Apa tepatnya yang VAPT lakukan? NIST SP 800-115 Batas untuk penilaian pengurangan gap dan pengujian penetrasi

VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltrasi Test) adalah hampir yang paling banyak digunakan dan mudah bingung set singkatan. Daftar pembelian itu berisi ” layanan layanan layanan sekali ” dan bisa saja disampaikan oleh sekumpulan laporan pemindaian atau dengan pengaturan ulang rute intrusi yang sesungguhnya - perbedaan antara harga dan nilai. Makalah ini menggambarkan batas-batas dalam terang salah satu pendekatan publik paling otoritatif: SP 800-115 dari Institut Standar dan Teknologi Nasional Amerika Serikat.

Penilaian stesen stesi patisen patisen patisen patisen phants versus tes penetrasi: daftar VA, pelanggaran verifikasi PT

Batas antara VA dan PT: Titik NIST rusak

Pernyataan asli dari NIST sangat langsung:Pemindai kebocoran hanya memeriksa bahwa mungkin ada celah, sementara fase serangan uji penetrasi sebenarnya digunakan untuk mengkonfirmasi keberadaannya.Aku tidak tahu. Ini adalah pembagian penting dari tenaga kerja antara dua:

Penilaian Gap Befungsi (VA):Pengidentifikasian batch terhadap host, layanan, aplikasi, keluaran dari \"berapa banyak lubang, seberapa serius\" daftar dibandingkan dengan sebuah celah (misalnya NVD). Derajat otomasi dan cakupannya tinggi, tetapi laporan itu salah dilaporkan dan sebagian besar tidak menjawab \"sejauh mana lubang ini dapat masuk dalam kombinasi\".
Tes Infiltrasi Infiltrasi (PT)Simulasi penyerang yang sebenarnya, meluncurkan serangan nyata pada target terpilih. Stres gnosis khususnya bahwa kebanyakan tes penetrasi patut diketahui.Kelompok celah dalam sistem individu atau ganda- akses yang lebih besar daripada celah tunggal.

1 kalimat:VA adalah pemeriksaan medis, PT adalah latihan real-person.Aku tidak tahu. Kedua jenis perolehan sering kali dikemas dalam adegan kepatuhan, tetapi harus jelas pada saat penerimaan dan pemeriksaan: apakah validasi sebenarnya telah digunakan? Apa Nesus menyerahkan formulir ekspor saja?

II. NIST IV METHODOLOGI

NIST SP 800-115 Empat Tahap Tes Infiltrasi: Rencana, Penemuan, Serangan, Pelaporan

5-1:

Skema Perencanaan BerencanaAturan Identifikasi, memperoleh persetujuan manajemen dan menulis, menetapkan target uji. Kata NIST:Tidak ada tes nyata pada tahap ini.Tapi itu adalah dasar dari seluruh tes.
Penemuan Discovery ditemukanInformasi pengumpulan dan analisis kesenjangan. Pengidentifikasian port dan layanan, pertanyaan DNS/WHOIS, Banner Grab, enumerator NetBIOS (pengujian internal saja); kemudian membandingkan apa yang telah dibersihkan ke celah. Hal ini hanya lambat bagi seorang pria untuk menangkap gangguan baru dari scanner.
Serangan penyerangInti dari tes. Kesenjangan potensial yang telah diidentifikasi digunakan atas dasar kasus-kasus; keberhasilan sedang diverifikasi dengan respon yang jelas terhadap langkah-langkah mitigasi; ketika kekuasaan sedang digunakan, tingkat risiko nyata jaringan terus dianalisis; dan celah tertentu tidak bergerak. Antara serangan dan penemuan,Cincin Suapan SuapanSetelah pijakan baru telah diamankan, ia akan dikumpulkan, diuji ulang, tes rolling sistem berganda.
Laporan pelaporanBukan yang terakhir, tapi yang terakhir.Segerak dengan tiga fase lainnyaCatatan pemeriksaan perbatasan.

NIST ini juga mengingatkan bahwa ini hanya \"pembagian yang dapat diterima\", tetapi proses arus utama industri (termasuk OWASP WSTG dan standar PTS) dapat dicocokkan dengan kerangka ini: Panduan Uji Keselamatan Web OWASP adalah uji aplikasi Web manual publik de facto, dan PTES telah menuliskan standar komunitas enam bagian untuk pra-interaksi/intelligence collect/threat modelling/use/after-use/reporting.

/ III. Covert atau Covert: Memulai aturan permainan

rabiosis NIST membagi tes keselamatan menjadi dua kategori menurut tingkat pengetahuan:Tes overtDiakui dengan pengetahuan dan persetujuan tim IT, dengan tujuan untuk menemukan lubang selengkap mungkin;Ujian konfrontasi Covert (topi hitam)Pertahanan Wadin tidak diberitahu, dan organisasi konfrontasi nyata diperiksa untuk kerusakan yang dapat menyebabkan, dan respon diuji. Dua tujuan tersebut sama sekali berbeda dan tidak menggunakan laporan pemindaian untuk mengklaim kedua efek tersebut. Dalam hal apapun,Aturan pertunangan pertama.Skop, jangka waktu, tindakan dilarang (misalnya DoS, hapus data produksi), kondisi penghentian, kontak darurat, semua tulisan - NIST Lampiran B langsung ke templat ROE. Tes infiltrasi filtrasi secara alami melibatkan sistem nyata dan data nyata, tanpa tes ROE "infiltrasi" berarti pembunuhan tanpa izin.

VAPT: Aturan keterlibatan, seleksi adegan, kombinasi risiko, laporan pendaratan

Tiga minggu untuk A dan B

A-A-A-A-R.1) laporan diperlukan untuk membedakan antara \"penemuan kaleng\" dan \"penggunaan yang divalidasi\", yang merupakan satu-satunya yang layak untuk kesimpulan berisiko tinggi; 2) fokus pada jalur kombinasi dan titik pendaratan akhir (domain control? Nafola Database?) alih-alih skor rata-rata CVSS; 3) memeriksa lingkup tes dengan ROE untuk menutupi aset awan dan API.

Posisi profesionalis B(1) Tahap Rencana tidak melakukan apa-apa tanpa memperoleh persetujuan tertulis, NIST menulis kalimat ini dalam bagian I dari metodologi; (2) laporan tersebut disinkronisasi, dengan cut-off, time-line, dan langkah pemulihan disimpan on-site, dan rekaman selanjutnya adalah bencana massal; dan (3) ketiga kategori utama yang dinamai oleh CVE-NIST hanya salah konfigurasi (terutama nilai baku yang tidak aman), cacat nuklir internal, tumpahan zona penyangga, dan sebagian besar garis pertahanan dalam proyek-proyek yang sebenarnya adalah yang pertama.

Sumber: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/15/final, PDF Sections 2.4.2, 4.3, 5.2.1 dan Appendix B/F; cross-certificate: owasp.org WSTG project page, Pentest-standard.org. Definisi dan afirmasi dalam teks diidentifikasi dalam bagian yang sesuai dari teks asli.