Security Testing Specification, Case JYVSECTEC

Abstract

The purpose for thesis was to examine for JYVSECTEC how security testing could be brought to a stabilized level in quality despite of the test user. The research was conducted by using the OWASP (Open Web Application Project) testing checklists for guidance, using which the testing group executed the testing. The comparison group did not use any guidance for testing, instead, it rather executed the testing and chose the test cases freely.

The tested target was a WordPress website, to which the testers had access through virtual machine network. Kali Linux distribution security testing tools were used for testing.

The research revealed that the use of checklists for testing is valuable and gives a more versatile and comprehensive result of security of the tested target; however, there was a great deal of dispersion in the results which was mainly due to the lack of test users’ experience or knowledge.

Using the checklists enables to achieve stability in testing quality if the test users are trained and prepared for the same level in the use of the testing tools, tested target, test environment, test case analysis and know-how.

Opinnäytetyössä oli tarkoituksena tutkia JYVSECTECille, miten tietoturvan testaamisesta saataisiin tasalaatuista riippumatta testaavasta henkilöstä. Tutkimuksessa käytettiin testauksen perustana OWASP (Open Web Application Security Project) -testauslistoja, joiden mukaan testiryhmä suoritti testauksen. Vertailuryhmä ei käyttänyt mitään ohjeistusta testien tekemiseen, vaan suoritti testauksen ja valitsi sopivat testitapaukset vapaasti.

Testattavana kohteena oli WordPressin websivusto, johon testaajilla oli pääsy virtuaaliverkon kautta. Testaustyökaluina käytettiin Kali Linuxissa saatavilla olevia tietoturvan testaamiseen tarkoitettuja applikaatioita.

Tutkimuksessa ilmeni, että testauslistojen käyttäminen on hyödyllistä ja antaa monipuolisemman ja kattavamman tuloksen testattavan kohteen tietoturvan tilanteesta. Kuitenkin tuloksissa oli paljon hajontaa, joka johtui pääosin puutteista testaajien kokemuksessa ja taidoissa.

Testauslistojen käyttäminen edesauttaa testauksen tasalaatuisuuden saavuttamisessa, jos myös testaajat on valmennettu samalle tasolle työkalujen käytön, testattavan kohteen, testiympäristön tuntemisen, testitapausten analysoinnin ja osaamisen suhteen.