Analisis peralatan jaringan: audit, lalu lintas, dan keamanan

Petualangan Universal » Umum » Analisis peralatan jaringan: audit, lalu lintas, dan keamanan

Jaringan perusahaan telah menjadi sistem saraf dari seluruh bisnis.Jika gagal, produksi akan berhenti, akses ke aplikasi penting akan terputus, dan risiko insiden keamanan serius, seperti berikut ini, akan meningkat secara signifikan: serangan siber di SpanyolMenyalakan peralatan dan "berselancar" saja tidak lagi cukup; perlu diketahui apa yang sebenarnya terjadi melalui kabel dan Wi-Fi, siapa yang terhubung, bagaimana kinerja infrastruktur, dan celah apa yang terbuka bagi penyerang potensial.

Analisis peralatan jaringan yang baik menggabungkan audit, pemantauan, dan tinjauan keamanan. Untuk menjawab pertanyaan-pertanyaan kunci: Apakah ukuran jaringan sudah tepat? Apakah ada perangkat usang yang memperlambat kinerja? Apakah ada celah keamanan? virus komputer Atau protokol yang diimplementasikan dengan buruk? Lalu lintas apa yang masuk dan keluar dari Internet, dan ke tujuan mana? Sepanjang artikel ini, kita akan menguraikan secara detail bagaimana analisis ini didekati dan alat serta teknik apa yang digunakan baik di lingkungan perusahaan maupun industri.

Mengapa menganalisis dan mengaudit jaringan sangat penting?

Audit jaringan memungkinkan Anda untuk mengetahui "status kesehatan" infrastruktur. dan mengantisipasi masalah sebelum menyebabkan pemadaman yang meluas atau pelanggaran keamanan. Analisis ini dapat mendeteksi kesalahan konfigurasi, hambatan kinerja, peralatan yang tidak didukung, kerentanan, ancaman internal dan eksternal, atau bahkan frame yang salah bentuk yang dapat meng destabilisasi sistem akhir.

Dalam jaringan perusahaan, fokus utamanya biasanya adalah akses internet.Karena biasanya merupakan tautan yang paling terbebani dan kritis di seluruh organisasi, manajemen bandwidth yang buruk atau serangan eksternal dapat menyebabkan seluruh karyawan kehilangan layanan. Namun, dalam jaringan industri, tantangannya berbeda: banyaknya protokol yang bersifat eksklusif atau kurang terdokumentasi seringkali memerlukan penggunaan penganalisis khusus yang mampu memahami setiap frame dan memvalidasi implementasinya.

Melampaui penyelesaian masalah spesifikOrganisasi beralih ke analisis dan audit jaringan ketika mereka perlu mengevaluasi apa yang sebenarnya telah mereka terapkan, mempersiapkan peningkatan infrastruktur besar, memenuhi persyaratan peraturan (misalnya, PCI DSS di sektor keuangan), atau sekadar memastikan bahwa jaringan tetap selaras dengan kebutuhan bisnis saat ini.

Audit ini tidak terbatas pada keamanan saja.Mereka juga meninjau ketersediaan, kinerja, kualitas layanan, proses pemantauan, kontrol akses, dan administrasi, sehingga laporan formal dapat diterbitkan yang berisi kerentanan, risiko, dan rekomendasi yang jelas untuk manajemen dan tim teknis.

Audit lengkap terhadap jaringan dan infrastruktur TI.

Bagian pertama dari analisis ini melibatkan peninjauan menyeluruh terhadap seluruh infrastruktur TI.: server (termasuk cara menyiapkan server rumahanIni mencakup switch, router, firewall, titik akses nirkabel, sistem daya, pengkabelan terstruktur, perangkat akhir, dan, di lingkungan industri, peralatan kontrol dan otomatisasi. Tujuannya adalah untuk memverifikasi bahwa semua perangkat keras didokumentasikan dengan benar, didukung oleh pabrikan, dan dalam kondisi operasi optimal.

