Filipino

← Bumalik sa listahan

Ano ba talaga ang ginagawa ng VAPT? NIST SP 800-115 Boundary para sa pagbabawas ng puwang at pagsubok sa pagpasok

itadol5j

Ang VAPT (Vulnerable Assessment and Implementation Test, Gap Assessment and Infiction Test) ay halos ang pinakagamit at madaling ikalitong set ng mga daglat. Ang talaan ng pagbili ay naglalaman ng mga serbisyo ng “VAPT minsan at maaaring inihatid sa pamamagitan ng isang kumpol ng scanning report o ng isang tunay na muling pagsasaayos ng mga ruta ng panghihimasok - ang pagkakaiba sa pagitan ng mga presyo at halaga. Ang papel na ito ay naglalarawan ng mga hangganan sa liwanag ng isa sa mga pinaka-impluwensyang pampublikong paglapit: SP 800-115 ng National Institute of Standards and Technology ng Estados Unidos ng Amerika.

Pagtaya sa Gap laban sa pagsubok sa pagpasok: listahan ng VA, PT verification break

I. Boundary sa pagitan ng VA at PT: NAST Point Broken

Ang orihinal na pangungusap ng NIST ay totoong tuwiran:Sinusuri lamang ng tumatagas na scanner na maaaring may presipitasyon, samantalang ang yugto ng pagsusuri na hindi tinatablan ng hangin ay aktuwal na ginagamit upang tiyakin ang pag - iral nito.Hindi ko alam. Ito ang mahalagang paghahati ng paggawa sa pagitan ng dalawa:

  • Gap Assessment (VA): Pagtukoy sa mga host, serbisyo, aplikasyon, output ng “how maraming butas, kung gaano kagrabe ang mga listahan ng ” sa isang loophole (e.g. NVD). Ang antas ng awtomasyon at pagsaklaw ay mataas, subalit ang ulat ay maling iniulat at ang kalakhang bahagi ay hindi sumagot sa “uhoww farang mga butas na ito ay maaaring pumunta sa kombinatorikangi.
  • Infiltration test (PT): Pagsabog ng isang tunay na sumasalakay, paglulunsad ng isang tunay na pagsalakay sa isang napiling target. Idiniriin lalo na ng NIST na ang karamihan ng mga pagsubok sa pagpasok ay sulit na matuklasan.Pangkat ng mga puwang sa indibiduwal o maraming sistema— mas madaling pasukin kaysa sa alinmang butas.

Isang pangungusap:Ang VA ay isang medikal na check-up, ang PT ay isang real-person na ehersisyo.Hindi ko alam. Ang parehong mga uri ng pagkakamit ay madalas na naka-impake sa kasunod na eksena, ngunit dapat maging malinaw sa panahon ng resibo at pagsisiyasat: talaga bang ginamit ang awdisyon? O basta ba ibinigay ni Nessus ang mga anyo ng pagluluwas?

II. NIST IV METHOLOHIYA

NIST SP 800-115 Apat na Phase ng Infiction Test: Plan, Discovery, Attack, Nag-uulat

SP 800-115 Seksiyon 5.2.1 na naghahati sa mga pagsubok ng pagpasok sa apat na yugto (Figure 5-1):

  • Pagpaplano ng SchemeKilalanin ang mga tuntunin, kumuha ng pahintulot at isulat ang pangasiwaan, nagtatakda ng mga target sa pagsubok. ANG NIST:Walang aktuwal na mga pagsubok sa yugtong ito.Subalit ito ang pundasyon ng buong pagsubok.
  • Natuklasan: Pagtitipon ng impormasyon at pagsusuri ng agwat. Port and service identification, DNS/WHOIS query, Banner holk, NetBIOS enclator (internal test lamang); saka ihambing ang nilinis sa loophole. Mabagal lamang para sa isang lalaki na mahuli ang isang bagong glitch mula sa scanner.
  • Pagsalakay: Ang pinaka - buod ng pagsubok. Ang mga potensiyal na puwang na natukoy ay ginagamit sa isang case-by-case na batayan; ang tagumpay ay pinatutunayan na may malinaw na tugon sa mga hakbang na migrasyon; kapag ang kapangyarihan ay ginagamit, ang tunay na antas ng panganib ng network ay patuloy na analyssed; at ang isang partikular na loophole ay hindi gumagalaw. Sa pagitan ng pagsalakay at ng pagtuklas,Pag - iyak Dahil sa Pagpapakain— Kapag nakuha na ang bagong stand, ito ay titipunin, muling lilitisin, multiple system rolling tests.
  • Nag - uulat: Hindi ang huli, kundi ang huli.Magpokus sa tatlong iba pang yugtoAng rekord ng pagsusuri sa hangganan.

