¿Qué hace exactamente VAPT? NIST SP 800-115 Boundary for gap reduction assessment and penetra testing
El VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) es casi el conjunto de abreviaturas más utilizado y fácilmente confundido. La lista de compra contenía “servicios deVAPT una vez” y podría haber sido entregada ya sea por un montón de informes de escaneo o por un reajuste real de rutas de intrusión - la diferencia entre los precios y el valor. Este documento describe límites a la luz de uno de los enfoques públicos más autorizados: SP 800-115 del Instituto Nacional de Normas y Tecnología de los Estados Unidos de América.
I. Boundary between VA and PT: NIST Point Broken
La declaración original de NIST es muy directa:El escáner de fugas sólo comprueba que puede haber una laguna, mientras que la fase de ataque de penetración se utiliza realmente para confirmar su existencia.No lo sé. Esta es la división esencial del trabajo entre los dos:
- Evaluación de la brecha (VA): Identificación por lotes de anfitriones, servicios, aplicaciones, salida de “cuantos agujeros, cuán graves” listas se comparan con una laguna (por ejemplo, NVD). El grado de automatización y cobertura fue alto, pero el informe fue denunciado erróneamente y en gran medida no respondió “cuán lejos estos agujeros pueden ir en combinación”.
- Prueba de infiltración (PT): Simulación de un verdadero atacante, lanzando un ataque real a un objetivo seleccionado. NIST destaca en particular que la mayoría de las pruebas de penetración vale la pena averiguarlo.Grupo de lagunas en sistemas individuales o múltiples- mayor acceso que cualquier sola laguna.
Una frase:VA es un chequeo médico, PT es un ejercicio en persona real.No lo sé. Ambos tipos de adquisiciones a menudo se envasan en el lugar de cumplimiento, pero debe ser claro en el momento de recepción e inspección: ¿se ha utilizado la validación? ¿O Nessus acaba de entregar los formularios de exportación?
II. METODOLOGÍA NISTA IV
SP 800-115 Sección 5.2.1 divide pruebas de infiltración en cuatro etapas (Figura 5-1):
- Plan de planificaciónReglas de identificación, obtención de aprobación y escritura de gestión, establecer objetivos de prueba. NIST especifica:No hay pruebas reales en esta etapa.Pero es la base de toda la prueba.
- Discovery encontrado: Recopilación de información y análisis de brechas. Identificación de puertos y servicios, consulta DNS/WHOIS, captura de banner, enumerador de NetBIOS (sólo pruebas internas); luego compare lo que se ha limpiado a la laguna. Sólo es lento para un hombre coger un nuevo fallo del escáner.
- Ataque de ataque: El núcleo de la prueba. Las posibles lagunas que se han identificado se están utilizando caso por caso; se está verificando el éxito con una respuesta clara a las medidas de mitigación; cuando se utiliza el poder, se sigue analizando el nivel real de riesgo de la red; y no se está moviendo una laguna particular. Entre el ataque y el descubrimiento,Retroalimentación— Una vez que se haya asegurado la nueva posición, se recogerá, probará, se realizarán múltiples pruebas de laminación del sistema.
- Informe de presentación de informes: No el último, pero el último.Sincronizar con las otras tres fasesEl registro de la frontera.
NIST también recuerda que esto es sólo una “distribución aceptable”, pero los procesos principales de la industria (incluidos los estándares OWASP WSTG y PTS) se pueden ajustar a este esqueleto: la Guía de Pruebas de Seguridad Web OWASP es una prueba de aplicación web del manual de facto público, y PTES ha escrito el estándar comunitario de seis partes para la colección de pre-interacción/inteligencia / modelado/utilización/después.
III. Overt o Covert: Prefijando las reglas del juego
NIST divide pruebas de seguridad en dos categorías según el nivel de conocimiento:Prueba de excesoDirigido con el conocimiento y el consentimiento del equipo de TI, con el objetivo de encontrar un agujero lo más completo posible;Test de confrontación Covert (negro sombrero)La defensa no es notificada, y la verdadera organización de confrontación es examinada por el daño que puede causar, y la respuesta es probada. Los dos objetivos son completamente diferentes y no utilizan un informe de escaneo para reclamar ambos efectos. En cualquier caso,Reglas de compromiso primero.: alcance, período de tiempo, acciones prohibidas (p. ej. DoS, borrar datos de producción), condiciones de cesación, contacto de emergencia, todo escrito - NIST Apéndice B directamente a la plantilla ROE. Las pruebas de infiltración implican naturalmente sistemas reales y datos reales, sin "pruebas de infiltración" de ROE que equivalen a un homicidio sin licencia.
IV. Three ENJOYMENTs TO A AND B
A-A-A-A-R.1) se requieren informes para distinguir entre el “descubrimiento escanal” y el “uso validado”, que es el único digno de conclusiones de alto riesgo; 2) centrarse en caminos combinados y puntos de aterrizaje finales (control de dominio? Base de datos?) en lugar de la puntuación media CVSS; 3) comprobar el alcance de la prueba con ROE para cubrir los activos de la nube y API.
Posición profesional B(1) The Plan stage does not do anything without obtaining written approval, NIST writes this sentence in section I of the methodology; (2) the report is synchronized, with the cut-off, time-line, and recovery steps being kept on-site, and the subsequent recording is a mass disaster; and (3) the three main categories named by CVE-NIST are only misconfiguration (especially unsafe default values), internal nuclear defects, buffer lines
Fuente: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Sections 2.4.2, 4.3, 5.2.1 y Apéndice B/F; cross-certificate: owasp.org página del proyecto WSTG, Pentest-standard.org. Las definiciones y afirmaciones del texto se identifican en la sección correspondiente del texto original.