Pada fase ini, biasanya disusun inventaris yang sangat rinci. Basis data ini mencatat model, versi firmware, kemampuan perangkat, antarmuka yang tersedia, modul yang terpasang, kompatibilitas dengan protokol manajemen (SNMP, NetFlow, sFlow, dll.), dan tanggal tonggak siklus hidup (akhir penjualan, akhir dukungan, akhir masa pakai). Pekerjaan ini dapat dilakukan secara manual atau dengan alat audit khusus yang mengotomatiskan sebagian besar proses penemuan.

Audit infrastruktur TI tidak hanya berhenti pada inventaris fisik.Mereka juga mengevaluasi seberapa baik kontrol internal, segregasi jaringan, mekanisme ketersediaan tinggi, standardisasi konfigurasi, dan tata kelola TI dirancang. Idenya adalah untuk memverifikasi apakah praktik terbaik benar-benar diikuti atau apakah "tambalan" telah menumpuk dari waktu ke waktu.

Penilaian infrastruktur yang direncanakan dengan baik membantu menentukan ukuran dan melindungi jaringan dengan lebih baik.Hal ini meningkatkan skalabilitas, meningkatkan stabilitas, mengurangi waktu henti, dan memanfaatkan teknologi yang ada secara lebih efektif. Ini mencakup, antara lain, pemantauan proaktif dan bertahap, mekanisme pencegahan untuk ketersediaan tinggi, optimasi dan konsolidasi sumber daya, serta peningkatan visibilitas operasional.

Secara paralel, layanan jaminan TI berfokus pada perlindungan informasi. Mengandalkan lima pilar keamanan: integritas, ketersediaan, otentikasi, kerahasiaan, dan non-penolakan. Ini mencakup audit infrastruktur internal dan eksternal, layanan sertifikasi, analisis ketahanan bisnis, dan tinjauan kebijakan privasi dan perlindungan data.

Ruang server dan komunikasi: jantung fisik jaringan.

Ruang server dan komunikasi menampung elemen-elemen penting dari jaringan.Server fisik, firewall perimeter, router utama, switch inti, patch panel, dan, dalam banyak kasus, peralatan penyimpanan dan virtualisasi. Analisis serius apa pun terhadap peralatan jaringan harus memberikan perhatian khusus pada area ini.

Aspek fisik sama pentingnya dengan aspek logis.Suhu ruangan, kebersihan dan penumpukan debu pada peralatan, pengaturan kabel yang benar di dalam rak, pelabelan port dan kabel, pemisahan yang memadai antara catu daya dan data, serta akses fisik ke ruangan (kontrol kunci, kartu, kamera, catatan masuk dan keluar) diperiksa.

Router yang menyediakan koneksi internet utama perlu dianalisis secara detail.Telah diverifikasi bahwa koneksi yang ditawarkan oleh penyedia layanan stabil, aman, dengan kapasitas yang memadai, bahwa perangkat keras memiliki port Gigabit Ethernet atau lebih tinggi, bahwa perangkat tersebut mendukung protokol pemantauan yang diperlukan, dan bahwa kebijakan kualitas layanan dan kontrol bandwidth telah didefinisikan dengan baik.

Kondisi kabel yang masuk dan keluar ruangan juga diperiksa.Memastikan bahwa kategori (5e, 6 atau lebih tinggi) sesuai dengan kecepatan yang dibutuhkan, bahwa terminasi pada panel dan soket RJ45 sudah benar, dan bahwa tidak ada sambungan atau koneksi "darurat" yang dapat membatasi kapasitas transfer atau menimbulkan kesalahan tautan.

Terakhir, sistem pendukung seperti UPS, pendingin udara, dan sensor akan ditinjau.UPS dengan ukuran yang tepat memungkinkan server dan komunikasi tetap aktif cukup lama untuk melakukan pencadangan terorganisir dan mematikan peralatan tanpa risiko kerusakan data. Pendinginan dan pemantauan lingkungan sangat penting untuk memperpanjang umur perangkat keras dan mencegah waktu henti yang tidak terduga.

