Co přesně VAPT dělá? NIST SP 800- 115 Hranice pro posuzování snížení mezery a testování průniku

VAPT (test hodnocení a provádění zranitelnosti, test hodnocení gap a infiltrace) je téměř nejpoužívanější a snadno zaměnitelná sada zkratek. Nákupní seznam obsahoval "VAPT služby jednou" a mohl být dodán buď pomocí několika skenovacích zpráv, nebo opravdovým resetem přerušovaných tras - rozdíl mezi cenami a hodnotou. Tento dokument popisuje hranice ve světle jednoho z nejvíce autoritativních přístupů veřejnosti: SP 800-115 Národního institutu norem a technologií Spojených států amerických.

Posuzování gap versus penetrační test: seznam VA, porušení ověření PT

I. Hranice mezi VA a PT: NIST bod zlomený

Původní prohlášení NIST je velmi přímé:Průnikový skener pouze kontroluje, zda zde může být mezera, zatímco fáze průnikového testu se používá k potvrzení její existence.Nevím. To je zásadní rozdělení práce mezi tyto dva:

Posuzování žaludku (VA): Identifikace šarže hostitelů, služeb, aplikací, výstupů "kolik otvorů, jak vážné" seznamy jsou porovnávány s klikou (např. NVD). Stupeň automatizace a pokrytí byl vysoký, ale zpráva byla špatně hlášena a do značné míry neodpověděla "jak daleko mohou tyto díry zajít v kombinaci".
Zkouška infiltrace (PT)Simulace skutečného útočníka, spuštění skutečného útoku na vybraný cíl. NIST zdůrazňuje zejména, že většina průbojných testů stojí za to zjistit.Skupina mezer v jednotlivých nebo více systémech- větší přístup než každá jediná mezera.

Jedna věta:VA je lékařská prohlídka, PT je reálné cvičení.Nevím. Oba typy zakázek jsou často baleny ve scéně shody, ale musí to být jasné v době přijetí a kontroly: bylo ověření skutečně použito? Nebo právě Nessus předal vývozní formuláře?

II. METODIKA NIST IV

NIST SP 800- 115 Čtyři fáze infiltrace testu: plán, objev, útok, hlášení

SP 800- 115 Oddíl 5.2.1 rozděluje infiltrační testy do čtyř fází (obrázek 5-1):

Plánovací programIdentifikační pravidla, získání schválení managementu a sepsání, stanovení zkušebních cílů. NIST specifikuje:V této fázi žádné skutečné testy.Ale je to základ celého testu.
Nalezeno objevení: Shromažďování informací a analýza rozdílů. Přístavní a servisní identifikace, DNS / WHOIS dotaz, Banner grab, NetBIOS enumerator (pouze interní testování); pak porovnat to, co bylo vyčištěno do kličky. Je to jen pomalé pro muže chytit novou závadu ze skeneru.
Útok.: Jádro testu. Potenciální nedostatky, které byly zjištěny, jsou využívány na základě jednotlivých případů; úspěch se ověřuje s jasnou reakcí na zmírňující opatření; je-li využívána energie, je nadále analyzována skutečná úroveň rizika sítě; a konkrétní mezera se nehýbe. Mezi útokem a objevem,Zpětný kroužek- Jakmile bude zajištěn nový podklad, bude shromažďován, testován, více systémů valivých testů.
ZprávaNe poslední, ale poslední.Synchronizovat s ostatními třemi fázemiZáznamy hraničních kontrol.

NIST také připomíná, že se jedná pouze o "přijatelnou divizi", ale procesy hlavního proudu průmyslu (včetně norem OWASP WSTG a PTS) lze přiřadit k této kostře: OWASP Web Safety Test Guide je Web application test de facto veřejné příručky, a PTES sepsala šestidílný komunitní standard pro předinterakci / sběr zpravodajských informací / modelování hrozeb / používání / následné použití / podávání zpráv.

III. Overt nebo Covert: Představení pravidel hry

NIST rozděluje bezpečnostní zkoušky do dvou kategorií podle úrovně znalostí:Overt testprovádí se znalostmi a souhlasem IT týmu s cílem najít co nejúplnější díru;Covert (černý klobouk) konfrontační testObhajoba není oznámena, a skutečná konfrontační organizace je zkoumána na škody, které může způsobit, a odpověď je testována. Tyto dva cíle jsou zcela odlišné a nepoužívají skenovací zprávu pro tvrzení obou účinků. V každém případěNejdřív pravidla zasnoubení.: rozsah, časové období, zakázané akce (např. DoS, vymazání výrobních údajů), podmínky ukončení, nouzový kontakt, vše napsané - NIST dodatek B přímo do šablony ROE. Infiltrace testy přirozeně zahrnují skutečné systémy a skutečná data, bez ROE "infiltrace testy" ve výši nelicencované vraždy.

VAPT: Pravidla zapojení, výběr scény, kombinace rizika, zpráva o vykládce

IV. Tři zásnuby na A a B

A- A- A- A- R.1) zprávy jsou povinny rozlišovat mezi "objevem skenování" a "ověřeným použitím", které je jediným, kdo si zaslouží vysoce rizikové závěry; 2) zaměřit se na kombinované cesty a konečné přistávací body (kontrola domény? Databáze?) místo průměrného skóre CVSS; 3) zkontrolujte rozsah testu s ROE, aby pokryla cloudová aktiva a API.

Profesionální pozice B(1) Stupeň plánu nedělá nic, aniž by získal písemný souhlas, NIST píše tuto větu v oddíle I metodiky; (2) zpráva je synchronizována, s cut- off, time- line, a kroky obnovy jsou drženy na místě, a následný záznam je hromadná katastrofa; a (3) tři hlavní kategorie pojmenované CVE- NIST jsou pouze chybnou konfigurací (zejména nebezpečné výchozí hodnoty), vnitřní jaderné vady, pufry zóny a většina obranných linií ve skutečných projektech jsou první.

Zdroj: NIST SP 800-115 (2008-09), csrc.nist.gov / pubs / sp / 800 / 115 / final, PDF Sections 2.4.2, 4.3, 5.2.1 a Appendix B / F; cross- certificate: owasp.org WSTG project page, Pentest- nordard.org. reg. Definice a tvrzení v textu jsou uvedeny v odpovídající části původního textu.