Que fait exactement VAPT? NIST SP 800-115 Limite pour l ' évaluation de la réduction des écarts et les essais de pénétration

Le VAPT (Vulnérabilité Assessment and Implementation Test, Gap Assessment and Infiltration Test) est presque l'ensemble d'abréviations le plus utilisé et facilement confus. La liste d'achat contenait des services de VAPT une fois et aurait pu être livré soit par un tas de rapports de numérisation ou par une remise en état réelle des itinéraires d'intrusion - la différence entre les prix et la valeur. Le présent document décrit les frontières à la lumière de l'une des approches publiques les plus autorisées : la disposition spéciale 800-115 du National Institute of Standards and Technology des États-Unis d'Amérique.

I. Limite entre l ' AV et le PT: NIST Point cassé

La déclaration originale du NIST est très directe :Le scanner ne vérifie qu'une échappatoire, alors que la phase de test de pénétration est utilisée pour confirmer son existence.Je ne sais pas. C'est la division essentielle du travail entre les deux :

• Évaluation des lacunes (VA): Identification par lots d'hôtes, de services, d'applications, sortie de combien de trous, combien de listes sérieuses sont comparées à une faille (par exemple NVD). Le degré d'automatisation et de couverture était élevé, mais le rapport a été mal rapporté et n'a en grande partie pas répondu à la question de savoir jusqu'où ces trous peuvent aller en combinaison.
• Essai d'infiltration (PT): Simulation d'un vrai attaquant, lancer une véritable attaque sur une cible sélectionnée. Le NIST souligne en particulier que la plupart des tests de pénétration méritent d'être découverts.Groupe de lacunes dans les systèmes individuels ou multiples— un accès plus large que toute échappatoire.

Une phrase:VA est un examen médical, PT est un exercice réel.Je ne sais pas. Les deux types d'approvisionnement sont souvent emballés sur les lieux de conformité, mais il doit être clair au moment de la réception et de l'inspection : la validation a-t-elle effectivement été utilisée? Ou bien Nesus vient-il de remettre les formulaires d'exportation ?

II. MÉTHODOLOGIE NIST IV

DS 800-115 La section 5.2.1 divise les essais d'infiltration en quatre étapes (figure 5-1) :

• Programme de planificationRègles d'identification, obtention de l'approbation de la direction et écriture, fixation d'objectifs d'essai. NIST spécifie:Aucun test réel à ce stade.Mais c'est le fondement de tout le test.
• Découverte trouvée: Collecte d'informations et analyse des lacunes. Identification du port et du service, requête DNS/WHOIS, prise de bannière, recenseur NetBIOS (essai interne seulement); puis comparer ce qui a été nettoyé à la faille. C'est lent pour un homme d'attraper un nouveau problème du scanner.
• Attaque: Le cœur du test. Les lacunes potentielles qui ont été identifiées sont utilisées au cas par cas; le succès est vérifié avec une réponse claire aux mesures d'atténuation; lorsque l'énergie est utilisée, le niveau de risque réel du réseau continue d'être analysé; et une faille particulière ne bouge pas. Entre l'attaque et la découverte,Anneau de rétroaction— Une fois que le nouveau pied a été fixé, il sera collecté, testé, plusieurs essais de roulement de système.
• Rapport: Pas le dernier, mais le dernier.Synchroniser avec les trois autres phasesLe casier judiciaire.

Le NIST rappelle également qu'il ne s'agit là que d'une division acceptable, mais que les processus traditionnels de l'industrie (y compris les normes OWASP WSTG et PTS) peuvent être adaptés à ce squelette : le Web Safety Test Guide de l'OWASP est un test d'application Web du manuel public de facto, et le PTES a rédigé la norme communautaire en six parties pour la pré-interaction/collecte d'intelligence/modèle de menace/utilisation/après utilisation/déclaration.

III. Overt ou Covert: Préfixer les règles du jeu

Le NIST divise les essais de sécurité en deux catégories selon le niveau de connaissance:Essai ouvertMené avec la connaissance et le consentement de l'équipe informatique, dans le but de trouver le plus grand trou possible;Essai de confrontation avec la couverture (chapeau noir)La défense n'est pas informée, et l'organisation de confrontation réelle est examinée pour les dommages qu'elle peut causer, et la réponse est testée. Les deux objectifs sont complètement différents et n'utilisent pas un rapport de numérisation pour revendiquer les deux effets. En tout cas,Règles d'engagement d'abord.: portée, période, mesures interdites (par exemple DoS, suppression des données de production), conditions d'arrêt, contact d'urgence, tous écrits - NIST Annexe B directement au modèle ROE. Les tests d'infiltration impliquent naturellement des systèmes réels et des données réelles, sans "tests d'infiltration" ROE correspondant à un homicide non autorisé.

IV. TROIS JOUISSANCES À A ET B

A-A-A-R.1) des rapports sont nécessaires pour faire la distinction entre la découverte du scan et l'utilisation validée du scan, qui est la seule digne de conclusions à haut risque; 2) se concentrer sur les chemins combinés et les points d'atterrissage finals (contrôle du domaine? Base de données?) au lieu du score moyen du CVSS; 3) vérifier la portée du test avec le ROE pour couvrir les actifs du cloud et l'API.

Fonction professionnelle B(1) L'étape du plan ne fait rien sans avoir obtenu l'approbation écrite, le NIST écrit cette phrase à la section I de la méthodologie; (2) le rapport est synchronisé, les étapes de coupure, de chronologie et de récupération étant maintenues sur place, et l'enregistrement subséquent est une catastrophe de masse; (3) les trois principales catégories nommées par CVE-NIST ne sont que des erreurs de configuration (surtout des valeurs par défaut dangereuses), des défauts nucléaires internes, des déversements de zones tampons et la plupart des lignes de défense dans les projets réels sont les premières.

Source : NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Sections 2.4.2, 4.3, 5.2.1 et Annexe B/F; contre-certificat : page du projet owasp.org WSTG, Pentest-standard.org. Les définitions et assertions du texte sont indiquées dans la section correspondante du texte original.