Peralatan sakelar, akses, dan pengkabelan

Switch bertanggung jawab untuk mendistribusikan lalu lintas secara cerdas. Di antara semua perangkat yang terhubung melalui Ethernet. Selama analisis, dievaluasi apakah kapasitas switching, jumlah port, dan kecepatannya (Fast Ethernet, Gigabit, 10 GbE) cukup untuk beban saat ini dan di masa mendatang, dan apakah ada elektronik usang yang membatasi kinerja keseluruhan jaringan.

Menemukan sakelar lama relatif umum dilakukan. Perangkat-perangkat ini, yang tidak mencapai kecepatan 1000 Mbps, bertindak sebagai hambatan di titik-titik penting, menghambat komunikasi antara server, penyimpanan, dan workstation. Mendeteksi dan mengganti perangkat-perangkat ini berdampak langsung pada kinerja yang dirasakan oleh pengguna.

Titik akses nirkabel (AP) juga merupakan bagian penting dari analisis ini.Lokasi mereka diperiksa untuk memastikan cakupan yang homogen, diverifikasi bahwa mereka terhubung ke soket jaringan yang mampu mendukung bandwidth yang diperlukan, bahwa mereka memiliki daya yang memadai (PoE jika berlaku) dan bahwa konfigurasi keamanannya (WPA2/WPA3, VLAN, isolasi klien) sudah benar.

Jenis dan kualitas pengkabelan terstruktur memiliki dampak besar pada kinerja.Disarankan untuk menggunakan kabel minimal Kategori 5e atau 6, atau yang lebih tinggi, pada instalasi baru untuk mendukung kecepatan Gigabit atau bahkan 10 Gigabit secara andal pada jarak pendek. Selain kategori, konektor, pelat dinding, kabel patch, dan penempatan yang tepat di baki kabel dan saluran kabel juga diperiksa.

Konektivitas dan proteksi listrik diperiksa secara khusus di lokasi server.Lokasi yang mudah diakses, koneksi Gigabit atau lebih tinggi ke inti jaringan, koneksi ke UPS redundan, dan pendinginan yang memadai untuk mencegah panas berlebih. Semua faktor ini secara langsung memengaruhi stabilitas layanan yang dikonsumsi oleh pengguna.

Analisis perangkat yang terhubung dan keamanan jaringan

Salah satu tujuan utama analisis peralatan jaringan adalah untuk mengetahui siapa yang terhubung.Melalui pemindaian jaringan, kueri SNMP, peninjauan tabel ARP dan MAC, serta alat penemuan, semua perangkat yang ada diidentifikasi: PC, server, printer, kamera IP, perangkat IoT, peralatan industri, ponsel, dll., dan diperiksa apakah perangkat tersebut telah diotorisasi.

Mengontrol perangkat mana yang mengakses jaringan sangat penting untuk meminimalkan risiko.Keberadaan peralatan "hantu" atau yang tidak terinventarisasi seringkali menjadi pintu masuk bagi pelanggaran keamanan. Dalam jaringan industri, penganalisis perangkat keras bahkan dapat memvalidasi bahwa perangkat menerapkan protokol seperti Modbus atau DNP3 dengan benar, sehingga mencegah perilaku yang tidak terduga.

Tinjauan keamanan jaringan mencakup beberapa lapisan.Skema logis dianalisis (segmentasi ke dalam VLAN, zona demiliterisasi, jaringan tamu), kebijakan firewall dan daftar kontrol akses ditinjau, kata sandi dan metode otentikasi diaudit, dan solusi antimalware, IDS/IPS, serta sistem cadangan diverifikasi.

Pada tahap ini, penilaian kerentanan menjadi penting.Berdasarkan inventaris dan data yang dikumpulkan, auditor mencoba untuk "menyerang" jaringan terlebih dahulu dari luar (mensimulasikan penyerang eksternal) dan kemudian dari dalam (dengan asumsi perangkat internal telah disusupi). Tujuannya adalah untuk merangkai kelemahan-kelemahan kecil hingga mencapai akses tingkat tinggi dan menunjukkan dampak sebenarnya.

