Wat doet VAPT precies? NIST SP 800-115 Grenzen voor beoordeling van de kloofreductie en penetratietests

De VAPT (Kwetsbaarheidsbeoordeling en Implementatie Test, Gap Assessment en Infiltratie Test) is bijna de meest gebruikte en gemakkelijk verwarde reeks afkortingen. De aankooplijst bevatte eenmaal diensten van de VAPT en had kunnen worden geleverd door een heleboel scanrapporten of door een echte reset van indringerroutes - het verschil tussen de prijzen en de waarde. Dit document beschrijft grenzen in het licht van een van de meest gezaghebbende publieke benaderingen: SP 800-115 van het National Institute of Standards and Technology of the United States of America.

I. Grens tussen VA en PT: NIST Point Broken

De oorspronkelijke uitspraak van NIST is zeer direct:De lekscanner controleert alleen of er een maas is, terwijl de fase van de penetratietest wordt gebruikt om het bestaan ervan te bevestigen.Ik weet het niet. Dit is de essentiële taakverdeling tussen de twee:

• Gap assessment (VA): Batch identificatie van hosts, services, applicaties, output van hoeveel gaten, hoe ernstig een lijst wordt vergeleken met een hiaat (bijv. NVD). De mate van automatisering en dekking was hoog, maar het rapport werd verkeerd gerapporteerd en grotendeels geen antwoord gegeven op de vraag hoe ver deze gaten in combinatie kunnen gaan.
• Infiltratietest (PT): Simulatie van een echte aanvaller, het lanceren van een echte aanval op een geselecteerd doelwit. NIST benadrukt met name dat de meeste penetratietests de moeite waard zijn om uit te vinden.Groep van lacunes in individuele of meervoudige systemenMeer toegang dan enige maas.

Eén zin:VA is een medische controle, PT is een echte persoon oefening.Ik weet het niet. Beide soorten aanbestedingen zijn vaak verpakt in overeenstemming, maar het moet duidelijk zijn op het moment van ontvangst en inspectie: is de validatie daadwerkelijk gebruikt? Of gaf Nessus net de exportformulieren?

II. NIST IV METHODE

SP 800-115 Punt 5.2.1 verdeelt infiltratietests in vier fasen (figuur 5-1):

• PlanningsplanIdentificatieregels, het verkrijgen van goedkeuring door het management en het opschrijven, het vaststellen van testdoelen. NIST specificeert:Geen echte tests in dit stadium.Maar het is de basis van de hele test.
• Ontdekking gevonden: Informatieverzameling en analyse van de kloof. Port en service identificatie, DNS/WHOIS query, Banner grijper, NetBIOS teller (alleen interne testen); vergelijk dan wat is schoongemaakt met de maas. Het is maar langzaam voor een man om een nieuwe storing van de scanner te vangen.
• Aanvallen: De kern van de test. De potentiële hiaten die zijn vastgesteld, worden van geval tot geval gebruikt; succes wordt geverifieerd met een duidelijke reactie op mitigatiemaatregelen; wanneer stroom wordt gebruikt, blijft het werkelijke risiconiveau van het netwerk worden geanalyseerd; en een bepaalde maas beweegt niet. Tussen de aanval en de ontdekking,TerugkoppelingsringZodra de nieuwe voetsteun is beveiligd, zal het worden verzameld, opnieuw getest, meerdere systeem rollen testen.
• Verslaglegging: Niet de laatste, maar de laatste.Synchroniseren met de andere drie fasenDe grenscontrole.

NIST herinnert er ook aan dat dit slechts een aanvaardbare verdeling is, maar industriële mainstreamprocessen (met inbegrip van de OWASP WSTG en PTS-normen) kunnen aan dit skelet worden aangepast: de OWASP Web Safety Test Guide is een webapplicatietest van het de facto publieke handboek, en PTES heeft de zesdelige community standaard voor pre-interactie/intelligence collectie/threat modelling/use/after-use/reporting geschreven.

III. Overt of Covert: De spelregels vooraf vaststellen

NIST verdeelt veiligheidsproeven in twee categorieën naar gelang van het kennisniveau:Overt-testuitgevoerd met de kennis en instemming van het IT-team, met het oog op het vinden van een zo volledig mogelijk gat;Confrontatietest met een zwarte hoedDe verdediging wordt niet gemeld, en de echte confrontatie organisatie wordt onderzocht op de schade die het kan veroorzaken, en de reactie wordt getest. De twee doelstellingen zijn totaal verschillend en gebruiken geen scanningrapport om beide effecten te claimen. In ieder geval,Eerst de regels.: toepassingsgebied, tijdsperiode, verboden acties (bv. DoS, verwijdering van productiegegevens), beëindigingsvoorwaarden, noodcontact, alle geschreven - NIST Appendix B rechtstreeks naar het ROE-template. Infiltratietests hebben natuurlijk betrekking op echte systemen en echte gegevens, zonder ROE "infiltratietests" ten bedrage van een niet-geautoriseerde moord.

IV. DRIE VERBINDINGEN OP A EN B

A-A-A-A-R.1) rapporten zijn vereist om onderscheid te maken tussen Database?) in plaats van CVSS gemiddelde score; 3) controleer de reikwijdte van de test met ROE om cloud activa en API te dekken.

Beroepspositie B(1) De fase van het Plan doet niets zonder schriftelijke goedkeuring, NIST schrijft deze zin in sectie I van de methodologie; (2) het rapport wordt gesynchroniseerd, met de cut-off, time-line, en herstel stappen worden ter plaatse gehouden, en de daaropvolgende opname is een massaramp; en (3) de drie belangrijkste categorieën genoemd door CVE-NIST zijn slechts verkeerde configuratie (met name onveilige standaardwaarden), interne nucleaire defecten, bufferzonelekken, en de meeste verdedigingslijnen in de werkelijke projecten zijn de eerste.

Bron: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF-secties 2.4.2, 4.3, 5.2.1 en bijlage B/F; kruiscertificaat: owasp.org WSTG-projectpagina, Pentest-standard.org. De definities en beweringen in de tekst worden vermeld in het overeenkomstige gedeelte van de oorspronkelijke tekst.