ما الذي يفعله (فيت) بالضبط؟ NIST SP 800-115 Boundary for gap reduction assessment and penetration testing

The VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) is almost the most used and easily confusion set of abbreviations. وتضمنت قائمة المشتريات " الخدمات التي تقدم مرة واحدة " وكان يمكن تقديمها إما بواسطة مجموعة من تقارير المسح الضوئي أو عن طريق إعادة ضبط مسارات الاقتحام الحقيقية - أي الفرق بين الأسعار والقيمة. وتصف هذه الورقة الحدود في ضوء أحد أكثر النُهج العامة الموثوقة: SP 800-115 للمعهد الوطني للمعايير والتكنولوجيا في الولايات المتحدة الأمريكية.

تقييم الثغرات مقابل اختبار الاختراق: قائمة VA، خرق التحقق PT

I. Boundary between VA and PT: NIST Point Broken

البيان الأصلي لـ NIST مباشرة جدا:المُسحّل فقط يَتأكّدُ بأنّ هناك قَدْ يَكُونُ a ثغرة، بينما مرحلة هجوم إختبارِ الإختراقِ يُستعملُ حقاً لتَأكيد وجودِه.لا أعلم وهذا هو التقسيم الأساسي للعمل بين الاثنين:

تقييم الثغرات: Batch identification of hosts, services, applications, output of " how many holes, how serious " lists are compared to a gaphole (e.g. NVD). وكانت درجة التشغيل الآلي والتغطية عالية، ولكن التقرير لم يُبلغ عنه بصورة خاطئة، ولم يجيب إلى حد كبير " إلى أي مدى يمكن لهذه الثقوب أن تدمج " .
اختبار التسلل: محاكاة مهاجم حقيقي، إطلاق هجوم حقيقي على هدف مختار. وتشدد الشبكة على وجه الخصوص على أن معظم اختبارات الاختراق تستحق معرفة ذلك.مجموعة الثغرات في النظم الفردية أو المتعددة- وصول أكبر من أي ثغرة واحدة.

جملة واحدة:VA هو فحص طبي، PT هو تدريب شخص حقيقي.لا أعلم وكثيراً ما يتم حزم كلا النوعين من المشتريات في موقع الامتثال، ولكن يجب أن يكون واضحاً وقت الاستلام والتفتيش: هل استخدم التصديق فعلاً؟ أم أن (نيسوس) سلّم استمارات التصدير؟

II. NIST IV METHODOLOGY

NIST SP 800-115 Four Phases of Infiltration Test: Plan, Discovery, Attack, Reporting

SP 800-115 Section 5.2.1 divides infiltration tests into four stages (Figure 5-1):

خطة التخطيط:: قواعد تحديد الهوية، والحصول على موافقة الإدارة وكتابتها، وتحديد أهداف الاختبار. NIST specifies:لا اختبارات فعلية في هذه المرحلةلكنه أساس الإختبار بأكمله
اكتشاف: Information gathering and gap analysis. (ج) تحديد الموانئ والخدمات، واستفسار إدارة الأمن الوطني/منظمة الصحة العالمية، واستيعاب بانر، ومعدِّد نيت بيوس (الاختبار الداخلي فقط)؛ ثم مقارنة ما تم تنظيفه إلى الثغرة. إنه بطيء فقط لرجل أن يلتقط خلل جديد من الماسح الضوئي
هجوم الهجوم: جوهر الإختبار وتُستخدم الثغرات المحتملة التي تم تحديدها على أساس كل حالة على حدة؛ ويجري التحقق من النجاح باستجابة واضحة لتدابير التخفيف؛ وعندما تُستخدم الطاقة، يستمر تحليل مستوى المخاطر الحقيقي للشبكة؛ ولا تتحرك ثغرة معينة. بين الهجوم والاكتشافرنين التغذية- حالما يتم تأمين الموطن الجديد، سيتم جمعه، وإعادة اختباره، وإجراء اختبارات متعددة.
تقرير الإبلاغليس الأخير، بل الأخيرتزامن مع المراحل الثلاث الأخرىسجل مراقبة الحدود

وتذكّر القائمة الوطنية أيضاً بأن هذا ليس إلا " تقسيماً مقبولاً " ، ولكن العمليات الرئيسية للصناعة (بما في ذلك معايير " OWASP WSTG " و " PTS " ) يمكن مضاهاتها مع هذه الهيكلة: دليل اختبار السلامة على الشبكة العالمية " OWASP " (OWASP) هو اختبار تطبيق للدليل العام الفعلي، وقد صاغت الدائرة المعيار المجتمعي " ستة أجزاء " لجمع/استعمال/بعد ذلك.

ثالثا - Overt or Covert: Prefixing the rules of the game

تقسم القائمة الوطنية اختبارات السلامة إلى فئتين حسب مستوى المعرفة:الاختبار المفرط(أ) أن تُجرى بمعرفة وموافقة فريق تكنولوجيا المعلومات، بهدف إيجاد حفرة كاملة قدر الإمكان؛اختبار المواجهة (القبعة السوداء)The defense is not notified, and the real confrontation organization is examined for the damage it can cause, and the response is tested. ويختلف الهدفان اختلافاً تاماً ولا يستخدمان تقريراً مسحياً للمطالبة بكلا التأثيرين. على أي حالقواعد الاشتباك أولاً: scope, time period, prohibited actions (e.g. DoS, delete production data), cease conditions, emergency contact, all written - NIST Appendix B directly to the ROE template. اختبارات التسلل تتضمّن بطبيعة الحال نظماً حقيقية وبيانات حقيقية، بدون أيّ اختبارات تسلل تصل إلى جريمة قتل غير مرخص بها.

VAPT: Rules of engagement, scene selection, combination of risk, landing report

رابعاً - ثلاث أحكام إلى ألف وباء

A-A-A-R.)١( التقارير مطلوبة للتمييز بين " الاكتشافات المغلقة " و " الاستخدام المتعمد " ، وهو الوحيد الجدير بالاستنتاجات ذات المخاطر العالية؛ )٢( التركيز على المسارات المشتركة ونقاط الهبوط النهائية )التحكم الرئيسي؟ :: قاعدة البيانات؟ (بدلاً من متوسط النتيجة في دائرة خدمات الدعم المركزية؛ 3) التحقق من نطاق الاختبار مع مكتب الموارد البشرية لتغطية الأصول السحابية والآلية.

الوظيفة الفنية باء)١( لا تقوم مرحلة الخطة بأي شيء دون الحصول على موافقة خطية، وتكتب القائمة الوطنية هذه الجملة في الفرع الأول من المنهجية؛ )٢( يتزامن التقرير مع وقف التنفيذ، والجدول الزمني، وخطوات الاسترداد التي يجري الإبقاء عليها في الموقع، والتسجيل اللاحق هو كارثة جماعية؛ )٣( إن الفئات الرئيسية الثلاث التي تسميها لجنة التحقيق في حالات الطوارئ - الشبكة العالمية هي فقط غير متجانسة )خاصة القيم الافتراضية(، والعيوبتين النوويتين الداخليتين؛

المصدر: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Sections 2.4.2, 4.3, 5.2.1 and Appendix B/F; cross-certificate: owasp.org WSTG project page, Pentest-standard.org. وترد التعاريف والتأكيدات الواردة في النص في الفرع المقابل من النص الأصلي.