Setelah mengeksploitasi kerentanan, verifikasi manual selalu dilakukan. Untuk memisahkan hasil positif palsu dari masalah sebenarnya, mengidentifikasi penyebab sistemik, dan memprioritaskan tindakan mitigasi. Temuan tersebut dikompilasi dalam laporan manajemen, disertai dengan rekomendasi teknis dan bisnis: penggantian peralatan yang sudah usang, perubahan konfigurasi, pengetatan kebijakan, pelatihan staf, dll.

Alat analisis jaringan: perangkat lunak dan perangkat keras

Terdapat dua kelompok utama alat untuk menganalisis lalu lintas jaringan dan perilaku peralatan.: solusi berbasis perangkat lunak, biasanya bersifat umum dan mampu menginterpretasikan protokol yang terdokumentasi secara luas, dan solusi perangkat keras, yang lebih ditujukan untuk lingkungan tertentu (terutama industri) dan dengan dukungan untuk protokol yang sangat spesifik.

Perangkat lunak penganalisis jaringan yang paling terkenal adalah Wireshark, TCPDump, dan Windump.Wireshark, misalnya, menangkap frame secara real-time dan memungkinkan Anda untuk menganalisisnya lapis demi lapis, menampilkan alamat sumber dan tujuan, port, flag protokol, dan konten aplikasi. Ini berguna baik untuk mendiagnosis kesalahan maupun untuk mempelajari apakah paket memenuhi spesifikasi.

Di bidang inventarisasi dan pemetaan jaringan Alat-alat seperti SolarWinds, Open-AudIT, dan NetformX digunakan, yang mampu menemukan perangkat, menghasilkan diagram topologi, mengaitkan hubungan antar perangkat, dan membuat laporan komprehensif. Solusi lain seperti Nessus dan Nipper berfokus pada penilaian keamanan, meninjau konfigurasi, mengusulkan praktik terbaik, dan mendeteksi kerentanan seperti... serangan siber tersembunyi di peramban.

Untuk evaluasi kinerja dan analisis lalu lintas terperinciSelain Wireshark, utilitas seperti iperf, ntop, atau sistem analisis aliran NetFlow/sFlow digunakan, yang membantu memahami siapa yang paling banyak mengonsumsi bandwidth, aplikasi mana yang menghasilkan lalu lintas paling banyak, dan bagaimana beban bervariasi dari waktu ke waktu.

Penganalisis perangkat keras, sangat umum dalam sistem kontrol industri.Perangkat ini biasanya mencakup fitur-fitur canggih seperti fuzzer untuk menguji implementasi protokol, osiloskop untuk memeriksa sinyal dan frekuensi, dan penganalisis panel listrik. Produk seperti Achilles, Netdecoder, atau perangkat Line Eye dirancang khusus untuk bekerja dengan Ethernet, serial (RS-232, RS-485), fiber optik, dan antarmuka media lainnya.

Metode untuk menangkap dan menganalisis lalu lintas jaringan

Agar penganalisis perangkat lunak dapat mempelajari lalu lintas jaringanPenting agar frame yang diinginkan sampai ke peralatan tempat perangkat tersebut terpasang. Hal ini dapat dicapai dengan beberapa cara: dengan menghubungkan hub lama di mana semua lalu lintas diulang di semua port, dengan mengkonfigurasi port mirroring (SPAN) pada switch, atau dengan menggunakan perangkat keras khusus seperti Network TAP.

Menggunakan port yang dicerminkan pada switch adalah opsi paling umum di jaringan modern.Switch diperintahkan untuk menyalin semua lalu lintas dari satu atau lebih port atau VLAN ke port yang ditentukan, tempat analyzer terhubung. Hal ini memungkinkan pemantauan akurat terhadap apa yang melewati switch, meskipun penting untuk dicatat bahwa lalu lintas yang berlebihan dapat memenuhi kapasitas port yang disalin dan menyebabkan hilangnya data tangkapan.

