Mitä VAPT tarkalleen ottaen tekee? NIST SP 800-115 Raja aukkojen vähentämiseen ja läpäisytestiin

VaPT (Haavoittuvuusarviointi- ja toteutustesti, puutteiden arviointi- ja soluttautumistesti) on lähes kaikkein käytetyin ja helposti hämmennyksissä oleva lyhenteiden sarja. Ostosluettelossa oli kerran VAPAT-palveluja, ja se olisi voitu toimittaa joko joukko skannausraportteja tai todellinen nollaus tunkeutumisreittejä - ero hintojen ja arvon. Tässä asiakirjassa kuvataan rajoja ottaen huomioon yksi arvovaltaisin julkinen lähestymistapa: SP 800-115, National Institute of Standards and Technology, Yhdysvallat.

I. VA:n ja PT: NIST Point Brokenin välinen raja

NIST:n alkuperäinen lausunto on hyvin suora:Vuotoskanneri vain tarkistaa, että siellä voi olla porsaanreikä, kun taas läpäisytestin hyökkäysvaihetta käytetään sen olemassaolon varmistamiseen.En tiedä. Tämä on olennainen työnjako näiden kahden välillä:

• Vian arviointi (VA): Erän tunnistaminen isännät, palvelut, sovellukset, tuotos Automaation ja kattavuuden aste oli korkea, mutta raporttia raportoitiin väärin, eikä se suurelta osin vastannut, kuinka pitkälle nämä aukot voivat mennä yhdessä.
• Infiltraatiotesti (PT): Simulointi todellinen hyökkääjä, käynnistää todellinen hyökkäys valittu kohde. NIST korostaa erityisesti, että useimmat läpäisytestit kannattaa selvittää.Yksittäisten tai useiden järjestelmien puutteiden ryhmä— greater access than any single loophole.

Yksi lause:VA on lääkärintarkastus, PT on todellinen harjoitus.En tiedä. Molemmat hankintatyypit on usein pakattu vaatimustenmukaisuuspaikalle, mutta vastaanotto- ja tarkastushetkellä on oltava selvää: onko validointia todella käytetty? Vai luovuttiko Nessus vientilomakkeet?

II. NIST IV -MENETELMÄT

SP 800-115 5.2.1 kohdassa infiltraatiotestit jaetaan neljään vaiheeseen (kuva 5-1):

• SuunnitteluohjelmaTunnistussäännöt, johdon hyväksynnän saaminen ja kirjoittaminen, testitavoitteiden asettaminen. NIST määrittelee:Ei todellisia testejä tässä vaiheessa.Mutta se on koko testin perusta.
• Löytö: Tiedonkeruu ja aukkoanalyysi. Sataman ja palvelun tunnistetiedot, DNS/WHOIS-kysely, Banner napata, NetBIOS-osoitin (vain sisäinen testaus); sitten vertaillaan mitä on puhdistettu porsaanreikä. On vain hidasta, että mies huomaa uuden vian skannerista.
• HyökkäysTestin ydin. Havaittuja mahdollisia aukkoja käytetään tapauskohtaisesti; onnistumisia todennetaan selkeillä vastatoimilla hillitsemistoimiin; tehon käytön yhteydessä verkoston todellista riskitasoa analysoidaan edelleen; ja tietty porsaanreikä ei liiku. Hyökkäyksen ja löydön välillä -Palauterengas— Once the new foothold has been secured, it will be collected, retested, multiple system rolling tests.
• RaportointiEi viimeinen, vaan viimeinen.Synkronoi kolmen muun vaiheen kanssaRajatarkastusrekisteri.

NIST muistuttaa myös, että tämä on vain hyväksyttävä jako, mutta teollisuuden valtavirtaprosessit (mukaan lukien OWASP WSTG- ja PTS-standardit) voidaan sovittaa yhteen tämän luurangon kanssa: OWASP Web Safety Test Guide on de facto julkisen käsikirjan Web-sovellustesti, ja PTES on laatinut kuusiosaisen yhteisön standardin, joka koskee interaktiivisuutta/tiedustelua/reitin mallintamista/käyttöä/jälkikäyttöä/raportointia.

III Overt tai Covert: Pelin sääntöjen vahvistaminen

NIST jakaa turvallisuustestit kahteen luokkaan tiedon tason mukaan:Pikatestitoimii tietoteknisen ryhmän tietojen ja suostumuksen mukaisesti tavoitteena löytää mahdollisimman täydellinen aukko;Peittotesti (mustahattu)Puolustus ei ole ilmoitettu, ja todellinen vastakkainasettelu organisaatio tutkitaan vahinkoa se voi aiheuttaa, ja vastaus testataan. Nämä kaksi tavoitetta ovat täysin erilaisia, eivätkä ne käytä skannausraporttia väittääkseen molempia vaikutuksia. Joka tapauksessaEnsin säännöt.: soveltamisala, aika, kielletyt toimet (esim. DoS, poistaa tuotantotiedot), lopettamisolosuhteet, hätäyhteys, kaikki kirjalliset - NIST-liite B suoraan ROE-malliin. Soluttautumistesteissä on luonnollisesti kyse todellisista järjestelmistä ja todellisesta datasta, jossa ei ole luvatonta henkirikosta.

IV. KOLMAS MAKSUA A:LLE JA B:LLE

A-A-A-A-R.1) raportit vaaditaan erottamaan toisistaan skannauslöydös ja validoitu käyttö. Tietokanta?) CVSS:n keskiarvon sijaan, 3) tarkista testin laajuus Pilvivarojen ja API:n osalta.

Ammatillinen asema B(1) Suunnitelmavaihe ei tee mitään ilman kirjallista hyväksyntää, NIST kirjoittaa tämän lauseen menetelmän I osaan; (2) raportti on synkronoitu, ja paikan päällä pidetään katkaisu-, aika- ja palautusvaiheita, ja sitä seuraava tallennus on massakatastrofi; ja (3) CVE-NIST:n nimeämät kolme pääluokkaa ovat vain virheelliset konfiguraatiot (erityisesti vaaralliset oletusarvot), sisäiset ydinviat, puskurivyöhykkeen vuodot ja useimmat todellisten hankkeiden puolustuslinjat.

Lähde: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF 2.4.2, 4.3, 5.2.1 ja liite B/F; ristitodistus: owasp.org WSTG-projektisivu, Pentest-standard.org. Tekstin määritelmät ja väitteet yksilöidään alkuperäisen tekstin vastaavassa osassa.