Какво точно прави ВАПТ? NIST SP 800-115 Гранична стойност за оценка и изпитване за проникване

VAPT (Оценка на уязвимостта и изпитване на изпълнението, оценка на гапа и изпитване на инфилтрацията) е почти най-използваният и лесно объркан набор от съкращения. Списъкът с покупки съдържаше услуги на VAPT веднъж и можеше да бъде доставен или чрез няколко доклада за сканиране, или чрез реално рестартиране на маршрутите за натискане - разликата между цените и стойността. Този документ описва границите в светлината на един от най-авторитетните обществени подходи: SP 800-115 от Националния институт по стандарти и технологии на Съединените американски щати.

Оценка на гапа спрямо изпитване за проникване: списък на VA, нарушение на проверката на PT

I. Гранична стойност между VA и PT: NIST Point Broken

Оригиналното изявление на NIST е много директно:Скенерът за изтичане на информация само проверява дали има вратичка, докато фазата на пробива се използва, за да се потвърди съществуването му.Не знам. Това е основното разделение на труда между двете:

Оценка на гапа (VA): Партида идентификация на домакини, услуги, приложения, изход на по колко дупки, колко сериозни списъци са сравнени с вратичка (напр. NVD). Степента на автоматизация и покритие беше висока, но докладът беше погрешно обнародван и до голяма степен не отговори на въпроса колко далеч тези дупки могат да отидат в комбинация.
Изпитване за проникване (PT)Симулация на истински нападател, изстреляне на истинска атака срещу избрана цел. NIST подчертава по-специално, че повечето тестове за проникване си струва да се разбере.Група пропуски в отделните или няколко системиПо-голям достъп от всяка една вратичка.

Едно изречение:VA е медицински преглед, PT е истинско упражнение.Не знам. И двата вида поръчки често са опаковани на мястото на съответствие, но трябва да е ясно към момента на получаване и проверка: действително ли е използвано валидирането? Или Нес току-що предаде формулярите за износ?

II. NIST IV МЕТОДОЛОГИЯ

NIST SP 800-115 Четири фази на проникване Тест: План, Дискавъри, Атака, Доклади

SP 800-115 Раздел 5.2.1 разделя тестовете за инфилтрация на четири етапа (фигура 5-1):

Схема за планиранеПравила за идентификация, получаване на одобрение за управление и записване, определяне на цели за изпитване. NIST посочва:Няма реални тестове на този етап.Но това е основата на целия тест.
Открито откритие: Събиране на информация и анализ на празнината. Идентификация на порта и услугата, DNS/WHOIS заявка, Banner грабване, NetBIOS числител (само вътрешно изпитване); след това сравни това, което е било почистено с вратичката. Това е само бавно за човек да улови нов бъг от скенера.
Атака!: Ядрото на теста. Потенциалните пропуски, които са били идентифицирани, се използват за всеки отделен случай; успехът се проверява с ясен отговор на мерките за смекчаване на последиците; когато се използва мощност, реалното ниво на риск на мрежата продължава да се анализира; и определена вратичка не се движи. Между атаката и откритието,Обратна връзкаСлед като новата опора бъде обезопасена, тя ще бъде събрана, тествана повторно, множество изпитвания за подвижен състав на системата.
Доклад за докладванеНе последната, а последната.Синхронизиране с другите три фазиДосието за проверка на границите.

NIST също така напомня, че това е само допустимо деление, но индустриалните процеси (включително стандартите OWASP WSTG и PTS) могат да бъдат съпоставени с този скелет: OWASP Web Safety Test Guide е Web тест за приложение на де факто публично ръководство, а TES е написала стандарта от шест части за общността за пред-интерактивност/интелигентно моделиране/употреба/след употреба/репортиране.

III. Overt or Covert: Представка на правилата на играта

NIST разделя тестовете за безопасност на две категории според нивото на знание:Изпитване на свръхчувствителностПроведе се със знанието и съгласието на ИТ екипа с цел да се намери възможно най-пълна дупка;Изпитване за конфронтация с капак (черна шапка)Защитата не е уведомена и истинската организация за конфронтация е разгледана за щетите, които може да причини и реакцията е тествана. Двете цели са напълно различни и не използват сканиращ доклад, за да претендират за двата ефекта. Във всеки случай,Първо правилата.: обхват, времеви период, забранени действия (напр. DOS, изтриване на данни за производството), условия за прекратяване, спешен контакт, всички записани - NIST допълнение Б директно към образеца ROE. Тестовете за инфилтрация естествено включват реални системи и реални данни, без "проникващи тестове" на ROE в размер на нелицензирано убийство.

VAPT: Правила за ангажиране, подбор на сцени, комбинация от риск, доклад за кацане

IV. Три наслади на А и Б

A-A-A-A-R.1) докладите са необходими, за да се направи разграничение между . . . . . . . База данни?) вместо средния резултат на CVSS; 3) проверете обхвата на теста с ROE, за да покриете клауд активи и API.

Професионална позиция Б(1) Сцената на плана не прави нищо, без да получи писмено одобрение, NIST пише това изречение в раздел I от методологията; (2) докладът е синхронизиран, с прекъсването, времевата линия и стъпките за възстановяване на място, а последващото записване е масово бедствие; и (3) трите основни категории, посочени от CVE-NIST, са само погрешно конфигуриране (особено опасни стойности по подразбиране), вътрешни ядрени дефекти, разливи на буферна зона и повечето от линиите на защита в реални проекти са първите.

Източник: NIST SP 800-115 (2008-09), cscr.nist.gov/pubs/sp/800/115/final, PDF Section 2.4.2, 4.3, 5.2.1 and Appendition B/F; cross-certificate: owasp.org WSTG project page, Pentest-standard.org. Определенията и твърденията в текста са посочени в съответния раздел на оригиналния текст.