Network TAP adalah perangkat yang dirancang untuk menyisipkan titik pengamatan yang "transparan". antara dua segmen jaringan. Mereka mereplikasi lalu lintas ke penganalisis tanpa mengganggu komunikasi, dan biasanya mendukung media fisik dan kecepatan yang berbeda. Di lingkungan industri atau yang sangat penting, di mana konfigurasi switching tidak diinginkan, mereka merupakan pilihan yang sangat berharga.

Perbedaan besar antara penganalisis perangkat lunak dan perangkat keras Yang pertama berfokus terutama pada pemantauan dan analisis tangkapan (bahkan setelah kejadian), sedangkan yang kedua menambahkan kemampuan pengujian protokol aktif, pengukuran sinyal fisik, dan pembuatan lalu lintas sintetis, yang sangat penting untuk memvalidasi peralatan industri tanpa bergantung pada dokumentasi pabrikan yang dipublikasikan.

Bagaimanapun, penggunaan alat analisis harus direncanakan. Untuk menghindari dampak pada produksi: pengujian implementasi protokol atau kampanye fuzzing harus dijalankan di lingkungan laboratorium atau saat sistem utama tidak digunakan, karena menghasilkan paket yang tidak valid yang dapat menyebabkan jaringan atau pengontrol berada dalam keadaan tidak stabil.

Protokol dan teknik untuk menemukan peralatan dan topologi.

Bagian penting dari analisis peralatan jaringan adalah menemukan topologi secara otomatis. dan hubungan antar perangkat. Hal ini dicapai dengan menggabungkan berbagai protokol dan teknik, yang memungkinkan alat manajemen untuk berpindah dari satu perangkat ke perangkat lain hingga peta jaringan lengkap tergambar.

SNMP adalah protokol manajemen jaringan yang paling banyak digunakan.Perangkat yang kompatibel (router, switch, firewall, printer, dll.) menyertakan agen SNMP yang merespons permintaan manajer melalui UDP, menghindari overhead koneksi TCP. Informasi yang dikelola diatur ke dalam pengidentifikasi objek (OID) di dalam basis data MIB, yang menyimpan penghitung, status antarmuka, tabel penerusan, level tinta, statistik port, dan banyak lagi.

Protokol LLDP (Link Layer Discovery Protocol) menyediakan informasi mendasar lainnya.Setiap perangkat yang mendukungnya secara berkala mengiklankan data tentang dirinya sendiri (tipe perangkat, pengidentifikasi, port) ke tetangga terdekatnya di lapisan 2. Tetangga-tetangga ini menyimpan data ini di MIB mereka sendiri, sehingga alat manajemen dapat menghubungkan tetangga-tetangga tersebut untuk merekonstruksi topologi fisik.

Bahkan utilitas sederhana seperti ping masih berguna untuk penemuan.Dengan mengirimkan permintaan echo ICMP dan memeriksa siapa yang merespons, dimungkinkan untuk mendeteksi perangkat aktif pada suatu subnet. Teknik ini sederhana, tetapi jika dikombinasikan dengan SNMP, ARP, dan metode lainnya, akan membantu melengkapi inventarisasi.

Protokol ARP, yang bertanggung jawab untuk mengaitkan alamat IP dengan alamat MAC.Hal ini juga dimanfaatkan selama audit. Dengan melakukan query pada cache ARP router dan switch melalui SNMP, perangkat lunak manajemen dapat membangun basis data rute, subnet, dan tetangga Layer 2 dan Layer 3 sendiri, melanjutkan proses rekursif ini hingga semua segmen yang diketahui tercakup.

Analisis lalu lintas jaringan, NetFlow, dan visibilitas tingkat lanjut.

