Cosa fa esattamente VAPT? NIST SP 800-115 Boundary per la valutazione della riduzione del gap e il test di penetrazione

Il VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infilation Test) è quasi il più usato e facilmente confuso insieme di abbreviazioni. L'elenco di acquisto conteneva "servizi VAP una volta" e poteva essere consegnato sia da un gruppo di rapporti di scansione o da un vero reset di percorsi di intrusione - la differenza tra i prezzi e il valore. Questo documento descrive i confini alla luce di uno dei più autorevoli approcci pubblici: SP 800-115 del National Institute of Standards and Technology degli Stati Uniti d'America.

Valutazione Gap contro test di penetrazione: lista VA, violazione di verifica PT

I. Boundary tra VA e PT: NIST Point Broken

La dichiarazione originale di NIST è molto diretta:Lo scanner di perdite verifica solo che ci può essere una scappatoia, mentre la fase di attacco del test di penetrazione viene effettivamente utilizzata per confermare la sua esistenza.Non lo so. Questa è la divisione essenziale del lavoro tra i due:

Valutazione Gap (VA): identificazione batch di host, servizi, applicazioni, uscita di “quanti buchi, quanto gravi” liste sono confrontate a una scappatoia (ad esempio NVD). Il grado di automazione e copertura era alto, ma il rapporto è stato erroneo e in gran parte non ha risposto “quanto questi fori possono andare in combinazione”.
Test di infiltrazione (PT): Simulazione di un vero attaccante, lanciando un vero attacco su un bersaglio selezionato. NIST sottolinea in particolare che la maggior parte dei test di penetrazione vale la pena di scoprire.Gruppo di lacune nei sistemi individuali o multipli— maggiore accesso di ogni singola scappatoia.

Una frase:VA è un controllo medico, PT è un esercizio di persona reale.Non lo so. Entrambi i tipi di appalti sono spesso confezionati nella scena di conformità, ma deve essere chiaro al momento della ricezione e dell'ispezione: è stata effettivamente utilizzata la validazione? O Nessus ha appena consegnato i moduli di esportazione?

II. METODOLOGIA NIST IV

NIST SP 800-115 Quattro fasi di test di infiltrazione: Piano, Discovery, Attacco, Reporting

SP 800-115 Sezione 5.2.1 divide i test di infiltrazione in quattro fasi (Figura 5-1):

Schema di pianificazioneRegole di identificazione, ottenere l'approvazione della gestione e la scrittura, fissare obiettivi di prova. NIST specifica:Nessun test effettivo in questa fase.Ma e' la base dell'intero test.
Scoperto trovato: Raccolta delle informazioni e analisi del divario. Identificazione porta e servizio, query DNS/WHOIS, Banner grab, NetBIOS enumerator (solo test interni); quindi confrontare ciò che è stato pulito alla scappatoia. È solo lento per un uomo prendere un nuovo glitch dallo scanner.
Attacco attacco: Il nucleo della prova. Le potenziali lacune che sono state identificate vengono utilizzate caso per caso; il successo viene verificato con una chiara risposta alle misure di mitigazione; quando si utilizza il potere, il reale livello di rischio della rete continua ad essere analizzato; e una particolare scappatoia non si muove. Tra l'attacco e la scoperta,Anello di feedback— Una volta che il nuovo piede è stato fissato, sarà raccolto, ricollegato, più test di rotolamento del sistema.
Relazione: Non l'ultimo, ma l'ultimo.Sincronizza con le altre tre fasiIl registro di controllo del confine.

NIST ricorda anche che questa è solo una “divisione accessibile”, ma i processi mainstream del settore (tra cui gli standard OWASP WSTG e PTS) possono essere abbinati a questo scheletro: l’OWASP Web Safety Test Guide è un test di applicazione Web del manuale pubblico de facto, e PTES ha scritto lo standard comunitario di sei parti per la raccolta pre-interazione/intelligence/threat modelling/use/after-use/reporting.

III. Overt o Covert: Prefissare le regole del gioco

NIST divide i test di sicurezza in due categorie secondo il livello di conoscenza:Prova di sovrapposizioneCondotto con la conoscenza e il consenso del team IT, con l'obiettivo di trovare il più completo possibile un buco;Test di confronto coperto (copertina nera)La difesa non è notificata, e la vera organizzazione di confronto viene esaminata per i danni che può causare, e la risposta è testata. I due obiettivi sono completamente diversi e non utilizzano un rapporto di scansione per rivendicare entrambi gli effetti. In ogni caso,Prima le regole di fidanzamento.: portata, periodo di tempo, azioni proibite (ad esempio DoS, eliminare i dati di produzione), condizioni di cessazione, contatto di emergenza, tutti scritti - NIST Appendix B direttamente al modello ROE. I test di infiltrazione comportano naturalmente sistemi reali e dati reali, senza test di infiltrazione ROE che ammontano a un omicidio non autorizzato.

VAPT: Regole di impegno, selezione della scena, combinazione di rischio, relazione di atterraggio

IV. Tre emendamenti ad una e b

A-A-A-A-R.1) i rapporti sono tenuti a distinguere tra “scan scoperta” e “validated use”, che è l’unico degno di conclusioni ad alto rischio; 2) concentrarsi su percorsi combinati e punti di atterraggio finali (controllo principale? Database?) invece del punteggio medio CVSS; 3) controllare la portata del test con ROE per coprire le attività cloud e API.

Posizione professionale B(1) La fase di Piano non fa nulla senza ottenere l'approvazione scritta, NIST scrive questa frase nella sezione I della metodologia; (2) il rapporto è sincronizzato, con le fasi di cut-off, time-line, e di recupero in corso, e la successiva registrazione è un disastro di massa; e (3) le tre categorie principali denominate da CVE-NIST sono solo la cattiva configurazione (soprattutto i valori di default non sicuri), i difetti nucleari interni, le linee di difesa buffer zone.

Fonte: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/finale, PDF Sections 2.4.2, 4.3, 5.2.1 e Appendice B/F; cross-certificate: owasp.org WSTG project page, Pentest-standard.org. Le definizioni e le affermazioni del testo sono identificate nella sezione corrispondente del testo originale.