हिन्दी

← सूची पर वापस जाएँ

वास्तव में वीएपीटी क्या करता है? एनआईएसटी एसपी 800-115 अंतर कटौती मूल्यांकन और प्रवेश परीक्षण के लिए सीमा

itadol5j

वीएपीटी (Vulnerability आकलन और कार्यान्वयन टेस्ट, गैप आकलन और घुसपैठ टेस्ट) लगभग सबसे अधिक इस्तेमाल किया और आसानी से abbreviation के सेट भ्रमित है। खरीद सूची में "VAPT सेवाओं को एक बार" शामिल किया गया था और इसे या तो स्कैनिंग रिपोर्ट के एक गुच्छा द्वारा या घुसपैठ मार्गों के वास्तविक रीसेट द्वारा वितरित किया जा सकता है - कीमतों और मूल्य के बीच का अंतर। यह पेपर सबसे अधिक आधिकारिक सार्वजनिक दृष्टिकोणों में से एक के प्रकाश में सीमाओं का वर्णन करता है: संयुक्त राज्य अमेरिका के नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी का SP 800-115।

गैप आकलन बनाम प्रवेश परीक्षण: वीए सूची, पीटी सत्यापन उल्लंघन

वीए और पीटी के बीच मैं सीमा: एनआईएसटी प्वाइंट टूट गया

NIST का मूल विवरण बहुत सीधा है:लीक स्कैनर केवल यह जांचता है कि एक लूपहोल हो सकता है, जबकि प्रवेश परीक्षण आक्रमण चरण वास्तव में अपने अस्तित्व की पुष्टि करने के लिए प्रयोग किया जाता है।मैं नहीं जानता हूँ। यह दोनों के बीच श्रम का अनिवार्य विभाजन है:

  • गैप आकलन (VA): मेजबानों, सेवाओं, अनुप्रयोगों, "कैसे कई छेद, कैसे गंभीर" सूचियों का उत्पादन एक लूपहोल (जैसे NVD) की तुलना में है। स्वचालन और कवरेज की डिग्री अधिक थी, लेकिन रिपोर्ट गलत रिपोर्टिंग की गई थी और बड़े पैमाने पर जवाब नहीं दिया क्योंकि ये छेद संयोजन में जा सकते हैं।
  • घुसपैठ परीक्षण (पीटी): एक वास्तविक हमलावर का अनुकरण, एक चयनित लक्ष्य पर एक वास्तविक हमले की शुरूआत। NIST विशेष रूप से जोर देता है कि अधिकांश प्रवेश परीक्षण के लायक हैं।व्यक्तिगत या एकाधिक प्रणालियों में अंतराल का समूह- किसी भी एकल लूपहोल की तुलना में अधिक पहुंच।

एक वाक्य:वीए एक मेडिकल चेक-अप है, पीटी एक वास्तविक व्यक्ति व्यायाम है।मैं नहीं जानता हूँ। दोनों प्रकार की खरीद अक्सर अनुपालन दृश्य में पैक की जाती है, लेकिन यह रसीद और निरीक्षण के समय स्पष्ट होना चाहिए: क्या वास्तव में सत्यापन किया गया है? या नेसस ने सिर्फ निर्यात रूपों पर हाथ डाला?

II. NIST IV METHODOLOGY

एनआईएसटी एसपी 800-115 घुसपैठ टेस्ट के चार चरण: योजना, खोज, हमला, रिपोर्टिंग

एसपी 800-115 अनुभाग 5.2.1 चार चरणों में घुसपैठ परीक्षणों को विभाजित करता है (चित्र 5-1):

  • योजनापहचान नियम, प्रबंधन अनुमोदन प्राप्त करना और लिखना, परीक्षण लक्ष्य निर्धारित करना। NIST निर्दिष्ट करता है:इस चरण में वास्तविक परीक्षण नहीं है।लेकिन यह पूरे परीक्षण की नींव है।
  • डिस्कवरी पाया: सूचना एकत्रीकरण और अंतर विश्लेषण। पोर्ट और सर्विस आइडेंटिफिकेशन, DNS/WHOIS क्वेरी, बैनर हड़प, NetBIOS एन्यूमेरेटर (केवल आंतरिक परीक्षण); फिर तुलना करें कि क्या लूपहोल को साफ किया गया है। यह एक आदमी के लिए स्कैनर से एक नई चमक को पकड़ने के लिए एकमात्र धीमा है।
  • हमला हमला: परीक्षण का मूल। संभावित अंतराल जिसे पहचाना गया है, का उपयोग केस-दर-केस आधार पर किया जा रहा है; शमन उपायों के स्पष्ट जवाब के साथ सफलता की जांच की जा रही है; जब बिजली का उपयोग किया जा रहा है, तो नेटवर्क का वास्तविक जोखिम स्तर का विश्लेषण जारी रहता है; और एक विशेष लूपहोल आगे नहीं बढ़ रहा है। हमले और खोज के बीच,फीडबैक रिंगएक बार जब नया फुटहोल्ड सुरक्षित हो गया है, तो इसे एकत्र किया जाएगा, पुनः परीक्षण किया जाएगा, एकाधिक सिस्टम रोलिंग परीक्षण।
  • रिपोर्टआखिरी नहीं, बल्कि आखिरी।अन्य तीन चरणों के साथ सिंक्रनाइज़ करेंसीमा जाँच रिकॉर्ड।