Selain menangkap paket individual, banyak organisasi mengandalkan analisis aliran data. Untuk mendapatkan gambaran agregat dari lalu lintas jaringan. Teknologi seperti NetFlow (Cisco), sFlow, J-Flow, atau IPFIX mengekspor ringkasan percakapan jaringan ke pengumpul pusat, yang menyimpan dan merepresentasikannya secara grafis.

Perangkat seperti NetFlow Analyzer bertanggung jawab untuk mengumpulkan data aliran tersebut.Mereka mengkorelasikan data ini dan menghasilkan laporan yang berisi informasi tentang siapa yang mengonsumsi bandwidth, aplikasi mana yang menghasilkan lalu lintas terbanyak, port dan protokol mana yang digunakan, dan bagaimana penggunaan jaringan telah berkembang selama periode yang berbeda. Mereka memungkinkan Anda untuk melihat data waktu nyata (dengan granularitas satu menit) dan data historis untuk jam, hari, bulan, atau kuartal.

Sistem analisis lalu lintas ini biasanya menawarkan dasbor yang sangat komprehensif.Di mana Anda dapat mengidentifikasi secara sekilas antarmuka, aplikasi, pengguna, host, atau percakapan mana yang memakan banyak sumber daya. Laporan biasanya diekspor dalam format CSV atau PDF, yang sangat berguna untuk presentasi kepada manajemen senior dan untuk membenarkan investasi atau perubahan kebijakan.

Hal menarik lainnya adalah kemampuan untuk mendeteksi perilaku anomali. Melalui aliran lalu lintas itu sendiri: lonjakan lalu lintas yang tidak biasa ke port tertentu, pola yang mengingatkan pada serangan penolakan layanan (denial-of-service), aliran dengan nilai TOS yang aneh, atau paket yang salah format. Dengan mengklasifikasikan peristiwa-peristiwa ini, ancaman internal atau eksternal dapat diidentifikasi, sehingga memungkinkan respons yang cepat.

Penganalisis lalu lintas juga menjadi alat forensik utama. Jika terjadi kemungkinan intrusi, dengan menyimpan informasi detail tentang apa yang terjadi di jaringan, mereka memungkinkan rekonstruksi insiden tersebut: peralatan mana yang terlibat, berapa volume data yang dieksfiltrasi, dan pada waktu berapa akses mencurigakan terjadi.

Cara menyusun dan melaksanakan audit jaringan langkah demi langkah

Audit atau penilaian keamanan jaringan yang menyeluruh bergantung pada tiga fase utama.Perencanaan, pelaksanaan, dan audit pasca-proyek. Melewatkan atau meminimalkan tahap perencanaan biasanya berujung pada frustrasi dan pemborosan waktu, karena izin, data, atau alat ditemukan hilang di tengah proyek.

Selama fase perencanaan, ruang lingkup didefinisikan secara tepat.: perangkat apa saja yang termasuk (biasanya router, switch, firewall, dan peralatan keamanan, tidak termasuk workstation dan server aplikasi kecuali dinyatakan lain), tujuan apa yang dikejar (inventaris, kepatuhan, pemecahan masalah, peningkatan kinerja), peraturan apa yang berlaku, dan jendela kerja apa yang akan digunakan.

Komitmen para pemangku kepentingan juga terjamin.Tanpa dukungan dari manajemen dan tim teknis, hampir tidak mungkin untuk melakukan audit jaringan secara lengkap, karena hal itu membutuhkan kredensial akses (SNMP, Telnet, SSH), perubahan konfigurasi sementara (seperti mengaktifkan SNMP atau SPAN), dan bahkan komputer atau laptop dengan kapasitas yang cukup untuk menjalankan alat-alat yang diperlukan.

Pemilihan alat merupakan poin penting lainnya dalam fase ini.Untuk jaringan kecil, pendekatan yang lebih manual dapat dipilih, yaitu menghubungkan perangkat satu per satu, tetapi di lingkungan menengah dan besar biasanya penting untuk menggunakan solusi penemuan otomatis, analisis konfigurasi, pemindai kerentanan, dan penganalisis lalu lintas.

