Aanbevelingen en criteria penetratietest

Transcriptie

1 Aanbevelingen en criteria penetratietest Versie 1.0 Datum 21 februari 2012 Status Definitief

2 Colofon Projectnaam DigiD Versienummer 1.0 Contactpersoon Servicecentrum Logius Organisatie Logius Postbus JE Den Haag Bijlage(n) Documentbeheer Datum Versie Auteur Opmerkingen 21 februari 1.0 Logius 2012 Pagina 2 van 6

3 Inhoud Colofon... 2 Inhoud... 3 Inleiding Aanbevelingen wijze van penetratietesten Fase Fase Enkele criteria voor selectie van penetratietester... 6 Pagina 3 van 6

4 Inleiding In dit document staan aanbevelingen over de wijze waarop een penetratietest in het kader van de beveiligingsassessments voor DigiD gebruikende organisaties zou kunnen plaatsvinden. Logius adviseert deze aanbevelingen over te nemen als minimale scope van de penentratietest. Dit document bevat ook enkele criteria voor de selectie van een penetratietestleverancier. Pagina 4 van 6

5 1 Aanbevelingen wijze van penetratietesten 1.1 Fase 1 Object van onderzoek: internetfacing webpagina s waar de DigiD koppeling betrekking op heeft. Onderzoeksvraag: is het mogelijk om ongeautoriseerd toegang tot het onderliggende systeem te krijgen? Wijze van penetratietesten: van buiten via het internet (nonprivileged), black-box, op basis van in ieder geval publiekelijk beschikbare exploits. 1.2 Fase 2 Alleen aan de orde als uit Fase 1 blijkt dat ongeautoriseerd toegang tot het onderliggende systeem mogelijk is. Object van onderzoek: systeemkoppelingen en infrastructuur die met DigiD gekoppeld zijn en betrekking hebben op het proces. Onderzoeksvraag: stel vast of het mogelijk is via het systeem achter de website - met de daarop aangetroffen kwetsbaarheden ongeautoriseerd toegang te verkrijgen tot de achterliggende systemen. Wijze van penetratietesten: white-box, waarbij de op DigiD aangesloten partij desgevraagd de benodigde privileges en configuratie-instellingen van relevante componenten (zoals netwerkapparatuur en servers) aan de penetratietester heeft verstrekt. De penetratietest van de applicatie dient plaats te vinden op de acceptatie-omgeving. Dit voorkomt de ongewenste situatie dat penetratietesters met hun persoonlijke DigiD credentials in de productieomgeving moeten testen. De penetratietest van de infrastructuur dient wel plaats te vinden op de productieomgeving. Pagina 5 van 6

6 2 Enkele criteria voor selectie van penetratietester Bij de selectie van een penetratietestleverancier (penetratietester) zijn de volgende criteria van toepassing: Is de penetratietester onafhankelijk? (bijvoorbeeld geen nondisclosure agreement hebben met de fabrikant van het te testen product); Is de penetratietester extern? (niet in dienst bij de organisatie en/of leverancier die object is van de penetratietest); Voert de penetratietester zelf de test uit of heeft hij deze geoutsourced aan een andere organisatie?; Is de penetratietester ervaren? (Zijn er referenties beschikbaar? Wordt de penetratietester (h)erkend in de security community? Bijvoorbeeld door invloedrijke white papers, geven keynote speeches op security congressen e.d.); Heeft de penetratietester aantoonbare brede ervaring hebben met niet-standaardtesten in verschillende omgevingen?; Heeft de penetratietester voldoende capaciteit? (schaling- en doorlooptijdmogelijkheden); Maakt de penetratietester gebruik van gecertificeerd personeel? (b.v. CISSP of CEH); Maakt de penetratietester gebruik maken van eigen research en is hij niet afhankelijk van verouderde informatie uit het publieke security domein?; Maakt de penetratietester gebruik van state-of-the-art tools, zoals Appscan, HP Webinspect, Acunetix, Nessus en NeXpose? Heeft de penetratietester een verzekering tegen schade waar hij toch aan-sprakelijk voor is? (schade dat niet is afgedekt door de vrijwaringsverklaring). Pagina 6 van 6