Ipinaaalaala rin ng NIST na ito ay isa lamang “ “ “ “ “ ” , , , (kabilang ang mga pamantayan ng OWASP WSTG at PTS) ay maaaring itugma sa kalansay na ito: ang OWASP Web Safety Test ay isang Web application test ng de facto public manual, at ang PTES ay nagsulat ng anim-part community standard para sa pre-interaction/intelligence collection/threat modelling/use/re-use/reing/report.

III. Overt o Pabalat: Pagpasa sa mga tuntunin ng laro

Hinahati ng NIST ang mga pagsubok sa kaligtasan sa dalawang kategorya ayon sa antas ng kaalaman:Sobrang pagsubokNa nagsasagawa ng kaalaman at pagsangayon ng koponang IT, na may layuning makasumpong ng isang butas hangga't maaari;Pabalat (black hat) pagsubok sa komprontasyonAng depensa ay hindi ipinaaalam, at ang tunay na organisasyong may komprontasyon ay sinusuri dahil sa pinsalang nagagawa nito, at ang pagtugon ay sinusubok. Ang dalawang layunin ay lubhang magkaiba at hindi gumagamit ng isang scanning report upang angkinin ang dalawang epekto. Anuman ang kalagayan,Mga alituntunin ng pakikipagtipan muna.: lawak, yugto ng panahon, ipinagbabawal na mga aksiyon (e.g.D. doS, delete production data), paghinto sa mga kalagayan, emergency contact, lahat ng nakasulat - NIST Appendix B nang tuwiran sa ROE template. Ang mga infiltration test ay likas na kinasasangkutan ng mga tunay na sistema at tunay na datos, na walang ROE na "infiltition tests" na umaabot sa isang hindi kwalipikasyong pagpatay.

VAPT: Mga tuntunin ng pakikipagtipan, pagpili ng eksena, kombinasyon ng panganib, ulat ng paglapag

ISINULAT NI IV. ANG TATLONG NTJOYMENT SA A AT B

A-A-A-A-R.1) kailangan ang mga ulat upang makilala ang pagkakaiba sa pagitan ng “scan Discovery ”ić at “validated na paggamit ng ”, na tanging isa na karapat-dapat sa mga high-risk hinuha; 2) na nakatuon sa mga pinagsamang landas at mga huling landing points (domain control? Database?) Sa halip ng CVSS average score; 3) suriin ang saklaw ng pagsusulit kasama ang ROE upang takpan ang mga pag-aari ng ulap at API.

Trabaho B(1) Ang Plan stage ay hindi gumagawa ng anumang bagay nang walang pagkuha ng nakasulat na pagsang-ayon, ang NIST ay sumusulat ng pangungusap na ito sa seksiyon I ng methodolohiya; (2) ang ulat ay sabay-sabay, na ang cut-off, time-line, at ang mga hakbang sa pagbawi ay pinananatiling on-site, at ang kasunod na pagtatala ay isang maramihang sakuna; at (3) ang tatlong pangunahing kategorya na pinangalanan ng CVE-NIST ay mali lamang ang pag-configuration (lalo na ang hindi ligtas na default na mga halaga), panloob na mga depektong nukleyar, mga defeclusion zone cast, at karamihan sa mga linya ng aktuwal na depensa ay sa mga unang proyekto.

Pinagmulan: NIST SP 800-115 (2008-09), csrc.nista.gov/pubs/sp/800/115/final, PDF Sections 2.4.2, 4.3, 5.2.1 at Appendix B/F; cross-certificate: owasp.org WSTG project page, Pentest-stard.org. Ang mga pagpapakahulugan at paggigiit sa teksto ay natutukoy sa katumbas na seksiyon ng orihinal na teksto.