Setelah rencana disusun, pelaksanaan audit dimulai.Setelah kredensial disiapkan dan alat dikonfigurasi (string komunitas SNMP, nama pengguna dan kata sandi Telnet/SSH, rentang IP, atau perangkat awal), proses penemuan dimulai. Tergantung pada ukuran jaringan, fase ini dapat berlangsung dari beberapa jam hingga beberapa hari.

Setelah pengumpulan data selesai, tahap pasca-audit dimulai.Di mana semua hasil dianalisis secara mendalam: laporan dibuat, risiko diidentifikasi, kerentanan diprioritaskan berdasarkan dampaknya, kesalahan positif dipisahkan, dan rekomendasi yang jelas dirumuskan. Sebagian dari laporan akan berfokus pada bahasa bisnis (biaya pemadaman, risiko hukum, dampak pada produktivitas) dan bagian lainnya akan bersifat teknis murni.

Tahapan rinci dalam penilaian keamanan jaringan

Dalam audit keamanan yang lebih menyeluruh Para spesialis biasanya membagi pekerjaan menjadi beberapa fase teknis yang berbeda untuk memastikan bahwa tidak ada satu pun aspek yang terlewatkan.

Fase pertama adalah analisis jejak dan pengumpulan informasi.Di sini, inventaris fisik dan virtual jaringan dibuat: perangkat keras, perangkat lunak, lisensi, nama domain, rentang IP, layanan yang dipublikasikan, rute, kebijakan keamanan, proses pemantauan yang sudah berjalan, dll. Tujuannya adalah untuk memiliki model jaringan dan profil keamanan selengkap mungkin.

Fase kedua berfokus pada analisis dan evaluasi kerentanan dari perspektif eksternal.Dengan memanfaatkan informasi yang telah dikumpulkan, tujuannya adalah untuk menembus jaringan dengan mengeksploitasi kelemahan tingkat rendah yang, secara bersama-sama, dapat memberikan akses ke informasi sensitif atau sistem penting.

Fase ketiga mengulangi strategi yang sama, tetapi dari dalam organisasi.Skenario ini mengasumsikan penyerang telah berhasil masuk (misalnya, melalui email phishing atau drive USB yang terinfeksi) dan mencoba untuk meningkatkan hak akses dan bergerak secara lateral. Hal ini menguji kekuatan pertahanan internal dan segmentasi sistem.

Pada fase keempat, setiap kerentanan yang dieksploitasi diverifikasi secara manual.Hal ini melibatkan peninjauan konfigurasi, versi, patch, dan potensi vektor serangan alternatif. Verifikasi ini mencegah penginvestasian sumber daya untuk memperbaiki masalah yang sebenarnya tidak dapat dieksploitasi atau yang memiliki dampak minimal pada konteks spesifik organisasi.

Terakhir, dilakukan analisis kerentanan yang komprehensif. Untuk mengidentifikasi pola dan akar penyebab: kesalahan desain, kurangnya kebijakan, kurangnya pelatihan, peralatan yang tidak didukung, tidak adanya pengujian rutin, dll. Dari situ, rencana tindakan yang diprioritaskan ditentukan, yang harus diimplementasikan oleh departemen TI berkoordinasi dengan manajemen.

Baik audit jaringan maupun audit infrastruktur TI sangat penting. untuk memastikan bahwa sistem komputer perusahaan tangguh, dapat digunakan dengan aman, dan menawarkan tingkat privasi dan perlindungan tertinggi terhadap ancaman siber yang semakin canggih.

Analisis menyeluruh terhadap peralatan jaringan, dikombinasikan dengan pemantauan berkelanjutan, perangkat yang baik, dan tinjauan berkala. Hal ini membuat perbedaan antara organisasi yang bereaksi terhadap masalah ketika sudah terlambat dan organisasi yang mendeteksi kegagalan, serangan, dan hambatan tepat waktu, sehingga menghindari gangguan bisnis, kehilangan data, dan sanksi karena ketidakpatuhan terhadap peraturan.