VAPT는 정확히 무엇을합니까? NIST SP 800-115 갭 감소 평가 및 침투 테스트를위한 경계

VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test)는 거의 가장 많이 사용되고 쉽게 약어 세트를 주입합니다. 구매 목록은 “VAPT 서비스 한 번” 포함 하 고 스캔 보고서의 무리 또는 침입 경로의 실제 리셋에 의해 전달 될 수 있었다 - 가격과 가치의 차이. 이 서류는 가장 권위있는 공공 접근법 중 하나 인 SP 800-115의 미국 표준 및 기술에 대한 경계를 설명합니다.

Gap 평가 versus 침투 테스트 : VA 목록, PT 검증 breach

I. VA와 PT 사이의 경계 : NIST Point Broken

NIST의 원래 문은 매우 직접적입니다 :누출 스캐너는 루프 홀이있을뿐만 아니라, 침투 테스트 공격 단계는 실제로 존재를 확인하는 데 사용됩니다.나는 모른다. 이것은 2 사이 노동의 근본적인 부분입니다:

Gap 평가 (VA): 호스트, 서비스, 응용 프로그램, "많은 구멍의 출력, 얼마나 심각한"리스트는 루프홀 (예 : NVD)과 비교됩니다. 자동화 및 적용의 정도는 높지만, 보고서는 잘못되고 크게 "이 구멍이 조합에서 갈 수있는 방법"에 응답하지 않았습니다.
침투 시험 (PT): 실제 공격자의 시뮬레이션, 선택한 대상에서 실제 공격을 시작합니다. NIST 스트레스는 특히 대부분의 침투 시험은 알아내는 가치가 있습니다.개별 또는 다중 시스템의 간격 그룹— 어떤 단일 루프홀보다 큰 액세스.

하나의 문장:VA는 의료 검사, PT는 실제 운동입니다.나는 모른다. 조달의 두 가지 유형은 종종 준수 장면에 포장되지만 영수증 및 검사시기에 명확해야합니다. 유효성 검사가 실제로 사용되었습니까? 또는 Nessus는 수출 형태에 단지 손으로 했습니까?

II. NIST IV 계산기

NIST SP 800-115 침투 시험의 4 단계: 계획, 발견, 공격, 보고

SP 800-115 단면도 5.2.1는 4개의 단계로 침투 시험을 분할합니다 (그림 5-1):

계획 계획 계획식별 규칙, 관리 승인 및 쓰기, 설정 테스트 대상. NIST 지정:이 단계에서 실제 테스트 없음.그러나 전체 시험의 기초입니다.
발견 발견: 정보 수집 및 간격 분석. 포트 및 서비스 식별, DNS / WHOIS 쿼리, 배너 횡령, NetBIOS enumerator (내부 테스트 만); 그런 다음 반복에 정리 된 것을 비교합니다. 스캐너에서 새로운 글리트를 잡는 사람이 느립니다.
공격 공격: 시험의 핵심. 확인된 잠재적인 간격은 케이스에 의하여 케이스 기초에 사용됩니다; 성공은 완화 측정에 명확한 응답으로 확인됩니다; 힘이 사용될 때, 네트워크의 진짜 위험 수준은 분석될 것입니다; 그리고 특정한 반복은 움직이지 않습니다. 공격과 발견 사이에,피드백 링— 새로운 발판이 확보되면, 수집, 재시험, 여러 시스템 롤링 테스트가 될 것입니다.
공지사항: 마지막으로, 그러나 마지막.다른 3 단계와 동기화국경 검사 기록.

NIST는 또한이 단지 “사용 가능한 부”, 그러나 산업 주류 과정 (OWASP WSTG 및 PTS 기준을 포함하여) 이 골격에 일치할 수 있다는 것을 상기시킵니다: OWASP 웹 안전 시험 가이드는 de facto 공공 설명서의 웹 신청 시험이고, PTES는 pre-interaction/intelligence 수집/threat modelling/use/after-use/reporting를 위한 6 부분 지역 사회 기준을 기록했습니다.

III. Overt 또는 Covert : 게임의 규칙을 수정

NIST는 지식 수준에 따라 두 가지 범주로 안전 테스트를 나눕니다.Overt 시험IT 팀의 지식과 동의를 수행, 가능한 한 전체 홀을 찾는 것을 목표로;Covert (검정 모자) confrontation 시험방위는 통보되지 않으며, 실제적인 응대 조직은 손상을 위해 그것을 일으키는 원인이 되고, 응답은 시험됩니다. 두 가지 목적은 완전히 다르며 두 가지 효과를 주장하는 스캔 보고서를 사용하지 않습니다. 어떤 경우,첫 번째 참여 규칙.: 범위, 시간 기간, 금지 작업 (예 : DoS, 삭제 생산 데이터), 중단 조건, 긴급 연락처, 모든 서면 - NIST Appendix B는 ROE 템플릿에 직접. Infiltration tests natural involve real system and real data, 없이 ROE "Infiltration tests" unlicensed homicide.

IV. THREE는 A와 B에 즐깁니다

사이트맵1) 보고서는 “scan discovery”와 “validated use”를 구별해야 하며, 이는 고위험 결론의 유일한 것일 뿐입니다. 2) 조합 경로와 최종 착륙점에 초점을 맞추고 있습니다. (도메인 제어? 데이터베이스?) CVSS 평균 점수 대신; 3) 클라우드 자산과 API를 커버하는 ROE와 테스트의 범위를 확인합니다.

직업적인 위치 B(1) 계획 단계는 서면 승인 없이 아무것도하지 않습니다, NIST는 방법론의 단면도 I에 있는 이 문장을 쓰지 않습니다; (2) 보고는 커트오프, 시간 선 및 회복 단계로 동기화되고, 그 후에 기록은 대량 재해입니다; 그리고 (3) CVE-NIST에 의해 지명된 3개의 주요 종류는 단지 misconfiguration (특히 안전한 과태 값), 내부 핵 결점, 완충기 지역 유출 및 선의 대부분입니다.

출처: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF 섹션 2.4.2, 4.3, 5.2.1 및 Appendix B/F; 크로스-certificate: owasp.org WSTG 프로젝트 페이지, Pentest-standard.org. 텍스트의 정의와 주장은 원본 텍스트의 해당 섹션에서 식별됩니다.