OWASP IoT Security Testing Guide
Teststructuur voor apparaten, firmware, communicatie, interfaces en ecosysteemcomponenten.
Penetratietesten
Penetratietesten voor IoT en verbonden systemen
Een beoordeling op maat van het geautoriseerde apparaatecosysteem, gericht op het product, lokale interfaces, communicatie en ondersteunende cloud- of mobiele componenten binnen de afgesproken scope.
Scope van de beoordeling
Wat wordt getest
De definitieve testdekking wordt overeengekomen bij het vaststellen van de scope en is beperkt tot systemen waarvoor schriftelijke toestemming is verleend.
Apparaatinterfaces en blootgestelde diensten
Omgang met firmware en ingebedde geheimen
Authenticatie en autorisatie
Update- en herstelmechanismen
Radio-, netwerk- en applicatieprotocollen
Bijbehorende mobiele, web- en clouddiensten
Opdrachtverloop
Gecontroleerd van toestemming tot hertest.
01
Scope & autorisatie
Leg doelstellingen, goedgekeurde systemen, beperkingen, testvensters, contactpersonen en uitvoeringsafspraken vast.
02
Verkenning
Stel het aanvalsoppervlak waarvoor toestemming is verleend, de architectuur, gebruikersrollen, bedrijfsmiddelen en toepasselijke beoordelingscriteria vast.
03
Gecontroleerd testen
Beoordeel de goedgekeurde scope met handmatige en technische methoden die passen bij de omgeving.
04
Validatie
Bevestig bevindingen op veilige wijze, sluit foutpositieven uit en stel de daadwerkelijke technische en bedrijfsmatige impact vast.
05
Rapportage
Ontvang bevindingen onderbouwd met bewijs, risicobeoordelingen, een managementsamenvatting en herstelprioriteiten.
06
Beoordeling van herstelmaatregelen
Bespreek voorgestelde corrigerende maatregelen en verduidelijk de implementatieprioriteiten met het beoordelingsteam.
07
Hertest
Verifieer overeengekomen herstelmaatregelen en leg voor elke geteste bevinding vast of deze is opgelost, verminderd of nog openstaat.
Referenties voor de beoordeling
Sectornormen en richtlijnen
ETSI EN 303 645
Basisbeveiligingsmaatregelen voor consumenten-IoT die, waar van toepassing, als auditcontext worden gebruikt.
NISTIR 8259-reeks
Richtlijnen voor de cybersecuritycapaciteiten van apparaten en activiteiten van fabrikanten.
Normen vormen de leidraad voor de scope en testdekking. Een beoordeling vormt op zichzelf geen certificering en garandeert geen naleving.
Rapportage
Wat u ontvangt
Dekking van componenten en vertrouwensgrenzen
Gevalideerde bevindingen over apparaten en ecosystemen
Bewijsmateriaal en praktische impact
Technische richtlijnen voor herstelmaatregelen
Hertestplan
Bepaal een passende testscope.
Bespreek de systemen, doelstellingen, het toegangsniveau en het vereiste bewijsmateriaal met DIGITPOL.