Dansk

← Tilbage til listen

Hvad gør VAPT? NIST SP 800- 115 Boundary for gap reduction assessment and penetration testing

itadol5j

VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) er næsten det mest anvendte og let forvirrede sæt forkortelser. Købslisten indeholdt "VAPT services once" og kunne have været leveret enten af en flok scanningsrapporter eller ved en reel nulstilling af indtrængen ruter - forskellen mellem priserne og værdien. Dette dokument beskriver grænser i lyset af en af de mest autoritative offentlige tilgange: SP 800- 115 fra National Institute of Standards and Technology of the United States of America.

Gap vurdering versus penetration test: VA liste, PT verifikationsbrud

I. Grænse mellem VA og PT: NIST Point Broken

NIST 's oprindelige udtalelse er meget direkte:Lækagescanneren kontrollerer kun, at der er et smuthul, mens gennemtrængningsfasen bruges til at bekræfte dens eksistens.Det ved jeg ikke. Dette er den væsentlige arbejdsdeling mellem de to:

  • Vurdering af gap (VA): Batch identifikation af værter, tjenester, applikationer, output af "hvor mange huller, hvor alvorlige" lister sammenlignes med et smuthul (fx NVD). Graden af automatisering og dækning var høj, men rapporten blev fejlrapporteret og svarede stort set ikke "hvor langt disse huller kan gå i kombination".
  • Infiltrationsprøvning (PT)Simulering af en rigtig angriber, lancerer et rigtigt angreb på et udvalgt mål. NIST understreger især, at de fleste gennembrudstest er værd at finde ud af.Gruppe af huller i individuelle eller flere systemer- større adgang end et enkelt smuthul.

En sætning:VA er en medicinsk kontrol, PT er en reel person øvelse.Det ved jeg ikke. Begge typer indkøb er ofte pakket ind i overensstemmelsesscenen, men det skal stå klart på modtagelses- og inspektionstidspunktet: Er valideringen faktisk blevet anvendt? Eller gav Nessus bare eksportformularerne?

II. NIST IV METODOLOGI

NIST SP 800- 115 Fire faser af infiltrationstest: Plan, Discovery, Attack, Reporting

SP 800- 115 Afsnit 5.2.1 deler infiltrationstests i fire faser (figur 5-1):

  • PlanlægningsordningIdentifikationsregler, opnåelse af ledelsesgodkendelse og nedskrivning, fastsættelse af testmål. NIST specificerer:Ingen prøver på nuværende tidspunkt.Men det er grundlaget for hele testen.
  • Opdagelse fundet: Informationsindsamling og analyse af huller. Port og service identifikation, DNS / WHOIS forespørgsel, Banner grab, NetBIOS enumerator (kun intern test); derefter sammenligne, hvad der er blevet renset til smuthul. Det er kun langsomt for en mand at fange en ny fejl fra scanneren.
  • Angreb: Testens kerne. De potentielle mangler, der er blevet identificeret, bliver brugt i hvert enkelt tilfælde; succesen kontrolleres med en klar reaktion på afbødende foranstaltninger; når der anvendes strøm, analyseres nettets reelle risikoniveau fortsat, og et særligt smuthul bevæger sig ikke. Mellem angrebet og opdagelsen,Feedback Ring- Når den nye fodfæste er blevet sikret, vil den blive indsamlet, gentestet, flere systemrulleprøver.
  • RapporteringsrapportIkke den sidste, men den sidste.Synkroniser med de andre tre faserGrænsekontrolrapporten.

NIST minder også om, at dette kun er en "acceptabel division", men industrien mainstream processer (herunder OWASP WSTG og PTS standarder) kan matches til dette skelet: OWASP Web Safety Test Guide er en web-applikation test af de facto offentlige manual, og PTES har skrevet op seks- del fællesskabsstandarden for præ-interaktion / efterretningsindsamling / trussel modellering / brug / efterbehandling / rapportering.

III. Overt eller Covert: Forudsætning af spillereglerne

NIST deler sikkerhedstests i to kategorier alt efter vidensniveauet:OverttestLeveres med IT-teamets viden og samtykke med henblik på at finde så fuldt et hul som muligt;Dækprøvning (sort hat)Forsvaret er ikke anmeldt, og den virkelige konfrontation organisation er undersøgt for den skade, det kan forårsage, og svaret er testet. De to mål er helt forskellige og bruger ikke en scanningsrapport til at hævde begge virkninger. Under alle omstændigheder,Forlovelsesregler først.: anvendelsesområde, tidsperiode, forbudte handlinger (f.eks. DoS, slet produktionsdata), ophørsforhold, nødkontakt, alle skrevet - NIST Appendiks B direkte til ROE-modellen. Infiltration tests naturligt involverer reelle systemer og reelle data, uden ROE "infiltration tests" svarende til et uautoriseret drab.

VAPT: Regler for ansættelse, sceneudvælgelse, kombination af risiko, landingsrapport

IV. Tre aftaler med A og B

A-A-A-R.1) rapporter er nødvendige for at skelne mellem "scan opdagelse" og "valideret brug", som er den eneste værdig til høj risiko konklusioner; 2) fokus på kombination stier og endelige landingspunkter (domæne kontrol? Database?) i stedet for CVSS gennemsnitlige score; 3) kontrollere omfanget af testen med ROE til at dække cloud aktiver og API.

Faglig stilling B(1) Planfasen gør ikke noget uden at opnå skriftlig godkendelse, NIST skriver denne sætning i afsnit I af metoden; (2) rapporten er synkroniseret, med afskæring, tidslinje, og nyttiggørelse trin holdes on-site, og den efterfølgende registrering er en massekatastrofe; og (3) de tre vigtigste kategorier navngivet af CVE-NIST er kun forkert konfiguration (især usikre standardværdier), interne nukleare defekter, bufferzone udslip, og de fleste af de forsvarslinjer i de faktiske projekter er de første.

Kilde: NIST SP 800- 115 (2008- 09), csrc.nist.gov / pubs / sp / 800 / 115 / final, PDF-afsnit 2.4.2, 4.3, 5.2.1 og tillæg B / F; krydsbevis: owasp.org WSTG projektside, Pentest- standard.org. Definitionerne og påstandene i teksten er angivet i det tilsvarende afsnit i den oprindelige tekst.