Indonesia

← Kembali ke daftar

Apa sebenarnya yang VAPT lakukan? NIST SP 800- 115 Batas untuk penilaian pengurangan kesenjangan dan pengujian penetrasi

itadol5j

VAPT (Tes Penerapan dan Pengimpangan (Pengujian Improvisasi Gap dan Tes Penyimpangan) hampir yang paling sering digunakan dan mudah membingungkan set singkatan. Daftar pembelian berisi "layanan VAPT sekali" dan bisa telah disampaikan baik oleh sekelompok laporan pemindaian atau oleh reset nyata dari gangguan rute - perbedaan antara harga dan nilai. Kertas ini menggambarkan batasan-batasan dari salah satu pendekatan publik yang paling otoriter: SP 800- 115 dari Institut Nasional Standards dan Teknologi Amerika Serikat.

Penilaian gap melawan tes penetrasi: daftar VA, pelanggaran verifikasi PT

I. Batas antara VA dan PT: NIST Point Broken

Pernyataan asli NIST sangat langsung:Pemindai kebocoran hanya memeriksa bahwa mungkin ada celah, sementara fase serangan penetrasi sebenarnya digunakan untuk mengkonfirmasi keberadaannya.Aku tidak tahu. Ini adalah pembagian penting tenaga kerja antara dua:

  • Rangkaian Gap (VA): Identifikasi batch dari host, layanan, aplikasi, keluaran dari "berapa banyak lubang, seberapa serius" daftar dibandingkan dengan sebuah celah (misalnya NVD). Tingkat otomatisasi dan cakupan tinggi, tapi laporan salah dilaporkan dan sebagian besar tidak menjawab "seberapa jauh lubang-lubang ini dapat pergi dalam kombinasi".
  • Tes penyaringan (PT)Simulasi penyerang nyata, meluncurkan serangan nyata pada target yang dipilih. NIST menekankan khususnya bahwa kebanyakan tes penetrasi layak untuk dicari tahu.Grup kesenjangan dalam sistem individual atau multiple- Lebih besar akses daripada celah tunggal.

Satu kalimat:VA adalah pemeriksaan medis, PT adalah latihan orang sungguhan.Aku tidak tahu. Kedua jenis pengadaan sering dikemas dalam adegan keterlibatan, tetapi harus jelas pada saat penerimaan dan pemeriksaan: apakah validasi benar-benar telah digunakan? Atau Nessus hanya menyerahkan formulir ekspor?

NIST IV METHOLOGY

NIST SP 800- 115 Empat Phases of Infiltrasi Test:

SP 800- 115 Bagian 5.2.1 tes infiltrasi menjadi empat tahap (Gambar 5-1):

  • Skema PerencanaanAturan identifikasi, mendapatkan persetujuan manajemen dan menulis, menetapkan target tes. NIST menspesifikasikan:Tidak ada tes aktual pada tahap ini.Tapi itu adalah dasar dari seluruh tes.
  • Penemuan ditemukan: Mengumpulkan informasi dan analisis jarak. Identifikasi port dan layanan, permintaan DNS / WHOIS, perampasan Banner, pengenumerator NetBIOS (hanya pengujian internal), lalu bandingkan apa yang telah dibersihkan ke celah tersebut. Ini hanya lambat bagi seorang pria untuk menangkap gangguan baru dari scanner.
  • Serangan serang!Inti dari tes. Jarak potensial yang telah diidentifikasi sedang digunakan pada kasus-oleh; keberhasilan sedang diverifikasi dengan respon yang jelas terhadap langkah mitigasi; ketika daya sedang digunakan, tingkat risiko nyata jaringan terus dianalisis, dan celah tertentu tidak bergerak. Antara serangan dan penemuan,Cincin Feedback- Setelah pijakan baru telah diamankan, itu akan dikumpulkan, diuji ulang, beberapa sistem rolling tes.
  • Laporan laporanBukan yang terakhir, tapi yang terakhir.Selaraskan dengan tiga fase lainnyaCatatan pemeriksaan perbatasan.

NICST juga mengingatkan bahwa ini hanya "diterima divisi", tetapi proses arus utama industri (termasuk OWASP WSTG dan PTS standar) dapat dicocokkan dengan kerangka ini: OWASP Web Safety Guide adalah tes aplikasi dari manual publik de facto, dan PTES telah menuliskan standar komunitas enam bagian untuk pre- interaksi / intelijen koleksi / ancaman pemodell / use / afterf-use.

III. Membatasi atau Menutupi: Memperbaikan aturan permainan

NIST membagi tes keselamatan menjadi dua kategori menurut tingkat pengetahuan:Uji terbalikDipenuhi dengan pengetahuan dan persetujuan tim IT, dengan tujuan menemukan lubang penuh mungkin;Tes konfrontasi terselubung (topi hitam)Pertahanan tidak diberitahu, dan organisasi konfrontasi nyata diperiksa untuk kerusakan yang dapat disebabkan, dan respon diuji. Kedua tujuan benar-benar berbeda dan tidak menggunakan laporan pemindaian untuk mengklaim kedua efek. Dalam hal apapun,Aturan pertunangan pertama.: scope, periode waktu, aksi dilarang (mis. DoS, hapus data produksi), kondisi penghentian, kontak darurat, semua tertulis - NIST Lampiran B langsung ke template ROE. Tes penyaringan secara alami melibatkan sistem dan data nyata, tanpa ROE "tes infiltrasi" tingkat pembunuhan tanpa izin.

VAPT: Aturan keterlibatan, pilihan adegan, kombinasi risiko, laporan pendaratan

IV. 3 ENJOYMENTS KE A DAN B

A-A-A-A-R.1) perlu laporan untuk membedakan antara "penemuan pemindaian" dan "penggunaan validasi", yang merupakan satu-satunya yang layak untuk kesimpulan risiko tinggi; 2) fokus pada kombinasi jalan dan titik pendaratan akhir (kendali domain? Basis data?) sebagai ganti skor rata-rata CVSS; 3) periksa lingkup tes dengan ROE untuk menutupi aset awan dan API.

Posisi profesional B(1) Tahap Rencana tidak melakukan apa-apa tanpa memperoleh persetujuan tertulis, NICST menulis kalimat ini dalam bagian I dari metodologi; (2) laporan tersebut disinkronkan, dengan pemotongan-off, waktu-baris, dan langkah-langkah pemulihan yang disimpan di situs-situs, dan rekaman selanjutnya adalah sebuah bencana massal, dan (3) tiga kategori utama yang dinamai oleh CVE- NIST hanya salah konfigurasi (nilai baku yang tidak aman), defektor nuklir internal, zona mata-mata, dan sebagian besar dari baris pertama.

Sumber: NICST SP 800- 115 (2008-09), csrc.niggov / pubs / sp / 800 / 115 / final, PDF Section 2.4.2, 4.2.1, B / F dan Appendix; crossp.certificate: owasp.org halaman proyek WSTG, Pentest.org.. Definisi dan pernyataan dalam teks diidentifikasi dalam bagian yang sesuai dari teks asli.