně dostupné:

ptmanager -tl

Pokud chcete rovnou nainstalovat všechny dostupné nástroje Penterep Tools, stačí použít příkaz:

sudo ptmanager -ti

Výhodou tohoto přístupu je, že správu všech nástrojů řešíte z jednoho místa a nemusíte jednotlivé skripty instalovat nebo aktualizovat samostatně.

Propojení serveru s platformou

Jakmile je PT Manager připraven, můžeme server propojit s platformou Penterep.

V administraci přejděte do sekce automatických testů a vytvořte nový server. Vytvoření serveru nevyžaduje žádnou složitou konfiguraci. Stačí zadat název, potvrdit vytvoření a platforma vygeneruje jednorázový párovací token.

Tento token následně použijete při registraci PT Manageru. Díky tomu dojde ke spárování konkrétního testovacího serveru s vaším tenantem a platforma mu bude moci předávat úlohy.

Po úspěšném propojení je vhodné znovu ověřit dostupnost nástrojů a následně spustit PT Manager v režimu, který bude přijímat nové úlohy.

Pro spuštění doporučujeme použít debug režim, který poskytuje přehled o zpracovávaných úlohách a usnadňuje případné řešení problémů.

Vytvoření prvního projektu

Po připojení serveru je možné vytvořit nový projekt stejně jako při běžném penetračním testování.

V našem příkladu budeme testovat webovou aplikaci. Po založení projektu vybereme odpovídající checklist, konkrétně Penterep PWASV, který je zaměřen na testování webových aplikací a vychází z osvědčených metodik bezpečnostního testování.

Současně projektu přiřadíme vytvořený automatizační server. Tím platformě řekneme, kam má odesílat úlohy určené pro automatické nástroje.

Následně doplníme testovaný cíl a můžeme začít s jednotlivými kroky testování.

Spuštění automatických testů

Jednou z hlavních výhod platformy Penterep je propojení checklistů s automatizovanými nástroji.

Tester nemusí složitě přemýšlet, který nástroj použít a jaké parametry zadat. U jednotlivých testovacích kroků jsou doporučené nástroje uvedeny přímo v checklistu a ve většině případů je možné spustit více kontrol najednou.

Po spuštění platforma odešle požadavky na server pro automatizované testování, kde PT Manager předá jednotlivé úlohy odpovídajícím nástrojům Penterep Tools.

Ty provedou testování a vrátí výsledky zpět do projektu.

V případě základních bezpečnostních kontrol webových aplikací jde často o otázku několika sekund nebo minut. Tester tak velmi rychle získá přehled o nalezených problémech a může se zaměřit na oblasti, které vyžadují hlubší manuální analýzu.

Vyhodnocení výsledků

Jakmile jsou testy dokončeny, objeví se výsledky přímo v projektu.

Nalezené zranitelnosti jsou automaticky přiřazeny ke konkrétním testovacím krokům a obsahují popis problému, doporučení k nápravě i hodnocení závažnosti.

Tester může jednotlivé nálezy upravovat, doplňovat vlastní poznámky nebo přidávat důkazní materiály, které se následně promítnou do finálního reportu.

Odpadá tak nutnost přepisovat výsledky mezi několika nástroji nebo vytvářet dokumentaci ručně mimo platformu.

Závěr

Automatizace sama o sobě nikdy nenahradí zkušeného pentestera. Dokáže mu ale výrazně pomoci s rutinními činnostmi, které by jinak zabíraly zbytečně mnoho času.

Kombinace platformy Penterep, PT Manageru a nástrojů Penterep Tools umožňuje vytvořit prostředí, ve kterém jsou automatizované i manuální testy součástí jednoho procesu.