NIST यह भी याद दिलाता है कि यह केवल एक "स्वीकार्य विभाजन" है, लेकिन उद्योग की मुख्यधारा प्रक्रियाएं (OWASP WSTG और PTS मानकों सहित) को इस कंकाल से मिलान किया जा सकता है: OWASP वेब सुरक्षा टेस्ट गाइड वास्तविक सार्वजनिक मैनुअल का एक वेब अनुप्रयोग परीक्षण है, और PTES ने पूर्व-इंटरेक्शन/इंटेलिजेंस संग्रह/थ्रेट मॉडलिंग/उपयोग/बाद-उपयोग/रिपोर्टिंग के लिए छह-भाग के सामुदायिक मानक को लिखा है।

III ओवरट या कवर्ट: गेम के नियमों को निर्धारित करना

NIST ने ज्ञान के स्तर के अनुसार सुरक्षा परीक्षण को दो श्रेणियों में विभाजित किया है:ओवरट टेस्टआईटी टीम के ज्ञान और सहमति के साथ, संभव के रूप में एक छेद को पूरा करने के उद्देश्य से;Covert (black hat) टकराव परीक्षणरक्षा को अधिसूचित नहीं किया गया है और वास्तविक टकराव संगठन को इसके कारण होने वाली क्षति के लिए जांच की जाती है, और प्रतिक्रिया का परीक्षण किया जाता है। दो उद्देश्य पूरी तरह से अलग हैं और दोनों प्रभावों का दावा करने के लिए स्कैनिंग रिपोर्ट का उपयोग नहीं करते हैं। किसी भी मामले में,पहले सगाई के नियम।: गुंजाइश, समय अवधि, निषिद्ध कार्रवाई (जैसे DoS, उत्पादन डेटा को हटा दें), समाप्ति की स्थिति, आपातकालीन संपर्क, सभी लिखित - NIST परिशिष्ट B सीधे ROE टेम्पलेट में। घुसपैठ परीक्षण स्वाभाविक रूप से वास्तविक प्रणालियों और वास्तविक डेटा को शामिल करते हैं, जिसमें कोई ROE "infiltration परीक्षण" नहीं होता है, जो बिना लाइसेंस प्राप्त हो सकता है।

वीएपीटी: सगाई के नियम, दृश्य चयन, जोखिम का संयोजन, लैंडिंग रिपोर्ट

IV. THREE ENJOYMENT to A and B

A-A-A-R1) रिपोर्टों को "स्कैन खोज" और "वैलिडेटेड उपयोग" के बीच अंतर करने की आवश्यकता होती है, जो उच्च जोखिम निष्कर्षों का एकमात्र योग्य है; 2) संयोजन पथ और अंतिम लैंडिंग बिंदुओं (घरेलू नियंत्रण) पर ध्यान केंद्रित करते हैं? डेटाबेस?) बजाय CVSS औसत स्कोर; 3) क्लाउड परिसंपत्तियों और एपीआई को कवर करने के लिए ROE के साथ परीक्षण के दायरे की जांच करें।

व्यावसायिक स्थिति बी(1) योजना चरण लिखित अनुमोदन प्राप्त किए बिना कुछ नहीं करता है, NIST पद्धति की धारा I में इस वाक्य को लिखते हैं; (2) रिपोर्ट को सिंक्रनाइज़ किया जाता है, जिसमें कट-ऑफ, टाइम-लाइन और रिकवरी चरण को साइट पर रखा जाता है, और बाद में रिकॉर्डिंग एक बड़े पैमाने पर आपदा है; और (3) CVE-NIST द्वारा नामित तीन मुख्य श्रेणियां केवल गलत विन्यास (विशेष रूप से असुरक्षित डिफ़ॉल्ट मान), आंतरिक परमाणु दोष, बफर ज़ोन स्पिल और वास्तविक परियोजनाओं में रक्षा की अधिकांश लाइनें पहली हैं।

स्रोत: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF अनुभाग 2.4.2, 4.3, 5.2.1 और परिशिष्ट B/F; क्रॉस-प्रमाणित: owasp.org WSTG परियोजना पृष्ठ, Pentest-standard.org. पाठ में परिभाषाओं और दावे को मूल पाठ के संबंधित अनुभाग में पहचाना जाता है।